200 courriers. 42 contrôles. Voilà les chiffres à retenir du quatrième bilan de la CNIL relatif aux traitements mis en œuvre dans le cadre de la crise sanitaire. Une nouvelle fois cependant, la commission est dans l’incapacité de jauger la proportionnalité des traitements « SI-DEP », « CONTACT COVID », « TOUSANTICOVID », « VACCIN COVID » et l’inévitable passe sanitaire.
Un investissement « sans équivalent dans l’histoire de l’institution ». La petite phrase issue de l’avis publié hier traduit l’ampleur du chantier qui occupe l’autorité de contrôle depuis le début de la crise sanitaire.
Cet épisode, qui s’éternise mois après mois, met en branle plusieurs traitements concomitants où à chaque strate, des millions de données à caractère personnel sont transmises et traitées avec dans le lot, des données de santé que le RGPD classe dans la catégorie « sensible ».
Pour rappel, SI-DEP est le traitement qui centralise les tests afin de nourrir le téléservice CONTACT COVID, celui-là même qui veut détecter les cas contacts. Quelque 4 500 laboratoires sont automatiquement connectés à SI-DEP mais il est également possible de transmettre les résultats manuellement.
STOPCOVID, devenu TOUSANTICOVID est l’application de suivi de contacts, volontairement installée par les utilisateurs. Elle alerte donc des cas de proximité avec un autre utilisateur diagnostiqué ou dépisté positif. L’app diffuse désormais en plus des informations sur les campagnes vaccinales.
Depuis novembre 2020, les fonctionnalités « TAC Carnet » et « TAC Signal » permettent également de gérer les fameux QR-Codes présentés dans les gares, les restaurants ou aux portes des salles de concert. Quant au traitement VACCIN COVID, il assure pour sa part la mise en œuvre, le suivi et le pilotage des campagnes vaccinales, dont l’approvisionnement en vaccins et seringues.
Le bilan publié hier s’inscrit dans le cadre de la loi du 11 mai 2020 prorogeant l’état d’urgence sanitaire, modifiée le 14 novembre 2020.
Le gouvernement doit depuis produire tous les trois mois un rapport au Parlement, détaillant l’application des mesures, accompagné d’« indicateurs d'activité », de « performance » et autres « résultats quantifiés ». Une copie à rendre « jusqu'à la disparition des systèmes d'information développés aux fins de lutter contre la propagation de l'épidémie de covid-19 ». Et ces rapports réguliers doivent être complétés par un avis public de la Commission nationale de l'informatique et des libertés.
Ce qu’elle a fait par trois fois déjà, et même quatre fois en comptant l’avis publié hier :
- Avis du 10 septembre 2020 (.pdf) (sur SI-DEP, CONTACT COVID et l’app STOPCOVID)
- Avis du 14 janvier 2021 (.pdf) (sur SI-DEP, CONTACT COVID, et l’app TOUSANTICOVID, ex STOPCOVID)
- Avis du 27 mai 2021 (.pdf) (sur SI-DEP, CONTACT COVID, l’app TOUSANTICOVID et VACCIN COVID)
- Avis du 30 novembre 2021 (.pdf) (sur SI-DEP, CONTACT COVID, l’app TOUSANTICOVID et VACCIN COVID)
Presque à chaque fois, des traitements ont été ajoutés aux traitements existants, élargissant parfois significativement le périmètre de données. Et comme le Covid-19, ces opérations prévues pour n’être que temporaires se sont incrustées durablement dans le quotidien des Français.
De la nécessité, de la proportionnalité
Dès les premières lignes de son 4ème avis, la CNIL donne le ton : en substance, pour pouvoir produire un avis sérieux, solide et argumenté, encore faut-il qu’elle dispose des données détenues par le gouvernement.
Sans cet or noir, impossible de jauger la nécessité et la proportionnalité des traitements de données à caractère personnel :
« Afin de permettre à la Commission d’apprécier pleinement la nécessité et la proportionnalité de ces dispositifs, déployés dans le cadre de la politique sanitaire actuelle du Gouvernement, il apparaît primordial que, plus de dix-huit mois après le début de la crise sanitaire et comme elle l’a rappelé dans ses trois premiers avis, des éléments concrets d’évaluation de leur efficacité dans la lutte contre l’épidémie de Covid19 soient portés à sa connaissance ».
Et la CNIL de « vivement regretter que malgré ses demandes répétées, notamment dans ses précédents avis, aucun élément ne lui a été transmis à cette fin par le Gouvernement ».
Répétition de l’histoire
Ce n’est en effet pas la première fois que la CNIL réclame ces informations. Pédagogique dans son avis de septembre 2020, elle expliquait que « le caractère dérogatoire des différents traitements mis en œuvre ne peut être justifié que si leur utilité est suffisamment avérée au regard de l’évolution sanitaire du pays ».
En ce sens, « les protections constitutionnelle et conventionnelle du droit au respect de la vie privée et à la protection des données à caractère personnel (…) imposent que les atteintes portées à ces droits par les autorités publiques soient non seulement justifiées par un motif d’intérêt général, comme cela est le cas en l’espèce, mais soient également nécessaires et proportionnées à la réalisation de cet objectif ».
Elle réclamait à la sortie de l’été 2020 des « indicateurs de performance des systèmes d’information déployés », elle suggérait la rédaction d’une « grille d’analyse devrait être établie au regard d’indicateurs d’efficacité sanitaire » et demandait une documentation sur « l’impact effectif du dispositif sur la stratégie sanitaire globale »…
À date, cependant, « l’évaluation formelle de l’effectivité de l’application n’avait pas encore débuté et (...) le calendrier du travail d’évaluation n’avait pas encore été établi par le ministère ». En clair, impossible d’effectuer un test de proportionnalité sur les atteintes à la vie privée, alors que ces atteintes exceptionnelles se doivent d’être justifiées comme le rappelle le Conseil constitutionnel dans toutes ses décisions sur le sujet.
Ce sont ces critiques sur le déficit informationnel qui entrainèrent une modification de l’article 11 de la loi du 11 mai 2020 par la loi du 14 novembre 2020, afin que soit précisé que le rapport trimestriel du Gouvernement adressé au Parlement comprenne à l’avenir « des indicateurs d'activité, de performance et de résultats quantifiés adaptés aux priorités retenues » :
Avant la réforme du 14 novembre 2020
Après la réforme du 14 novembre 2020
Malgré cette réforme, son avis de mai 2021 montra que le constat n’avait pas beaucoup bougé. « Il apparaît primordial que, plus d’un an après le début de la crise sanitaire et comme elle l’a rappelé dans ses deux premiers avis, des éléments concrets d’évaluation de leur utilité et de leur efficacité dans la lutte contre l’épidémie de COVID-19 soient portés à sa connaissance ».
Impatience
18 mois après le début de la crise sanitaire, la situation n’a pas changé. La CNIL se doit de mesurer la proportionnalité de ces traitements sans pouvoir juger la proportionnalité des traitements. Kafkaïen.
Dans son avis publié hier, elle se contente de rappeler que si « le contexte sanitaire peut justifier des mesures exceptionnelles, nécessaires pour lutter contre le rebond de l’épidémie et éviter un nouveau confinement », il y a une impérieuse « nécessité de procéder à l’évaluation des dispositifs numériques mis en œuvre pour lutter contre la Covid-19 afin de supprimer ceux dont l’utilité ne serait plus avérée ».
Ces lamentations ne sont toutefois corroborées par aucune mesure de rétorsion à l’encontre du gouvernement.
Des contrôles qui perdureront
Sur la période, les services de la Commission ont effectué plusieurs contrôles en ligne, sur audition, sur pièces et sur place sur l’ensemble des traitements précités.
Sur le TOUSANTICOVID Carnet, par exemple, elle considère que cette fonctionnalité « permet d’offrir des garanties en termes de protection des données et de sécurité », notamment parce que l’accès aux certificats de dépistage et de vaccination ainsi que leur enregistrement « s’effectuent de manière sécurisée ». Elle se satisfait par ailleurs de la conservation des preuves dans le smartphone, sans « aucun flux de donnée vers un serveur ».
Le document révèle néanmoins « l’absence, dans certains lieux, de toute mention d’information relative aux traitements mis en œuvre dans le cadre des vérifications des passes sanitaires dans les zones de contrôle ».
En outre, des organismes ont été contactés par la Commission pour ne pas avoir tenu de registre d’habilitation des personnes autorisées à contrôler les passes sanitaires, alors que la mesure est obligatoire en vertu d’un décret du 1er juin 2021.
En attendant, la Commission indique qu’elle poursuivra ses contrôles tout au long de la période d’utilisation des fichiers, jusqu’à la fin de leur mise en œuvre.
La toute récente loi du 10 novembre 2021 sur la vigilance sanitaire a prolongé jusqu'au 31 juillet 2022 le régime de sortie de l'état d'urgence sanitaire et la possibilité de recourir au passe sanitaire.
Commentaires (28)
Et ben, dans une situation tendu avec la vaccination (3ème dose, passe vaccinale, tension en outre-mer, 4ème dose Omicron ?), c’est franchement pas très intelligent de la part du gouvernement de ne jouer la transparence…
M’enfin, on pourra toujours publier ce genre de résultats dans la littérature et on sera vite fixer là.
Bon finalement, c’est pas si Kafkaïen que ça comme situation pour la CNIL. Elle ne fait que demander des documents qu’on devrait lui fournir : il arriveront un jour ou l’autre, dans cinquante ans peut-être, c’est ça la magie des États !
Tout va bien. J’ai plus la sensation que c’est en roue libre, complètement.
Kafka est bien en embuscade pourtant.
Mais encore ?
Manu 1er prend ses décisions en Conseil de Défense, couvert par le secret, le confidentiel, ou je ne sais quelle dénomination “* Défense”.
Résultat : secret pendant 50 ou 100 ans. Il peut faire ce qu’il veut, Chat Bite © Guignols, on touche pas son père pendant tout ce temps.
Il dit qu’il voit pas le rapport avec la gestion sanitaire, vraiment.
Je parle de ça
Des décisions concernant notre santé sont prises et gardées secrètes sous le sceau du secret défense.
On a la conclusion, mais impossible de savoir comment ils y sont arrivés, si ils se sont basé sur des faits scientifiques ou si ils ont joué ça aux dés.
Ou du secret défense.
Réponse facile : ça marche, car les autres le font aussi, et si on ne l’avait pas fait ce serait pire.
Signé le doigt mouillé.
Et donc quand on ne peut pas jauger, tant pis, on garde quand même ? Ou quand il est évident que ça ne sert pas à être “sanitaire”, que c’est même le contraire, tout ça pour un coût moral hallucinant ?
Pendant ce temps-là, le Royaume-Uni normal sur le plan des libertés et égalités “étonne” (tandis que l’inacceptable chez nous tente de se banaliser) :
Août : https://www.lemonde.fr/planete/article/2021/08/11/covid-19-en-angleterre-le-pari-reussi-de-la-levee-des-restrictions_6091131_3244.html
Novembre : https://www.lemonde.fr/planete/article/2021/11/27/covid-19-l-etonnante-situation-sanitaire-du-royaume-uni_6103817_3244.html
Ca n’a aucun sens de comparer des périodes de temps entre des pays qui ont eu des stratégies aussi différentes, il y a eu essentiellement des décalages dans le temps dans les “vagues”.
Au global, le RU c’est 10% de décès en plus que la France. Pas nécessairement à cause ou grâce au passe, mais citer le RU en exemple c’est pas terrible comme argument.
Ce qui est important c’est surtout 100 % de restrictions en moins. « Mieux vaut mourir debout que vivre à genoux », tout ça tout ça.
Si toute l’énergie utilisée à embêter les jeunes qui vont au bar était mise pour vacciner les vieux plus vulnérables…
C’est juste totalement stérile d’essayer de comparer l’incomparable. Le Royaume-Uni n’est pas une grande terre d’accueil pour les touristes ni un grand territoire de transit de marchandises au coeur de l’Europe, par exemple.
Tout autant qu’il est stérile d’essayer de chiffrer l’intérêt du passe ou d’estimer ce qui se passerait sans le passe, tout cela relève de la boule de cristal et de rien d’autre.
Que 10% ? Sans lien de causalité établi avec le passe ? Alors que même avec 200% ce serait ni fait ni à faire ?
Dans le deuxième article, la période de temps c’est 4 mois quand-même, y a eu au moins une vague partout dans cet intervalle. Et refuser de comparer les résultats de stratégies différentes, c’est particulier, quel intérêt à comparer 2 pays qui font exactement la même chose ?
Mais bon de toute façon, quand ça va pas dans ton sens c’est pas comparable, par contre tu n’es pas le dernier à citer d’autres pays en exemple quand ça va dans ton sens, sans expliquer le moins du monde pourquoi là ça devient comparable.
Donc ces 10 % justifieraient à tes yeux tout le bazar appliqué par la France, quoi qu’il en coûte ? Ce n’est pas l’hécatombe prédite par les favorables aux restrictions, et avec des raisonnements pareils on peut tout justifier. Certains pays ont surtout mieux compris que d’autres le principe cité en sous-titre de l’article, mais bon, ils sont pas comparables.
Euh…si ? https://www.populationdata.net/palmares/tourisme/
C’est vrai mais je ne pense pas que ce soit déterminant.
Par contre on peut parler du présent.
Pourquoi ne met-on pas l’accent sur le booster shot pour les vieux plutôt que les jeunes sans maladie qui n’en ont objectivement pas besoin ?
Pourquoi paxlovid n’est toujours pas approuvé par les agences de santé vu son efficacité ?
Je vais encore revenir sur les “jeunes” mais les séquelles ne sont pas un mythe, à la trentaine et quarantaine en bonne santé dans mon entourage et avec toujours une perte d’un des 5 sens plus de 1 an après, justifie parfaitement qu’il faut cibler toute tranche d’age et arrêter avec ce clivage jeunes-vieux.
Juste le risque d’une séquelle à durée indéterminée devrait faire réfléchir.
J’ai moi-même perdu l’odorat pendant des mois, merci.
Je préférerais le choper une deuxième fois et qu’on sorte de l’état d’urgence
Je ne pige pas comment la CNIL pourrait avoir parmi ses missions celle “d’évaluer l’efficacité du passe sanitaire” ??
C’est plutôt le travail du ministère de la Santé.
C’est pour pas perdre la face car ils n’ont accepté l’inacceptable que parcequelevirus. Donc maintenant ils font genre “alors le virus ?”.
J’avoue, dans UX il y a un X de trop sensible.
Soyons révolutionnaires : on peut couper la tête d’Ubu mon roi ?
…
Mouais… Ils n’accueillent pas 1,5 fois leur population chaque année et pas en hiver. 1er cluster en France, Contamines-Montjoie, station de sport d’hiver, avant que toutes les frontières se ferment.
Je ne sais pas, je me dis quand même que ça a pu jouer, comme les travailleurs frontaliers, il n’y en a pas au RU, à chaque fois des des mouvements de personnes, potentiellement vecteurs du virus.
Paxlovid est en cours d’évaluation. Il date de novembre 2021.
Pour le reste, j’en sais rien: je ne suis pas convié aux conseils de sécurité. Je déplore, comme chacun ce mode de fonctionnement, qui rend tout opaque et de fait rend toute décision douteuse.
Il n’y a qu’une chose dont je suis certain: je suis bien content de ne pas avoir à prendre ces décisions. J’ai du mal à comprendre la logique de beaucoup d’entre-elles, stratégie vaccinale, passe sanitaire, les masques qui redeviennent obligatoires du jour au lendemain dans les lieux où il a fallu présenter le passe… Mais je n’ai aucune idée de ce que je ferais.
Je vois juste ce truc: avant le passe, je n’avais plus de vie sociale, tout était fermé. Il y avait d’autres possibilités, probablement, peut-être comme les Anglais, peut-être comme les Israéliens, peut-être comme les Chinois… De façon très égoïste: grâce au passe, je sors. Ma fille, cuistot, a retrouvé du boulot. Voilà, c’est très con, très personnel, pragmatiquement je trouve si ce n’est du bon, au moins du mieux dans le passe.
Tu as parfaitement conscience que c’est l’État qui a mis les restrictions avant, et l’État qui a mis le passe en place ?
Oui, et je ne sais pas quelles décisions j’aurais prises, j’essaie donc d’éviter les YAURAFALU et les ONNAVEKA
Je comprends tout à fait ton sentiment. Mais tu as oublié la période (certes courte) juin à mi-juillet, ou tout avait réouvert sans passe au quotidien (il n’était demandé que pour les grands évènements). En vrai, je pense que ce qui fait surtout la différence entre la première moitié et la deuxième moitié de l’année, c’est la vaccination, surtout des plus à risque, qui avaient déjà été vaccinés au 1er juin. Pas forcément très limitant pour la transmission, mais ça diminue grandement les décès et les séjours à l’hôpital, transformant pour beaucoup une maladie handicapante en simple maladie toujours contagieuse mais passagère dont on guérit seul, comme il en existe déjà plein sans qu’on s’en soucie plus que ça. Ca se voit franchement sur les courbes de décès toutes causes confondues qui sont revenues au niveau de 2019 en deuxième moitié.
Une vaccination sans passe au quotidien, avec passe seulement pour les grands évènements, c’est le choix de nombre de pays, c’était la promesse du gouvernement, et ça aurait du être notre choix aussi, plutôt que de continuer à brader des libertés, diviser la population, et rentrer dans cette psychose qui fait croire aux gens que c’est grâce au passe généralisé qu’ils peuvent sortir, alors que c’est surtout grâce au vaccin. Et cette prolongation sur 8 mois en blanc-seing aussi, c’est vraiment se moquer du monde, heureusement que ça a été un peu retoqué mais pas suffisamment je trouve.
Relativement d’accord, même si je ne puis vérifier la psychose ni les promesses gouvernementales étant assez coupé de la bulle médiatique.
Tout à fait, mais ce risque-là est un risque individuel et c’est donc à chacun de décider s’il veut le courir. C’est très bien de rappeler qu’il existe, mais ça ne l’est pas de forcer la main aux gens (ce que tu n’a pas fait, je ne dis pas ça pour toi).
Ok merci, ça m’avais échappé.
Qui est obligé d’installer cette application .. personne .. doc?
C’est grace aux deux que les contaminations ont diminué. Et on ne brade pas les libertés, les gens ont la liberté de se vacciner ou pas.
Et de la même manière qu’on n’autorise pas sur la route des gens sans permis parce qu’ils sont bien plus accidentogènes que des gens avec, on n’autorise pas dans les lieux collectifs les gens sans pass parce qu’ils sont plus contaminants et plus malades si contaminés et qu’on a déjà suffisamment sacrifié l’hôpital public par complaisance avec ceux qui croient aux fake news sur les vaccins ou en dieu…
La seule chose qu’on a bradé c’est la santé et la vie de famille du personnel hospitalier et il n’y a pas de quoi être fiers.