Le Comité européen de la protection des données et le Contrôleur européen de la protection des données ont publié, le 6 avril 2021, un avis conjoint sur la proposition de règlement relatif au certificat vert numérique (Digital Green Certificate) de la Commission européenne, relève la CNIL. Il revient sur les garanties que ce dispositif doit apporter pour les droits et libertés fondamentaux des personnes.

La Commission européenne propose en effet de faciliter la libre circulation au sein de l’Union européenne en mettant en place un certificat vert numérique. Cette proposition a pour objectif de créer un cadre européen harmonisé et interopérable pour la délivrance, la vérification et l’acceptation des certificats au sein de l’Union européenne.

Le certificat permettrait de prouver qu'une personne a été vaccinée contre la Covid-19, ou qu’elle a reçu un résultat négatif à un test de dépistage, ou encore qu’elle s’est rétablie de la Covid-19.

Le certificat vert, délivré dans un format numérique de sorte qu’il puisse être affiché sur un smartphone ou sur papier, inclurait un code QR interopérable contenant notamment une signature numérique visant à garantir son authenticité.

Un portail, mis en place par la Commission européenne, permettrait de vérifier les signatures des certificats dans l'ensemble de l'UE sans que des données personnelles du titulaire du certificat ne soient transmises à celui-ci.

Si une personne prend l’avion pour se déplacer à l’étranger, elle pourrait ainsi montrer son certificat sur son smartphone (sous forme de code QR) aux contrôles aux frontières pour prouver qu’elle a bien été vaccinée contre la Covid-19.

L’avis conjoint des deux CEPD souligne que cette proposition ne permet pas et ne doit en aucun cas conduire à la création d'une base centrale de données personnelles au niveau de l’UE : elle doit seulement permettre la vérification décentralisée des certificats.

Sur le format du certificat, l’avis conjoint rappelle la nécessité de mettre à disposition de chacun une version numérique et papier des certificats afin d’assurer l’inclusion de l’ensemble des résidents européens dans le dispositif.

Par ailleurs, les deux autorités rappellent que le principe de limitation de la conservation des données nécessite notamment que les données obtenues lors de la vérification des certificats ne soient pas conservées par les États membres et les opérateurs de services de transports habilités à procéder aux vérifications. 

Enfin, l’avis insiste sur le caractère nécessairement temporaire du dispositif : le certificat vert numérique devrait être limité à la pandémie de Covid-19 et suspendu une fois la pandémie surmontée, c’est-à-dire que la proposition devrait préciser que les États membres ne devraient plus avoir accès aux données personnelles à l’issue de la crise.

De plus, si elles accueillent favorablement la couverture des différentes situations auxquelles sont confrontés les résidents de l’UE (vaccination, tests négatifs et rétablissement), les deux autorités demandent à la Commission européenne de préciser, dans la proposition de règlement, que les États membres devraient accepter ces trois types de certificats afin d’éviter la discrimination des personnes non encore vaccinées ou ne souhaitant pas l'être.