SI-DEP, Contact Covid, Vaccin COVID et TousAntiCovid passés au crible par la Cnil

La Commission nationale de l’informatique et des libertés (Cnil) a rendu public le 21 janvier 2021 un avis adressé au Parlement sur les systèmes mis en œuvre par le gouvernement dans le cadre de la crise sanitaire liée à la COVID-19. Sont concernés les fichiers SI-DEP (centralisation des résultats de tests au SARS-CoV-2) et Contact COVID (informations sur les cas contacts et les chaînes de contamination), l’application mobile de suivi de contacts TousAntiCovid et le système d’information Vaccin COVID pour la gestion et le suivi de la vaccination.

Pour le fichier SI-DEP, la Cnil constate “que les remarques effectuées à l’issue de la première phase de contrôle en septembre 2020 ont été prises en compte” et “un niveau de conformité satisfaisant s’agissant du respect des durées de conservation des données”. Pour TousAntiCovid, la commission indique qu’il “indispensable de développer des initiatives et des indicateurs permettant d’évaluer pleinement l’effectivité sanitaire du dispositif”. Pour le SI Vaccin COVID, la Cnil rappelle son avis de décembre 2020 et sa vigilance “quant aux conditions de mis en œuvre”.

Une ARS mise en demeure

Sur le fichier Contact COVID, la Cnil a également constaté la correction de mauvaises pratiques relevées dans un précédent avis. Néanmoins, “certaines mauvaises pratiques résiduelles relatives aux conditions d’authentification, à la traçabilité et à la transmission de données personnelles à un tiers non habilité à héberger des données de santé” ont été constatées. Un courrier a ainsi été adressé à la Cnam. Par ailleurs, la Cnil indique avoir “relevé de nombreuses disparités concernant les pratiques des ARS (Agence régionale de santé, ndlr) dans le cadre de l’activité de suivi des contacts (« contact tracing ») de niveau 3”. Et une ARS a été mise en demeure “de se conformer aux exigences du RGPD dans un délai d’un mois”.

Il s’agit du 2e avis adressé au Parlement, après un premier en septembre 2020. La Cnil indique qu’une troisième phase de test doit débuter en janvier 2021.