Par Frédérique Berrod, Professeure, Université de Strasbourg

La France teste depuis quelques jours le certificat vert de libre circulation sur des vols à destination de la Corse et vers l’Outre-Mer. Ce certificat figure dans l’application TousAntiCovid, qui comprend un onglet Carnet pour consigner, sous la forme de PDF intégrant un QR code le test PCR négatif (récupéré sur la base de données SIDEP) ou le certificat de vaccination ou de maladie (récupérés via le portail Ameli de l’Assurance maladie). Ces certificats témoigneront que la personne est immunisée contre la COVID et transmet, selon les connaissances à ce stade, beaucoup moins le coronavirus. Ils peuvent aussi être utilisés sous forme imprimable. Le président Macron a également annoncé à la presse quotidienne régionale le 29 avril 2021 qu’un passe sanitaire français, sur la même application numérique, serait utilisé pour faciliter l’accès aux stades, festivals, foires ou expositions. Cette double utilisation de TousAntiCovid présente-t-elle des dangers pour les droits fondamentaux sous couvert d’être un instrument nécessaire au rétablissement de la confiance dans la libre circulation ou une aide au déconfinement progressif ?

Est-ce une limitation de la libre circulation ?

La première liberté mise en cause par le passe, et qui fait débat dans l’Union et en France, est celle de circuler librement. Le certificat vert européen a pour objectif de renforcer la libre circulation des personnes, que la crise rend difficile. Il facilitera le contrôle en permettant une reconnaissance automatique des preuves d’immunité par les autorités qui contrôlent les frontières et sera donc un moyen de renforcer la confiance collective dans le passage de celles-ci. Il ne s’agit donc pas d’un passeport constitutif de droit à pouvoir librement circuler mais d’un simple certificat sanitaire. Tout citoyen est libre de ne pas avoir ce certificat, ce qui assure une utilisation volontaire de TousAntiCovid. Il sera alors soumis aux preuves exigées par les États pour éviter la propagation de la COVID, qui, rappelons-le « voyage » avec les personnes et pas avec les marchandises. Le passage de la frontière sera donc plus long et pourra, en cas de positivité, être refusé ou décalé. La question qui se pose, faisant d’ailleurs l’objet de débats violents au niveau européen, est celle de savoir quels vaccins (les seuls vaccins autorisés par l’Agence européenne du médicament ?) et quels types de tests seront reconnus par tous les États (les tests PCR et antigéniques ou également les tests salivaires ?). Ensuite, l’Union européenne laisse les États libres d’utiliser ce même passe pour d’autres fins. Longtemps dubitatif, l’exécutif français semble aujourd’hui convaincu que cet instrument peut faciliter la réouverture des lieux brassant beaucoup de public. Du point de vue de la liberté d’aller et venir, il faut, comme c’est le cas pour le certificat vert, estimer la proportionnalité de cette mesure non encore formalisée dans un texte. Après la fin de l’état d’urgence sanitaire, prévue théoriquement le 2 juin, l’article L. 3131-1 du Code de la Santé Publique pourrait justifier une restriction de cette liberté en cas de menace sanitaire grave. Le Code appelle des mesures pour répondre à l’urgence, ce qui fait du passe français une mesure par essence transitoire. On peut considérer que le passe contribue à la protection collective de la santé publique tant que le virus circulera activement dans la métropole. Or, cette notion reste difficile à définir en droit ; les seuils de déconfinement sont par exemple très variables en France même entre mai 2020 et mai 2021 et rendent complexe la définition de ce qu’est une menace sanitaire grave. L’instrument français est somme toute bien fragile du point de vue juridique parce que le principe de proportionnalité est difficile à respecter pour faire correspondre l’utilisation du passe très précisément aux enjeux d’une crise sanitaire grave.

Y a-t-il un risque de violation du secret médical ? 

Le certificat vert et le passe sanitaire contiennent la preuve d’une immunité par rapport à une maladie. Le citoyen met-il pour autant en jeu son droit au secret médical ? La COVID est une maladie à déclaration obligatoire et elle doit en conséquence être déclarée par le médecin pour assurer les soins mais surtout prévenir sa transmission (d’où la possibilité de la base de données SIDEP). Ce n’est d’ailleurs pas la seule maladie qui peut conditionner un voyage ou nécessiter une déclaration du médecin aux autorités compétentes. La collecte des informations sur l’immunité est donc légale et son traitement également, mais uniquement à des fins sanitaires. Le secret médical n’est pas remis en cause dès lors que le certificat vert est vérifié par les autorités compétentes pour le contrôle des frontières et parce qu’elles ne stockent pas les informations et ne font que vérifier leur existence. Pour le passe français, le problème est une fois encore plus complexe puisque les personnes amenées à faire les vérifications ne sont pas des autorités publiques mais des personnes privées. On peut certes concevoir, comme en Israël, l’affichage d’une couleur verte attestant de la seule immunité quand le QR code de l’application est flashé, par exemple à l’entrée d’un stade pour atténuer le risque de violation du certificat médical. On sait que pour être à la fois socialement accepté et légalement développé le passe ne doit pas être une obligation imposée par l’État mais une opportunité pour chaque citoyen d’être acteur du déconfinement en révélant son immunité. Solution transitoire, elle doit être strictement encadrée par une loi afin de garantir le respect du secret médical.

Y a-t-il  une violation des droits à la protection des données personnelles ?

Le certificat vert comme le passe français doivent aussi être pleinement compatibles avec le RGPD, puisqu’ils consignent sur chaque smartphone ou version imprimée des données sensibles au sens de l’article 9 de ce texte. Sur ce plan, les deux certificats peuvent être étudiés ensemble. Les données qu’ils contiennent doivent être sécurisées, ce qui implique un stockage sûr contre les cyberattaques. Les attaques récentes de centres hospitaliers montrent combien les données de santé intéressent divers criminels. Ce qui pose aussi question du point de vue du RGPD est la durée du stockage et le type de données stockées. Le système français garantit que les documents sont stockés tant que l’OMS ne certifie pas la fin de la pandémie. Les informations rassemblées dans l’application ne sont que des copies garanties d’informations centralisées dans des bases de données de santé sécurisées. Lors d’un contrôle aux frontières, le douanier par exemple pourra lire le certificat vert mais ne conservera pas les données de santé. Ensuite, il convient de garantir, comme le demande la CNIL dans son avis sur le certificat vert du 7 avril 2021, le plein respect du principe de minimisation des données, qui consiste à limiter au strict nécessaire les données récoltées pour la finalité poursuivie. Cela devra amener les institutions européennes ou françaises à justifier de la nécessité de certaines données appelées à figurer sur les certificats. Ce qui est discutable de ce point de vue est le produit vaccinal concerné ou le titulaire de l’autorisation de mise sur le marché pour prouver que le vaccin administré est celui autorisé par l’Union. Pour les autorités françaises, la CNIL avait estimé dans un avis du 17 décembre 2020 que l’architecture technique et fonctionnelle d’un dispositif d’enregistrement de visites dans certains lieux recevant du public apportait des garanties suffisantes pour être proportionnée à la lutte contre la COVID, dès lors qu’elle n’impliquait pas de géolocalisation et s’appliquait à une liste précise d’établissement. Elle recommandait que ce mécanisme soit strictement limité aux établissements le plus à risque du fait de la difficulté à porter un masque ou respecter la distanciation. C’est certainement pourquoi la liste suggérée par le président de la République ne vise pas les restaurants mais les stades ou les grands festivals qui s’annoncent avec l’été. Dans son avis, la CNIL semble pourtant sceptique sur la faisabilité juridique de rendre le passe obligatoire pour les établissements recevant du public sauf à limiter le dispositif aux établissements ne permettant pas le respect des règles sanitaires et sans révéler des informations sensibles quand elle s’est prononcée sur un dispositif d’enregistrement des visites. C’est pourquoi les premiers débats à la commission des Lois de l’Assemblée nationale se concentrent sur la limitation du passe pour accéder à certains regroupements de plus de 1000 personnes.

[vcex_button url= »https://www.leclubdesjuristes.com/newsletter/ » title= »Abonnement à la newsletter » style= »flat » align= »center » color= »black » size= »medium » target= » rel= »none »]En savoir plus…[/vcex_button]