Pass Sanitaire : le QR du CNIL

Les personnes gérant les lieux, établissements ou événements qui sont conditionnés à la présentation du Pass sanitaire sont responsables du traitement de données personnelles que constitue l’opération de vérification.

A ce titre, le CNIL rappelle les règles applicables :

• L’obligation d’informer les personnes concernées, c’est-à-dire les salariés tenus de présenter un Pass sanitaire. La CNIL indique que cette information doit être faite le plus en amont possible de la vérification et placée à des emplacements accessibles et visibles lors de l’accès à l’établissement concerné par le dispositif. En outre, elle doit être complétée par des informations claires et concises concernant la protection des données personnelles.
• L’obligation d’utiliser une application de lecture du Pass sanitaire autorisée, sachant que seule l’application TousAntiCovid Verif ou une application de lecture autorisée par le ministère chargé de la santé selon une procédure prévue par l’arrêté 24 août 2021.
• L’obligation de tenir un registre des personnes habilitées à contrôler le Pass sanitaire (décret 2021-699 du 1er juin 2021, modifié). La CNIL précise que ce registre constitue un traitement de données personnelles. Sa mise en œuvre doit donc se faire dans le respect du RGPD.

Dans tous les cas, l’employeur concerné ne peut pas demander à un salarié soumis à l’obligation de présenter son Pass de le lui envoyer par mail.

L’employeur ne peut pas demander à un salarié :

• des informations sur son statut vaccinal ou sur le schéma vaccinal réalisé (ex. : le nombre de doses, les dates d’injection ou le type de vaccin réalisé)
• des informations relatives à son intention de se faire vacciner ou non ;
• un certificat de vaccination ou le résultat d’un test de dépistage.

« COVID-19 : questions-réponses sur le passe sanitaire et l’obligation vaccinale », 29 septembre 2021, www.cnil.fr