Depuis l’entrée en vigueur de la LOI n° 2021-1040 du 5 août 2021 relative à la gestion de la crise sanitaire, il incombe à votre employeur l’obligation de contrôler la validité du pass sanitaire élevé au rang de véritable ticket d’or.
Désormais, « les employeurs sont chargés de contrôler le respect de l’obligation prévue au I de l’article 12 par les personnes placées sous leur responsabilité ». Tous les employeurs ne sont pas concernés. En effet, cette obligation fort prévenante incombe uniquement en certains lieux et événements pour lesquels il y a un “risque de diffusion épidémique élevée”.
Nous retrouvons sous cette qualification : les secteurs de l’évènementiel, culturel, musical, artistique, sportif, loisirs ou encore les séminaires professionnels de plus de 50 personnes lorsqu’ils ont lieu dans un site extérieur à l’entreprise, les bibliothèques (sauf celles universitaires et spécialisées type Bibliothèque nationale de France), les fêtes foraines comptant plus de 30 stands ou attractions, les navires et bateaux de croisière avec restauration ou hébergement …
Il peut aussi s’agir de lieux de convivialité tels que les discothèques, clubs et bars dansants ; les bars, cafés et restaurants, à l’exception des cantines, restaurants d’entreprise, ventes à emporter et relais routiers, ainsi que lors des services en chambres et des petits-déjeuners dans les hôtels.
A cela s’ajoute les grands centres commerciaux supérieurs à 20 000 m2, selon une liste définie par le préfet du département concerné, et lorsque la circulation du virus est très active. Tout en veillant à garantir l’accès aux transports parfois compris dans ces centres, ou l’accès aux biens de première nécessité en mettant en place des solutions alternatives.
Le détail et la précision de cette liste pourrait presque nous empêcher de catégoriser les évènements et/ou personnes concernés par cette nouvelle obligation rendant sa dispense confusante puisque applicable à tout événement culturel, sportif, ludique ou festif, organisé dans l’espace public ou dans un lieu ouvert au public susceptible de donner lieu à un contrôle de l’accès des personnes.
Il en résulte pour les employeurs concernés, l’obligation de contrôler la validité du pass sanitaire de leurs employés, clients, patients… Un véritable pouvoir décisionnaire et disciplinaire puisque la non-obtention d’un pass sanitaire valide peut entraîner la suspension d’un contrat de travail, notamment.
Côtés employés, cette vérification s’applique à tous les travailleurs, qu’ils soient salariés ou non de l’établissement. Il sera aussi question de vérifier en amont du contrôle si l’employé exerce une des activités, services ou événements visés par la loi. Une exception est prévue par le décret du 7 aout le décret du 1 er juin 2021 prescrivant les mesures générales nécessaires à la gestion de la sortie de la crise sanitaire et concerne les personnes présentant un certificat médical de contre-indication (motifs listés dans le même décret).
Relevons que les personnes chargées de l’exécution d’une tâche ponctuelle au sein des locaux ne sont pas concernées par cette obligation. Il s’agira d’“une intervention très brève et non récurrente”. Cette dernière n’est pas liée à l’activité de l’entreprise et les travailleurs l’effectuant ne sont pas intégrés dans le collectif de travail. Il peut s’agir en outre d’une livraison ou d’une réparation urgente. Les interventions brèves ne seraient donc pas concernées par la présentation d’un pass sanitaire valide.
Le décret prévoit en réalité deux moyens de contrôle : l’application star « TousAntiCovid Vérif » mais également : « tout autre dispositif de lecture répondant à des conditions fixées par un arrêté des ministres chargés de la santé et du numérique ».
La CNIL a invité le Gouvernement à travers son avis du 9 aout 2021 à revoir le projet de décret sur plusieurs aspects dont celui touchant aux dispositifs alternatifs à l’application « TousAntiCovidVerif ». Pourront être élus dans la catégorie « Moyens alternatifs de contrôle » les dispositifs respectant « les conditions fixées par arrêté du ministre chargé de la santé, avant de pouvoir être utilisés par les acteurs devant contrôler le pass sanitaire ». Les mesures de sécurité doivent être conformes à l’article 32 du Règlement général sur la protection des données et prévoir des “algorithmes de chiffrement robustes et réputés à l’état de l’art”. Le ministère chargé de la santé est invité à faire preuve de transparence en publiant sur son site internet la liste des nominés soit la liste officielle des dispositifs de lecture autorisés ainsi que leur code source.
Pour l’instant le recours à d’autres alternatives n’a pas été mis en place. Seul “TousAntiCovidVérif” permet de vérifier la validité d’un pass. De plus dans son avis, la CNIL rappelle que “l’utilisation d’un unique instrument de lecture des pass sanitaires, développé sous le contrôle de la puissance publique et facilement identifiable pour les citoyens, constituait une garantie importante pour le détournement de données”. On comprend ici que la CNIL émet de fortes réserves quant à l’admission d’autres alternatives à “TousAntiCovidVérif”.
Pour l’aider dans cette quête, un seul et unique outil est à sa disposition : l’application « TousAntiCovidVerif ».
Cette application présentée « sans faille et/ou ultra secur » permet au seul flash d’un QR Code unique et inattaquable de circuler dans les lieux précités. Le scan du QR code fait apparaître pass valide (en vert) ou non valide (en rouge). Il s’agit donc d’un contrôle visuel et instantané.
Le traitement des données personnelles doit pouvoir respecter les 5 grands principes issus du RGPD et rappelés régulièrement par la CNIL : le recueil du consentement des personnes concernées, le principe de minimisation, le respect des durées de conservation, la gestion des demandes d’exercice des droits des personnes concernées et le respect des principes privacy by design et privacy by default.
Concernant l’application “TousAntiCovidVérif”, sont renforcés le principe de minimisation et de finalité : l’objectif poursuivi n’étant que le contrôle de la validité du pass sanitaire. Ainsi que le principe de conservation des données imposant même une non-conservation des données. En effet, la durée doit coïncider avec le flash du QR Code lors de l’étape de contrôle.
« Les données ne sont traitées qu’une seule fois, lors de la lecture du justificatif, et ne sont pas conservées” et “ne peuvent être conservées et réutilisées à d’autres fins”.
Un simple code couleur : vert (valide) ou rouge (invalide) permettra d’entrer ou non sur son lieu de travail. Trois types de documents peuvent attester de la validité du pass sanitaire, que vous soyez ou non vaccinés. D’abord le test PCR négatif de moins de 72h qui deviendra payant (sauf prescription médicale) vers mi–octobre 2021. Gabriel Attal à l’issu du Conseil des ministres du 11 aout 2021 a confirmé la fin des tests gratuits estimant un tarif de 50 € pour un test PCR et 30 € pour un test antigénique. Puis, le résultat d’un test positif attestant du bon rétablissement de la COVID19 depuis 11 jours et de moins de 6 mois. Enfin, le justificatif du statut vaccinal attestant d’un schéma vaccinal complet, soit 7 jours post dernière dose.
Ces preuves peuvent intégrer en format numérique le « Carnet » de l’application « TousAntiCovid » pour les stocker et les présenter facilement. Il est également possible de stocker les preuves pour ses proches. Pour le format papier, il suffit de présenter directement le QR code sur le document attestant d’un pass sanitaire valide.
Suite aux recommandations de la CNIL, le type de preuve (Test PCR de moins de 72h, certificat de rétablissement, schéma vaccinal complet) n’est pas accessible à l’employeur afin de répondre aux exigences du principe de minimisation et de ne pas porter atteinte au secret médical. C’est un niveau de lecture minimum comprenant uniquement « pass valide / invalide ».
Ce QR Code peut se présenter sous deux formes, l’une à partir de l’application « TousAntiCovid » installée sur votre téléphone et l’autre à partir du QR code délivré sous format papier lors d’un schéma vaccinal complet ou lors d’un test PCR négatif ou certificat de rétablissement.
La plateforme SI-DEP permet à une personne de générer un QR Code à partir d’un test PCR négatif ou d’un certificat de vaccination. En effet, les Français réalisant un test COVID reçoivent un mail ou un SMS pour se connecter à la plateforme SI-DEP. Cette plateforme a un avantage : éviter les falsifications. En effet, le QR Code généré possède un format unique d’authentification du test.
L’employeur est en mesure de conserver le résultat du contrôle de validité du pass sanitaire. Cela signifie qu’il ne peut pas conserver le justificatif mais uniquement le résultat de l’opération de vérification soit un pass valide ou invalide. Cette méthode de minimisation associée à la non-conservation doit « permettre seulement aux personnes ou aux services autorisés à en assurer le contrôle de connaître les données strictement nécessaires à l’exercice de leur contrôle ».
L’employeur est chargé de contrôler la validité du pass sanitaire. Ce contrôle peut aussi être opéré par d’autres personnes nommément désignées et habilitées tels que le responsable des lieux, l’organisateur d’événement, un délégué clairement identifié ou bien encore un salarié ou un prestataire.
Il se peut que le responsable de l’établissement ne soit pas l’employeur lui-même. Dans ce cas, c’est au responsable de l’établissement de procéder au contrôle des justificatifs requis en informant l’employeur si son salarié n’a pas pu pénétrer dans les locaux. Ce type de situation se rencontre notamment quand le salarié intervient dans des locaux différents de son lieu de travail, par exemple un salarié réalisant des missions de longues durées de rénovations ou travaux.
De même, les données ne doivent pas être conservées par le contrôleur.
On peut noter une certaine incohérence dans les étapes du calendrier vaccinal des salariés. L’obligation pour les professionnels s’applique depuis le 30 aout 2021 créant une disparité entre les catégories de personnes : clients / salariés d’un même lieu. En effet, un restaurateur doit strictement soumettre ses clients au respect du pass sanitaire mais cette obligation est moins butée pour les employés créant des situations assez étranges : clients contrôlés « validés » en terrasse et milieu ouvert / serveur non contrôlés « validés » en cuisine et lieux clos.
Le Gouvernement indique et rappelle que « la vérification de l’identité du porteur du pass sanitaire n’incombe pas aux personnes en charge de mettre le pass (…) sauf en ce qui concerne les discothèques, ces dernières devant déjà effectuer un contrôle d’identité des personnes en raison de l’interdiction d’accès des mineurs ».
Le contrôle porte sur la validité du pass sanitaire et non sur celui de l’identité pour savoir si celle-ci correspond au pass présenté. Seules les forces de l’ordre sont habilitées à procéder à cette vérification : « Toute personne se trouvant sur le territoire national doit accepter de se prêter à un contrôle d’identité effectué dans les conditions et par les autorités de police » (article 78-1 du code pénal).
Les sanctions pour la non-présentation d’un pass ou son utilisation frauduleuse sont nombreuses. Ainsi, un pass non présenté ou frauduleux entraine une amende de 135 € pouvant aller jusqu’à 6 mois d’emprisonnement et 3 750 € d’amende si cela se produit plus de 3 fois en 30 jours.
A cela s’ajoute les sanctions pour le non-contrôle du pass sanitaire. Les professionnels non diligents s’exposent à une amende de 1000 €, une mise en demeure et une éventuelle fermeture temporaire de l’établissement. En cas de récidive l’amende peut s’élever à 9 000 € et s’accompagner d’un an de prison.
Qu’en est-il de la conservation des données ?
C’est interdit ni plus ni moins. La conservation et ou l’utilisation de ces données à d’autres fins est puni d’un an d’emprisonnement et de 45 000 € d’amende. Ce délit apparaît dans la loi n°2021-1040 du 5 aout 2021 relative à la gestion de la crise sanitaire : « Le fait de conserver les documents (… ) dans le cadre d’un processus de vérification en dehors du cas prévu ( cf une forme ne permettant d’identifier que la nature de celui-ci et l’information selon laquelle le schéma vaccinal de la personne est complet ) ou de les réutiliser à d’autres fins est puni d’un an d’emprisonnement et de 45 000 € d’amende ».
Néanmoins, une dérogation existe lorsque la forme choisie « ne perm[et] pas d’identifier que la nature de celui-ci et l’information selon laquelle le schéma vaccinal de la personne est complet ». Alors dans ce cas UNIQUEMENT, il est possible de conserver le résultat de la vérification opérée et de délivrer, un titre spécifique donnant la possibilité d’une vérification simplifiée. Ces informations devront être conservé dans le respect des dispositions du Règlement Général de la Protection des Données (RGPD ).
La CNIL dans son avis du 9 aout 2021 sur les évolutions apportées par la loi relative à la gestion de la crise sanitaire invite le Gouvernement à limiter la conservation temporaire au seul résultat de la vérification opérée conformément au principe de minimisation des données « La conservation temporaire des données devrait se limiter au résultat de la lecture du pass ».
En théorie, tout cela semble faisable, en pratique, un problème semble apparaître : la récurrence du contrôle. Ce dernier doit respecter la non-conservation des données relatives au pass sanitaire à l’issue du contrôle, à moins qu’il n’adopte un « format ne permettant d’identifier la nature de celui-ci et l’information selon laquelle le schéma vaccinal de la personne est complet ». En pratique, soit l’employeur procède quotidiennement au contrôle du pass sanitaire de ses employés ; soit il adopte une forme alternative qui ne permet pas de récolter les données et qui respectent les recommandations de la CNIL ; bien que cette dernière ait invité le Gouvernement à “limiter la conservation temporaire au seul résultat de la vérification opérée conformément au principe de minimisation des données”.
Le règlement intérieur devra intégrer les consignes à respecter et les mesures de contrôle du pass sanitaire et un traitement devra être spécifié au registre.
Notons que la loi précise « l’application de cette réglementation ne dispense pas de la mise en œuvre des mesures de nature à prévenir les risques de propagation du virus si la nature des activités réalisées le permet ».
L’utilisation du pass sanitaire est autorisée en vertu de la loi jusqu’au 15 novembre 2021.
– Talya Dostes