Pass sanitaire en Espagne. Comment garantir sécurité sanitaire et libre circulation des personnes. Éléments de réponses.

Dans le cadre de la lutte contre la pandémie de Covid-19, l’Union européenne a guidé les États membres dans l’élaboration de leurs applications mobiles. Cependant, si l’application espagnole Radar COVID est techniquement interopérable, comme 21 de ses homologues dans l’Union européenne, sa connexion au certificat européen n’est pas encore effective.

Pour le moment, l’application espagnole ne permet pas (contrairement à l’application application française TousAntiCovid) l’ajout d’une fonctionnalité importante : la certification de l’état vaccinal de son titulaire. Le gouvernement espagnol propose en revanche différentes versions digitales des documents permettant de se déplacer : un certificat de vaccination, un certificat de test pcr négatif, ou encore un certificat pour les personnes ayant déjà contracté le Covid.

Un réseau pour rendre interopérables les systèmes de santé européens

En avril 2020, la Commission européenne avait explicité différents profils d’application au sein d’une « boîte à outils commune ». Une déclaration antérieure du Superviseur européen à la protection des données de la Commission européenne et du Comité européen à la protection des données insistait cependant sur l’équilibre à trouver s’agissant des droits et libertés individuelles.

Chaque État membre ayant la responsabilité du traitement de données de son application mobile, il devait en déterminer les fonctionnalités et caractéristiques, y compris en matière d’interopérabilité. Cette dernière exigence permet déjà depuis dix ans aux patients qui se déplacent dans un autre État de l’Union européenne de bénéficier de soins de santé sûrs et de qualité, puis d’être remboursés par leur propre système d’assurance maladie. Ils profitent alors d’un véritable réseau, appelé « Santé en ligne ».

Celui-ci a deux objectifs. Il permet en premier lieu de rendre possible le transfert de données électroniques dans le cadre des soins de santé transfrontaliers (directive Droits des patients en matière de soins transfrontaliers). En second lieu, il a vocation à promouvoir une plus grande interopérabilité des systèmes nationaux de technologies de l’information et de la communication, notamment des applications mobiles de suivi de contacts et d’alerte dans le cadre de la lutte contre la Covid-19.

Ces applications ont la possibilité d’être connectées entre elles depuis le 15 juillet 2020, décision mise en pratique en octobre 2020 avec une passerelle européenne de connexion regroupant 16 d’entre elles. À travers ce réseau « Santé en ligne », les États membres travaillent à l’élaboration d’un ensemble commun harmonisé de données pour les certificats des tests Covid-19 et l’interopérabilité des certificats sanitaires.

Garantir la libre circulation des personnes

Pour limiter la propagation du coronavirus à l’origine de la pandémie, les États membres ont adopté des mesures de restriction à la libre circulation des personnes qui ont eu d’importantes répercussions.

Exigences spécifiques, limitations voire interdictions, obligation de se soumettre à une quarantaine ou autoconfinement et tests de dépistage avant/après l’arrivée : les personnes les plus touchées étaient celles devant franchir une frontière quotidiennement, que ce soit pour des raisons professionnelles, éducatives, médicales, familiales ou autres.

L’absence de formats normalisés et sécurisés a compliqué la vie de ces voyageurs, les documents présentés n’étant pas forcément acceptés. En outre, des rapports ont fait état de documents frauduleux ou falsifiés, ainsi que du déploiement d’un commerce illicite de certificats sanitaires par des individus opportunistes. On se souvient d’un réseau de faux tests PCR démantelé à Barcelone au cours du printemps dernier.

La vaccination n’est pas une condition préalable à l’exercice de la libre circulation. L’Espagne n’a jamais changé de position depuis le début de la crise : Il n’y a pas d’obligation légale d’être vacciné, ni d’ailleurs droit à l’être : on est libre de le faire, ou de ne pas le faire.

Toute personne doit donc pouvoir se déplacer à travers le monde sans être vaccinée – pour des raisons médicales, ou parce qu’elle ne fait pas partie du groupe cible (enfants), ou parce qu’elle n’a pas encore eu la possibilité de le faire, voire ne le souhaite pas. Si nécessaire dans le pays d’arrivée, il s’agira de se soumettre à des restrictions – un test obligatoire et/ou une quarantaine/un autoconfinement.

Si la problématique de la preuve authentique du statut vaccinal est sur le point d’être résolue grâce à au dispositif de certificat européen, on devra intégrer le principe de non-discrimination afin que les personnes non vaccinées n’en soient pas exclues.

Le certificat européen

En mars dernier, la Commission européenne a proposé ce certificat, gratuit, dans la langue nationale et en anglais, qui serait valide dans tous les États membres. L’Espagne fut l’un des pays pionniers dans la demande du passeport sanitaire. L’accord politique du 20 mai doit à présent être formellement adopté par le Parlement européen et par le Conseil. Le règlement est entré en application le 1ᵉʳ juillet.

Il s’agit d’une preuve numérique ou au format papier attestant qu’une personne a été vaccinée contre la Covid-19, a été testée négative, ou s’est rétablie de la maladie. Cette preuve sera délivrée par des hôpitaux, des centres de test ou des autorités sanitaires avec un code QR qui, une fois scanné, peut être utilisé par tout citoyen. Peu importe le type de vaccin reçu : le certificat sera accepté dans tous les États membres.

Ceux-ci sont également libres de faciliter la circulation de personnes ayant reçu un vaccin qui n’a pas été mis sur le marché européen.

Le certificat vert contiendra le nom, la date de naissance, la date de délivrance, des informations pertinentes sur le vaccin/test/rétablissement et un identifiant unique. Toutes ces données sont régies par l’État qui a généré le certificat : cela signifie qu’elles ne seront pas enregistrées par les autorités de l’État membre où le citoyen se déplace.

Pass sanitaire en Espagne — Le certificat vert pourrait servir de cadre pour d’autres certificats, comme ceux des tests de dépistage.
JC Gellidon/Unsplash, CC BY

Afin de garantir l’authenticité du certificat, un cachet numérique y sera intégré pour le protéger contre toute falsification. On pourra ainsi vérifier non seulement le statut vaccinal, mais aussi la signature de l’organisme ayant généré le certificat – chaque organisme susceptible d’en délivrer un disposant à cette fin de sa propre clé de signature numérique. Toutes ces données seront stockées dans une base de données sécurisée dans chaque pays, et un portail européen permettra de les vérifier.

D’après la Commission, ce futur cadre devrait également couvrir d’autres certificats délivrés pendant la pandémie : les documents certifiant un résultat négatif à un test de dépistage, ou ceux attestant qu’une personne s’est rétablie après avoir été infectée. Les personnes non vaccinées pourraient donc bénéficier d’un tel cadre interopérable, ce qui faciliterait leur libre circulation.

Et dans le cas particulier des enfants, ils pourraient disposer d’un certificat de test ou de rétablissement obtenu par leurs parents en leur nom. Le Parlement européen a adopté une position commune lors de sa session plénière des 26-29 avril 2021. Les eurodéputés ont d’ores et déjà fait savoir que le certificat vert ne devrait pas devenir une condition de facto de la liberté d’aller et venir au sein de l’Union.

Faut-il réviser le règlement sur la protection des données ?

Le moins que l’on puisse dire, c’est que le partage des données de santé issues des applications mobiles de suivi de la pandémie n’a pas été facilité par le règlement général sur la protection des données (RGPD).

En effet, il est supposé fixer les règles du partage de données de santé pseudonymisées avec des chercheurs situés en dehors de l’Union européenne et de l’Espace économique européen. Mais comme l’a fait remarquer l’eurodéputé Axel Voss, ses dispositions sur la minimisation des collectes de données, la limitation des finalités et le transfert international des données ont rendu ce partage extrêmement difficile.

Dans le cadre de la recherche scientifique, l’échange de données est prévu et explicité par de multiples documents et lignes directrices du Comité européen à la protection des données. Ainsi peut-on lire dans le RGPD que « le traitement ultérieur […] à des fins de recherche scientifique […] n’est pas considéré, conformément à l’article 89, paragraphe 1, comme incompatible avec les finalités initiales (limitation des finalités) ».

La collecte et la combinaison de données de santé sont toutefois fondamentales pour faire avancer la recherche médicale, améliorer les diagnostics et les traitements. Cette dimension devra être pleinement intégrée au futur règlement sur la gouvernance des données.