La Commission nationale informatique et libertés (CNIL) a rendu un avis sur le projet de décret d'application de la loi du 31 mai 2021 relative à la gestion de la sortie de crise sanitaire dans lequel elle prend connaissance du texte et émet des recommandations.
La Commission a d'abord pris acte de la liste des établissements et rassemblements soumis au passe sanitaire. Sont exclus les "activités quotidiennes (restaurants, lieux de travail, commerces, etc.) et ceux liés à certaines manifestations habituelles de libertés fondamentales (notamment la liberté de manifester, de réunions politiques ou syndicales et la liberté de religion)". Toutefois, l'autorité administrative a soulevé une interrogation quant à "la référence aux « autres événements, lorsqu'ils sont spécifiquement localisés »" qui devraient également ne pas être soumis au dispositif du passe sanitaire.
Elle a estimé nécessaire que le gouvernement clarifie le "nombre de personnes dont le responsable de l'établissement ou de l'événement peut prévoir qu'elles seront simultanément présentes sur le site" et les sanctions applicables en cas de non-respect de la jauge. Elle a aussi pris acte du choix du gouvernement de réserver le passe sanitaire non pas aux salariés, aux organisateurs et aux professionnels "qui se produisent dans les lieux concernés" mais uniquement aux visiteurs de plus de onze ans et aux touristes étrangers.
Par ailleurs, "la Commission [s'est interrogée] sur les raisons pour lesquelles des agents de contrôles, habilités à constater les infractions relatives au passe sanitaire, devraient pouvoir être également habilités à contrôler les justificatifs pour autoriser, en dehors de leur mission de police judiciaire, les déplacements ou l'accès aux lieux, établissements et événements concernés par le passe sanitaire". Elle a demandé donc sur ce point des clarifications. A l'inverse, elle a jugé utile l'idée de créer "un registre détaillant les personnes nommément habilitées ainsi que les jours et horaires des contrôles effectués par ces personnes". Néanmoins, ce registre devra respecter les dispositions du règlement général sur la protection des données (RGPD).
L'autorité administrative ne s'est pas opposée à ce que "les personnes en charge des contrôles devront demander aux personnes de prouver leur identité et que ces dernières pourront procéder via un justificatif d'identité". Mais les personnes concernées devront avoir la possibilité de prouver leur identité "par tout moyen" et pas de manière systématique.
Enfin, les justificatifs communiqués (soit en version papier, soit en version numérique) ne pourront être conservés.
