Durant la crise sanitaire, sous couvert de l’urgence pandémique, le gouvernement, dont le ministre de la Santé, Frank Vandenbroucke, a légitimé de nombreux arrêtés. En l’espèce, le recours en annulation est dirigé contre les différentes normes portant assentiment à l’accord de coopération du 12 mars 2021 entre l’État fédéral, la Communauté flamande, la Communauté française, la Communauté germanophone, la Commission communautaire commune, la Région wallonne et la Commission communautaire française concernant le traitement de données relatives aux vaccinations contre la COVID-19 ; en ce que ces dispositions concernent l’enregistrement des vaccinations contre la COVID-19 dans la base de données « Vaccinnet ». Les dispositions de cet accord de coopération sont en grande partie identiques à celles qui sont contenues dans l’arrêté royal du 24 décembre 2020 « concernant l’enregistrement et le traitement de données relatives aux vaccinations contre la COVID-19 » contre lequel la partie requérante a également introduit un recours en annulation devant le Conseil d’État

L’accord de coopération du 12 mars 2021 prévoit différents traitements de données à caractère personnel sensibles – puisqu’elles concernent la santé – qui constituent des selon la plaignante une ingérence dans le droit au respect de la vie privée. La plaignante demande l’annulation pure et simple de la législation sur le traitement des données de vaccination contre le covid, le fameux accord de coopération « Vaccinet ». Verdict de la Cour constitutionnelle ? Si elle rejette la demande en annulation estimant que « les finalités spécifiques de l’enregistrement dans Vaccinnet ont un lien direct avec la campagne de vaccination, qu’elles sont suffisamment précises et qu’elles sont limitées au strict nécessaire et que la durée de conservation des données de vaccination (au minimum 30 ans et au maximum jusqu’au décès de la personne vaccinée) est proportionnée à ces objectifs », elle juge que « la disposition qui habilite le Comité de sécurité de l’information à autoriser, dans certaines circonstances, que des données de vaccination enregistrées dans Vaccinnet soient communiquées à des tiers viole la constitution ».

C’est la seconde fois que le CSI en prend pour son grade. Ce fut le cas, en septembre 2022, pour un recours contre l’accord de coopération sur le traçage des personnes infectées. Et d’ailleurs, la Cour de préciser dans son arrêt : « Comme dans son arrêt n° 110/2022 (qui concernait la législation sur le traçage des contacts), la Cour constate que les décisions du Comité de sécurité de l’information sont contraignantes, qu’elles font l’objet d’un faible contrôle de la part de l’Autorité de protection des données et d’un contrôle juridictionnel mais qu’elles ne sont pas soumises au contrôle parlementaire. Les personnes concernées sont donc privées de la garantie d’un contrôle par le Parlement, sans que cela soit imposé par le droit de l’Union européenne. La Cour en conclut que l’habilitation critiquée est inconstitutionnelle ».

La Cour estime donc que ces données personnelles ne pouvaient pas être communiquées par le CSI à « des personnes ou des instances chargées d’une mission d’intérêt public par ou en vertu d’une loi, d’un décret ou d’une ordonnance » et à des « institutions de recherche ». « La Cour annule les législations attaquées (sauf celle de la Communauté française à l’égard de laquelle le recours était hors délai) en ce qu’elles portent assentiment à la disposition de l’accord de coopération du 12 mars 2021 qui habilite le Comité de sécurité de l’information à autoriser la communication à des tiers des données de vaccination enregistrées dans Vaccinnet ».

Quels sont les effets de cet arrêt ? Puisque l’Etat a commis une faute et qu’elle est reconnue, il doit la réparer. Toutes les personnes dont les données personnelles à caractère sensible ont été communiquées par le CSI pourraient donc introduire un recours au nom de cette atteinte. Soit au Conseil d’Etat ou devant un tribunal, avec de potentiels dommages et intérêts à la clé.