L’accès aux informations sur les tests et la vaccination est restreint dans l’application officielle de vérification, lancée mercredi en France. Mais celle-ci peut-être contournée.
Par Simon Auffret
Pour la CNIL, il peut être acceptable que certaines données soient conservées en clair dans les codes-barres, mais elle incite le gouvernement à en informer les utilisateurs pour les encourager à ne pas exposer leur passe sanitaire hors du cadre où il est imposé.”>
Pour la CNIL, il peut être acceptable que certaines données soient conservées en clair dans les codes-barres, mais elle incite le gouvernement à en informer les utilisateurs pour les encourager à ne pas exposer leur passe sanitaire hors du cadre où il est imposé. PASCAL GUYOT / AFP
Un simple signal « rouge » ou « vert » pour vérifier le faible risque de contagiosité au SARS-CoV-2 des visiteurs à l’entrée des rassemblements de plus de 1 000 personnes : depuis la présentation du passe sanitaire, lancé en France mercredi 9 juin, le gouvernement s’est engagé à réduire au minimum les informations accessibles lors du contrôle du document pour limiter le risque d’utilisation malveillante de données personnelles.
Inaugurée dès mardi lors de la rencontre amicale de football entre la France et la Bulgarie, à laquelle ont assisté 5 000 personnes au Stade de France, l’application officielle TousAntiCovid Verif n’autorise l’affichage, lors de la vérification du passe sanitaire (test virologique négatif de moins de soixante-douze heures, attestation de vaccination complète ou certificat de rétablissement), que d’une indication « valide » ou « non valide ». Le prénom, le nom et la date de naissance de l’utilisateur sont aussi affichés pour y comparer un ticket d’entrée nominatif ou un document d’identité.
Décryptage : TousAntiCovid : quel usage pour retrouver des amis, aller au restaurant, voir un match, voyager ?
La possibilité de savoir si la personne détient plutôt un test négatif, un test positif ou un certificat de vaccination semble donc écarté par ce biais. Une telle éventualité constituerait « une rupture du secret médical ne respectant pas les droits des usagers », avait prévenu, dès le 20 avril, le comité de liaison et d’information Covid-19. L’instance chargée de conseiller le gouvernement sur les enjeux technologiques de la crise sanitaire insistait déjà sur le bon réflexe que constituait une agrégation des données, en cohérence avec les principes suivis par la Commission nationale informatique et libertés (CNIL) en France et le règlement général sur la protection des données (RGPD) au niveau européen.
Des données « conservées en clair »
Depuis la présentation des premiers Datamatrix 2D-DOC – semblable à un QR code, sorte de code-barres –, plusieurs experts en sécurité informatique ont pourtant noté que l’utilisation d’une application mobile générique de contrôle de code-barres permettait d’accéder à toutes les informations contenues dans le passe sanitaire : la date, le type de vaccin et le nombre de doses reçues sont, par exemple, lisibles en dehors de l’application TousAntiCovid Verif.
« La commission relève que les données relatives aux preuves sont conservées en clair [de manière non chiffrée] au sein des codes-barres », souligne aussi la CNIL dans une délibération datée du 7 juin. Le texte indique qu’une telle pratique peut être « admise compte tenu des contraintes techniques et de la nécessité de mettre en œuvre, à brève échéance, le système de contrôle des justificatifs », mais incite le gouvernement à en informer les utilisateurs pour les encourager à ne pas exposer leur passe sanitaire hors du cadre où il est imposé.
Enquête : L’utilité des applications de traçage des cas contacts impossible à mesurer
Le décret détaillant les modalités de la mesure, publié au Journal officiel le 7 juin, précise bien que « la lecture des justificatifs est réalisée au moyen d’une application mobile dénommée TousAntiCovid Verif » et qu’un autre type de vérification est illégal. Un risque anticipé par les parlementaires lors des débats sur la loi de gestion de sortie de crise sanitaire – « conserver [ces] documents et les réutiliser à d’autres fins »que le contrôle est puni d’un an d’emprisonnement et de 45 000 euros d’amende –, mais la constitution d’une liste des personnes vaccinées ou testées positives lors d’un événement est techniquement réalisable.
Pour le gouvernement, l’encadrement légal décidé suffirait à prévenir de ce dévoiement du passe sanitaire. Un registre « détaillant les personnes ainsi habilitées et la date de leur habilitation, ainsi que les jours et horaires des contrôles effectués par ces personnes » devra être constitué par tous les exploitants de lieux et les organisateurs des événements concernés. La liste en est elle aussi précisée : stades, chapiteaux, salles de conférences, casinos accueillant plus de 1 000 personnes sont notamment mentionnés. Les parcs zoologiques, d’attractions ou à thème en sont exemptés, comme les transports publics, les cinémas et les théâtres.
Explications : Passe sanitaire : les lieux dans lesquels il sera nécessaire
« Des sanctions sont prévues », prévient Cédric O
« Je ne doute pas que s’il y avait des abus, par exemple de restaurateurs qui tenteraient de l’imposer à leurs clients, nous serions rapidement au courant, ne serait-ce que grâce aux réseaux sociaux. Et des sanctions sont prévues », avait prévenu le secrétaire d’Etat au numérique, Cédric O, lors d’un entretien publié dans Le Parisien, le 24 mai.
Accessible à tous sur les portails de téléchargement d’application mobile (PlayStore sur Android, AppStore sur iOS), TousAntiCovid Verif fait par ailleurs l’objet d’autres remarques de la part de la CNIL. Notamment le fait qu’elle a été développée par l’Imprimerie nationale, en dehors du consortium constitué par l’Institut national de recherche en informatique et en automatique (Inria), responsable des autres fonctionnalités de TousAntiCovid, et que son code et ses caractéristiques techniques n’ont pas été rendus publics.
Par ailleurs, l’ensemble des informations contenu dans le 2D-DOC est envoyé lors de chaque contrôle à un serveur central placé sous responsabilité du groupe Imprimerie nationale pour en vérifier la validité, ce que le gouvernement explique par la nécessité de s’adapter à des règles différentes et amenées à évoluer entre les pays européens – le dispositif doit aussi servir lors du certificat numérique Covid prévu par la Commission européenne, dont le lancement est prévu début juillet.
Synthèse : L’Europe se convertit en ordre dispersé aux passes sanitaires
Pour atteindre une « architecture la plus protectrice possible » , notamment lors des usages nationaux du passe sanitaire, la CNIL invite le gouvernement à « étudier la mise en place d’une version davantage décentralisée » afin de « limiter les envois de données à ce serveur tout en garantissant l’application des règles mises à jour ».