June 16, 2021

La CNIL met en garde contre une éventuelle exposition de données médicales lors du contrôle du pass santé

Un simple signal “rouge” ou “vert” pour vérifier le faible risque de contagiosité au Covid-19 des visiteurs à l’entrée des rassemblements de plus de 1 000 personnes : depuis la présentation du pass sanitaire, lancé en France mercredi 9 juin , le gouvernement s’engage à minimiser les informations accessibles lors du contrôle des documents afin de limiter les risques d’utilisation malveillante des données personnelles.

Inaugurée mardi lors du match amical de football France-Bulgarie, en présence de 5.000 personnes au Stade de France, l’application officielle TousAntiCovid-Vérifié ne permet pas d’afficher, lors du contrôle du passeport sanitaire (test virologique négatif de moins de soixante-douze heures , certificat de vaccination complet ou certificat de récupération), uniquement avec une mention « valide » ou « invalide ». Le prénom, le nom et la date de naissance de l’utilisateur sont également affichés pour comparer un ticket d’entrée nominatif ou une pièce d’identité.

Décryptage : TousAntiCovid : à quoi bon retrouver des amis, aller au restaurant, regarder un match, voyager ?

La possibilité de savoir si la personne a plutôt un test négatif, un test positif ou un certificat de vaccination semble ainsi exclue. Une telle éventualité constituerait « Une violation du secret médical qui ne respecte pas les droits des usagers », avait prévenu, dès le 20 avril, le comité de liaison et d’information Covid-19. L’instance chargée de conseiller le gouvernement sur les enjeux technologiques de la crise sanitaire insistait déjà sur le bon réflexe d’agréger les données, en cohérence avec les principes suivis par la Commission nationale de l’informatique et des libertés (CNIL) en France et la réglementation. Général sur la protection des données (RGPD) au niveau européen.

Des données « en clair »

Depuis la présentation de la première datamatrix 2D-DOC – semblable à un QR code, sorte de code-barres – plusieurs experts en sécurité informatique ont néanmoins constaté que l’utilisation d’une application générique de contrôle de code-barres mobile permettait d’accéder à toutes les informations contenues dans le pass sanitaire : la date, le type de vaccin et le nombre de doses reçues sont par exemple lisibles en dehors de l’application TousAntiCovid -Check.

« La commission note que les données relatives aux preuves sont conservées en clair [de manière non chiffrée] dans les codes-barres “, souligne également la CNIL dans une délibération en date du 7 juin. Le texte indique qu’une telle pratique peut être « Accepté compte tenu des contraintes techniques et de la nécessité de mettre en place, dans des délais courts, le système de contrôle des pièces justificatives », mais encourage le gouvernement à informer les usagers pour les inciter à ne pas afficher leur abonnement santé en dehors du cadre dans lequel il est imposé.

Enquête : L’utilité des applications de recherche de contacts non mesurables

Le décret précisant les modalités de la mesure, publié au Journal officiel le 7 juin, précisez que « Les pièces justificatives sont lues au moyen d’une application mobile appelée TousAntiCovid -Check » et que tout autre type de vérification est illégal. Un risque anticipé par les parlementaires lors des débats sur la loi de gestion de crise sanitaire – “Garder [ces] documents et les réutiliser à d’autres fins » que le contrôle est puni d’un an d’emprisonnement et de 45 000 euros d’amende – mais la constitution d’une liste de personnes vaccinées ou testées positives lors d’un événement est techniquement envisageable.

Pour le gouvernement, le cadre légal décidé suffirait à empêcher ce détournement du pass santé. Un registre « Détailler les personnes ainsi habilitées et la date de leur habilitation, ainsi que les jours et heures des contrôles effectués par ces personnes » doit être composé de l’ensemble des exploitants de sites et des organisateurs d’événements concernés. La liste est également précisée : stades, chapiteaux, salles de conférence, casinos accueillant plus de 1 000 personnes sont notamment évoqués. Les parcs zoologiques, d’attractions ou à thème sont exonérés, comme les transports en commun, les cinémas et les théâtres.

Explications : Pass santé : les lieux dans lesquels il sera nécessaire

« Des sanctions sont prévues », prévient Cédric O

« Je ne doute pas que s’il y avait des abus, par exemple de la part de restaurateurs qui tentaient de l’imposer à leurs clients, nous en serions vite informés, ne serait-ce que via les réseaux sociaux. Et des sanctions sont prévues », a prévenu le secrétaire d’État au Numérique, Cédric O, lors d’un entretien publié dans Le Parisien, le 24 mai.

Accessible à tous sur les portails de téléchargement d’applications mobiles (PlayStore sur Android, AppStore sur iOS), TousAntiCovid-Verified fait également l’objet d’autres commentaires de la CNIL. Notamment le fait qu’il a été développé par l’Imprimerie nationale, hors consortium formé par l’Institut national de recherche en informatique et en automatique (Inria), responsable des autres fonctionnalités de TousAntiCovid, et que son code et ses caractéristiques techniques n’ont pas été rendu public.

De plus, toutes les informations contenues dans le 2D-DOC sont envoyées lors de chaque contrôle à un serveur central placé sous la responsabilité du groupe Imprimerie Nationale pour en vérifier la validité, ce que le gouvernement explique par la nécessité de s’adapter aux différentes règles qui vont changer entre pays européens – le dispositif doit également être utilisé pour le certificat numérique Covid initié par la Commission européenne, dont le lancement est prévu début juillet.

La synthèse: L’Europe se convertit à l’ordre dispersé aux cols sanitaires

Pour atteindre un « L’architecture la plus protectrice possible » , notamment lors des utilisations nationales du pass santé, la CNIL invite le gouvernement à « Étudier la mise en place d’une version plus décentralisée » afin de « Limiter l’envoi de données à ce serveur tout en garantissant l’application des règles mises à jour ».

essayez ici