Voilà longtemps que l’arrivée des QR codes dans les restaurants ou les salles de cinéma est une option explorée par le gouvernement pour son application de contact tracing. Alors que les portes des lieux de restauration ou de culture restent closes, Covid oblige, TousAntiCovid pourrait très prochainement être doté de ce type de dispositif. 

Mi-décembre, le Comité de contrôle et de liaison Covid19 rendait son avis (publié le 12 janvier) sur le projet de décret du gouvernement quant aux prochaines évolutions de TousAntiCovid. Le texte, qui modifie le décret du 29 mai 2020 relatif à StopCovid, entend entre autres mesures mettre en place par le biais de l’application un nouveau dispositif de contact tracing. 

Au future point II.7 de l’article 2 du décret du 29 mai 2020 modifié, il est ainsi prévu parmi les finalités de traitement “d’informer les personnes utilisatrices de l’application qu’elles ont été dans un dans un lieu clos permettant le rassemblement ou la réunion de plusieurs personnes sur une période donnée pendant laquelle elles auraient pu être contaminées par une ou plusieurs personnes diagnostiquées positives au covid-19”. 

La méthode n’est pas précisée dans le décret mais l’avis du CCL le confirme : il s’agira bien d’un QR code. Ces codes sont déjà présents dans l’application, par le biais notamment des attestations de déplacements dérogatoires. Mais il s’agit désormais de permettre la réouverture de certains lieux tout en permettant le suivi des personnes qui s’y trouvent en contact. Le CCL souligne “de manière simplifiée”, qu’un QR code sera placé à l’entrée de certains lieux dits “à risque”. La liste de ces lieux n’a pas encore été établie et est toujours en cours de définition par le gouvernement et Santé Publique France.

Pas d’identification des lieux ni des personnes 

A l’entrée du lieu, l’utilisateur de TousAntiCovid sera donc invité à scanner le QR code, réalisant ainsi un “check-in à la date « d » pour une durée « t »”. “Si une personne, qui a été dans le même lieu sur la même plage horaire, se déclare dans l’application, la personne ci-avant reçoit une notification de contact warning, dit à « risque modéré » (impliquant la surveillance des symptômes, etc.). Si trois personnes se sont déclarées, et étaient sur la même plage horaire, alors la personne reçoit une notification classique de contact tracing à « risque élevé »” explique le Comité.

Au Monde, le secrétariat d’Etat au Numérique précise que “la manœuvre enregistrera dans l’application du lieu visité un identifiant pseudonyme (une suite de caractères propres à chaque lieu mais qui ne comporte pas d’éléments identifiables), ainsi qu’une date et une heure approximative”. Si un visiteur se déclare malade, ces informations seront envoyées au serveur central pilotant le contact tracing. Mais, pour autant, pas question de géolocaliser les utilisateurs, assure le cabinet de Cédric O puisqu’il sera “impossible de désanonymiser les lieux à risque puisque seuls leurs identifiants cryptographiques seront stockés sur le serveur”. La Cnil aurait d’ailleurs validé l’essentiel du projet de décret.

Dans son avis du 15 décembre, le CCL signale que “ces modalités de recueil de données n’ont pas pour objet, ni pour effet, de mettre en place une géolocalisation de l’utilisateur. Par ailleurs, elles ne permettent pas davantage de fournir à l’utilisateur des informations à caractère personnel relatives aux autres personnes ayant fréquenté le même lieu et lors de la même plage horaire”.

D’ailleurs, le QR code ne sera pas rendu obligatoire pour accéder à ces lieux. Une telle contrainte aurait en effet provoqué l’ire de la Cnil. C’est pourquoi le cabinet du secrétaire d’État chargé du numérique ajoute que, bien qu’il n’exclut pas le recours obligatoire à une méthode de traçage à l’entrée des lieux à risque, plusieurs choix seront laissés : QR code mais aussi cahiers de rappel. 

Après quelques chamboulements parlementaires, le Pass sanitaire a finalement été adopté par l’Assemblée nationale. Et c’est dans l’urgence absolue que la Cnil a dû formuler un avis sur la question. Si le régulateur n’est pas fondamentalement hostile au dispositif, il appelle néanmoins à la mise en place de nombreux garde-fous pour protéger les données de santé et éviter les discriminations. 

Surprise à l'Assemblée le 11 mai dernier ! Les députés rejettent l'article 1 du projet de loi sur le déconfinement. Or cette disposition du texte concerne le Pass sanitaire, objet d'âpres débats parmi les élus de l'Assemblée. Ici, ce sont les élus Modem qui lâchent la majorité présidentielle : par 108 voix contre 103, le premier article est rejeté. Mais dans la nuit, nouveau retournement de situation : le gouvernement modifie le texte, le Modem rentre dans le rang. 208 voix pour, 85 contre, le Pass sanitaire est adopté. 

Mais les aventures du Pass sanitaire ne sont pas finies, loin de là ! Car c'est au tour de la Cnil de se prononcer sur le projet. Et le gendarme des données personnelles n'est pas franchement enchanté d'être consulté "en extrême urgence". Il regrette "d’avoir à se prononcer dans un délai si bref et postérieurement aux débats intervenus, en première lecture, à l’Assemblée nationale, le principe du passe sanitaire ayant pourtant été évoqué de longue date". Toujours est-il que la Cnil devait se prononcer : elle a rendu son avis au lendemain du vote à l'Assemblée nationale.

Des garanties nécessaires

Un avis prudent, puisque le régulateur ne fait pas preuve d'un enthousiasme débordant quant à ce projet. A ses yeux, le dispositif doit être strictement limité dans le temps, à la durée nécessaire à la réponse à la situation sanitaire. Et si la Cnil ne peut se prononcer sur l'intérêt scientifique du Pass sanitaire, elle demande néanmoins que "l’impact du dispositif sur la situation sanitaire soit étudié et documenté de manière fréquente, à intervalle régulier et à partir de données objectives", de sorte à déterminer si oui ou non ce dispositif est encore utile. 

En outre, le gouvernement a précisé que le Pass sanitaire serait limité aux événements à risque et en a exclu les activités quotidiennes (commerces, restaurants, etc.) et celles ayant trait à une liberté fondamentale (culte, manifestation, etc.). Ce qui était une condition sinequanone à l'utilisation de ce dispositif, selon la Cnil. Pourtant, elle déplore les imprécisions du texte, sur les lieux concernés, le seuil de fréquentation ou encore les restrictions d'usage du Pass sanitaire. 

Risques de divulgation et de discrimination

En effet, la Cnil entend que soit explicitement interdit aux “responsables des lieux qui ne sont pas visés par le dispositif” de conditionner leur accès à la présentation dudit Pass. De même, elle appelle que soient précisées diverses modalités, des finalités aux personnes autorisées, ainsi que les garanties permettant d’éviter toute atteinte au respect de la vie privée et à la protection des données personnelles. Sur ce point, afin d’éviter la divulgation de données de santé, le gendarme des données personnelles demande au gouvernement de mettre en place un dispositif limitant l’accès à ces données. Soit, plutôt que de permettre la consultation par l’organisateur d’un festival des certificats de tests ou de vaccination, simplement fournir un code couleur indiquant si oui ou non la personne est à risque. 

Se pose enfin la question du risque de discrimination afférant au dispositif, qu’il s’agisse de l’état de santé ou du type de preuve. Un certificat de rétablissement aura-t-il la même valeur qu’un certificat de vaccination au moment d’entrer dans une salle de concert ? C’est bien là tout l’enjeu du texte, selon la Cnil. Le régulateur soutient qu’il faut “interdire toute discrimination entre les différents types de preuves”, d’où probablement ce concept de code couleur unique. De même, il “invite le Gouvernement à réfléchir au format et au contenu des preuves papier certifiées de sorte à ce qu’elles présentent les mêmes garanties que leur version numérique en matière d’accessibilité et de protection des données personnelles”. Car tout ne doit pas reposer exclusivement sur l’application TousAntiCovid et ça, la Cnil n’a pas fini de le marteler. 

L’application TousAntiCovid veut se doter d’une nouvelle fonctionnalité : un « carnet » permettant de stocker les résultats de tests et, plus tard, de vaccination afin de faciliter les déplacements. Le gendarme des données personnelles ne s’y dit pas hostile mais prévient : il y aura des règles à respecter, la Cnil veillera au grain.

Depuis lundi, le ministère de la Santé déploie une nouvelle fonctionnalité pour son application TousAntiCovid. Il s’agit d’un « Carnet » destiné à stocker les certificats de résultats de tests PCR et antigéniques (mais pas les auto-tests) ainsi que, prochainement, les certificats de vaccination. Certificats qui seront importés dans l’application par l’utilisateur via le portail SI-DEP. Comme pour les attestations de déplacement, ces certificats sont générés et stockés uniquement en local, assure la FAQ de l’application.

Pourront y accéder « les autorités compétentes (compagnies aériennes, police aux frontières) » lors de déplacements internationaux, par le biais d’une application dédiée, TousAntiCovid Verif. A noter que le dispositif est en cours d’expérimentation sur certains vols Air France et Air Corsica. « A terme, l’application TousAntiCovid Verif équipera l’ensemble des entités autorisées à vérifier vos tests, qui pourront ainsi accéder à votre certificat sans aucun stockage de vos données de leur côté » explique la FAQ. En outre l’Imprimerie Nationale vérifiera la signature du certificat.

 La Cnil a bien évidemment été sollicitée afin de donner son avis sur le dispositif, avis qu’elle a rendu public hier. Comme pour les attestations de déplacement, il doit exister d’autres moyens de fournir ces certificats de tests, et non la seule application TousAntiCovid. De ce point de vue-ci, l’application reste basée sur le volontariat puisque les preuves d’un test négatif peuvent « être présentées en version papier remise en main propre par les personnels de santé et les laboratoires, imprimé directement par les personnes ou présenté de manière numérique ».

Un Carnet oui, un Pass sanitaire… pas tout à fait

En outre, sur la nature des déplacements que ce Carnet permet, la Cnil tire la sonnette d’alarme. Les réflexions autour du « pass sanitaire » sont encore en cours et ce système soulève encore de nombreuses questions. Ainsi le Carnet de TousAntiCovid « doit, à ce stade, uniquement permettre de favoriser les déplacements nécessitant un contrôle sanitaire. En pratique, les premières expérimentations annoncées par le Gouvernement seront limitées aux vols à destination de la Corse puis, dans un second temps, vers l’Outre-mer ». Pas question de contrôler les allers et venues des citoyens dans la rue ou interrégionaux.

Après quoi le régulateur précise les inévitables garanties, du contrôle et de la portabilité papier des données au principe de minimisation, en passant par l’impossible accès par les autorités aux frontières des données de santé ou encore par leur chiffrement. « Afin d’assurer que les droits et libertés des personnes sont respectés, la CNIL est attentive aux modalités concrètes d’implémentation d’un tel système, temporaire, et, notamment, à l’usage qui en sera fait » conclut l’autorité.

Le portail SI-DEP était inaccessible pendant plusieurs heures hier soir, premier jour de l'extension du pass sanitaire aux restaurants, cafés et bars notamment. Or ce site permet aux personnels de santé d'entrer les résultats de tests, et aux usagers de récupérer leur QR-Code, précieux sésame ouvrant les portes des restaurants ou encore des trains.