{"id":9711,"date":"2021-06-12T02:10:55","date_gmt":"2021-06-12T00:10:55","guid":{"rendered":"https:\/\/www.quieryavenir.fr\/blog\/?p=9711"},"modified":"2021-06-09T16:21:56","modified_gmt":"2021-06-09T14:21:56","slug":"donnees-personnelles-et-passe-sanitaire","status":"publish","type":"post","link":"https:\/\/www.quieryavenir.fr\/blog\/2021\/06\/12\/donnees-personnelles-et-passe-sanitaire\/","title":{"rendered":"Donn\u00e9es personnelles \u00a0et \u00ab\u00a0passe sanitaire\u00a0\u00bb"},"content":{"rendered":"

Les contr\u00f4les de ce passe suscitent l’inqui\u00e9tude<\/strong><\/h4>\n

\"\"<\/p>\n

<\/p>\n

Le passe, qui entre en vigueur mercredi 9 juin, ne pourra \u00eatre exig\u00e9, th\u00e9oriquement, que jusqu\u2019au 30 septembre.\u00a0L\u2019application de v\u00e9rification entre \u00e9galement en service, bien qu\u2019elle pose de nombreuses questions, techniques et politiques.<\/p>\n

C\u2019est \u00e0 partir de ce mercredi 9 juin que les Fran\u00e7ais de 11 ans et plus pourront se voir demander un \u00ab\u00a0passe sanitaire\u00a0\u00bb \u00e0 l\u2019entr\u00e9e de certains lieux, afin de prouver leur non-contamination par le Covid-19.<\/p>\n

Mis en place dans le cadre du dispositif\u00a0\u00ab\u00a0de gestion de sortie de crise sanitaire\u00a0\u00bb<\/em>, pr\u00e9vu pour prendre fin le 30\u00a0septembre, le \u00ab\u00a0passe sanitaire\u00a0\u00bb pourra prendre plusieurs formes. Il faudra en effet prouver soit sa vaccination, soit son immunit\u00e9, soit le r\u00e9sultat d\u2019un test PCR n\u00e9gatif de moins de 72\u00a0heures. Ces preuves pourront \u00eatre apport\u00e9es de mani\u00e8re num\u00e9rique, int\u00e9gr\u00e9es \u00e0 l\u2019application TousAntiCovid, ou bien en version papier.<\/p>\n

Dans\u00a0un d\u00e9cret publi\u00e9 mardi 8\u00a0juin<\/a>, le gouvernement a pr\u00e9cis\u00e9 la d\u00e9finition des lieux et des \u00e9v\u00e9nements \u00e0 l\u2019entr\u00e9e desquels pourra \u00eatre exig\u00e9 un passe sanitaire. Il s\u2019agira de ceux qui\u00a0\u00ab\u00a0accueillent un nombre de visiteurs ou de spectateurs au moins \u00e9gal \u00e0 1\u00a0000 personnes\u00a0\u00bb<\/em>.<\/p>\n

Le d\u00e9cret liste ensuite les situations et les \u00e9tablissements concern\u00e9s\u00a0:\u00a0\u00ab\u00a0les salles d\u2019auditions, de conf\u00e9rence, de r\u00e9unions, de spectacles ou \u00e0 usage multiple\u00a0\u00bb<\/em>,\u00a0\u00ab\u00a0les chapiteaux\u00a0\u00bb<\/em>,\u00a0\u00ab\u00a0les salles de jeux\u00a0\u00bb<\/em>, les lieux accueillant des\u00a0\u00ab\u00a0foires-expositions\u00a0\u00bb<\/em>\u00a0ou\u00a0\u00ab\u00a0des salons\u00a0\u00bb<\/em>,\u00a0\u00ab\u00a0les \u00e9tablissements sportifs en plein air\u00a0\u00bb<\/em>\u00a0ou\u00a0\u00ab\u00a0couverts\u00a0\u00bb<\/em>\u00a0et\u00a0\u00ab\u00a0les \u00e9v\u00e9nements culturels, sportifs, ludiques ou festifs organis\u00e9s dans l\u2019espace public ou dans un lieu ouvert au public et susceptibles de donner lieu \u00e0 un contr\u00f4le de l\u2019acc\u00e8s des personnes\u00a0\u00bb<\/em>. En revanche, le passe sanitaire ne devrait pas \u00eatre demand\u00e9 \u00e0 l\u2019entr\u00e9e des parcs d\u2019attractions, zoos, mus\u00e9es et h\u00f4tels.<\/p>\n

Les contr\u00f4les seront effectu\u00e9s gr\u00e2ce \u00e0 la lecture de codes affich\u00e9s sur les documents ou dans l\u2019application, et lus par une application sp\u00e9cialement d\u00e9velopp\u00e9e pour le minist\u00e8re de la sant\u00e9, TousAntiCovid Verif (dite aussi TAC Verif). Ils ne pourront \u00eatre r\u00e9alis\u00e9s que par des personnes habilit\u00e9es par les organisateurs d\u2019\u00e9v\u00e9nements ou propri\u00e9taires de salles, et dont les noms et heures de prise de fonction devront \u00eatre consign\u00e9es dans un registre.<\/p>\n

Malgr\u00e9 ces pr\u00e9cautions, plusieurs sp\u00e9cialistes alertent sur les failles potentielles du dispositif. Interrog\u00e9 par Mediapart le 25 mai dernier, l\u2019expert judiciaire et blogueur signant sous le pseudonyme de Zythom soulignait ainsi que les codes affichent, \u00e0 la vue de tous, de nombreuses informations pouvant facilement \u00eatre lues.<\/p>\n

\u00ab\u00a0Dans le cas du passe sanitaire fran\u00e7ais, le souhait du gouvernement est d\u2019encourager les utilisateurs \u00e0 centraliser les diff\u00e9rentes informations au sein d\u2019une application unique (controvers\u00e9e) TousAntiCovid<\/em>, d\u00e9taillait-il.\u00a0Trois transferts sont possibles vers le smartphone\u00a0: le certificat de test virologique n\u00e9gatif (test RT-PCR et test antig\u00e9nique), le certificat de r\u00e9tablissement de la Covid-19 et l\u2019attestation certifi\u00e9e de vaccination. L\u2019application TousAntiCovid devrait g\u00e9n\u00e9rer un QR code contenant ces informations, QR code \u00e0 pr\u00e9senter pour entrer dans les lieux publics recevant un grand nombre de personnes.\u00a0\u00bb<\/em><\/p>\n

Jeudi 3 juin, le blog Broken by Design, tenu par le sp\u00e9cialiste en s\u00e9curit\u00e9 informatique Florian Maury, est venu \u00e9tayer ces craintes en publiant\u00a0une note<\/a>\u00a0d\u00e9taillant les informations qu\u2019il avait pu r\u00e9cup\u00e9rer en analysant le passe sanitaire.<\/p>\n

D\u2019autres sp\u00e9cialistes interrog\u00e9s par Mediapart soul\u00e8vent des probl\u00e8mes techniques aussi bien que\u00a0\u00ab\u00a0politiques\u00a0\u00bb<\/em>, selon l\u2019expression de Bastien Le Querrec, juriste et membre de la Quadrature du Net.<\/p>\n

Comment le contr\u00f4le des passes fonctionne-t-il\u00a0? Le passe sanitaire contient des informations de sant\u00e9, et une signature cryptographique qui assure qu\u2019il ne s\u2019agit pas d\u2019un faux, pr\u00e9cise Ga\u00ebtan Leurent, chercheur en cryptographie \u00e0 l\u2019Inria (Institut national de recherche en sciences et technologies du num\u00e9rique).<\/p>\n

Le passe peut \u00eatre int\u00e9gr\u00e9 dans l\u2019application TousAntiCovid (ex-Stop Covid) ou bien imprim\u00e9 sur papier, un peu comme un billet de train peut \u00eatre \u00e9lectronique ou imprim\u00e9.\u00a0De son c\u00f4t\u00e9, l\u2019application TAC Verif, mise en \u0153uvre par IN Groupe (anciennement Imprimerie nationale), va lire ce code dit \u00ab\u00a02D-DOC\u00a0\u00bb, et envoyer les donn\u00e9es \u00e0 un serveur d\u2019o\u00f9 reviendra un feu vert ou rouge \u00e0 la personne qui souhaite acc\u00e9der \u00e0 tel ou tel lieu ou \u00e9v\u00e9nement.<\/p>\n

Premi\u00e8re faille\u00a0: <\/strong>n\u2019importe qui peut t\u00e9l\u00e9charger cette application de v\u00e9rification \u2013 m\u00eame si son usage est r\u00e9serv\u00e9, en th\u00e9orie, aux seules personnes \u00ab\u00a0habilit\u00e9es\u00a0\u00bb, c\u2019est-\u00e0-dire celles qui vont r\u00e9aliser les contr\u00f4les \u00e0 l\u2019entr\u00e9e des lieux de rassemblement. Pire,\u00a0n\u2019importe qui peut, en t\u00e9l\u00e9chargeant une appli de lecture de code 2D-DOC, obtenir toutes les informations du passe sanitaire\u00a0: nom, pr\u00e9nom, date de naissance, le cas \u00e9ch\u00e9ant nombre d\u2019injections du vaccin, avec dates et marque, ou r\u00e9sultat du test PCR, etc.\u00a0\u00ab\u00a0C\u2019est une faiblesse du syst\u00e8me 2D-DOC appliqu\u00e9 au passe sanitaire plus qu\u2019un probl\u00e8me de l\u2019application TousAntiCovid Verif elle-m\u00eame\u00a0\u00bb<\/em>, nous explique toutefois\u00a0@gilbsgilbs, d\u00e9veloppeur qui pr\u00e9f\u00e8re conserver le pseudonyme qu\u2019il utilise sur Twitter.<\/p>\n

Quant au b\u00e9n\u00e9ficiaire d\u2019un passe sanitaire, il ne saura pas, met en garde Ga\u00ebtan Leurent, si la personne qui v\u00e9rifie son passe utilise bien l\u2019application officielle, ou une autre qui lui donnera, plut\u00f4t qu\u2019un feu vert ou rouge, directement les informations telles que le r\u00e9sultat d\u2019un test PCR.<\/p>\n

Deuxi\u00e8me faille\u00a0:<\/strong> c\u2019est l\u2019envoi des donn\u00e9es \u00e0 un serveur d\u2019IN Groupe.\u00a0\u00ab\u00a0En cryptographie, normalement, les signatures sont toujours v\u00e9rifi\u00e9es en local\u00a0\u00bb<\/em>, explique Ga\u00ebtan Leurent \u00e0 Mediapart. Il n\u2019aurait pas \u00e9t\u00e9 compliqu\u00e9 d\u2019int\u00e9grer ces t\u00e2ches \u00e0 l\u2019application, nous affirme le chercheur, qui trouve\u00a0\u00ab\u00a0absurde\u00a0\u00bb<\/em>\u00a0le choix d\u2019IN Groupe,\u00a0\u00ab\u00a0moins efficace\u00a0\u00bb<\/em>\u00a0et source de fuite de donn\u00e9es. En r\u00e9ponse \u00e0 nos questions, IN Group affirmait mardi soir\u00a0qu\u2019\u00ab\u00a0une mise a<\/em>\u0300<\/em> jour de TAC Verif est en cours afin de permettre une ve<\/em>\u0301<\/em>rification en local sur le smartphone\u00a0\u00bb<\/em>.<\/p>\n

\u00ab\u00a0De<\/em>\u0300<\/em>s l\u2019origine<\/em>, affirme l\u2019entreprise,\u00a0l\u2019application a e<\/em>\u0301<\/em>te<\/em>\u0301<\/em> pense<\/em>\u0301<\/em>e pour ne stocker aucune information personnelle, en local comme sur le serveur distant d\u2019IN Groupe.\u00a0\u00bb<\/em>\u00a0Selon le secr\u00e9taire d\u2019\u00c9tat au num\u00e9rique C\u00e9dric O,\u00a0qui s\u2019est exprim\u00e9 sur Twitter<\/a>\u00a0mardi en fin de journ\u00e9e,\u00a0\u00ab\u00a0aucune donn\u00e9e personnelle ne sera conserv\u00e9e ni par le serveur central, ni par l\u2019application #TousAntiCovid-Verif\u00a0\u00bb<\/em>.<\/p>\n

Troisi\u00e8me faille\u00a0:<\/strong> en m\u00eame temps que les donn\u00e9es, parmi lesquelles \u00e9videmment l\u2019identit\u00e9 de la personne, des m\u00e9tadonn\u00e9es partent vers le serveur d\u2019IN Groupe\u00a0: on saura ainsi qu\u2019elle se trouve \u00e0 telle heure, \u00e0 tel endroit (gr\u00e2ce \u00e0 l\u2019adresse IP de l\u2019utilisateur de l\u2019application de contr\u00f4le). Alors qu\u2019avec une v\u00e9rification locale, savoir\u00a0\u00ab\u00a0qui va au concert reste une info entre la personne et l\u2019organisateur de l\u2019\u00e9v\u00e9nement\u00a0\u00bb<\/em>, souligne Ga\u00ebtan Leurent.<\/p>\n

Mais ce n\u2019est pas tout pour cette application dite franco-fran\u00e7aise. Les donn\u00e9es transitent par les serveurs d\u2019Akamai, une soci\u00e9t\u00e9 am\u00e9ricaine qui, en tr\u00e8s r\u00e9sum\u00e9,\u00a0sert \u00e0\u00a0faciliter le trafic. Interrog\u00e9 par Mediapart, IN Groupe le justifie de la mani\u00e8re suivante\u00a0:\u00a0\u00ab\u00a0Dans son dispositif de se<\/em>\u0301<\/em>curite<\/em>\u0301<\/em>, IN Groupe fait appel aux solutions Akamai. La solution Akamai est une plateforme permettant la supervision et l\u2019administration de la se<\/em>\u0301<\/em>curite<\/em>\u0301<\/em> d\u2019un syste<\/em>\u0300<\/em>me. Elle permet en particulier de lutter contre les attaques par de<\/em>\u0301<\/em>ni de service. Elle est inscrite au catalogue de l\u2019ANSSI\u00a0<\/em>[Agence nationale de la s\u00e9curit\u00e9 des syst\u00e8mes d’information\u00a0\u2013\u00a0ndlr]. IN Groupe a conclu avec Akamai un accord garantissant que seuls les serveurs europe<\/em>\u0301<\/em>ens d\u2019Akamai seraient sollicite<\/em>\u0301<\/em>s.\u00a0\u00bb<\/em><\/p>\n

L\u2019application utilise enfin au moins deux services de Google , comme l\u2019a relev\u00e9\u00a0@gilbsgilbs. Le premier, Crashlytics, est utilis\u00e9 pour faire remonter des informations en cas de plantage de l\u2019application.\u00a0\u00ab\u00a0Si le crash se produit au moment o\u00f9 un code est scann\u00e9, les infos qu\u2019il contient pourraient \u00eatre remont\u00e9es\u00a0\u00bb<\/em>\u00a0\u00e0 Crashlytics, explique-t-il \u00e0 Mediapart. IN Groupe justifie aupr\u00e8s de Mediapart l\u2019utilisation de ces outils et annonce y mettre fin\u00a0:\u00a0\u00ab\u00a0La pe<\/em>\u0301<\/em>riode de test (dite phase b\u00eata) de l\u2019application avait justifie<\/em>\u0301<\/em> l\u2019utilisation provisoire d\u2019outils de reporting du comportement de l\u2019application afin de re<\/em>\u0301<\/em>ajuster son fonctionnement. Cette phase de test e<\/em>\u0301<\/em>tant acheve<\/em>\u0301<\/em>e, les outils de reporting ont e<\/em>\u0301<\/em>te<\/em>\u0301<\/em> o<\/em>\u0302<\/em>te<\/em>\u0301<\/em>s de l\u2019application. Cet ajustement est en cours.\u00a0\u00bb<\/em><\/p>\n

Le second outil est le lecteur de code de Google, install\u00e9 nativement dans la plupart des t\u00e9l\u00e9phones Android, qui permet \u00e0 l\u2019appareil photo de \u00ab\u00a0lire\u00a0\u00bb le Code, c\u2019est-\u00e0-dire de transformer l\u2019image en octets. Et il en existe encore un troisi\u00e8me, Google Analytics, qui permet d\u2019obtenir\u00a0des statistiques sur l\u2019utilisation de l\u2019application\u2026<\/p>\n

Mais pour Bastien Le Querrec, membre de la Quadrature du Net et juriste en droit public, il n\u2019y a pas que l\u2019application TousAntiCovid Verif qui pose probl\u00e8me. En premier lieu, il rejoint la Cnil et nos deux autres interlocuteurs pour regretter que le code de l\u2019application ne soit pas accessible et\u00a0\u00ab\u00a0auditable librement\u00a0\u00bb<\/em>. Cela devrait \u00eatre bient\u00f4t le cas\u00a0:\u00a0\u00ab\u00a0Dans un souci de transparence, IN Groupe a convenu avec l\u2019INRIA de publier le code source de l\u2019application. Celui-ci sera rendu public dans les prochains jours\u00a0\u00bb<\/em>, affirme IN Groupe en r\u00e9ponse \u00e0 nos questions.<\/p>\n

Au-del\u00e0 des sp\u00e9cificit\u00e9s techniques de l\u2019application, les critiques de Bastien Le Querrec portent sur les informations contenues dans le passe sanitaire lui-m\u00eame. L\u2019association de d\u00e9fense des libert\u00e9s doit d\u2019ailleurs d\u00e8s ce mercredi matin d\u00e9poser un r\u00e9f\u00e9r\u00e9-libert\u00e9 visant \u00e0 suspendre l\u2019obligation de divulgation d\u2019autant d\u2019informations dans le passe sanitaire.<\/p>\n

Le passe contient en effet, \u00ab\u00a0contrairement \u00e0 ce qui est dit\u00a0\u00bb<\/em>, notamment par C\u00e9dric O,\u00a0\u00ab\u00a0\u00e9norm\u00e9ment d\u2019informations qui ne devraient pas y figurer\u00a0\u00bb<\/em>. Le juriste conteste ainsi l\u2019argument du ministre selon lequel la volont\u00e9 de la Cnil de minimisation des donn\u00e9es a \u00e9t\u00e9 respect\u00e9e.<\/p>\n

Concr\u00e8tement, cela signifie que ni les dates de vaccination ou de test PCR, ni la marque du vaccin ou le fait d\u2019\u00eatre gu\u00e9ri d\u2019un Covid et donc immunis\u00e9, ne devraient figurer dans le passe. Ces donn\u00e9es pourraient \u2013 et devraient \u2013 \u00eatre remplac\u00e9es par un \u00ab\u00a0oui\u00a0\u00bb\u00a0valable \u00e0 partir de telle date (tant de jours apr\u00e8s la deuxi\u00e8me dose de vaccin) ou jusqu\u2019\u00e0 telle date, tant de jours apr\u00e8s un test PCR n\u00e9gatif ou une immunit\u00e9 acquise par la maladie.<\/p>\n

Les donn\u00e9es \u00e9tant l\u00e0, Bastien Le Querrec d\u00e9plore ensuite qu\u2019\u00ab\u00a0aucune mesure technique\u00a0\u00bb<\/em>\u00a0n\u2019ait \u00e9t\u00e9 prise\u00a0\u00ab\u00a0pour les rendre inaccessibles\u00a0\u00bb<\/em>,\u00a0\u00ab\u00a0alors que la loi exige que les informations contenues dans le passe ne soient pas lisibles\u00a0\u00bb<\/em>. Selon lui,\u00a0\u00ab\u00a0le gouvernement a fait du cache-mis\u00e8re\u00a0\u00bb<\/em>\u00a0avec une application qui certes, dans son usage officiel, ne montre pas tout, mais dispose bel et bien des informations.\u00a0\u00ab\u00a0La s\u00e9curit\u00e9 est artificielle, c\u2019est juste de la poudre aux yeux\u00a0\u00bb<\/em>, proteste encore @gilbsgilbs.<\/p>\n

Bastien Le Querrec met \u00e9galement en garde contre la constitution possible de\u00a0\u00ab\u00a0fichiers illicites\u00a0\u00bb<\/em>\u00a0par des acteurs malveillants disposant d\u2019une application de lecture de code. Si celle d\u00e9velopp\u00e9e par IN Groupe pour le gouvernement\u00a0\u00ab\u00a0ignore\u00a0\u00bb<\/em>\u00a0les informations et ne montre \u00e0 la personne habilit\u00e9e \u00e0 scanner le passe qu\u2019un bouton vert ou rouge, les donn\u00e9es sont tout de m\u00eame pr\u00e9sentes. Si pour une raison ou pour une autre, s\u2019alarme le juriste,\u00a0\u00ab\u00a0on demande \u00e0 la police de v\u00e9rifier ces infos, cela fait courir un risque aux personnes qui vont dans les festivals\u2026 Ce sont des donn\u00e9es sensibles, des donn\u00e9es de sant\u00e9, des donn\u00e9es qui sont aussi recherch\u00e9es par les\u00a0<\/em>data brokers [marchands de donn\u00e9es personnelles \u2013 ndlr]\u00a0\u00bb.<\/em><\/p>\n

Autre point plus que d\u00e9licat, le passe\u00a0\u00ab\u00a0impose la divulgation de l\u2019identit\u00e9 civile, alors que la loi du 31 mai 2021 n\u2019y oblige pas\u00a0\u00bb<\/em>. Concr\u00e8tement, cela signifie que\u00a0pour qu\u2019un organisateur soit certain que la personne qui pr\u00e9sente le passe est bien celle \u00e0 qui il a \u00e9t\u00e9 remis (apr\u00e8s un vaccin, un test PCR\u2026), il faudra v\u00e9rifier qu\u2019elle porte le nom qui s\u2019affiche dans l\u2019appli\u2026 c\u2019est-\u00e0-dire v\u00e9rifier son identit\u00e9.<\/p>\n

Bastien Le Querrec souligne ainsi la totale disproportion des moyens de contr\u00f4le mis en \u0153uvre alors qu\u2019on n\u2019a pas constat\u00e9 de fraude massive aux tests PCR, par exemple, dont il rappelle qu\u2019ils s\u2019effectuent sans contr\u00f4le d\u2019identit\u00e9. Tout comme les entr\u00e9es dans les rassemblements festifs ou autres matchs\u2026<\/p>\n

En mati\u00e8re de fichage, pr\u00e9vient-il, l\u2019exp\u00e9rience montre\u00a0\u00ab\u00a0que cela commence toujours par quelque chose d\u2019anodin\u00a0\u00bb<\/em>.\u00a0\u00ab\u00a0Qui nous assure que dans deux ans, on ne devra pas montrer d\u2019autres QR codes \u00e0 la police\u00a0?<\/em>, s\u2019alarme-t-il.\u00a0C\u2019est en rendant banales ces mesures de surveillance qu\u2019on arrive \u00e0 la fin \u00e0 quelque chose qu\u2019on regrette.\u00a0\u00bb<\/em><\/p>\n

** **<\/p>\n

Commentaire re\u00e7u<\/strong><\/p>\n

Ce passe est mis en place le 9 juin par le gouvernement (notamment par un d\u00e9cret paru … le 8 juin). Il ne serait en th\u00e9orie applicable que jusqu’au 30 septembre, mais on a vu pr\u00e9c\u00e9demment comment la situation exceptionnelle li\u00e9e \u00e0 une \u00ab\u00a0urgence\u00a0\u00bb (terroriste en 2015, pand\u00e9mique aujourd’hui) \u00e9tait utilis\u00e9e par le pouvoir pour imposer des restrictions durables \u00e0 nos libert\u00e9s.<\/p>\n

Plusieurs questions simples devraient pouvoir \u00eatre pos\u00e9es<\/p>\n