Pass sanitaire : la Cnil liste tout ce qui ne va pas dans TousAntiCovid-Vérif

C’est à partir de ce mercredi 9 juin que la stratégie du pass sanitaire se met en place en France, pour permettre la tenue de grands rassemblements malgré le contexte sanitaire encore dégradé par la pandémie de coronavirus. Ce pass ne concernera qu’un nombre limité d’évènements sportifs ou culturels, à partir de 1 000 personnes et jusqu’à une limite de 5 000 (qui sera levée après le 30 juin).

Ce dispositif fait toutefois l’objet de critiques : il a été accusé de porter atteinte aux libertés fondamentales ou bien de pousser à la vaccination (bien que que ce pass peut en réalité aussi contenir un certificat de rétablissement ou un résultat négatif à un test au Covid). Plus récemment, c’est le fonctionnement de l’application TousAntiCovid-Vérif, qui contrôle la validité des pass, qui a été pointé du doigt.

Pour aller plus loin

QR Code, pass sanitaire, nouvelles règles : ce qu'il faut savoir sur le déconfinement du 9 juin

Rendre public le code source de TousAntiCovid-Vérif

Il s’avère que la Commission nationale de l’informatique et des libertés (Cnil) vient de rendre son avis sur les conditions de mise en œuvre du pass sanitaire, le 8 juin. Dans sa délibération, l’institution qui surveille l’utilisation des données personnelles reprend justement une partie des reproches formulés à l’encontre de TousAntiCovid-Vérif.

Principalement, la Cnil « regrette » que le code source de cette application, qui est réservée à un nombre limité de professionnels, n’ait pas été rendu public, à l’image de ce qui a été fait pour l’application TousAntiCovid, qui elle s’adresse aux particuliers et qui sert entre autres au traçage numérique des contacts (en plus d’être un hub d’actualité sur le Covid et un porte-documents sanitaire).

Capture de TousAntiCovid Vérif dans le Google Play Store

Pour la Cnil, il est encore temps de corriger le tir. Elle « appelle » donc le gouvernement « à rendre public ce code source expurgé,l e cas échéant, des secrets permettant de sécuriser les transmissions de données avec les serveurs centraux ». Cette application a été conçue par l’entreprise IN Groupe, c’est-à-dire l’Imprimerie nationale, une société qui appartient en totalité à l’État français.

L’application TousAntiCovid-Vérif a pour vocation à être employée lors du contrôle du pass sanitaire, c’est-à-dire lorsque des évènements d’ampleur (plus de 1 000 personnes) sont organisés, comme un concert ou une compétition sportive, mais aussi lors de la circulation des individus au sein de l’Union européenne, ou entre la métropole, la Corse et l’outre-mer.

La Cnil ne se prononce pas sur l’éventuelle présence de composants techniques étrangers, en l’occurrence Google. C’est un autre grief qui a été adressé à TousAntiCovid-Vérif. Ce sujet pourrait revenir sur la table en cas de publication du code source intégral du logiciel. On se souvient qu’en 2020, l’utilisation de services de Google dans TousAntiCovid a aussi été un problème, et qu’il a fallu les expurger.

Plus de décentralisation et analyse du pass en local

La Cnil a également étudié les échanges d’informations entre l’application TousAntiCovid-Vérif et un serveur central mis en place par IN Groupe, afin de vérifier la validité des données relatives aux justificatifs présentés par les personnes. Elle « prend acte » de ce choix technique, qui est défendu par des arguments d’efficacité et de simplicité, et note sa conformité avec le Règlement général sur la protection des données.

Cela étant, la Cnil estime qu’il est possible de faire des changements pour déboucher sur une « architecture la plus protectrice possible ». Ainsi, outre son rappel « qu’à l’issue de la vérification, aucune donnée ne devra être conservée par le serveur central », la Cnil juge qu’il est tout à fait possible d’aller vers plus de décentralisation, en limitant les échanges avec le serveur, et même de s’en passer pour les contrôles.

« La Commission estime que le contrôle de la validité des justificatifs pourrait être réalisé en local pour les opérations de contrôle du passe sanitaire », avance la délibération. « Il n’y a aucun obstacle à ce que le contrôle de la validité des preuves soit effectué en local, la seule donnée pouvant être échangée avec le serveur central étant la signature électronique de la preuve. »

Voici à quoi va ressembler l'option TousAntiCovid-Carnet

Source : Gouvernement

Sensibiliser le public pour éviter des dérives

Quant à la sécurisation des données personnelles et sanitaires contenues dans le code QR qui est présent dans les documents qui sont remis aux individus, la Cnil observe qu’il y a un usage de données en clair, c’est-à-dire sans chiffrement particulier (il est possible de lire le contenu de ce code avec n’importe quelle application compatible). L’institution se montre toutefois conciliante.

Ainsi, écrit la Commission, « ces modalités de stockage peuvent être admises compte tenu des contraintes techniques et de la nécessité de mettre en œuvre, à brève échéance, le système de contrôle des justificatifs ». Par contre, elle « appelle » les autorités à lancer une campagne d’information adéquate pour prévenir le public des enjeux et du cadre dans lequel l’usage de TousAntiCovid-Vérif est accepté.

Dans les grandes lignes, il s’agit de communiquer pour rappeler au public « la nécessité de protéger leurs justificatifs et de ne pas les exposer en dehors des contrôles prévus par le passe sanitaire (ne pas présenter les justificatifs dans des lieux qui ne sont pas concernés par le passe sanitaire, ne pas les publier sur les réseaux sociaux », et ainsi de suite. Bref, il s’agit de dire quand et comment bien se servir du pass.

En effet, la minimisation des données contenues dans le pass sanitaire est effectuée non pas au niveau du code QR, mais de l’application officielle TousAntiCovid-Vérif. Celle-ci affiche uniquement l’identité de la personne et indique si le pass est valide ou non, sans dire s’il s’agit d’un pass obtenu grâce à la vaccination (et le cas échéant, lequel), la guérison ou bien un test.

Le problème, c’est que cette minimisation n’est pas possible avec une autre application capable de lire ce genre de code. Dans cette situation, toutes les informations arrivent à l’écran (prénom, nom, date de naissance, test, nombre de doses, vaccin, date de l’injection, etc.). En outre, ce que fait l’application ensuite avec ces éléments est un mystère. Le risque d’un usage malintentionné demeure donc.