Antoine Etcheto : Bonjour à tous.
Aujourd’hui sur Blast je vais vous parler des pass sanitaires et de la faille potentielle qu’ils pourraient poser pour la protection de nos données personnelles. La campagne de vaccination contre le Covid-19 avance bon train, que ce soit Pfizer, Moderna ou AstraZeneca. Si vous faites partie des 17 millions de Français déjà vaccinés vous avez eu normalement ce petit pass qui devrait vous permettre d’accéder à des festivals ou à des rassemblements.
Bastien Le Querrec bonjour. Vous êtes juriste et membre de La Quadrature du Net [1] avec laquelle vous avez déposé un référé-liberté contre ces pass, une procédure d’urgence auprès du Conseil d’État qui vise à attaquer un décret d’application et tout simplement la décision de distribuer ces pass. Concrètement qu’est-ce qui a motivé cette action ? Quel est le problème avec les pass sanitaires ?

Bastien Le Querrec : Les pass sanitaires, tels qu’ils sont délivrés aujourd’hui, sont illégaux de plusieurs manières.
D’une part, la loi de gestion de sortie de crise sanitaire est très stricte et impose qu’il y ait très peu d’informations dans le code en deux dimensions des pass qui sont délivrés, le code qu’on peut scanner, notamment ne sont pas prévues que des informations de santé soient incluses dans ces codes en deux dimensions et il en va de même pour les données d’état-civil, c’est-à-dire le nom, le prénom, la date de naissance et, pour certains pass, le genre des personnes.
Toutes ces données figurent dans les codes en deux dimensions de ces pass sanitaires au mépris flagrant de la loi française de gestion de sortie de crise sanitaire, mais également des règles européennes de protection des données personnelles.
C’est pour cela que nous attaquons ces pass parce que ces données sont accessibles à n’importe quelle personne qui lirait ces pass sanitaires au moment de la présentation de ces documents pour rentrer dans un festival par exemple, sans que les personnes qui se font voler leurs données soient au courant parce que toutes ces données sont librement accessibles dans ces pass sanitaires et sans aucune mesure de protection technique quelconque qui empêcherait un tiers malintentionné de détourner ces données.

Voix off : Scannez dès maintenant le 2D-DOC présent sur la preuve sanitaire du participant. Celle-ci peut-être au format papier, en PDF, ou enregistrée dans l’application TousAntiCovid-Carnet.

Antoine Etcheto : Ces QR Codes, ces codes 2D, ne devaient servir qu’à authentifier le pass et ne devaient pas comporter des informations personnelles.

Bastien Le Querrec : Exactement. Ces codes en deux dimensions ont comme objectif de lutter contre la fraude aux documents. L’objectif c’est, à un coût très réduit, quasiment nul, de pouvoir authentifier la véracité, l’authenticité d’un document. Pour cela ces codes en deux dimensions contiennent toutes les informations personnelles que l’on veut authentifier. Il y a, dans ces codes en deux dimensions, toutes les informations relatives à l’état-civil des personnes, à leur état de santé, pour qu’elles soient authentifiées, sont présentes alors même que la loi précise très clairement que, quand on scanne ces codes en deux dimensions, on ne devrait pas être en capacité de savoir s’il s’agit d’un pass sanitaire suite à un test PCR, suite à une vaccination ou suite à une immunité naturelle, y compris, nous dit toujours la loi, on ne devrait pas être en capacité technique de pouvoir récupérer toutes ces informations, mais juste de savoir que le pass qui est en train d’être présenté est un vrai pass ou est une contrefaçon.
Ici, pour lutter contre la fraude, on a mis à disposition de n’importe quel tiers qui scannerait ces codes toutes les informations personnelles sur les personnes, sur leur état de santé, qui sont des données sensibles, protégées particulièrement par les règles françaises et européennes au mépris, finalement, d’une règle très simple qui s’appelle le principe de la minimisation des données, c’est-à-dire que des données personnelles qui ne sont pas utiles n’ont pas à figurer dans un traitement de données. Or là, très clairement, la quantité de données est beaucoup trop importante par rapport à ce qui est nécessaire et ce que prévoit la loi.

Antoine Etcheto : Qu’est-ce qui s’est passé entre ce que prévoyait la loi et comment ça s’est traduit dans les faits avec ces codes qui comportent des données personnelles qui sont facilement lisibles ? Qu’est-ce qui s’est passé en fait ?

Bastien Le Querrec : Début avril on a les premières spécifications techniques des tests PCR donc des pass sanitaires pour des tests PCR.
Fin avril on a les spécifications techniques pour les certificats de vaccination.
Or le projet de loi de gestion de la sortie de crise sanitaire n’est présenté que fin avril et discuté en mai par le Parlement. Or le Parlement, au moment des discussions parlementaires, à la fois à l’Assemblée nationale et au Sénat, a voulu réduire le nombre de données qui étaient accessibles dans ces codes.
Le gouvernement avait déjà prévu un certain nombre de règles techniques, en avril, avant même que le Parlement ne se prononce sur ces pass sanitaires et n’encadre leur usage. Aujourd’hui les pass qui sont déployés par le ministre des Solidarités et de la Santé sont des pass sur les spécifications techniques d’avant les discussions parlementaires, avant le débat législatif, sur un ensemble de données qui, précisément, a été refusé par le Parlement. C’est au Sénat, notamment, que sont arrivées aujourd’hui les dispositions qu’on utilise pour estimer que ces pass sanitaires sont illégaux parce que, lorsqu’on regarde les débats parlementaires au Sénat, il est est bien précisé que ces codes en deux dimensions devraient être une version minime, allégée en matière de données personnelles par rapport à ce qui est imprimé, pour justement éviter d’avoir trop de données, notamment de santé, qui soient accessibles à n’importe quel tiers.

Philippe Bas, sénateur, en off : Nous avons apporté de nombreuses garanties. Ce dispositif est le dispositif d’un été. Il doit tomber au mois de septembre. Il ne pourra pas comporter d’informations médicales accessibles aux personnes qui seront chargées du contrôle.

Bastien Le Querrec : Aujourd’hui, quand on scanne ces pass sanitaires, on peut obtenir l’identité civile, l’état de vaccination ou l’état de test PCR, mais on peut également recouper ces données avec le lieu où ce scan a été fait, l’heure, le contexte, si c’est dans tel festival ou tel autre lieu, et toutes ces informations posent des problèmes qui sont, à notre sens, très graves pour le droit à la liberté d’expression, le droit à la vie privée, le droit à la protection des données. C’est pour cela qu’on estime qu’il faut urgemment mettre en suspension cette délivrance de pass, sous leur forme actuelle en tout cas.

Antoine Etcheto : On pourrait vous répondre, au final, que la personne qui scanne puisse savoir comment je m’appelle, si j’ai eu du Pfizer ou du Moderna et si je suis à ma première ou deuxième injection, ce n’est pas si grave !

Bastien Le Querrec : Rien qu’avec le nombre d’injections requis on peut déterminer si vous êtes une personne immunodéficiente ou pas. Dans les pass sanitaires, on peut savoir combien de doses sont exigées pour avoir une protection complète. Si on a eu une dose qui est nécessaire on peut savoir, on peut déterminer que la personne a eu précédemment le Covid-19 et qu’elle a une forme d’immunité naturelle passée qu’on va juste réactiver avec une seule dose.
Si on a deux doses qui sont requises, et cette information est dans le pass sanitaire, on peut en déduire que la personne qui présente le pass n’a jamais été infectée.
Si elle a trois doses, on peut, si c’est une personne jeune, déterminer qu’elle est très probablement immunodéficiente, ce qui pose des problèmes de santé avec des risques de discrimination très importants, avec des risques de mésusage de ces données. Les données de santé, y compris autour du Covid-19, sont des données qui sont très recherchées par les data brokers, c’est-à-dire des entreprises dont le fonds de commerce est la récolte, l’exploitation et la revente de données personnelles très précises sur les gens. Avec les informations de santé autour du Covid-19 on peut notamment faire des déductions statistiques sur le risque ; ça peut intéresser une banque, une assurance. Ce mésusage possible des données n’est pas du tout anodin, il n’est pas du tout minime, il est, au contraire, très important parce qu’il peut être recoupé avec d’autres données disponibles.

Antoine Etcheto : On parle de ces codes, les codes 2D, qui sont très facilement crackables, en fait les données sont très facilement lisibles. C’est ça ?

Bastien Le Querrec : Les spécifications techniques de ces codes sont libres. C’est l’ANTS, l’Agence nationale des titres sécurisés qui met autour d’une même table des industriels, des administrations, pour se mettre d’accord sur les spécifications techniques. Ces spécifications techniques sont publiées sur le site de l’ANTS et c’est ce qu’on a utilisé à La Quadrature pour développer une application qui permet de récolter les données de ces pass.

Yaël Braun-Pivet en off : Pour apporter des garanties vraiment très fermes, qui sont vraiment nécessaires dans un État démocratique.

Bastien Le Querrec : À partir du moment où les données sont, sans aucune barrière technique, lisibles sur ces pass, n’importe quel tiers, qu’il ait ou pas ces spécifications techniques, peut récupérer ces données. Le fait d’avoir les spécifications techniques permet d’accélérer la chose. Si aucune information technique sur comment sont fabriqués ces codes en deux dimensions n’était disponible ça prendrait juste un peu plus de temps mais ça ne rendrait absolument pas impossible le fait de pouvoir récupérer facilement ces données.
Aujourd’hui ces données sont récupérables par n’importe quelle personne qui scanne les pass sanitaires. À l’entrée d’un festival, lorsqu’une personne chargée de contrôler les pass sanitaires utilise son téléphone pour scanner ces pass que présentent les personnes qui se rendent dans un lieu, eh bien elle peut, si elle est mal intentionnée, récupérer au passage toutes les informations sans que la personne qui présente son pass soit au courant de ce mésusage, de cette extirpation, de ce vol de données personnelles.

Antoine Etcheto : Vous-mêmes, à La Quadrature, vous avez développé en quoi ?, une journée ?, une application permettant de récupérer les données personnelles des gens à partir de ces codes.

Bastien Le Querrec : Exactement. Ce qu’on a montré au Conseil d’État c’est la grande facilité avec laquelle on peut construire un système qui permet de voler ces données personnelles.

Antoine Etcheto : Pour que les gens se rendent bien compte, on peut faire un petit test avec mon pass sanitaire, avec l’application que vous avez développée ?

Bastien Le Querrec : Oui.

Antoine Etcheto : J’ai été vacciné il y a quelque temps, je ne dis pas quel jour, comme ça on va voir si vous arrivez à retrouver.

Bastien Le Querrec : Là je scanne. Le scan s’est fait, c’est très rapide. Je pourrais scanner d’autres certificats et ensuite je peux récupérer sur mon ordinateur les informations qui ont été stockées sur mon téléphone, on va le faire tout de suite, et je pourrai voir toutes les informations.
Voilà. Donc je sais que le pass a été délivré le 9 juin 2021, que vous vous appelez Antoine Etcheto, né en 1993, je ne donnerai pas la date de naissance complète.

Antoine Etcheto : Vous pouvez !

Bastien Le Querrec : Contre le Covid-19, avec le nom de la molécule J07BX03 qui est la molécule la plus utilisée, le vaccin s’appelle Pfizer–BioNTech COVID-19. Vous avez eu une seule injection alors qu’il vous en faudra deux. La dernière injection s’est faite le 9 juin 2021 et votre vaccination n’est pas complète.

Antoine Etcheto : Tout est vrai. D’accord. Ça nous a pris une trentaine de secondes, une minute au maximum, vous avez pu récupérer toutes ces informations juste à partir de la feuille.

Bastien Le Querrec : Exactement et sans qu’une personne s’en rende compte. C’est-à-dire que l’application qu’on a développée ne ressemble pas à l’application officielle du gouvernement parce que l’objectif n’est pas de faire de la fraude c’est de démontrer une faisabilité technique. Finalement, c’est un lecteur de code très classique de code en deux dimensions et une personne qui serait malveillante pourrait totalement vouloir tromper les personnes en ayant une application qui ressemble comme deux gouttes d’eau à l’application officielle mais qui, en plus de faire cette validation, récupérerait au passage toutes les informations de santé des personnes et il n’y a aucune barrière dans le pass sanitaire qui l’empêche puisqu’on a décidé d’inclure dans ces codes autant de données qu’on pouvait alors même qu’on n’en a pas besoin.

Olivier Véran, ministre des Solidarités et de la Santé, en off : Ce texte permet de verser les données pseudonymisées des systèmes d’information Covid au sein du système national des données de santé, ce afin de pouvoir les conserver après la fin de la crise sanitaire, mais uniquement à des fins de recherche avec, évidemment, l’ensemble des garanties que le droit européen et national apportent sans qu’il soit nécessaire d’y ajouter, au risque d’ajouter plus de complexité et d’obscurité, des règles applicables que de protection concrète à nos concitoyens.

Bastien Le Querrec : Et la conclusion qu’on a c’est non seulement qu’il faut arrêter de mettre autant d’informations qui sont très facilement récupérables, mais également qu’il faut se poser la question de la technologie qu’on est en train d’utiliser. Au-delà du contentieux, au-delà du fait qu’on peut très facilement récupérer ces données-là, le fait d’utiliser ce type de technologie de code en deux dimensions habitue à une technologie qui est intrinsèquement intrusive parce que, pour authentifier des données, il faut donner un accès aux personnes qui seront chargées de faire cette vérification aux données qu’on veut authentifier. Dès aujourd’hui, la carte nationale d’identité électronique, ou biométrique, comporte ce même type de code en deux dimensions et donne un accès à n’importe quel tiers à toutes les informations d’état-civil et autour du document qui sont sur ces cartes nationales d’identité.

Antoine Etcheto : Quel est l’intérêt, en fait, d’utiliser ce type de technologie ? Ce que vous expliquez c’est qu’il y a des vrais problèmes de protection des données personnelles, tout ça pour simplement authentifier, lutter contre la fraude. En fait, pourquoi le gouvernement a-t-il fait le choix de recourir à ces technologies qui posent de graves problèmes ?

Bastien Le Querrec : Le choix qui a été fait en utilisant ces codes en deux dimensions c’est une question de coût. Un code en deux dimensions implique d’avoir une certaine infrastructure pour avoir un mécanisme d’authentification qui soit fiable, mais, une fois qu’on a délivré un pass sanitaire, c’est un document sous forme PDF qui peut être imprimé et ça ne coûte rien.
Il existe d’autres moyens de lutter contre la fraude aux documents, notamment des moyens physiques. Aujourd’hui, lorsqu’on a une voiture ou une moto, on a un certificat d’immatriculation qui comporte un certain nombre de barrières physiques pour lutter contre la fraude. Une personne qui voudrait faire des faux pourrait toujours le faire, mais ça serait difficile et coûteux. En revanche, ce type de document est également coûteux pour l’État lorsqu’il les délivre : un certificat d’immatriculation coûte un certain nombre d’euros au contribuable, à l’État, et ce n’est pas délivrable immédiatement.
L’avantage de ces codes en deux dimensions c’est que le coût marginal pour lutter contre la fraude est nul et ces documents peuvent être délivrés immédiatement. Mais on ne s’est pas posé la question des effets de bord, des effets néfastes de cette utilisation de codes.

Loïc Hervé, sénateur, en off : Je demeure convaincu que cette idée de mettre en place un pass sanitaire dans notre pays est une mauvaise idée et ce pour plusieurs raisons.
La première c’est que nous créons un précédent. Sans doute, pour une des premières fois dans notre histoire nationale nous allons, pour l’exercice de libertés publiques du quotidien, devoir justifier de notre état de santé. Et ça, mes chers collègues, j’attire votre attention parce que c’est quelque chose qui n’existait et la Covid ne peut pas être seulement une malédiction qui fait reculer les libertés.

Bastien Le Querrec : Ici, en mettant ces codes en deux dimensions pour lutter contre la fraude, on met également, et c’est intrinsèque à l’usage de cette technologie, à disposition de n’importe quel tiers toutes les données qu’on veut valider. Si on veut valider l’état-civil, si on veut valider l’état de santé, on met également à disposition d’un tiers, potentiellement malveillant, un accès illimité, sans barrière technique, à ces informations.

Antoine Etcheto : C’est simplement pour une raison budgétaire, en fait ? Ça coûte moins cher pour lutter contre la fraude avec ce type de code ?

Bastien Le Querrec : Exactement. Le problème c’est que, ici, la fin justifie les moyens pour le gouvernement et pour le ministère de la Santé. C’est-à-dire que, pour pouvoir délivrer ces pass parce qu’on veut absolument délivrer ces pass sans faire confiance aux personnes, eh bien on ne se préoccupe pas des effets de bord, des restrictions en matière de libertés fondamentales, des risques de détournement, de fichage des populations. Ces questions sont passées totalement à la trappe, sont passées sous silence par le gouvernement dans cette affaire de pass sanitaire alors que ce sont des questions qui devraient être la préoccupation principale et ne pas permettre de faire tout et n’importe quoi sous prétexte de lutter contre une épidémie, même si elle est très grave, tout le monde est d’accord, mais la fin ne devrait pas justifier les moyens. Alors qu’ici, manifestement, c’est le cas.

Antoine Etcheto : Vous en avez déjà un petit peu parlé. Au-delà de la question du pass sanitaire, c’est un type de technologie qui est en train de se répandre. Vous avez parlé de la future carte d’identité nationale. On va avoir à faire à ce type de technologie de plus en plus dans le futur ?

Bastien Le Querrec : Aujourd’hui, dans certains départements, est déjà délivrée une carte nationale d’identité dite électronique ou biométrique, qui est sur le même modèle que le passeport biométrique qui existe depuis plusieurs années, comporte une puce électronique avec les informations notamment biométriques des personnes. La spécificité française c’est qu’on a rajouté sur ces cartes électroniques, ces cartes d’identité électroniques, un code en deux dimensions qui reprend exactement la même technologie que pour les pass sanitaires, qui permet à n’importe quel tiers d’authentifier le nom, le prénom, le type du document, la date de naissance, la date de délivrance du document ; ne sont pas, pour l’instant, prévus dans ce code en deux dimensions la photo ou l’empreinte digitale, mais c’est techniquement possible et il suffirait de modifier le décret qui prévoit ça pour que ces informations se retrouvent dans cette carte nationale d’identité.
Nous, à la Quadrature, on essaie vraiment de faire prendre conscience du risque de cette technologie.
Avec le pass sanitaire on banalise l’usage de cette technologie et on banalise également une vérification d’identité constante. Avec ce pass sanitaire, comme on met à disposition des informations d’état-civil, on banalise le fait que cet état-civil, cette identité sera vérifiée pour entrer dans un festival.
Le problème c’est que, au-delà de ce pass sanitaire, cette identité qui est vérifiée constamment est en train d’être banalisée. On est en train d’habituer les populations, en donnant un accès à n’importe quel tiers à toutes ces données qui devraient être limitées, qui ne devraient pas être accessibles.
Je rappellerais qu’en 2012, à propos d’un projet qui prévoyait une carte nationale d’identité avec une puce dite une puce service pour donner un accès aux informations à des personnes privées comme des entreprises, une banque, un assureur etc., le Conseil constitutionnel a censuré ce type de disposition parce qu’il a estimé que le législateur n’avait pas prévu un encadrement suffisant.

Sylvie Robert, sénatrice, en off : La fin ne justifie pas les moyens. Nous attendons des précisions et nous demandons un encadrement législatif vigoureux de ce pass sanitaire. N’oublions pas non plus que la traduction opérationnelle de ce dispositif interroge fortement en particulier les organisateurs des événements. Les lourdes contraintes menacent leur tenue, tandis que des problématiques concrètes sans réponse demeurent légion.

Bastien Le Querrec : Avec ce code en deux dimensions dans la future carte nationale d’identité électronique on fait exactement la même chose que ce qui a été censuré par le Conseil constitutionnel en 2012, c’est-à-dire qu’on donne un accès à toutes ces informations à n’importe quel tiers sous couvert de fraude aux documents alors qu’on n’a pas besoin d’absolument courir après la moindre fraude. Dans n’importe quel système il existera des fraudes et ce n’est pas ce genre de technologie qui va nous sauver, loin de là, et les effets de bord montrent très clairement que ce n’est pas ce genre de technologie qu’on devrait adopter dans une démocratie.
On demande de suspendre cette décision qui est manifestement, on le pense, illégale. Ensuite, à charge au ministère des Solidarités et de la Santé de trouver un autre dispositif qui soit conforme aux règles européennes mais également aux règles françaises.
Aujourd’hui, dans ces pass sanitaires, le fait d’inclure les identifications des personnes ne permet pas de lutter contre une personne malveillante qui voudrait frauder. C’est un écran de fumée avec des conséquences qui sont très importantes en matière de banalisation du contrôle d’identité permanent. À aucun moment on va permettre de s’assurer que la personne qui présente un pass est bien monsieur X ou madame Y parce que, en début de chaîne, au moment où on fait ces tests PCR, on n’a pas de vérification d’identité et heureusement.
En réalité ces pass sanitaires sont une mesure de surveillance, d’autoritarisme supplémentaire sur les populations alors que la majorité des personnes sont au courant qu’avant d’aller dans un festival il faut être vacciné ou être certain quand on n’est pas contaminant ni contaminé ; il faut un peu faire confiance aux personnes.
Au-delà de ce contentieux on demande de remettre un peu de l’humain dans toute cette machine. Ça fait un an et demi qu’on infantilise les Français et les Françaises. Ce pass sanitaire, avec cette vérification d’identité systématique, est une étape supplémentaire d’infantilisation des personnes, avec aussi un effet de bord qui est qu’on banalise totalement la vérification d’identité, la présentation de ce type de code et demain pour la carte nationale d’identité électronique.

Antoine Etcheto : C’est la fin de cet entretien. Si vous avez aimé cette vidéo n’hésitez pas à le dire, à commenter, à vous abonner pour ne rater aucun de nos contenus et si vous le pouvez soutenez-nous, devenez un abonné de Blast sur notre site blast-info.fr. Nous sommes un média indépendant, nous n’existons que grâce à vous et l’information indépendante a un prix.
Je vous dis à bientôt. Salut.

Note de transcription : Par une ordonnance rendue le 6 juillet, le Conseil d’État a rejeté le référé-liberté [2].