Pass sanitaire: les données contenues dans le QR code sont-elles sécurisées?

Les données personnelles contenues dans le QR code du pass sanitaire sont relatives à l'identité de la personne, mais aussi à son statut vaccinal. Heureusement, scanner un pass sanitaire ne permet pas d'y accéder.

Depuis la généralisation du pass sanitaire le 9 août dernier, les QR codes sont devenus monnaie courante dans la vie des Français. Ce code-barre amélioré, qui permet d'accéder aux lieux de cultures, restaurants ou encore de prendre le train, peut contenir un grand nombre de données.

Pour présenter son pass sanitaire, il faut donc présenter ce QR code à un agent de contrôle, qui va le scanner et en vérifier la validité.

Que contient le QR code du pass sanitaire?

En plus des élements relevant de l'identité de la personne, le QR code contient des informations à propos de la vaccination. Nombre de doses, type de vaccin, date de la vaccination. Mais ces élements ne sont pas accessibles au grand public en l'état.

Comme l'a rappelé Armand Heslot, chef de service de l'expertise technologique de la Cnil sur le plateau de BFM Business, les personnes qui contrôlent le pass sanitaire "n'ont aucun moyen de savoir si le client a été vacciné, a un test négatif ou bien une immunité après avoir contracté le Covid-19". En utilisant l'application de contrôle TousAntiCovid Vérif, les seules informations qui apparaissent sont les nom et prénom, la date de naissance de la personne et la validité ou non du pass sanitaire.

Toutefois, au moyen d'une application tierce, il reste possible de scanner les informations contenues dans le QR code. Une démarche qui serait illégale, comme le dispose le décret encadrant les alternatives à TousAntiCovid Vérif.

C'est d'ailleurs pour assurer cette sécurité que la Cnil a rappelé à l'ordre sur les alternatives à l'application TousAntiCovid Vérif. Pour garantir le respect de la vie privée des utilisateurs, les applications qui se substituent à TousAntiCovid Vérif doivent respecter un cahier des charges strict et similaire à l'application du gouvernement.

Impossible de pister quelqu'un

Il est donc impossible de "pister" une personne au moyen de son QR code: les informations restent stockées sur son smartphone. De plus, ces données ne sont pas conservées par les établissements qui contrôlent. Impossible donc également de suivre le cheminement d'une personne via le scan de son pass sanitaire. Enfin, chaque gérant d'établissement est tenu d'avoir à jour un cahier recensant quotidiennement les noms des personnes chargées du contrôle des pass.

D'autre part, les questions relatives aux données personnelles ont été approuvées en amont de la généralisation du pass sanitaire par la Cnil.

Victoria Beurnez