Yoann Nabat (*)
Photo d'illustration
Reuters
À l'aube d'une potentielle réouverture des commerces, voire des bars et des restaurants, la question est plus que jamais d'actualité : le passeport sanitaire va-t-il devenir une réalité ? Après des mois de débats parfois houleux et de controverses, tout n'est pas encore défini, mais il est possible d'y voir désormais un peu plus clair. Deux outils sont ainsi mis en place ou en passe de l'être, au risque d'effets substantiels et durables sur les droits et libertés fondamentaux.
D'une part, la Commission européenne propose de rendre plus facile la circulation des personnes au sein de l'Union européenne en mettant en place un certificat vert numérique. Disponible sur une application ou sur un document papier disposant d'un QR Code, ce certificat afficherait le statut vaccinal ou immunitaire ainsi que le dernier test réalisé. Il a vocation à être principalement utilisé lors du passage des frontières entre les pays membres, mais chaque État pourra également décider de son usage à l'intérieur de ses frontières, pour l'accès à certains lieux par exemple.
D'autre part, le gouvernement français a procédé récemment à une mise à jour de l'application TousAntiCovid qui dispose désormais d'une fonctionnalité « carnet » permettant, grâce à une remontée des fichiers sanitaires SIDEP (pour les tests) et SI Vaccin Covid (pour le statut vaccinal), de faire apparaître ces données directement.
Là encore, un document papier disposant d'un QR Code peut permettre d'arriver au même résultat, l'application n'étant pas obligatoire.
L'usage de cette dernière disposition n'est pour le moment pas encore très défini. Précédemment, avait été évoquée par le gouvernement devant la CNIL la possibilité d'utiliser l'application lors de la réouverture des bars et restaurants pour la transformer en carnet de rappel numérique. L'idée serait d'afficher un QR Code à l'entrée de l'établissement, scanné par chacun des clients, et permettant de connaître les individus ayant fréquenté un lieu pour les avertir en cas de contamination.
Que penser du développement de ces outils ? Ils présentent, de prime abord, de sérieuses garanties. En effet, nulle obligation vaccinale sous couvert de tels documents qui assimilent vaccination, immunité acquise par une contamination précédente et test négatif. Dès lors, les risques de discrimination du fait de l'accès inégalitaire au vaccin, sur lesquels l'ONU avaient notamment alerté, sont a priori congédiés. En permettant en outre que cette preuve soit apportée par un document écrit et non impérativement sur un smartphone, une autre discrimination, technologique cette fois, est également évitée.
L’actualité qui compte pour vous, chaque jour dans votre boîte mail.
Pour autant, le certificat vert numérique et le passeport sanitaire contenu dans l'application TousAntiCovid sont-ils exempts de toute critique ? La réponse est assurément négative et il subsiste des points de vigilance importants.
Tout d'abord, l'existence symétrique d'un document papier ne doit pas tromper. Il est tout aussi numérique que l'application smartphone. Il ne s'agit pas en effet d'un document dont l'authenticité serait gagée par lui-même (comme un tampon ou un sceau), mais par un serveur, dont le QR Code permet la consultation (en France via une application dédiée à la disposition des agents, appelée TousAntiCovid Verif). Or, comme pour l'application elle-même, les risques relatifs au traitement des données de santé ne doivent pas être négligés.
L'existence de bases de données massives (puisqu'elles sont destinées, au moins en théorie, à recevoir les informations de l'intégralité de la population), comme SIDEP et SI Vaccin Covid en France n'est pas neutre. Ces serveurs, certes sécurisés, contiennent des informations extrêmement sensibles, accessibles à un nombre important de structures et d'individus.
Il faut sur ce point toujours s'assurer du respect du principe de minimisation des données, prévu par le RGPD : les données utilisées doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire ». Il n'est par exemple peut-être pas nécessaire que l'agent qui contrôle votre statut sanitaire connaisse celui-ci précisément.
La simple information que votre état ne présente pas de risque, que ce soit parce que vous êtes vacciné, non vaccinable, immunisé ou testé, ne devrait pas pouvoir être accessible. Or, en l'état actuel des choses, ces informations apparaissent explicitement, avec même les dates de vaccination.
Plus encore, quels droits les individus ont-ils sur ces données ? SIDEP et SI Vaccin Covid ne reposent pas sur le consentement des individus, mais sur des motifs d'intérêt public. Seul un droit d'accès aux informations est garanti. Pourra-t-on s'assurer d'un véritable consentement pour l'existence du passeport sanitaire ?
Certes, aucune obligation n'est pour le moment annoncée, mais juridiquement, cet état de fait est fragile. En effet, même TousAntiCovid ne repose pas sur le consentement, mais sur la notion ambiguë de volontariat, inconnue de la Loi Informatique et Libertés.
Le volontariat est une garantie beaucoup plus maigre que le consentement, notamment sur le degré d'incitation qu'il serait possible d'envisager (par exemple, si des « privilèges » sont accordés à ceux qui disposent d'un passeport vaccinal, comme un coupe-file). La CNIL semble d'ailleurs, dans ses avis, assez peu à l'aise avec ces termes.
Plus fondamentalement, la question est celle de l'usage de la technologie dans ces outils. Est-elle strictement nécessaire ? Les choix technologiques ne sont jamais neutres, et jamais anodins. Mettre en place de tels dispositifs constitue en grande partie une première. Certes, il a déjà existé des formes de certificats internationaux de vaccination, et il existe toujours certaines obligations pour quelques pays, mais les mécanismes à l'œuvre ici sont différents, parce que généralisés et surtout parce que numériques. Le passeport sanitaire n'est pas seulement une version numérique de ces outils, contrairement à ce qu'on pourrait croire rapidement. Opérer le fichage sanitaire de la quasi-totalité de la population sous format numérique, centralisé, et donc conservable et surtout automatisable, est un acte fondamentalement inédit.
En faisant le choix du recours aux technologies de l'informatique pour sortir de la crise sanitaire, on emprunte une nouvelle fois la voie du solutionnisme technologique. Le numérique résoudrait ce que l'humain seul ne peut pas faire, et serait en lui-même la solution. Pourtant, rien n'est évident en ce domaine. Dans cette matière comme dans d'autres, peut-être même que moins poussée est la technologie, meilleure est la solution, comme le suggère récemment un journaliste du New York Times.
Ce choix est d'autant plus important qu'il est durable. Si la crise sanitaire n'est sans doute pas prête d'être terminée, les solutions que nous aurons adoptées resteront. Comme en matière sécuritaire, où encore récemment des dispositifs dont il avait été juré qu'ils étaient provisoires, comme l'instauration de « boites noires" » surveillant les réseaux informatiques sont pérennisés, comment ne pas imaginer que ces outils ne subiront pas le même sort ? Le risque bien connu est celui de « l'effet cliquet » : une fois mis en place, il est impossible de revenir en arrière.
À lire également
Si les dispositions des futurs passeports sanitaires ou autres certificats font, sans nul doute, l'objet d'un encadrement juridique et technique important bien que faillible, c'est peut-être ce danger qui est le plus grand, comme le suggèrent les derniers mots du rapport publié récemment par le Comité consultatif national d'ethique (CCNE).
________
(*) Par Yoann Nabat, Doctorant en droit privé et sciences criminelles, Université de Bordeaux
L'auteur de l'article effectue sa thèse sous la direction de Virginie Peltier.
Yoann Nabat (*)
