Passeport vaccinal en Espagne: la technologie pour sortir de la crise sanitaire

Passeport vaccinal en Espagne : la technologie pour sortir de la crise sanitaire

par Yoann Nabat 2 mai 2021

À l’aube d’une potentielle retour à la normalité : la question est plus que jamais d’actualité : le passeport vaccinal en Espagne va-t-il devenir une réalité ?

Après des mois de débats parfois houleux et de controverses, tout n’est pas encore défini, mais il est possible d’y voir désormais un peu plus clair. Deux outils sont ainsi mis en place ou en passe de l’être, au risque d’effets substantiels et durables sur les droits et libertés fondamentaux.

D’une part, la Commission européenne propose de rendre plus facile la circulation des personnes au sein de l’Union européenne en mettant en place un certificat vert numérique. Disponible sur une application ou sur un document papier disposant d’un QR Code, ce certificat afficherait le statut vaccinal ou immunitaire ainsi que le dernier test réalisé. Il a vocation à être principalement utilisé lors du passage des frontières entre les pays membres, mais chaque État pourra également décider de son usage à l’intérieur de ses frontières, pour l’accès à certains lieux par exemple. L’Espagne a ete l’un des pays pionnier dans son désir de mettre en place un passeport vaccinal. Le gouvernement le veut actif dès le mois de juin prochain,

D’autre part, en France, le gouvernement a procédé récemment à une mise à jour de l’application TousAntiCovid qui dispose désormais d’une fonctionnalité « carnet » permettant, grâce à une remontée des fichiers sanitaires SIDEP (pour les tests) et SI Vaccin Covid (pour le statut vaccinal), de faire apparaître ces données directement.

Là encore, un document papier disposant d’un QR Code peut permettre d’arriver au même résultat, l’application n’étant pas obligatoire.

Un QR Code à l’entrée des restaurants

L’usage de cette dernière disposition n’est pour le moment pas encore très défini. Précédemment, avait été évoquée par le gouvernement devant la CNIL la possibilité d’utiliser l’application lors de la réouverture des bars et restaurants pour la transformer en carnet de rappel numérique. L’idée serait d’afficher un QR Code à l’entrée de l’établissement, scanné par chacun des clients, et permettant de connaître les individus ayant fréquenté un lieu pour les avertir en cas de contamination. La région Castille-La Manche en Espagne a déjà imposé l’usage de QR code pour les clients des bars et restaurants locaux. Avec un tel dispositif, le traçage des personnes contaminées et des cas contacts serait simplifié.

Il suffit de se rendre sur le site web de la région, de rentrer ses coordonnées pour enfin obtenir son code. Grâce à ce système, si un client est positif au Covid, tous les cas contacts seront avertis dans la foulée afin d’être isolé. Cette mesure a été largement mise en avant par le ministère de la Santé espagnol, d’autant plus que, selon les derniers rapports scientifiques, les bars et restaurants représentent l’un des principaux foyers de contamination au Covid. Bien que sur le papier, la mise en place de ce dispositif semble être idéale pour contenir la propagation du virus, la réalité est bien différente.

Que penser du développement de ces outils ? Ils présentent, de prime abord, de sérieuses garanties. En effet, nulle obligation vaccinale sous couvert de tels documents qui assimilent vaccination, immunité acquise par une contamination précédente et test négatif. Dès lors, les risques de discrimination du fait de l’accès inégalitaire au vaccin, sur lesquels l’ONU avaient notamment alerté, sont a priori congédiés. En permettant en outre que cette preuve soit apportée par un document écrit et non impérativement sur un smartphone, une autre discrimination, technologique cette fois, est également évitée.

Pour autant, le certificat vert numérique et le passeport sanitaire contenu dans l’application TousAntiCovid sont-ils exempts de toute critique ? La réponse est assurément négative et il subsiste des points de vigilance importants.

Des données encore insuffisamment protégées

Tout d’abord, l’existence symétrique d’un document papier ne doit pas tromper. Il est tout aussi numérique que l’application smartphone. Il ne s’agit pas en effet d’un document dont l’authenticité serait gagée par lui-même (comme un tampon ou un sceau), mais par un serveur, dont le QR Code permet la consultation. Or, comme pour l’application elle-même, les risques relatifs au traitement des données de santé ne doivent pas être négligés.

L’existence de bases de données massives (puisqu’elles sont destinées, au moins en théorie, à recevoir les informations de l’intégralité de la population), comme SIDEP et SI Vaccin Covid en France n’est pas neutre. Ces serveurs, certes sécurisés, contiennent des informations extrêmement sensibles, accessibles à un nombre important de structures et d’individus.

Il faut sur ce point toujours s’assurer du respect du principe de minimisation des données, prévu par le RGPD : les données utilisées doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire ». Il n’est par exemple peut-être pas nécessaire que l’agent qui contrôle votre statut sanitaire connaisse celui-ci précisément.

La simple information que votre état ne présente pas de risque, que ce soit parce que vous êtes vacciné, non vaccinable, immunisé ou testé, ne devrait pas pouvoir être accessible. Or, en l’état actuel des choses, ces informations apparaissent explicitement, avec même les dates de vaccination.

Quels droits les individus ont-ils sur ces données ?

Plus encore, quels droits les individus ont-ils sur ces données ? SIDEP et SI Vaccin Covid ne reposent pas sur le consentement des individus, mais sur des motifs d’intérêt public. Seul un droit d’accès aux informations est garanti. Pourra-t-on s’assurer d’un véritable consentement pour l’existence du passeport sanitaire ?

Certes, aucune obligation n’est pour le moment annoncée, mais juridiquement, cet état de fait est fragile. En effet, même TousAntiCovid ne repose pas sur le consentement, mais sur la notion ambiguë de volontariat, inconnue de la Loi Informatique et Libertés.

Le volontariat est une garantie beaucoup plus maigre que le consentement, notamment sur le degré d’incitation qu’il serait possible d’envisager (par exemple, si des « privilèges » sont accordés à ceux qui disposent d’un passeport vaccinal, comme un coupe-file). La CNIL semble d’ailleurs, dans ses avis, assez peu à l’aise avec ces termes.

Des dispositifs rarement neutres

Plus fondamentalement, la question est celle de l’usage de la technologie dans ces outils. Est-elle strictement nécessaire ? Les choix technologiques ne sont jamais neutres, et jamais anodins. Mettre en place de tels dispositifs constitue en grande partie une première. Certes, il a déjà existé des formes de certificats internationaux de vaccination, et il existe toujours certaines obligations pour quelques pays, mais les mécanismes à l’œuvre ici sont différents, parce que généralisés et surtout parce que numériques. Le passeport sanitaire n’est pas seulement une version numérique de ces outils, contrairement à ce qu’on pourrait croire rapidement. Opérer le fichage sanitaire de la quasi-totalité de la population sous format numérique, centralisé, et donc conservable et surtout automatisable, est un acte fondamentalement inédit.

En faisant le choix du recours aux technologies de l’informatique pour sortir de la crise sanitaire, on emprunte une nouvelle fois la voie du solutionnisme technologique. Le numérique résoudrait ce que l’humain seul ne peut pas faire, et serait en lui-même la solution. Pourtant, rien n’est évident en ce domaine. Dans cette matière comme dans d’autres, peut-être même que moins poussée est la technologie, meilleure est la solution, comme le suggère récemment un journaliste du New York Times.

Ce choix est d’autant plus important qu’il est durable. Si la crise sanitaire n’est sans doute pas prête d’être terminée, les solutions que nous aurons adoptées resteront. Comme en matière sécuritaire, où encore récemment des dispositifs dont il avait été juré qu’ils étaient provisoires, comme l’instauration de « boites noires » » surveillant les réseaux informatiques sont pérennisés, comment ne pas imaginer que ces outils ne subiront pas le même sort ? Le risque bien connu est celui de « l’effet cliquet » : une fois mis en place, il est impossible de revenir en arrière.

Si les dispositions des futurs passeports sanitaires ou autres certificats font, sans nul doute, l’objet d’un encadrement juridique et technique important bien que faillible, c’est peut-être ce danger qui est le plus grand, comme le suggèrent les derniers mots du rapport publié récemment par le Comité consultatif national d’ethique (CCNE).