J’ai déposé au Conseil constitutionnel aujourd’hui une contribution extérieur au sujet du projet de loi renforçant les outils de gestion de la crise sanitaire et modifiant le code de la santé publique (affaire n° 2022-835 DC). Vous pouvez la consulter à cette adresse. Je la publie également ici :

Le 16 septembre 2021, en naviguant sur le web, je suis tombé nez à nez avec le Pass sanitaire du Premier ministre Jean Castex. Nul piratage, nul acte de malveillance, un média national avait simplement utilisé une photo d’illustration prise par un photographe professionnel lors d’un déplacement officiel. Comme le raconte le journaliste Vincent Coquaz dans son article « CheckNews Comment le pass sanitaire de Jean Castex s’est-il retrouvé accessible en ligne ? » publié le 19 septembre 2021 sur Libération (à l’adresse https://www.liberation.fr/checknews/comment-le-pass-sanitaire-de-jean-castex-sest-il-retrouve-accessible-en-ligne-20210919_Y6UQNYUAKJEMTHHDEWEVJOV54M/), on y voyait le premier ministre tendre son téléphone à une autre personne qui procédait à une vérification de son Pass sanitaire.

Si des photographes de presse me prennent rarement en photo, beaucoup de citoyen sont personnellement inquiets de la sécurité de leurs données personnelles de santé. N’importe quelle caméra, telle une caméra de surveillance ou d’un téléphone portable, peut prendre en photo un individu qui se rend dans un restaurant, qui prend le train ou qui va au musée. Avec une simple photo, le QR Code d’un Pass sanitaire peut être dupliqué à l’infini et peut être déchiffré pour y révéler des données personnelles de santé.

Je souhaite dans cette contribution extérieure démontrer la faible sécurisation des données personnelles de santé autant d’un point de vue informatique que d’un point de vue social ainsi que le caractère disproportionné des dispositions dites anti-fraude.

1. La divulgation d’informations privées

En droit, le respect à la vie privée est garanti par l’article 2 de la Déclaration des Droits de l’Homme et du Citoyen de 1789.

En l’espèce, l’article 1 de ce projet de loi transforme le Pass sanitaire en Pass vaccinal et demande la présentation d’un justificatif de vaccination pour des actes de la vie quotidienne. En outre, cette disposition instaure la divulgation d’information personnelles de santé lors des actes de la vie quotidienne et même par ces actes.

Si le dispositif du Pass sanitaire prévoyait différentes modalités de validité (la présentation d’un certificat de vaccination, la présentation d’un certificat de rétablissement ou la présentation d’un test négatif), la réduction à une seule modalité rend la divulgation d’informations personnelles de santé systématique. La vérification rendue obligatoire du statut vaccinal par des citoyens non détenteurs de l’autorité publique correspond selon moi à une mesure disproportionnée.

Premièrement, le dispositif du Pass sanitaire ne protège pas suffisamment les données de ses usagers. Divers outils grand public permettent la lecture et le déchiffrage des QR code des Pass sanitaire. Ceux-ci contiennent divers données personnelles comme le nom, le prénom, la date de naissance et la date d’injection du vaccin contre le Covid19. Si la CNIL dans sa délibération 2021-054 du 12 mai 2021 s’exprimait sur un dispositif laissant apparaitre le simple résultat de conformité (couleur verte ou rouge) sans qu’apparaisse la catégorie de preuve mobilisée, la transformation du Pass sanitaire en Pass vaccinal va dévoiler la catégorie de preuve mobilisée et va permettre à la personne en charge du contrôle d’accès de savoir si l’individu est vacciné ou non-vacciné et ce lors des actes de la vie quotidienne.

Ensuite, en dévoilant le fait qu’un individu est allé au restaurant, a pris le train ou a visité un musée, cela va divulguer son statut vaccinal avec les dispositions prévues par le premier article de ce projet de loi. Cette disposition me semble particulièrement attentatoire au respect de la vie privée des personnes. Les services de restauration, de transport ou touristiques vont pouvoir enregistrer cette donnée et ainsi déduire une information de santé individuel avec un simple fichier des clients sans pour autant que ces données ne soient qualifiées de données de santé et ainsi être sous la protection des dispositions du secret médical comme prévu par l’article L. 1110-4 du code de la santé publique.

La vaccination est une mesure de santé publique, mais elle reste pourtant encore un choix personnel avec ce projet de loi. Par conséquent, nul dispositif législatif ne devrait outrepasser de façon disproportionnée le respect de la vie privée en divulguant le statut vaccinal des individus.

En conclusion, l’article 1 du projet de loi renforçant les outils de gestion de la crise sanitaire et modifiant le code de la santé publique est contraire à l’article 1 de la Déclaration des Droits de l’Homme et du Citoyen de 1789 en permettant la divulgation d’information de santé lors des actes de la vie quotidienne et même par ces actes.

2. La faible sécurisation des outils informatiques

En droit, l’égalité devant la loi est garantie par l’article 1 de la Déclaration des Droits de l’Homme et du Citoyen de 1789.En l’espèce, l’article 1 de ce projet de loi renforce l’utilisation de dispositions technologiques non sécurisées qui porte atteinte de façon disproportionnée à l’égalité devant la loi.

Comme le montre l’exemple du Pass sanitaire de Jean Castex, une simple photographie permet la copie d’un QR code. Or, un document copiable et lisible par toute personne pouvant prendre en photo le document ne constitue pas, selon moi, une sécurisation suffisante. Les billets de banque, les cartes d’identifié ou encore les passeports possèdent des filigranes ou autre dispositifs visuels permettant de garantir leur authenticité et d’empêcher leur duplication. Ici, aucune disposition n’empêche la duplication du document.

De plus, des trous de sécurité béants sont présents dans le dispositif du Pass sanitaire. Par exemple, le Pass sanitaire de Jean Castex était sous format 2D-doc (l’ancien format français) et un service mis en place par les imprimeries nationales (IN groupe) permettait de le convertir en QR code (le format européen). Ce service de conversion normalement utilisé dans l’application mobile TousAntiCovid était accessible sans aucune authentification, présupposant que l’utilisateur était le propriétaire du Pass sanitaire. Or, comme je l’ai démontré précédemment, beaucoup de Pass sanitaires ont été publiés. d’après une analyse technique, ce service permettait la création d’une quantité infinie de Pass sanitaire avec une signature authentique et unique.

En outre, la plateforme informatique permettant aux professionnels de renseigner et consulter le statut vaccinal de tout individu est également faiblement sécurisé. Comme l’indique l’article « Gros business. Comment «Docteur House» vendait des faux Pass sanitaires 300 euros sur Snapchat » d’Emmanuel Stefan publié le 14 janvier 2022 sur Libération (à l’adresse https://www.liberation.fr/societe/police-justice/dans-la-fabrique-de-faux-pass-sanitaires-le-virus-de-largent-facile-20220114_EYHGZMNJ7JG3HEWG44M7373TZ4/), la plateforme permet l’intrusion grâce à des identifiants qui sont disponibles en données ouvertes sur le site web de l’Agence du Numérique en Santé.

Il apparait donc que le législateur fait preuve d’incompétence négative en ne prévoyant pas de dispositions législatives permettant la sécurisation des données et des outils informatiques en œuvre dans ce projet de loi et en ne garantissant l’authenticité des documents en œuvre dans le dispositif du Pass sanitaire ou vaccinal.

En conclusion, l’article 1 du projet de loi renforçant les outils de gestion de la crise sanitaire et modifiant le code de la santé publique est contraire à l’article 1 de la Déclaration des Droits de l’Homme et du Citoyen de 1789, car les outils technologiques en œuvre sont manifestement attentatoires à l’égalité devant la loi en permettant un contournement très facile du dispositif.

3. Les dispositions anti-fraude

En droit, la loi ne doit établir que des peines strictement et évidemment nécessaires comme l’indique l’article 8 de la Déclaration des Droits de l’Homme et du Citoyen de 1789.

En l’espèce, l’article 1 de ce projet de loi prévoit une peine de trois ans d’emprisonnement et de 45 000 euros d’amende pour la simple détention frauduleuse d’un faux Pass sanitaire ou vaccinal.

Ce projet de loi ajoute des dispositions dites anti-fraude qui sont trop vastes et trop peu précises et donc qui portent une atteinte disproportionnée aux libertés individuelles et à la liberté de la presse.

Le premier article de ce projet de loi prévoit des peines pour la simple « détention frauduleuse ». Or, comme évoqué au deuxième point de cette contribution, la simple photographie du QR code permet sa duplication. Comme tout appareil photo permet d’enregistrer une photographie, toute prise de photo, même involontaire, d’un QR code d’un Pass sanitaire, valide ou faux, correspond à une détention frauduleuse comme définie par ce texte. Par exemple, une photographie avec une personne tenant en arrière-plan un faux Pass sanitaire ou une caméra de surveillance qui enregistrerait une image d’une personne montrant un faux Pass sanitaire serait alors dans l’illégalité. En sachant que les outils informatiques tel que les navigateurs web enregistrent les images sur l’ordinateur par la simple consultation d’une page web, la détention de faux documents pourrait ainsi être qualifiée pour une part importante de la population de façon très largement disproportionnée.

De plus, les chercheurs ou journalistes travaillant sur le sujet de faux Pass vaccinaux entreront dans l’illégalité par la simple détention de faux documents. En effet, les dispositions précitées s’attachent à punir la simple détention alors même qu’aucune volonté d’utilisation n’est précisée dans le projet de loi.

Pour finir, comme je l’ai écrit dans mon article de blog « Pass Sanitaire lisibles dans la nature, l’étendu du problème » publié le 22 septembre 2021 (à l’adresse https://blog.davidlibeau.fr/pass-sanitaire-lisibles-dans-la-nature/), de nombreux Pass sanitaire ont été publiés dans la presse et sur les réseaux sociaux. Ce problème est connu et documenté, et pourtant ce projet de loi ne tente pas de le résoudre.

Il apparait que ces dispositions anti-fraude prévues par l’article premier de ce projet de loi me semblent inapplicables et disproportionnées. Il apparait également que le législateur fait preuve d’incompétence négative en ne prévoyant pas de dispositions législatives efficaces.

En conclusion, l’article 1 du projet de loi renforçant les outils de gestion de la crise sanitaire et modifiant le code de la santé publique est contraire à l’article 8 de la Déclaration des Droits de l’Homme et du Citoyen de 1789, car il instaure des dispositions anti-fraude très largement disproportionnées.

Pour ces motifs, j’estime que l’article 1 du projet de loi renforçant les outils de gestion de la crise sanitaire et modifiant le code de la santé publique est contraire à la Constitution