Voilà longtemps que l’arrivée des QR codes dans les restaurants ou les salles de cinéma est une option explorée par le gouvernement pour son application de contact tracing. Alors que les portes des lieux de restauration ou de culture restent closes, Covid oblige, TousAntiCovid pourrait très prochainement être doté de ce type de dispositif. 

Mi-décembre, le Comité de contrôle et de liaison Covid19 rendait son avis (publié le 12 janvier) sur le projet de décret du gouvernement quant aux prochaines évolutions de TousAntiCovid. Le texte, qui modifie le décret du 29 mai 2020 relatif à StopCovid, entend entre autres mesures mettre en place par le biais de l’application un nouveau dispositif de contact tracing. 

Au future point II.7 de l’article 2 du décret du 29 mai 2020 modifié, il est ainsi prévu parmi les finalités de traitement “d’informer les personnes utilisatrices de l’application qu’elles ont été dans un dans un lieu clos permettant le rassemblement ou la réunion de plusieurs personnes sur une période donnée pendant laquelle elles auraient pu être contaminées par une ou plusieurs personnes diagnostiquées positives au covid-19”. 

La méthode n’est pas précisée dans le décret mais l’avis du CCL le confirme : il s’agira bien d’un QR code. Ces codes sont déjà présents dans l’application, par le biais notamment des attestations de déplacements dérogatoires. Mais il s’agit désormais de permettre la réouverture de certains lieux tout en permettant le suivi des personnes qui s’y trouvent en contact. Le CCL souligne “de manière simplifiée”, qu’un QR code sera placé à l’entrée de certains lieux dits “à risque”. La liste de ces lieux n’a pas encore été établie et est toujours en cours de définition par le gouvernement et Santé Publique France.

Pas d’identification des lieux ni des personnes 

A l’entrée du lieu, l’utilisateur de TousAntiCovid sera donc invité à scanner le QR code, réalisant ainsi un “check-in à la date « d » pour une durée « t »”. “Si une personne, qui a été dans le même lieu sur la même plage horaire, se déclare dans l’application, la personne ci-avant reçoit une notification de contact warning, dit à « risque modéré » (impliquant la surveillance des symptômes, etc.). Si trois personnes se sont déclarées, et étaient sur la même plage horaire, alors la personne reçoit une notification classique de contact tracing à « risque élevé »” explique le Comité.

Au Monde, le secrétariat d’Etat au Numérique précise que “la manœuvre enregistrera dans l’application du lieu visité un identifiant pseudonyme (une suite de caractères propres à chaque lieu mais qui ne comporte pas d’éléments identifiables), ainsi qu’une date et une heure approximative”. Si un visiteur se déclare malade, ces informations seront envoyées au serveur central pilotant le contact tracing. Mais, pour autant, pas question de géolocaliser les utilisateurs, assure le cabinet de Cédric O puisqu’il sera “impossible de désanonymiser les lieux à risque puisque seuls leurs identifiants cryptographiques seront stockés sur le serveur”. La Cnil aurait d’ailleurs validé l’essentiel du projet de décret.

Dans son avis du 15 décembre, le CCL signale que “ces modalités de recueil de données n’ont pas pour objet, ni pour effet, de mettre en place une géolocalisation de l’utilisateur. Par ailleurs, elles ne permettent pas davantage de fournir à l’utilisateur des informations à caractère personnel relatives aux autres personnes ayant fréquenté le même lieu et lors de la même plage horaire”.

D’ailleurs, le QR code ne sera pas rendu obligatoire pour accéder à ces lieux. Une telle contrainte aurait en effet provoqué l’ire de la Cnil. C’est pourquoi le cabinet du secrétaire d’État chargé du numérique ajoute que, bien qu’il n’exclut pas le recours obligatoire à une méthode de traçage à l’entrée des lieux à risque, plusieurs choix seront laissés : QR code mais aussi cahiers de rappel.