Coronavirus : L'attestation numérique de déplacement constitue-t-elle un risque pour les données personnelles ?
FAKE OFF Il y a peu de risques actuellement, selon des spécialistes interrogés par 20 Minutes
- L’attestation obligatoire en cas de déplacement peut être remplie en ligne depuis ce lundi.
- Quels risques présente-t-elle pour les données personnelles ?
- 20 Minutes fait le point avec des spécialistes.
Un espion dans la poche ? C’est ce que craignent certains internautes, après la mise en ligne, ce lundi sur le site du ministère de l’Intérieur, d’une attestation de déplacement numérique. Depuis l’entrée en vigueur du confinement pour lutter contre le coronavirus, ce document est obligatoire lors de toute sortie.
Le principe de sa version numérique ? L’internaute se rend sur la page dédiée, renseigne ses informations personnelles (nom, adresse, date de naissance, motif de déplacement, etc.) directement sur le formulaire en ligne. Le site génère un PDF, téléchargeable sur un smartphone ou une tablette. En cas de contrôle, les forces de l’ordre vérifient les informations inscrites sur l’attestation en scannant le QR code inscrit sur l’attestation numérique.
Un message largement partagé sur Facebook relaie les inquiétudes d’internautes au sujet de ce nouveau dispositif : l’attestation « sera lue par un code par les forces de l’ordre, peut-on lire dans ce message. Mais, une fois faite, vous serez fichés et ils pourront tout savoir de vous. Alors, gardons nos attestations papier, car beaucoup d’entre nous ont enregistré leurs données bancaires, rendez-vous, photos et autres dans leur téléphone. Donc, tout sera stocké et centralisé. »
FAKE OFF
Comment fonctionne ce générateur d’attestations ? 20 Minutes a contacté des développeurs qui se sont penchés sur le sujet. « Lors de la génération de cette attestation, je l’ai vérifié de mon côté, il n’y a aucune donnée personnelle qui est envoyée sur les serveurs du ministère de l’Intérieur, développe Baptiste Robert, chercheur en cybersécurité et hacker. Ce processus de génération d’attestation se fait en local. »
Johann Pardanaud, dont le générateur d’attestations a inspiré celui du ministère de l’Intérieur, confirme « n’avoir rien vu [dans celui du gouvernement] qui changeait l’usage des données » par rapport à l’outil qu’il avait programmé. Il avait d’ailleurs mis en ligne le code source de son générateur. Le ministère l'a imité ce lundi soir, en publiant à son tour le code utilisé pour créer ce générateur.
Le spécialiste écarte le risque de voir le ministère accéder aux photos ou données stockées dans le téléphone : « Je peux vous dire à 100 % que c’est impossible d’accéder à aux photos ou aux SMS. Vos téléphones nécessitent de fournir des permissions à votre navigateur quand il veut consulter les données, sinon, ça permettrait à n’importe quel site Web de récupérer vos infos personnelles en permanence. »
« Ce que vous remplissez dans le formulaire reste dans le téléphone »
L’analyse est partagée par François Best, développeur : « Il n’y a pas d’envoi de données personnelles, tout ce que vous remplissez dans le formulaire reste dans le téléphone. »
Il a toutefois identifié « un point d’ombre » à ce dispositif : un cookie généré par une entreprise américaine. Le ministère de l’Intérieur détaille sur son site les quatre cookies utilisés et leur finalité. C’est l’un d’entre eux qui retient l’attention de François Best : « Il peut permettre de tracer la génération d’un formulaire. » Avec ce cookie, l’entreprise américaine sait quel terminal a demandé à télécharger un formulaire, mais elle n’a pas accès aux données inscrites dans le formulaire. Il est en outre possible de le désactiver, « soit désactiver les cookies dans le navigateur, soit passer en mode incognito sur le navigateur », conseille François Best.
Le contrôle par les forces de l’ordre « est plus opaque », souligne Baptiste Robert. Pour vérifier les attestations, gendarmes et policiers utilisent l’application CovidReader, qui leur sert à flasher les QR code présents sur les attestations. « On n’a pas accès à l’application en elle-même, ni au code source, donc on n’est pas capable de l’auditer réellement*. Toutefois, on sait quand même des choses : on a vu des captures d’écran de l’application, qui montrent que fondamentalement, ça a l’air d’être un simple lecteur de QR code et c’est tout. On a des témoignages de gendarmes qui se plaignent que c’est trop simple, que ça ne lit que les QR code, on a des gros indices qui nous disent qu’il n’y a pas d’envoi de la donnée vers des serveurs extérieurs lors de la lecture du QR code par les forces de l’ordre. » Nous avons généré une attestation puis flashé celle-ci à l’aide d’un lecteur de QR code. Seules les informations rentrées dans l’attestation sont visibles.
Le chercheur souligne un point juridique : « S’il y avait traitement de la donnée personnelle, on est dans un Etat de droit, il y a des procédures, il faut un décret au Conseil d’Etat et une publication au Journal officiel, ce qu’il n’y a pas. » Et de conclure par un rappel de bon sens : « Si on veut le plus de vie privée possible, on évite le numérique ».
Vous souhaitez que l’équipe de la rubrique Fake off vérifie une info, une photo ou une vidéo ? Remplissez le formulaire ci-dessous ou écrivez-nous sur Twitter : https://twitter.com/20minFakeOff
20 Minutes est partenaire de Facebook pour lutter contre les fausses nouvelles. Grâce à ce dispositif, les utilisateurs du réseau social peuvent signaler une information qui leur paraît fausse.