TousAntiCovid : le gouvernement espère déployer les QR codes dès la fin janvier
Pour instaurer une nouvelle méthode de traçage des contacts.
Dans un projet de décret, le gouvernement français envisage de faire évoluer certaines règles liées à TousAntiCovid, son application de traçage, en instaurant notamment des possibles QR codes, que les utilisateurs de l’application pourraient scanner.
Ces derniers seraient placés à l’entrée de certains lieux publics et permettraient la mise en place d’un nouveau moyen de traçage des contacts lié aux lieux à risques. Le projet de mise à jour des règles liées à TousAntiCovid est connu depuis décembre, mais a fait récemment l’objet de commentaire de la part du cabinet du secrétaire d’État au Numérique Cédric O.
Présenté dans un document d’avis édité par le Comité de contrôle et de liaison covid-19 (CCL-Covid), chargé de conseiller le gouvernement sur les dispositifs numériques de lutte contre la pandémie, le projet prévoit d’ajouter une nouvelle fonctionnalité à l’application française TousAntiCovid : l’utilisation de QR codes comme dispositif de traçage des contacts. Ils seraient placés à l’entrée des lieux clos, comme les restaurants et les transports en commun. Voilà ce qu’écrit le CCL-Covid dans son avis :
« De manière simplifiée, un QR codes sera positionné à l’entrée de certains lieux à risque (liste des lieux en cours d’identification en lien avec SPF [Santé publique France, NDLR]). La personne flash ce code (il suffit donc d’un téléphone avec appareil photo) et fait ainsi un check-in à la date ‘d’ pour une durée ‘t’ dépendant du type de lieu. Si une personne, qui a été dans le même lieu sur la même plage horaire, se déclare dans l’application, la personne ci-avant reçoit une notification de contact warning, dit à ‘risque modéré ‘ (impliquant la surveillance des symptômes, etc.). Si trois personnes se sont déclarées, et étaient sur la même plage horaire, alors la personne reçoit une notification classique de contact tracing à ‘risque élevé’. »
Le CCL-Covid précise avoir reçu les « questions formulées » de la Cnil, l’autorité des données française, avant d’émettre son avis. Si le décret entre en vigueur tel quel, il intégrerait donc une nouvelle fonctionnalité de traçage des contacts sur TousAntiCovid, en plus de celui déjà en place depuis mai, fonctionnement sur le Bluetooth. Reste que le détail du dispositif n’est pas donné, et de nombreuses questions restent en suspens.
Cependant, l’exécutif devrait rapidement apporter des réponses et plus de précision sur le décret qui est en ce moment examiné par le Conseil d’État, et le gouvernement pourrait procéder à une publication d’ici la fin du mois de janvier 2021. En effet, le cabinet du secrétaire d’État au Numérique Cédric O a confirmé à un média local la volonté du gouvernement de faire évoluer certaines règles liées à son application TousAntiCovid.
Actuellement, la France s’appuie sur deux méthodes pour effectuer le traçage des contacts, dont la finalité est de prévenir les personnes exposées à un patient atteint de covid-19. La première méthode se fait par téléphone. Des brigades d’agents de la Sécurité sociale contactent les personnes touchées par le coronavirus afin d’identifier leurs cas contacts. Puis elles se chargent d’avertir ces derniers par SMS, email ou téléphone, afin qu’ils puissent se mettre en septaine et effectuer un test.
La seconde méthode se fait par l’application TousAntiCovid. Seuls les Français qui ont installé et activé l’application participent à ce deuxième rideau de traçage des contacts. Lorsqu’ils sont à proximité, leurs smartphones s’échangent des identifiants aléatoires, régulièrement renouvelés, qui sont ensuite envoyés à intervalle constant vers un serveur central contrôlé par l’État. Si une personne fait un test positif, elle peut se déclarer dans l’application à l’aide d’un QR codes remis par les autorités sanitaires. Cette information sera remontée au serveur central, et tous les appareils qui ont échangé des identifiants avec la personne malade recevront une notification.
Le traçage par QR codes serait donc un troisième dispositif, lui aussi intégré à TousAntiCovid. Il permettrait de faire un traçage des contacts par lieu. Le Comité de contrôle et liaison covid-19 précise que les informations collectées par les QR codes seront stockées sur un serveur dédié, et ne seront pas remontées au serveur central déjà utilisé. Autrement dit, si la déclaration des cas positifs et l’envoi des notifications se font bien dans l’application, la gestion de ces nouvelles données se fera sur un nouveau serveur, à part.
« Ces informations sont stockées par un serveur dédié en vue d’informer l’utilisateur qu’il a été en contact avec une personne diagnostiquée ou dépistée positive au virus du covid-19 et ayant fréquenté le même lieu durant la même plage horaire », selon la description du projet par le comité.
Déploiement de QR codes pour accompagner la réouverture de certains lieux publics
Comme pour le fonctionnement actuel du dispositif TousAntiCovid, le Comité rassure explicitement sur les éventuelles dérives du dispositif : « les modalités de recueil de données n’ont pas pour objet, ni pour effet, de mettre en place une géolocalisation de l’utilisateur ». En revanche, si TousAntiCovid actuel ne demande que l’autorisation d’utiliser le Bluetooth, il devra demander l’autorisation d’utiliser l’appareil photo pour le bon fonctionnement du nouveau dispositif.
L’avis du CCL-Covid évoque que les QR codes pourraient être déployés dans un large éventail de lieux publics fermés où le risque de transmission du SARS-CoV-2 est élevé, dont les transports en commun. Le cabinet de Cédric O précise quant à lui que la fonctionnalité a surtout été pensée pour accompagner la réouverture des bars, restaurants et salles de sport, dont la date n’est toujours pas connue.
Dans tous les cas, la typologie précise des lieux, qui se verront offrir la possibilité de fournir un QR codes aux utilisateurs de TousAntiCovid, est en cours de définition avec l’appui de Santé publique France, a précisé la même source. Ces lieux seraient divisés en deux catégories : à « haut risque de transmission » et à « risque de transmission modéré », selon divers critères, dont leur surface, leur ventilation ou le public accueilli. Il n’est pas encore indiqué ce que cette distinction impliquerait comme conséquence.
Fonctionnement de TousAntiCovid avec les QR codes
Scanner le QR codes reviendrait à récupérer un pseudonyme (une suite de caractères propres à chaque lieu, mais qui ne comporte pas d’éléments identifiables), ainsi qu’une date et une heure approximative) sur l’application TousAntiCovid.
C’est un fonctionnement relativement similaire à celui de l’application entre deux utilisateurs. Lorsqu’elles sont à une certaine distance l’une de l’autre, deux applications TousAntiCovid vont s’échanger via le Bluetooth des pseudonymes, propres à chaque application, et renouvelés à intervalles réguliers.
Dans le nouvel usage de TousAntiCovid, scanner le code reviendrait à faire ce même type d’échange, dans un seul sens, et avec un avantage, le QR codes étant un moyen de récupération des pseudonymes bien plus fiable que le Bluetooth, dont la relative inefficacité pour cette tâche est de plus en plus prouvée.
Une fois les pseudonymes récupérés, un serveur serait chargé de repérer quand un cas de covid-19 déclaré dans l’application a récupéré le pseudonyme d’un lieu, et à prévenir tous les utilisateurs qui ont récupéré ce même pseudonyme sur une plage horaire proche. L’avis du CCL-Covid précisait que ce serveur ne serait pas le même que le serveur central de l’application.
Si l’utilisation des QR codes dans une éventuelle prochaine version de TousAntiCovid se précise, de trop nombreuses questions restent en suspens. Ces questions sont d’autant plus nombreuses que le gouvernement ne communique pas officiellement sur ce projet d’évolution de l’application. Reste à savoir si les utilisateurs ne pourront les connaître qu’une fois déployés, ou quelques jours auparavant.
Outre-Manche, le gouvernement britannique vient de déployer un dispositif similaire, et la NHS (équivalent britannique de la Sécurité sociale) avance certaines garanties : les notifications de cas contact ne mentionnent pas, par exemple, le nom de l’établissement (comme c’est également prévu par le projet de décret), mais le gérant des lieux est, lui, prévenu si plusieurs de ses visiteurs sont déclarés positifs afin de s’organiser en conséquence.
Lire aussi : Le Conseil d’Etat valide l’élargissement des fichiers de renseignement
Sources : Developpez – Le cabinet du secrétaire d’État au Numérique, Avis du CCL-Covid
