¿Qué ve la persona que lee mi código QR en su pantalla? – Lanzamiento

La aplicación TousAntiCovid Verif muestra poca información sobre la persona que tiene el pase. Este último en realidad contiene en su código muchos más datos, de fácil acceso.

Pregunta realizada el 10 de agosto de 2021

Recibimos varias preguntas preguntando qué personas a cargo de lugares donde el pase de salud es obligatorio cuando escanean el código QR de personas con el famoso sésamo.

O ley del 5 de agosto es claro en este tema: la presentación del pase de salud “Se realiza de tal forma que sólo las personas o servicios autorizados para asegurar el control puedan conocer los datos estrictamente necesarios para el ejercicio de su control”. El decreto del 7 de agosto modificando el de 1 de junio establece dos niveles en este «Estrictamente necesario», dependiendo de la situación en la que se controle el pase de salud.

En la mayoría de los casos (como en la entrada de un restaurante o museo, por ejemplo), la persona controladora solo puede saber «Los apellidos, nombres y fecha de nacimiento de la persona interesada en el documento justificativo, así como un resultado positivo o negativo de la posesión de un documento justificativo conforme», de acuerdo con la ley. En concreto: cuando escaneamos un código QR con la app TousAntiCovid Verif (TAC Verif), que deben utilizar los gestores de lugares donde el pase es obligatorio, solo conocemos el nombre, identidad, fecha de nacimiento y vigencia o no del pase sanitario. Podemos hacernos una idea mirando las imágenes de TAC Verif, disponibles en las plataformas donde se puede descargar la aplicación.

Sin embargo, la información conocida es más importante con respecto a «Personas de al menos 12 años años que deseen viajar hacia o desde territorio francés, Córcega o una de las comunidades [d’outre mer], así como al personal involucrado en los servicios de transporte ” (Ley del 31 de mayo) En ese caso, «Las personas y servicios autorizados pueden leer los nombres, nombres propios y fecha de nacimiento del interesado en la prueba documental, así como información sobre la prueba de detección o la vacuna realizada (fecha de realización, indicar cuándo se realizó el acto, tipo de la prueba o vacuna, fabricante de la prueba o vacuna, estación de inyección de la vacuna o resultado de la prueba, agencia que emitió el certificado, centro de prueba e identificador único del certificado) «, Ahora tiene el decreto reformado del 1 de junio.

De hecho, como muchos usuarios de Internet han notado (aquí Donde ser – estar por ejemplo), el código QR contiene este conjunto de datos, al que es muy fácil acceder. Si utiliza una aplicación que lee este formato, obtendrá a primera vista una cadena de caracteres incomprensible. En realidad, es una codificación, que un el guión se puede traducir fácilmente a un idioma inteligible. Esto también es lo que ya ofrece al menos un sitio, sanipasse.fr.

Probamos este sitio y este script en el código QR del pase de salud de una persona vacunada. Así, pudimos conocer el país donde se vacunó a esta última, la cantidad de dosis que recibió y cuántas serían necesarias para estar completamente vacunada (si este número es uno, podemos pensar que esta persona ya tomó Covid. ejemplo). Pero también la fecha de la última inyección o la marca de vacuna utilizada. Es este conjunto de datos más grande que los responsables de los controles «Desde o hacia Francia» debería tener acceso. De hecho, cualquier otra persona también puede leerlos (pero no a través de la aplicación TAC Verif).

Tenga en cuenta que el gobierno quiere permitir controles con aplicaciones distintas de TAC Verif. Posibilidad prevista por el decreto de 7 de agosto mencionado anteriormente. Puede cumplir esta función «Cualquier otro dispositivo de lectura que cumpla con las condiciones establecidas por orden de los ministros de Salud y del Área Digital». Si este decreto no ha sido adoptado, ya sabemos que dicha disposición debe cumplir con el siguiente requisito: «Los datos se procesan solo durante un único control de movimiento o acceso a una ubicación, establecimiento o servicio y solo [les noms, prénoms et date de naissance de la personne] se puede mantener temporalmente durante el control. Los datos no se pueden almacenar ni reutilizar para otros fines «, siempre de acuerdo con la ley.

«Garantía importante»

La Comisión Nacional de Informática y Libertades (Cnil) dedicó una parte importante de la tu última deliberación sobre ese asunto. Resume el propósito de esta extensión: habilitar la «Verificación de documentos de respaldo en terminales que no tienen acceso a las tiendas de aplicaciones donde la aplicación TousAntiCovid Verif está disponible actualmente» (actualmente Google Playstore y Apple Store). Pero también lo hace posible «Una verificación en línea del pase de salud (por ejemplo, al realizar el check-in en línea durante un viaje) para facilitar la verificación en ciertos entornos caracterizados por altos volúmenes, en particular para reducir las colas (aeropuertos, estaciones, etc.)».

La CNIL hace varias recomendaciones: incentivar en lo posible el uso de TAC Verif, o al menos permitir siempre que las personas se sometan al control a través de esta aplicación y no de otra. En particular porque TAC Verif fue «desarrollado[e] bajo el control de las autoridades públicas ” por el grupo Imprimerie Nationale, que «Fue una garantía importante para evitar la apropiación indebida de datos», cree en el Cnil. Por tanto, la Comisión pide a las autoridades públicas que estén muy atentas a los sistemas alternativos a TAC Verif, en particular en términos de protección y seguridad de datos.