On ne va pas s’étendre sur le déni des responsabilités de chacun que constituent les autorisations dérogatoires que nous sommes tous censés remplir pour la quatrième semaine consécutive, chacun a son avis sur la question.

Nous allons nous intéresser à la nouveauté du jour : l’attestation dérogatoire numérique. Notre ministre de l’intérieur jure la main sur le cœur qu’elle ne donne pas lieu à la collecte de données personnelles. Qu’en est-il réellement ?

Petite dissection de la solution mise en œuvre. Il s’agit d’une page web tout ce qu’il y a de plus banale sur laquelle on va rentrer nos informations et cocher la ou les cases correspondantes aux motifs de la sortie. Une fois qu’on clic sur le bouton « valider », un fichier PDF est téléchargé, reprenant en gros le formalisme de l’attestation papier, y ajoutant un QRCode. On retrouve ce même QRCode sur la deuxième page, en plus grand.

Pour ceux qui ne connaissent pas le principe du QRCode, il s’agit d’une représentation graphique d’une série de données textuelles dont la lecture peut se faire simplement par l’analyse de l’image. Par exemple, le QRCode suivant contient simplement le mot « SCANI » :

Les carrés dans les trois coins servent à la caméra qui va lire l’image à calibrer la reconnaissance, ce sont des sortes de références. Plus d’infos sur le fonctionnement de la lecture des QRCode et l’organisation des données dans l’image par ici.

Que se passe-t-il lorsqu’on génère l’attestation sur la page du ministère de l’intérieur ? Dans l’immense majorité des cas, c’est la page elle même (c’est à dire la version de la page que votre ordinateur ou téléphone a téléchargé) qui génère le fichier PDF. Un programme javascript est contenu dans la page. Les données que vous avez saisi ne repartent donc pas vers les serveurs du ministère pour y être traités.

Sur ce point, Mr Castaner n’a donc pas menti : il n’y a pas de fichage.

Sauf … Lorsque le navigateur que vous utilisez ne dispose pas de moyens de faire fonctionner le code javascript de la page (soit parce qu’il est trop vieux soit parce que vous, ou une extension, avez désactivé javascript). Dans ces cas précis, la page renvoi le contenu de votre saisie aux serveurs du ministère qui vont fabriquer le QRCode et le fichier PDF puis vous le renvoyer. Personne ne peut, dans ces cas, vérifier que le ministère ne conserve pas ces données.

Par la suite, le fichier est donc stocké sur le terminal que vous avez utilisé pour générer l’attestation : votre ordinateur, une tablette, un smartphone .. Vous pouvez même l’imprimer.

Plus loin dans la vie de cette attestation, il est possible qu’elle soit contrôlée par un représentant des forces de l’ordre, qui va donc scanner le QRCode pour lire son contenu. Nous allons prendre l’exemple du gros QRCode que nous avons généré sur le site du ministère de l’intérieur en tête d’article. Il contient :

Cree le: 06/04/2020 a 13h11; Nom: SCANI; Prenom: SCANI; Naissance: 01/12/2012 a Cheny; Adresse: Groupe Géographique 89300 Joigny; Sortie: 06/04/2020 a 13h10; Motifs: missions

On voit donc qu’on y retrouve la date et l’heure que nous avons saisi sur la page .. ainsi que la date et l’heure que le terminal a fourni au moment ou nous avons envoyé le formulaire. Impossible donc de « tricher » en remplissant vite fait le formulaire au coin de la rue avant de se faire aborder par un gendarme.

Les plus geeks auront très vite fait de sortir leur propre version du générateur, permettant de modifier à loisir le contenu de ce qui suit « Cree le: » dans le QRCode. Il aurait été possible d’embarquer, dans ce QRCode, une signature numérique quelconque permettant de vérifier que c’était bien le ministère qui avait émis le document. La solution de vérification aurait toute fois été plus complexe et probablement difficile à déployer rapidement dans tous les smartphone des forces de l’ordre missionnées pour les contrôles.

Tout comme le cas ou la page envoi les informations au ministère lorsque javascript n’est pas disponible dans le navigateur, nous n’avons aucun moyen de vérifier que, lors des contrôles, les informations lues dans le QRCode ne sont pas collectées et stockées.