Analyse et commentaire
Catherine Riva, Serena Tinari – Re-Check.ch | Jannes van Roermund
24 novembre 2021

Read the article in English (online) Den Artikel auf Deutsch lesen (online)

L’utilisation du certificat Covid-19 est aujourd’hui circonscrite à des statuts liés au coronavirus. Mais, comme le montrent nos recherches et les entretiens fouillés que nous avons menés avec des chercheurs spécialisés, de puissants acteurs commerciaux et gouvernementaux ont hâte de transformer ce dispositif en portefeuille d’identité numérique (e-ID). Notre enquête met en évidence que ce glissement est en marche, et induit un profond changement de paradigme qui appelle un urgent débat de société. Malheureusement, celui-ci est étouffé par le régime instauré au nom de la crise. Enfin, une exclusivité de Re-Check montre que les autorités suisses ne gèrent pas tout à fait les données sensibles des certificats COVID comme elles l’affirment.

 

De nombreux pays ont introduit un système de certificats Covid-19 qui permet de voyager, mais aussi, souvent, de participer à la vie en société, voire de travailler. Cette série en trois parties, réalisée par Re-Check en collaboration avec le journaliste d’investigation néerlandais Jannes van Roermund, explore en profondeur le fonctionnement d’un dispositif sans précédent qui lie données médicales et liberté de mouvement. Dans ce premier épisode, vous découvrirez ce que signifie le concept de «function creep». Mais aussi une exclusivité qui concerne la Suisse. Re-Check a reçu une fuite, l’enregistrement d’une réunion Zoom entre des responsables de la Confédération et des acteurs qui qui ont participé au déploiement du certificat COVID suisse. Nos recherches et les échanges que nous avons eus avec l’Office fédéral de la santé publique, et que nous publions ici, montrent que des données sensibles sont stockées. Et cela n’a pas été communiqué de manière transparente au public.

Le déploiement des certificats Covid-19 est accueilli favorablement par un ensemble d’acteurs commerciaux et gouvernementaux qui œuvrent depuis des années à l’introduction de systèmes d’identité électronique. L’identité numérique ou e-ID est une solution numérique qui permet aux citoyens de prouver leur identité. Elle associe un identifiant unique à un ensemble d’attributs stockés sous forme numérique (nom, date de naissance, sexe), qui sont eux-mêmes liés à des justificatifs d’identité. Par ailleurs, les données médicales et donc confidentielles des personnes en Suisse qui reçoivent un certificat Covid-19 sont stockées chez le prestataire qui a effectué le test ou le vaccin, couplées à un UVCI, l’identifiant unique de chaque certificat Covid-19.

Analyse et commentaire

A l’été 2021, de nombreux pays industrialisés et émergents ont introduit un système de certificat Covid-19. Suivant les pays, ce dispositif est appelé aussi pass sanitaire, green pass, health pass ou vaccine passport. Muni d’un QR code, il est réservé aux personnes qui ont reçu un vaccin Covid-19, aux personnes qui ont guéri d’une infection à SARS-Cov-2, et aux personnes qui ont été testées négatives à SARS-CoV-2. Re-Check avait alors publié «Démocratie en mode pandémique: l’étrange cas du certificat COVID». Près de six mois plus tard, nous revenons sur cette thématique avec une série en trois épisodes. Son objectif: explorer en détail les enjeux liés à ces certificats avec des chercheurs spécialistes dans l’analyse critique de la surveillance et des technologies, mais aussi mettre en évidence les dispositifs de ghost-management que certains groupes d’intérêts ont développés pour faire avancer un agenda où le certificat Covid-19 joue un rôle clé.

Analyse et commentaire

Premier épisode: «Function creep» et transparence «à bien plaire»

Dès septembre 2021, le champ de validité du certificat Covid-19 a été successivement étendu dans la plupart des pays. En Suisse par exemple, depuis le 20 septembre 2021, seuls les détenteurs de ce QR code peuvent accéder aux offres culturelles, sportives, gastronomiques et de loisir indoor. Mais aussi à l’éducation supérieure et aux hôpitaux comme visiteurs, voire tout simplement aller travailler dans le cas du personnel soignant de certains établissements, ou encore des enseignants des hautes écoles. Les jours du test antigénique comme possibilité d’obtenir un certificat Covid-19 semblent par ailleurs comptés: depuis le mois d’octobre 2021, les médias relaient régulièrement les «voix qui réclament» que seules les personnes vaccinées ou guéries puissent prétendre à son obtention (régime 2G) (1) (2) (3), comme c’est déjà le cas en Autriche et dans certains Länder allemands.

Aujourd’hui le QR code Covid-19 n’est donc plus seulement la solution «moderne, simple et sécurisée» qui, nous disait-on il y a quelques mois, devait permettre de «rouvrir le monde et donner aux gens la possibilité de voyager à nouveau»: il est devenu un prérequis indispensable pour pouvoir participer à la vie en société.

Mais quelle est sa fonction, au juste?

Selon les gouvernements qui l’ont instauré, il jouerait un rôle clé dans le contrôle de l’épidémie. On peut cependant se demander ce qui leur permet d’être aussi affirmatifs, car le large déploiement des certificats Covid-19 a été opéré sans qu’aucune étude n’ait été conduite au préalable pour évaluer leur rapport bénéfice/risque. Autrement dit, il n’existe aucune preuve de l’efficacité de ce dispositif en termes de santé publique. Cette information fondamentale reste largement ignorée et laisse le champ libre à un journalisme en mode pandémique et à une «science» Covid-19 hors de contrôle, qui entretiennent un climat toxique où le débat se durcit de plus en plus.

D’un autre côté, partout où il a été implanté, ce certificat suscite la controverse et divise la société. Depuis le début de l’automne 2021, il ne se passe pas une semaine sans que des manifestations aient lieu dans les pays soumis à son régime. Il est donc légitime de s’interroger: pourquoi s’obstine-t-on à maintenir ce dispositif en dépit des tensions inédites qu’il induit (4) (5) et pourquoi ne cesse-t-on d’étendre son champ d’application, alors que il n’existe aucune preuve scientifique qu’il apporte un quelconque bénéfice?

Une dimension importante des certificats Covid-19 est de plus en plus ouvertement mise en avant par les gouvernements et les médias mainstream: l’adhésion de la population à la vaccination. Après avoir tenté de convaincre les gens avec des «incitatifs positifs», que ce soit des parts de gâteau, de l’argent, de l’alcool et même des armes à feu, les exécutifs de par le monde misent désormais sur la philosophie des «incitatifs négatifs».

Les autorités se justifient ainsi: les restrictions croissantes que le certificat Covid-19 impose à la liberté de mouvement et de participation à la vie en société seraient un moyen efficace pour inciter, voire contraindre davantage de personnes à se faire vacciner. Ce modus operandi est sévèrement critiqué par de nombreux spécialistes de santé publique. A l’instar d’Allyson Pollock, professeure à l’Université de Newcastle, qui estime que les certificats Covid-19 constituent une mesure «ridicule, discriminatoire et disproportionnée».

Dans le même temps, il est évident que pour les entreprises pharmaceutiques, une vaccination Covid-19 obligatoire représenterait une aubaine unique, étant donné le profit extraordinaire qu’elle garantirait. De fait, couplés à un booster nécessaire tous les six mois pour prolonger la validité du sésame vers une vie relativement normale, les certificats Covid-19 représentent la recette par excellence pour des produits qui rapportent constamment, un objectif que poursuivent toutes les entreprises.

N’oublions pas, en effet, que pour les fabricants de vaccins Covid-19 – Pfizer/BioNTech et Moderna en tête –, la crise du coronavirus représente une fabuleuse poule aux œufs d’or. En 2019, l’industrie pharmaceutique pouvait déjà se targuer d’une première historique: avoir réussi en quelques années à hisser les vaccins au rang de blockbusters, c’est à dire, de produits qui génèrent au moins 1 milliard de dollars par an. Les ventes des vaccins anti-HPV Gardasil et Gardasil9 (Merck) avaient cumulé à plus de 3 milliards de dollars et celles du vaccin contre les pneumocoques Prevenar13 (Pfizer) à presque 6 milliards de dollars. Re-Check enquête depuis plus de dix ans sur la manière dont l’avènement des vaccins anti-HPV a initié la métamorphose de cette classe de produits biologiques, rangeant définitivement au rang de mythe éculé l’affirmation selon laquelle les vaccins «ne rapportent rien à la pharma». Mais aujourd’hui, Gardasil, Gardasil9 et Prevenar13 feraient presque figure de petits joueurs comparé aux montants vertigineux que devraient atteindre les ventes de vaccins Covid-19 en 2021: 19 milliards de dollars pour Spikevax de Moderna et 33 milliards de dollars pour Comirnaty (Pfizer/BioNtech).

«Nous ne stockons pas vos données». Sauf que nous les stockons

Le maintien des QR codes Covid-19 s’accompagne encore d’un autre problème. Les autorités ne sont malheureusement pas transparentes lorsqu’elles exposent aux citoyens le fonctionnement de ce dispositif.

Ainsi, en Suisse, l’Office fédéral de la santé publique (OFSP) assure sur son site web que «le certificat COVID est uniquement stocké localement, dans l’application COVID Certificate. Ni les données personnelles ni les certificats ne sont stockés dans un système central».

Nos recherches montrent que la réalité est quelque peu différente.

Re-Check s’est vu transmettre l’enregistrement d’une conférence Zoom. Cette réunion s’est tenue le 10 juin 2021. Entre 90 et 120 personnes y ont participé, notamment des représentants de l’Office fédéral de l’informatique et de la communication (OFIT) et de l’Office fédéral de la santé publique (OFSP). L’enregistrement a été réalisé par une personne qui assistait à cette réunion.

Or au cours de la séance questions/réponses, des représentants de l’OFSP et de l’OFIT ont expliqué qu’en fait, certaines données des certificats COVID étaient bel et bien stockées. Ces données, ce sont les identifiants uniques des certificats, appelés UVCI pour Unique Vaccination Certificate/Assertion Identifier. Et comme l’ont expliqué les représentants de l’OFIT, les émetteurs de certificats ont l’obligation d’assurer ce stockage. «Nous, on ne stocke pas cette information», a déclaré l’un des représentants de l’OFIT. Un représentant de l’OFSP a alors précisé que le stockage obligatoire des UVCI était «déjà une exigence de l’UE afin de garantir la traçabilité des données médicales».

Ci-dessous: capture d’écran de l’enregistrement auquel Re-Check a eu accès. Tous les participants ont été anonymisés.

Ci-dessus: transcription de l’enregistrement auquel Re-Check a eu accès. Tous les participants ont été anonymisés.

Nous avons sollicité le service de presse de l’OFSP, qui a confirmé l’information selon laquelle le stockage des UVCI avait bel et bien lieu: «Oui, c’est exact, nous a répondu Nani Moras, porte-parole de l’OFSP. L’UVCI est la seule donnée qui reste enregistrée de manière centralisée, mais elle ne permet pas de ré-identifier la personne à qui le certificat a été délivré. L’UVCI est nécessaire pour révoquer des certificats individuels après une délivrance abusive ou erronée (p. ex. un nom mal orthographié).»

Nous avons alors voulu savoir où précisément ces UVCI étaient stockés et pendant combien de temps: «Les UVCI sont stockés à trois endroits: sur le serveur de l’OFIT, sur le système primaire de l’OFIT ainsi que sur l’app du détenteur en tant que stockage décentralisé des données, nous a répondu Grégoire Gogniat, porte-parole de l’OFSP. Les serveurs de l’OFIT, y compris les systèmes primaires de l’OFIT, sont nécessaires pour la révocation des certificats.» Avant de préciser que les UVCI étaient stockés pendant deux ans «sur les serveurs de l’OFIT».


Nous avons alors confronté l’OFSP à la transcription de l’enregistrement de la réunion Zoom en notre possession et insisté encore, afin de comprendre de quoi parlait le représentant de l’OFSP pendant la réunion Zoom, lorsqu’il évoquait la «traçabilité des données médicales».

L’OFSP a alors admis que les données des certificats étaient stockées encore ailleurs, et couplées aux UVCI cette fois-ci: chez les émetteurs de certificats, c’est-à-dire les médecins, les pharmacies ou encore les centres de test qui les délivrent.

«Les émetteurs de certificats (p. ex. médecin, pharmacie) disposent des informations médicales dans leur propre système (données médicales = ensemble d’information concernant la santé d’un patient), a détaillé Grégoire Gogniat. C’est de là que provient la demande de certificat. Les émetteurs reçoivent ensuite l’UVCI en retour de l’OFIT et la stockent avec les informations médicales dans leur propre système. La traçabilité médicale ne se trouve que dans le système primaire du prestataire de soins (médecins ou pharmacien).» Et de conclure néanmoins qu’avec «l’UVCI, il n’y a pas de lien possible avec les données médicales et donc pas de traçabilité».

Sauf dans les systèmes primaires des prestataires.A la question de savoir combien de temps les UVCI étaient stockés chez les émetteurs de certificats, nous avons reçu la réponse suivante: «C’est réglé selon les lois cantonales, a expliqué Grégoire Gogniat. Il n’y a pas de réglementation suisse ou européenne à ce sujet.» Avant d’insister: «Par ailleurs, il est important de noter qu’il a jamais été question de conserver le certificat à long terme. L’objectif a toujours été d’utiliser le certificat le temps de la pandémie.» Enfin, l’OFSP a confirmé que le stockage des UVCI correspondait bien à une exigence de l’Union européenne: «Oui, nous a écrit Grégoire Gogniat, c’est même la base sur laquelle la Confédération s’est appuyée pour élaborer le certificat.» Et que cette exigence avait bien été mise en œuvre, «mais par les prestataires de soins». Autrement dit, les émetteurs de certificats.

Grégoire Gogniat nous a encore assuré: «Le Préposé fédéral à la protection des données a été impliqué dans l’élaboration du système de certificats. Le plus haut responsable de la protection des données faisait partie du comité de pilotage. Il y a eu trois prises de position à ce sujet. L’enregistrement des UVCI est réglé dans l’ordonnance sur les certificats, art. 27, et faisait donc également partie de l’examen effectué par le préposé fédéral à la protection des données. (…) Les cantons et les autres acteurs ont été informés en détail sur le système prévu.»

En dépit des assurances avancées par l’OFSP, cette constellation de stockage des données apparaît problématique. D’abord, parce qu’elle ne correspond probablement pas à ce que les détenteurs de certificats comprennent lorsqu’on leur explique que leurs données «ne sont pas stockées de manière centralisée». En effet, ils n’ont pas été avertis de manière pro-active que leurs données médicales en lien avec une vaccination ou un test Covid-19 étaient stockés au même endroit, avec l’identifiant de leur certificat: à savoir chez le prestataire (médecin, pharmacien, centre de test ) qui leur avait fourni leur certificat. Mais surtout, avec ce système, la sécurité de ces données sensibles repose tout entière sur les épaules des émetteurs de certificats, tandis que les organes de la Confédération peuvent clamer: «Nous ne stockons pas vos données.»

«Function creep»

Compte tenu de la vitesse à laquelle les certificats Covid-19 ont été déployés, du problème qu’ils posent en termes de protection des données et de la place qu’ils occupent désormais dans notre société, il est légitime de se demander: quand les autorités cesseront-elles d’imposer ce dispositif? L’histoire des technologies nous enseigne que la réponse pourrait bien être: en fait, peut-être jamais. Car lorsqu’une solution «temporaire» de ce genre est mise en place, le risque est grand qu’elle devienne permanente et finisse par être utilisée dans un but différent de celui initialement prévu. On parle alors de «function creep» (détournement d’usage ou dérive fonctionnelle). Comme l’explique Bert-Jaap Koops, de l’Université de Tilbourg aux Pays-Bas, «ce qui distingue le ‘function creep’ de l’innovation, c’est qu’il implique un changement qualitatif de la fonctionnalité qui suscite des inquiétudes. Non seulement en raison du changement lui-même, mais aussi parce que ce changement n’est pas suffisamment reconnu comme transformateur et appellerait donc une discussion».

La surveillance de masse rendue possible par le Patriot Act, introduit aux Etats-Unis après les attentats du 11 septembre 2001, en est un bon exemple. Tommy Cooke, du Surveillance Studies Centre de la Queen’s University au Canada, et Benjamin Muller, Professeur associé au département de sciences politiques du King’s University College de l’Université de Western Ontario, estiment d’ailleurs que l’avènement des certificats Covid-19 et les restrictions qu’ils instituent pour certaines franges de la population, «facilitant le mouvement de certains tout en inhibant la mobilité d’autres», s’inscrivent précisément dans cette continuité: «Depuis les événements du 11 septembre 2001, on assiste à une prolifération des frontières et de pratiques qui instituent des limites, souvent bien loin des frontières nationales», rappellent-ils.

Or dans le cas du certificat Covid-19, tout indique que le risque de «function creep» est particulièrement sérieux. Car l’un des détournements de fonction envisageable pour ce dispositif coïncide précisément avec l’agenda de puissants groupes d’intérêts. Depuis 2020 déjà, ces acteurs privés et étatiques s’attachent en effet à présenter l’implémentation du certificat Covid-19 comme devant ouvrir la voie à un dispositif plus riche et plus universel: un portefeuille (wallet) d’identité numérique (e-ID, appelée aussi identité électronique).

Les lobbies de l’e-ID à la manœuvre

Très tôt, ces lobbies ont argué que les futurs certificats Covid-19 et autres passeports vaccinaux gagneraient à tirer parti des solutions technologiques développées pour l’e-ID au cours des dix dernières années. A l’instar de Dakota Gruener, directrice de l’Alliance ID2020 (fondée en 2016 par accenture, Microsoft, l’alliance Gavi, la Rockefeller Foundation et IDEO) dans son document de travail «Immunity Certificates: If We Must Have Them, We Must Do It Right» [Certificats d’immunité: si nous devons en avoir, nous devons le faire correctement], publié en avril 2020.

Parallèlement, les leaders d’opinion et les gouvernements ont été encouragés à envisager ce certificat comme un «précurseur» de l’e-ID et à voir dans son déploiement une bonne raison d’accélérer l’établissement d’une infrastructure d’identité numérique. La transformation du QR code Covid-19 a été présentée comme une issue logique, pragmatique et désirable sur toute une série de canaux: plateformes dédiées, conférences, events, rapports de cabinets de conseil, publications spécialisées, documents de travail, initiatives, tribunes (6) (7) et interviews.

Manifestement, cette communication tous azimut a porté ses fruits, car, en dépit de nombreuses mises en garde, d’un rapport très critique de Privacy International et d’enquêtes (8) (9) (10) qui ont mis en relief le risque de surveillance de masse automatisée inhérent au projet porté par ces lobbies, l’adhésion à cette vision des certificats Covid-19 comme «catalyseurs pour faire avancer l’identité numérique» s’est renforcée en 2021.

Au prochain épisode, nous nous pencherons sur ces puissants acteurs qui cherchent à profiter des certificats Covid-19 pour instaurer l’e-ID, ainsi que sur le dispositif de lobbying qu’ils ont déployé pour faire avancer leur agenda.