Le plan de passeport pour les vaccins de la ville de New York renouvelle le débat sur la confidentialité en ligne

Lorsque la ville de New York a annoncé mardi qu’elle exigerait bientôt que les gens montrent la preuve d’au moins un vaccin contre le coronavirus pour entrer dans les entreprises, le maire Bill de Blasio a déclaré que le système était « simple – montrez-le et vous êtes dedans ».

Moins simple était le débat sur la vie privée que la ville a relancé.

Les passeports vaccinaux, qui montrent une preuve de vaccination, souvent sous forme électronique telle qu’une application, sont la pierre angulaire du plan de M. de Blasio. Depuis des mois, ces dossiers – également appelés laissez-passer de santé ou certificats de santé numériques – font l’objet de discussions dans le monde entier comme un outil permettant aux personnes vaccinées, moins exposées au virus, de se rassembler en toute sécurité. New York sera la première ville américaine à inclure ces laissez-passer dans un mandat de vaccination, déclenchant potentiellement des actions similaires ailleurs.

Mais l’intégration de ces informations d’identification pourrait également inaugurer une ère de surveillance numérique accrue, ont déclaré des chercheurs en matière de confidentialité. C’est parce que les laissez-passer de vaccin peuvent permettre le suivi de l’emplacement, même s’il existe peu de règles sur la façon dont les données numériques sur les vaccins des personnes doivent être stockées et comment elles peuvent être partagées. Bien que les lois existantes sur la protection de la vie privée limitent le partage d’informations entre les prestataires de soins médicaux, il n’existe pas de règle de ce type lorsque les gens téléchargent leurs propres données sur une application.

Le moment rappelle les mois qui ont suivi les attaques du 11 septembre 2001, ont déclaré les défenseurs de la vie privée. C’est à ce moment-là que les changements apportés au nom de la sécurité nationale ont eu des effets durables, notamment le retrait des chaussures dans les aéroports et la collecte de données permise par le Patriot Act.

Sans garanties actuellement, la présentation d’un passeport de vaccination numérique à chaque fois que des personnes entrent dans un lieu public pourraient conduire à une “carte mondiale de l’endroit où les gens vont”, a déclaré Allie Bohm, conseillère politique à la New York Civil Liberties Union. Les informations pourraient être utilisées par des tiers à des fins lucratives ou être remises aux autorités chargées de l’application des lois ou de l’immigration, a-t-elle déclaré.

«Comment pouvons-nous nous assurer que dans 20 ans, nous ne disons pas:« Eh bien, il y avait Covid, alors maintenant j’ai ce passeport sur mon téléphone qui est aussi mon permis de conduire et a également tous les dossiers de santé que j’ai jamais eu et chaque fois que je vais dans un magasin, je dois le glisser?’ », a déclaré Mme Bohm.

Elle a ajouté que les laissez-passer pourraient particulièrement désavantager les groupes plus soucieux de la vie privée, y compris les sans-papiers. La New York Civil Liberties Union et d’autres groupes de défense ont soutenu la législation visant à empêcher le partage des données de vaccination avec les forces de l’ordre et à garantir que les laissez-passer ne deviennent pas des traqueurs de santé permanents.

Les passeports vaccinaux ont été largement déployés sans cadre national aux États-Unis. Le président Biden a exclu un laissez-passer national pour les vaccins, laissant aux États, aux villes et aux entreprises privées le soin de déterminer si et comment disposer de leurs propres systèmes électroniques pour suivre les personnes vaccinées.

Certaines entreprises qui ont développé des laissez-passer de vaccins numériques ont tenté d’anticiper les problèmes de confidentialité. Plus de 200 organisations privées et publiques ont récemment rejoint la Vaccination Credential Initiative, une coalition qui vise à normaliser la manière dont les données sur les vaccins sont enregistrées et protégées.

De nombreux développeurs ont déclaré avoir pris soin de s’assurer que les passeports ne dépassent pas les limites de la vie privée. Clear Secure, une société de sécurité qui a créé un laissez-passer de santé utilisé par plus de 60 organisations, dont beaucoup sont des sites sportifs, a déclaré que les données de santé de ses utilisateurs étaient «traitées avec le plus grand soin» et protégées par une variété d’outils. Les employeurs ou les sites ne peuvent voir qu’un signal rouge ou vert indiquant si un utilisateur a été vacciné, a-t-il déclaré.

The Commons Project, une organisation à but non lucratif qui a développé un laissez-passer vaccinal appelé CommonPass, stocke les données de vaccination et de test sur les téléphones des utilisateurs et ne télécharge les informations que temporairement sur un serveur pour vérifier qu’un voyageur a satisfait aux exigences, a-t-il déclaré. Les compagnies aériennes qui ont adopté CommonPass, y compris JetBlue et Lufthansa, ne peuvent voir que si un passager a été autorisé à voyager, a-t-il déclaré.

JP Pollak, co-fondateur du Commons Project, a déclaré que le laissez-passer de vaccin du groupe était « digne de confiance » et préservait la confidentialité des données des utilisateurs.

Mais alors que les passeports vaccinaux restent naissants, les applications de recherche de contacts Covid-19 qui ont été introduites plus tôt dans la pandémie ont déjà été utilisées par des pays plus autoritaires d’une manière qui soulève des questions de confidentialité. Cela donne aux chercheurs peu de confiance sur la façon dont ces vaccins pourraient être utilisés plus tard.

En Chine, par exemple, un programme appelé « reportInfoAndLocationToPolice » dans le code de santé Alipay, utilisé par le gouvernement chinois pour évaluer l’état de santé des personnes, envoie l’emplacement d’une personne, le nom de la ville et un numéro de code d’identification à un serveur dès que l’utilisateur accorde l’accès du logiciel aux données personnelles.

À Singapour, des responsables ont déclaré en janvier que les données du système de recherche des contacts contre les coronavirus du pays avaient été utilisées dans une enquête criminelle, même si les dirigeants avaient initialement déclaré qu’elles ne seraient utilisées que pour la recherche des contacts. En février, Singapour a adopté une loi limitant cette utilisation aux seules enquêtes criminelles « sérieuses ».

“L’une des choses que nous ne voulons pas, c’est que nous normalisions la surveillance en cas d’urgence et que nous ne puissions pas nous en débarrasser”, a déclaré Jon Callas, directeur des projets technologiques à l’Electronic Frontier Foundation, un groupe de droits numériques.

Bien que de tels incidents ne se produisent pas aux États-Unis, ont déclaré les chercheurs, ils voient déjà un potentiel de dépassement. Plusieurs ont souligné la ville de New York, où la preuve des exigences de vaccination commencera le 16 août et sera appliquée à partir du 13 septembre.

Pour preuve, les gens peuvent utiliser leurs cartes de vaccination papier, l’application NYC Covid Safe ou une autre application, l’Excelsior Pass. L’Excelsior Pass a été développé par IBM dans le cadre d’un contrat estimé à 17 millions de dollars avec l’État de New York.

Pour obtenir le pass, les gens téléchargent leurs informations personnelles. Dans la version standard du pass, les entreprises et les tiers voient uniquement si le pass est valide, ainsi que le nom et la date de naissance de la personne.

Mercredi, l’État a annoncé le « Excelsior Pass Plus », qui indique non seulement si une personne est vaccinée, mais comprend plus d’informations sur le moment et l’endroit où elle a été vaccinée. Les entreprises qui scannent le Pass Plus « peuvent être en mesure d’enregistrer ou de stocker les informations contenues », selon l’État de New York.

L’Excelsior Pass a également une “Phase 2”, qui pourrait impliquer d’étendre l’utilisation de l’application et d’ajouter plus d’informations telles que des détails personnels et d’autres dossiers de santé qui pourraient être vérifiés par les entreprises lors de l’entrée.

IBM a déclaré qu’il utilisait la technologie blockchain et le cryptage pour protéger les données des utilisateurs, mais n’a pas précisé comment. La société et l’État de New York n’ont pas répondu aux demandes de commentaires.

M. de Blasio a déclaré au WNYC en avril qu’il comprenait les problèmes de confidentialité liés au laissez-passer Excelsior, mais pensait qu’il “jouerait toujours un rôle important”.

Pour l’instant, certains États et villes procèdent avec prudence. Plus d’une douzaine d’États, dont l’Arizona, la Floride et le Texas, ont annoncé ces derniers mois une sorte d’interdiction des passeports vaccinaux. Les maires de San Francisco, Los Angeles et Seattle ont également déclaré qu’ils suspendaient les programmes de passeport.

Certains groupes d’entreprises et entreprises qui ont adopté des laissez-passer vaccinaux ont déclaré que les problèmes de confidentialité étaient valables mais adressables.

Airlines for America, un groupe commercial de l’industrie, a déclaré qu’il soutenait les laissez-passer pour les vaccins et poussait le gouvernement fédéral à établir des normes de confidentialité. La Chambre de commerce de San Francisco, qui aide ses membres à travailler avec Clear, a déclaré que l’utilisation des outils pour garantir que seules les personnes vaccinées entrent dans les magasins était préférable à la fermeture des entreprises à mesure que les cas de virus augmentent.

“La vie privée des gens est précieuse”, a déclaré Rodney Fong, président de la chambre, mais “lorsque nous parlons de sauver des vies, l’élément de la vie privée devient un peu moins important”.