Démarchage, newsletters : l'avis de la CNIL sur les “cahiers de rappel” évitera-t-il les dérives allemandes ?

Après la fermeture de bars et restaurants dans les zones de risque maximal, une nouvelle mesure a été mise en place dans le cadre de la lutte contre l'épidémie de coronavirus: le “cahier de rappel’. Alors que le fiasco de l’application mobile de traçage Stopcovid s’étale dans tous les médias, le gouvernement a choisi de mettre en place cet outil analogique très simple de collecte de données, déjà très connu en Allemagne, où il est utilisé depuis le début de l’épidémie. Ce carnet est destiné à collecter les coordonnées des clients présents dans les restaurants, cafétérias ou établissements de restauration rapide, pour pouvoir les contacter rapidement en cas de risque de contamination. Mais comme toute collecte de données personnelles, cette méthode provoque la méfiance. En France la CNIL essaie de cadrer ce registre, qui est soumis à la réglementation (RGPD et loi Informatique et Libertés) pour éviter que, comme en Allemagne, le cahier soit aussi un outil de démarchage, de surveillance...et même de drague.

En Allemagne, des cas de détournement des données des registres de bars et restaurants

Depuis le début de la crise, lorsqu'un client veut manger une pizza ou boire une bière en Allemagne, il doit noter son nom, adresse postale et e-mail, numéro de téléphone, la date et l’heure dans un registre papier. Ces formulaires qui collectent ce que l’on appelle les “Corona Daten” en allemand (“données corona”), sont au centre de plusieurs polémiques outre-Rhin, concernant des cas de détournement de données ou de violation de la vie privée des clients.
Les autorités régionales allemandes ont reçu ces derniers mois des dizaines de plaintes concernant la mauvaise utilisation de ces bases de données. Les détournements sont variés. La plupart du temps, les listes n'étaient simplement pas suffisamment protégées, et les clients pouvaient voir les coordonnées des clients précédents. Parfois, des classeurs à anneaux étaient utilisés, ce qui permettait aux clients curieux de feuilleter l’historique de fréquentation d'un bar, et de prendre des photos pour collecter les coordonnées, qui pouvaient ensuite être utilisées pour envoyer des newsletters ou faire du démarchage commercial par exemple.
Le délégué d'État à la protection des données Marti Hansen de Kiel a déclaré au célèbre magazine allemand Der Spiegel qu’il est difficile de déterminer exactement l'ampleur du problème lié à l'utilisation abusive des données des “cahier de rappel” allemands. Les règles de stockage des données, par exemple, sont différentes d'un état à l'autre, et leur harmonisation connaît des délais de plusieurs semaines.
Certains cas sont pourtant graves, car des numéros de téléphone ont aussi été volés pour des raisons personnelles, pour faire des avances par exemple à la personne de la table d'à côté, ce qui s'apparente à du harcèlement. Certaines données auraient même été utilisées par la police pour rappeler des témoins dans le cadre d'une enquête!

Informations erronées ou illisibles: les allemands ont pratiqué l’obfuscation de données pour protéger leur vie privée

Der Spiegel signale aussi que pour se protéger de la mauvaise utilisation de ces données, les citoyens allemands ont eu tendance à fausser leurs coordonnées. Lorsque le service de santé de Berlin-Neukölln recherchait des personnes qui auraient pu être infectés dans une brasserie, il a détecté qu'environ dix pour cent des déclarations étaient fausses. Cependant, la police allemande se félicite de cette méthode de traçage “papier”, qui aurait permis par exemple, dans un cas de contamination à Kiel, de contacter 500 personnes susceptibles d'avoir été contaminées. Le service de contact des cas potentiels a échangé en moyenne 15 minutes avec chacun des contacts, ce qui indique à quel point ces personnes étaient intéressées par une information de première main concernant les risques de contamination.

Les données des français seront-elles aussi utilisées pour envoyer des newsletters ?

Selon La CNIL,  quelques principes doivent être respectés en France pour éviter le détournement de l'utilisation du cahier de rappel. En premier lieu, il faut collecter uniquement les données nécessaires (nom/prénom, et numéro de téléphone). C'est l'établissement qui doit renseigner la date et l'heure d'arrivée ce qui déterminera aussi la date à laquelle il faut mettre fin à la conservation du registre (14 jours après). Ce cahier ne peut être utilisé que par les autorités sanitaires dans le cadre de la prévention des cas. Les clients doivent être informés de l'objet de cette collecte et des droits dont ils disposent concernant leurs données. Le « cahier de rappel » doit être conservé dans un lieu sécurisé numérique ou physique (ex : une armoire ou pièce fermée à clef, un fichier avec mot de passe, etc) et ne pas être laissé à la vue de tous les clients. Le cahier doit être visible uniquement par des personnes spécifiquement identifiées (ex : le gérant de l'établissement).
Grâce à ce recadrage de la CNIL, il faut espérer que les cahiers de rappel seront efficaces, et ne porteront pas atteinte à la vie privée des citoyens français.