« Cahier de rappel » : comment les restaurants doivent protéger les données de leurs clients

Une nouvelle phase de déconfinement s’est déroulée ce mercredi 19 mai en France, avec la réouverture des terrasses des bars, cafés et des restaurants, mais aussi des salles de cinéma, des théâtres et des commerces dits non essentiels. Le couvre-feu est par ailleurs repoussé de deux heures. Il est déclenché désormais à partir de 21h, au lieu de 19h. Les gestes barrières continuent évidemment de s’appliquer.

Et ensuite ? L’étape d’après est prévue pour le 9 juin. À ce moment-là, le couvre-feu sera décalé à nouveau de deux heures, les salles de sport et les stades pourront de nouveau accueillir du public et les bars, cafés et restaurants pourront cette fois accueillir leur clientèle y compris à l’intérieur de l’établissement. Or, c’est justement à ce moment-là qu’il faudra mettre en place un cahier de rappel.

Impossible Food se lance dans le porc vegan au CES 2020

Source : Maxime Johnson pour Numerama

Le retour des cahiers de rappel

Cette mesure n’est pas exactement nouvelle : elle a été déjà mise en place l’an passé, au mois d’octobre, afin de permettre un traçage des contacts en cas de détection d’un foyer épidémique — ainsi, si le carnet de rappel est correctement rempli, il est alors possible de contacter toutes les personnes qui se sont trouvées dans un même établissement le jour où une personne malade était présente.

Avec l’ouverture des restaurants, des bars et des cafés, le cahier de rappel refait surface : le protocole sanitaire pour ces établissements indique en effet que cet outil de suivi doit être mis en place à partir du 9 juin. Celui-ci peut être sous la forme d’un document en papier ou un dispositif numérique. Sa mise en œuvre dépend du mode de suivi utilisé, mais dans tous les cas, les données doivent être détruites après 30 jours.

Concernant la version numérique du cahier de rappel, elle passera sous la forme d’un code QR à flasher avec son smartphone, via l’application TousAntiCovid (TAC-Signal). Le code devra être en évidence, à l’entrée du restaurant, sur les tables ou aux endroits qui sont accessibles et pertinents pour le public. En début d’année, le gouvernement a d’ailleurs pris un décret pour préparer cette évolution.

Pour la version papier, c’est très basique: il faut remplir une fiche avec ses coordonnées, la date et l’heure d’arrivée. Il est attendu que les personnes inscrivent de vraies données, car c’est dans leur intérêt en cas de suspicion. Ce ne sont pas les restaurateurs qui auront à gérer le traçage des contacts, mais l’Agence Régionale de Santé ou de l’assurance maladie. Il faudra alors leur remettre le carnet.

Des données trop en libre accès ?

En octobre, la mise en route de ces cahiers de rappel avait illustré un problème : dans certains établissements, les documents en papier où étaient inscrits les prénoms, noms et numéros de téléphone étaient un peu trop accessibles à tout le monde, notamment ceux installés à l’entrée, sans surveillance. Dès lors, il serait tout à fait possible de prendre une photo discrète d’une ou plusieurs pages

C’est ce qu’illustrait un journaliste du Monde le 6 octobre sur Twitter, en montrant qu’il est possible de photographier certaines pages pour récupérer les données personnelles — car l’identité d’une personne et son numéro de portable sont bien des informations à caractère personnel — d’autres individus ayant déjeuné ou dîné au même endroit.

Il s’avère que le règlement général sur la protection des données (RGPD), en vigueur depuis mai 2018 dans l’Union européenne, encadre le traitement de ces informations. Et le RGPD ne se limite pas aux traitements informatisés : tout ce qui est couché sur papier est aussi soumis à cette réglementation. Par conséquent, les données en cause doivent être protégées dans les mêmes conditions.

Quelles sont les règles pour les cahiers de rappel ?

Compte tenu de la mise en place aléatoire de ces carnets de rappel par les restaurants, la Commission nationale de l’informatique et des libertés (CNIL) a publié le 7 octobre un guide destiné à les aider à respecter le  protocole sanitaire renforcé — et donc de ne pas baisser le rideau — tout en restant dans les clous de la loi. Car si le principe de ces carnets est valide, encore faut-il bien s’en servir.

Les restaurateurs ont tout intérêt à bien respecter les consignes de la CNIL pour ne pas avoir de souci plus tard. // Source : General Mills

Le guide comporte cinq grands points, à commencer par la nécessité de minimiser les données personnelles collectées : si les finalités d’un tel cahier sont légitimes compte tenu de la lutte contre l’épidémie de coronavirus, cela ne justifie pas de demander tout et n’importe quoi.

Le détail peut être consulté sur le site de la CNIL, mais voici ce qu’il y a à savoir de manière synthétique :

• Il faut s’en tenir à l’identité et au numéro de téléphone. Toute autre donnée est à exclure. Les restaurateurs ne peuvent pas effectuer de contrôle d’identité. Ils doivent par contre noter le jour et l’heure du passage de chaque client.
• Les cahiers de rappel ne servent qu’au traçage des contacts. Ils ne peuvent pas servir par exemple à des fins commerciales. Ils doivent être remis aux autorités sanitaires quand elles en font la demande.
• La clientèle doit être informée de cette collecte, de ses finalités, de ses droits, et de l’identité et des coordonnées du restaurant. Les éventuels destinataires doivent être mentionnés. La durée de conservation des données (14 jours) aussi. Elle correspond à la durée moyenne d’incubation du virus.
• Qu’elles servent ou non, ces données doivent être détruites au bout de 14 jours.
• Les restaurateurs doivent assurer la sécurité et la confidentialité de ces carnets de rappel. Dans le cas où c’est le format papier qui est utilisé, il est conseillé de passer par des fiches individuelles, distribuées par le personnel ou placées sur les tables, et de les ranger dans une armoire fermée à clé.

(mise à jour avec la nouvelle phase du déconfinement et les consignes à appliquer le 9 juin pour les restaurants, bars et cafés)