QR codes : empêcher l'exposition de dossiers personnels

Un QR code n’est pas une protection d’accès. Lorsqu’il contient directement un nom et une adresse, une personne qui récupère son image peut les lire. Lorsqu’il contient un lien, la confidentialité dépend de ce que le service autorise à l’ouverture de ce lien. La première décision est donc de choisir ce qui doit être public, ce qui sert seulement à retrouver un dossier et ce qui permet réellement d’y accéder.

Cette distinction permet de sécuriser un badge, une étiquette ou un document remis à un client sans imposer un compte utilisateur pour toute information publique. Elle évite surtout de confondre une adresse difficile à deviner avec une information impossible à partager.

Lire le contenu avant de juger le dessin

Le QR code représente des données dans un format lisible par une machine. Son apparence ne dit pas si ces données sont publiques, personnelles ou secrètes. La documentation du créateur de la technologie décrit un dispositif d’encodage, avec notamment des mécanismes de correction d’erreurs ; cette correction ne constitue pas du chiffrement. DENSO WAVE, présentation du QR code.

Pour examiner un projet, demandez le contenu décodé exact d’un exemplaire fictif. Une prévisualisation qui ouvre immédiatement la page peut masquer une étape : l’adresse comporte-t-elle un nom, une référence de commande ou une clé d’accès ? Passe-t-elle par un domaine intermédiaire ? Un code présenté comme « dynamique » peut simplement conduire à un service qui choisit ensuite la destination.

Trois objets doivent être recensés séparément : l’image imprimée, la valeur encodée et la ressource obtenue. Corriger la page ne modifie pas le texte déjà imprimé dans l’image. Supprimer le dossier en ligne ne retire pas les coordonnées directement encodées sur un ancien badge.

Un identifiant technique peut être une donnée personnelle s’il permet de rattacher une information à une personne identifiable. Retirer le nom visible ne suffit donc pas à sortir le traitement du RGPD. Art. 4(1) et 4(2).

Choisir une architecture selon le destinataire

Ces solutions répondent à des usages différents ; le tableau ne certifie aucune architecture. Pour un dossier sensible, un accès fondé uniquement sur la possession d’une image peut être inadapté. Pour une notice publique, identifier nominativement chaque lecteur peut au contraire créer une collecte inutile.

L’Art. 25(2) demande de limiter par défaut les données traitées et leur accessibilité au nécessaire. L’Art. 32(1) impose une sécurité adaptée aux risques. Ces obligations s’apprécient sur l’ensemble du parcours, pas sur la seule qualité graphique du code. RGPD, Art. 25(2) et 32(1).

Spécification Q-18 : séparer notice et dossier de réparation

Exemple fictif, sans essai d’un produit réel. Un réparateur souhaite imprimer un QR code sur le reçu remis lors du dépôt d’un appareil. Le reçu peut être photographié et adressé à un assureur. L’équipe hésite entre l’ouverture du dossier complet et une simple aide au suivi.

Le dossier contient le nom du client, son téléphone, des photographies de l’appareil, le devis et des échanges. L’assureur auquel le client envoie le reçu n’a pas, du seul fait de cette transmission, à recevoir tout cet historique. Le projet retient deux parcours distincts : une notice publique commune et un accès au dossier réservé au compte client autorisé.

La décision Q-18 est renseignée ainsi :

• Image sur le reçu : lien vers la page de suivi, sans nom ni téléphone dans l’adresse ; référence opaque permettant de désigner le dossier après contrôle.
• Personne non connectée : page de connexion sans détail sur l’appareil, son propriétaire ou l’état de la réparation.
• Compte du client rattaché au dossier : statut, devis et documents prévus pour ce compte ; pas de notes internes inutiles.
• Autre client connecté : aucun accès au dossier Q-18, même s’il possède la photographie du reçu.
• Agent du réparateur : consultation par l’outil professionnel et ses droits propres, sans utiliser le compte du client.
• Notice générale : adresse publique séparée, identique pour tous, accessible sans compte.

Le réparateur retient l’exécution du contrat pour les opérations de suivi nécessaires à la réparation demandée par le client. Cela ne rend pas nécessaire chaque champ affiché ni un suivi publicitaire de ses lectures. Un nouvel usage demande sa propre analyse de finalité et de base légale. RGPD, Art. 5(1)(b)–(c) et 6(1)(b).

La spécification protège donc aussi contre une erreur de produit : faciliter le suivi n’exige pas de rendre tout le dossier accessible depuis le reçu. La référence demeure une donnée à protéger dans son contexte, même si elle ne suffit plus à autoriser la lecture.

Contrôler l’autorisation après la connexion

Une page qui demande un mot de passe peut encore être mal protégée. Si tous les clients connectés peuvent ouvrir n’importe quelle référence, le contrôle d’identité existe mais le contrôle du droit sur le dossier manque.

Pour Q-18, la réception du parcours prévoit des comptes et dossiers fictifs. Le responsable métier décrit les résultats attendus ; l’équipe technique vérifie le comportement effectif et conserve les preuves. Cette recette est proposée ici, elle n’a pas été exécutée sur un service réel :

Un contrôle positif est indispensable : un écran d’erreur général pourrait faire réussir tous les essais de refus alors que le service ne fonctionne pour personne. Les pièces jointes doivent aussi être examinées ; protéger la page d’accueil tout en laissant ses PDF accessibles contourne la décision.

La CNIL recommande d’intégrer les profils d’accès dès la conception et d’effectuer des contrôles adaptés avant mise à disposition. Elle souligne aussi que les protections de l’interface doivent être appuyées par celles du traitement côté serveur. CNIL, encadrer les développements.

Le guide des liens de partage complète ces vérifications lorsque la ressource peut également être envoyée directement par courriel.

Limiter les traces et les intermédiaires

Une adresse peut circuler dans les historiques, les journaux et certains mécanismes de navigation. Pour les identifiants de session placés dans une URL, l’OWASP décrit ces risques de divulgation. Un jeton d’accès encodé dans un QR code mérite la même vigilance quant aux endroits où sa valeur est copiée. OWASP, mécanismes d’échange des identifiants de session.

Cette comparaison ne signifie pas que tous les liens de QR code sont des sessions. Dans Q-18, l’adresse désigne un dossier sans donner, à elle seule, le droit de le lire. Il reste utile d’éviter son envoi à des outils d’analyse sans nécessité et de maîtriser les journaux d’erreurs.

Si un prestataire génère les images, vérifiez ce qu’il reçoit réellement : seulement une adresse publique commune ou un fichier de coordonnées et de références individuelles ? S’il traite des données pour votre compte, encadrez cette opération conformément à l’Art. 28(3). Un service de redirection peut en outre recevoir des informations à chaque ouverture. Ses fonctions et ses rôles ne doivent pas être déduits du seul mot « générateur ». RGPD, Art. 28(3).

Gérer une copie, une révocation et une mauvaise impression

Pour un jeton donnant directement accès, définissez avant émission ce qu’il permet, quand il cesse de fonctionner et qui peut le révoquer. Le RGPD n’impose pas une durée universelle de validité des QR codes. Une courte durée peut réduire l’exposition, mais elle ne corrige pas un accès trop large pendant cette période.

Dans Q-18, si un reçu est envoyé au mauvais client, l’équipe vérifie à la fois son contenu visible et les données accessibles par le code. Le fait que le dossier en ligne exige une autorisation n’efface pas une éventuelle divulgation du nom imprimé sur le reçu. La qualification de violation et les risques sont examinés sur les informations effectivement exposées. RGPD, Art. 4(12) et Art. 33(1)–(5) et 34(1).

Le service bloque l’accès indu s’il existe, corrige le rattachement et prépare un reçu approprié. Il conserve les faits nécessaires à l’analyse, sans multiplier les copies du document. Une révocation coupe les accès futurs qu’elle contrôle ; elle ne détruit pas les fichiers déjà téléchargés par un destinataire.

Pour les étiquettes de colis, cette circulation est particulièrement importante : le support passe par des intervenants qui n’ont pas tous besoin des mêmes informations. La conception doit partir de cette réalité, plutôt que supposer que seul le destinataire final peut scanner le code.

Ce qu’il faut retenir

• Examinez séparément l’image, le contenu encodé et la ressource obtenue.
• Distinguez une référence de dossier d’un secret qui autorise son accès.
• Vérifiez les droits sur le dossier et ses pièces, même après connexion.
• Préparez la révocation et le traitement des copies avant d’imprimer les supports.

FAQ

Faut-il demander le consentement pour utiliser un QR code ?

Le format ne détermine pas la base légale. Il faut qualifier les opérations réalisées et leur finalité ; scanner un reçu ne vaut pas accord général à d’autres traitements.

Un code illisible à l’œil nu rend-il les données anonymes ?

Non. Un outil peut décoder la valeur et le service peut la relier à une personne. L’absence de nom apparent n’établit pas l’anonymat.

Peut-on désactiver des coordonnées directement imprimées dans le code ?

Pas en modifiant seulement une base en ligne : la valeur demeure dans les copies de l’image. La révocation à distance concerne les accès dépendant d’un service qui la contrôle effectivement.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.