Une succession improbable d'au moins quatre bourdes humaines, couplées à un système informatique insuffisamment sécurisé, a conduit Mediapart à laisser entendre qu'Emmanuel Macron n'aurait été vacciné qu'au lendemain de l'annonce du passe sanitaire, et non à l'ouverture de la vaccination pour tous. À la grande joie des complotistes et anti-vaxx.

Emmanuel Macron a-t-il été vacciné le 13 juillet dernier (au lendemain de son allocution présidentielle sur le passe sanitaire), et non le 31 mai 2021 (jour de l’ouverture de la campagne de vaccination à tous les adultes), comme vient de le révéler Mediapart ?

L'article de notre confrère évoque un « imbroglio autour de la vaccination de Macron ». L'Élysée reconnaît une « erreur » dans la transmission des données, mais ne répond pas non plus vraiment à ses questions.

« Malgré de multiples relances », écrit Mediapart, « l’Élysée a refusé de communiquer à Mediapart (...) le numéro de lot de vaccin (dont il est ensuite possible de retracer la date de livraison) ou la date de signature par l’agent vaccinateur — deux données figurant sur le même formulaire télétransmis à l’Assurance-maladie, qui ne contiennent pourtant aucune donnée sensible — (qui) pourraient permettre de trancher entre les dates ».

Emmanuel Macron avait en effet annoncé, sur Twitter et Instagram notamment, le 31 mai en fin de journée, que lui et sa femme Brigitte venaient d'être vaccinés. Or, les données enregistrées auprès de l’Assurance-maladie révèlent que le certificat officiel d’Emmanuel Macron – que Mediapart a pu consulter et authentifier – indique comme « date de vaccination » le 13 juillet.

Étrangement, le certificat de vaccination de Brigitte Macron date bien, lui, du 31 mai. « Comment expliquer un tel décalage pour le président ? Emmanuel Macron aurait-il pu mentir sur sa véritable date de vaccination ? », s'interroge tout à trac Mediapart, sans que l'on comprenne pourquoi l'article privilégie ainsi l'hypothèse d'un mensonge à celle d'une bourde ou d'un bug.

« L’Élysée explique que la date du 13 juillet est le fruit d’une erreur de saisie réalisée au moment de la génération tardive du certificat de vaccination, tout en refusant de nous communiquer des éléments prouvant que le président a bien été vacciné le 31 mai », précise cela dit Mediapart.

Notre confrère a profité d'une faille de sécurité, qu'il avait d'ailleurs révélée en janvier dernier, « et qui n’a toujours pas été corrigée (il suffit de se procurer le numéro de sécurité sociale de la personne) », pour consulter la fiche et le QR code d'Emmanuel Macron.

L’équipe d’Emmanuel Macron lui a répondu que « l’erreur provenait de la télétransmission à l’Assurance-maladie de la vaccination du président. Celle-ci n’aurait été réalisée que le 13 juillet, ce qui expliquerait que cette date figure sur le passe sanitaire de M. Macron ».

« Est-ce à dire que les données de Mme Macron auraient été transmises dès le 31 mai mais pas celles de son mari ? », s'interroge notre confrère.

« Dans la fiche d’Emmanuel Macron, la date d’ordonnance est du 31 mai 2021, quand celle d’éligibilité est du 13 juillet 2021. Sollicitée, l’Assurance-maladie indique que la date d’éligibilité, qui correspond bien à la date de transmission, est pré-remplie et ne peut être modifiée, à l’inverse de la date d’ordonnance, qui peut être corrigée a posteriori.

L’Élysée indique à ce sujet que c’est en remplissant, le 13 juillet, le document de transmission qu’il y a eu une erreur humaine et une « confusion » entre la date de saisie et la date de vaccination. La personne ayant rédigé la fiche du président n’aurait pas précisé, le 13 juillet, que la vaccination avait eu lieu le 31 mai. »

Des propos confirmés par un médecin généraliste, Michaël Rochoy (@mimiryudo sur Twitter, où il précise être co-fondateur des collectifs @SPostillons & @Cote_Science). Il avait en effet consulté la fiche de vaccination d'Emmanuel Macron le 16 juillet dernier, pour en démontrer la faisabilité, et alerté l'Élysée du problème dans la foulée, mais sans que ce dernier n'ait depuis daigné rectifier l'erreur. Chronique d'une série de ratés.

Les « super-pouvoirs » des professionnels de santé

Ce 16 juillet, il interpellait la CNIL via son compte Twitter : « @CNIL Si vous êtes disponible, j'aimerais vous contacter pour un truc assez important... ». 

Le 4 août, il publiait sur son blog un billet plus explicite, et critiquant le fait que « depuis janvier 2021, la CNIL a autorisé :

• tous les médecins, pharmaciens, infirmiers à avoir accès au statut vaccinal d’un patient dont ils disposent du numéro de sécurité sociale ;
• tous les établissements de santé, auxiliaire médicaux, chirurgiens-dentistes, médecins, pharmaciens, sages-femmes et acteurs du médico-social à avoir accès au numéro de sécurité sociale de tout patient… »

Concrètement, il suffit en effet de « rentrer nom, prénom, date de naissance et sexe » dans le téléservice INSi (Identité Nationale de Santé, intégré sur les logiciels métiers des professionnels de santé depuis le 1er janvier) pour « obtenir le numéro de sécurité sociale » de n'importe quel assuré, y compris celui d'Emmanuel Macron, ce qu'il entendait dénoncer :

« La CNIL interdit les généralistes de connaître le statut vaccinal de leurs patients de façon simple, mais autorise tous les professionnels de santé du pays à connaître le statut vaccinal de toute personne dont la date de naissance est connue…

Soyons honnête, la liste des patients non-vaccinés du Docteur Grostéto à Tricotis-les-Aigletons, ce n’est pas de nature à intéresser la population.

Par contre, savoir quel politicien, candidat, quel animateur TV, quel acteur, quelle personnalité publique s’est fait vacciner à quelle date, avec quel vaccin… ça peut sans doute trouver un autre intérêt de leak sur Reddit et compagnie. »

Michaël Rochoy concluait son billet en expliquant avoir « proposé à la CNIL d’en discuter » et « contacté (pour la 1ère fois de ma vie évidemment…) l’accueil de l’Élysée pour les informer également que n’importe quel professionnel de santé en France pouvait récupérer le QRCode d’absolument n’importe qui. Ça n’a finalement pas eu l’air de les émouvoir, ce qui est quand même pas mal en faveur de la "posture" 😉 ».

Sur Twitter, il partageait son billet, alertant Ameli, la CNIL et Olivier Véran en mode « où on découvre les super-pouvoirs de tout professionnel de santé ».

« J'ai vu l'erreur et j'ai appelé l'Élysée »

Le 15 août, il tweetait une piqûre de rappel de son billet, s'étonnant que « tout médecin, infirmier, pharmacien (non exhaustif) peut :

- obtenir le numéro de sécu de tout le monde avec nom/prénom/date de naissance (depuis le 1/1/2021)
- obtenir le statut vaccinal avec tout numéro de sécu. »

À l'appui de sa démonstration, deux captures d'écran révélant qu'il pouvait ainsi accéder au statut vaccinal d'Emmanuel Macron, tout en précisant que « le secret médical incite à arrêter là, mais d'autres personnes moins scrupuleuses sont peut-être en train de lister le statut de politiciens... Là le statut du PR est accessible, on peut le modifier/supprimer » :

Ca prend littéralement 1 minute...
Sur mon logiciel :
- je rentre nom, prénom, date de naissance
- j'obtiens automatiquement (sans rien demander) le numéro de sécu grâce au téléservice INSi (validé par la CNIL)
Sur le site de la sécu :
- je rentre le numéro de sécu
Voilà... pic.twitter.com/LM1s8G32h0

— Michaël (@mimiryudo) August 15, 2021

Réagissant à l'article de Mediapart, Michaël Rochoy a depuis retweeté son tweet du 15 août en expliquant qu'il n'était pas « responsable de la fuite dans @Mediapart », mais qu'il avait bien « consulté la fiche du PR le 16/7 », que « le PR a vraisemblablement été vax le 31/5, le scoop d'@edwyplenel c'est du flan » et que « J'ai vu l'erreur et j'ai appelé le 16/7 @Elysee pour justement éviter ça. Pas d'action... »

« Si ça sort, ça craint »

Contacté, Michaël Rochoy nous précise qu'il se souvenait du tweet de Macron en date du 31 mai, qu'il l'avait vérifié, ce pourquoi il avait alors contacté l'Élysée : « Je suis MG [médecin généraliste, ndlr] et je vous appelle pour dire que j’ai récupéré le QR CODE du PR [président de la République, ndlr] et qu’il y a une erreur : "si ça sort, ça craint, c’est comme si le PR s’était fait vacciner le lendemain de son intervention" » :

« J’ai eu la secrétaire d’accueil de l'Elysée à qui j’ai dit que l’info méritait d’être transmise au PR et/ou au médecin du PR. J’ai tout détaillé 2 fois au moins…
Pourtant elle avait l’air concernée, avec des "ohla oui" et des "je vais faire remonter …" »

Las : son interlocutrice lui avait donc « assuré que ça remontait… je pensais qu’ils s’en occuperaient… ».

Il nous précise également : « mon tweet du 15/8 ne mentionne aucun problème sur la fiche, juste qu’elle est accessible. Je ne pouvais pas révéler à quelqu’un d’autre que l’Élysée qu’il y avait un problème… Et je ne voyais pas d’autre moyen de joindre le principal concerné, je n’ai pas le 06 du Président. »

Michaël Rochoy n'avait pas enregistré son appel téléphonique à l'Élysée mais, interrogé sur d'éventuelles traces, il nous a renvoyé (dans la foulée, et donc sans qu'il ait pu prendre le temps de les photoshopper) deux captures d'écran d'un SMS à ce sujet, ainsi que de l'appel téléphonique en question.

Le médecin ayant vacciné le Président aurait donc non seulement oublié de cliquer sur le bouton le 31/05, de sorte de valider la vaccination d'Emmanuel Macron, mais également de corriger la date de vaccination, lors de sa validation le 13/07 :

« C’est ça, il a fait les 2 erreurs ; ça peut sembler improbable mais en fait c’est très simple, je me suis déjà moi-même fait avoir à imprimer un certificat d’éligibilité en oubliant de cliquer sur "poursuivre la vaccination"…

Pour le coup, Mediapart ne s’est pas trompé dans l'article : ils font la part belle à l’erreur humaine, sauf que leur présentation sur Twitter est volontiers alléchante pour les complotistes :/ »

Il estime dès lors qu'il y aurait « 3 options » :

« - le PR est vacciné le 31/5 et son médecin a imprimé le certif d’éligibilité en oubliant de cliquer sur poursuivre la vaccination. Il se rattrape le 13/7 parce que le PR lui demande (en préparant le 14 juillet ?)
- le PR est antivax et se décide le 13/7, après avoir fait l’éligibilité le 31/5 (pourquoi ?). Trop honnête il ne demande pas à antidater (…)
En fait je ne vois pas de 3eme option ;-) »

L'Élysée aurait donc enchaîné quatre ratés, deux émanant du médecin ayant vacciné le Président, deux autres relevant de l'administration de la présidence : 

1. le médecin de l'Élysée aurait omis de valider sa vaccination le 31 mai dernier ;
2. en (re)validant sa vaccination le 13 juillet, il aurait omis de corriger la date ;
3. l'Élysée n'aurait pas pris en compte la mise en garde de Michaël Rochoy, qui l'avait pourtant contacté le 16 juillet à ce sujet ;
4. la Présidence n'a pas non plus été en mesure de répondre correctement à Mediapart, pas plus que de le renvoyer au signalement de Michaël Rochoy le 16 juillet

« J'ai voulu lancer l'alerte »

Interrogé sur ses motivations, Michaël Rochoy – qui a par ailleurs eu des mots durs à l'encontre de la politique sanitaire d'Emmanuel Macron – explique avoir voulu lancer l'alerte : 

« Je n’ai rien à cacher, j’ai vraiment joué ce rôle des « hackers » qui montrent qu’il existe une faille en allant au bout. Et la révèlent à Google ou à un autre.
Bon c’est très prétentieux de dire hacker hein, j’ai fait un copier-coller d’un numéro obtenu avec la date de naissance et le patronyme du PR.
Sauf que d’habitude, Google fait un correctif et révèle le problème. Là l’Élysée laisse filer… et c’est Mediapart qui révèle ! »

Il rappelle qu’il est illégal d’obtenir ce type d’informations : « il ne faut pas le faire ou le refaire ! Là, j’ai voulu faire une preuve de concept qu’un professionnel de santé peut obtenir le pass du Président de la République, qui avait révélé publiquement sa date de vaccination — et bien sûr, je ne l’ai pas diffusée publiquement, je me suis toujours gardé de révéler l’erreur sur le pass, ce que d’autres moins scrupuleux n’ont pas hésité auprès de Mediapart… » : 

« Finalement la preuve de concept vient d’arriver au bout : on peut y avoir accès, certains le savent et n’hésitent pas à révéler à des journalistes des informations dont le simple bon sens révèle qu’elles sont vendeuses mais fausses (éligible le 31 quand il le rend public en même temps que sa femme, mais vacciné au lendemain d’une allocution visant à rendre la vaccination quasi obligatoire ? Soyons sérieux…)

J’ai voulu alarmer pour éviter qu’on découvre stupéfait dans quelques semaines ce type d’article pouvant freiner la vaccination… voire qu’on voit apparaître des listings de politiques vaccinés ou non. Là, je l’ai fait en mon nom propre parce que je n’avais pas de volonté de nuire mais d’alerter… mais en centre de vaccination, c’est souvent un seul médecin signataire pour des centaines de milliers de vaccins depuis le début, avec des centaines de médecins ou infirmiers ou internes qui se partagent les mêmes ordinateurs.

Il peut être très facile pour un professionnel peu scrupuleux d’aller récupérer des informations sans être clairement identifié comme le requêteur. »

Dans le thread qu'il a consacré à sa démarche, Michaël Rochoy se qualifie lui-même de Cassandre, « personne qui prédit une issue défavorable aux événements, au risque de déplaire ou de ne pas être crue », renvoyant à un billet prémonitoire qu'il avait publié le 18 juillet. 

Tiens, vous savez comment on appelle un type qui appelle l'Élysée pour prévenir qu'il y a un risque de fuite qui pourrait faire croire que le PR s'est fait vacciner tardivement... et qui n'est pas écouté ?

Un Cassandre
😭https://t.co/J70dJdDAXC

— Michaël (@mimiryudo) August 26, 2021

« Pendant la pandémie de COVID-19, le gouvernement a usé et abusé de l’expression "jouer les Cassandre" pour discréditer les scientifiques… Sauf que de façon très ironique, ils l’ont utilisé pour critiquer ceux qui avaient raison et qu’ils n’ont pas écoutés », déplorait-il.

Il n'y a pas de faille

Interrogés par Mediapart en janvier dernier, les services de la Cnam avaient nié toute « faille » dans le système en estimant qu’« il appartient au médecin de procéder à une recherche ou à un enregistrement uniquement et exclusivement pour ses patients ».

« Il s’agit là des règles courantes relatives à l’exercice professionnel de médecins qui sont soumis au secret médical et dont l’encadrement de la profession est très strict. Estimer que cela relève d’une faille de sécurité consisterait donc à considérer que, par nature, les médecins ne respectent pas leurs obligations, ni la déontologie à laquelle ils sont réglementairement soumis », ajoutait la Cnam, qui rappelait que les accès sont tracés.

Une analyse corroborée par la CNIL, relève Mediapart : « Contrairement à ce qui a été rapporté dans la presse, cette fonctionnalité de recherche par le NIR, ouverte à tout professionnel de santé habilité à réaliser des opérations de vaccination, ne constitue pas un défaut de sécurité. »

« Ces possibilités de recherches par NIR ne sont pas exclusives au téléservice Vaccin-Covid », rappelait en outre la commission. Elle précisait également avoir « constaté qu’un message de rappel est affiché à l’attention des professionnels de santé pour leur rappeler que toute consultation illégitime peut entraîner des sanctions ».

En attendant, complotistes et anti-vaxx s'engouffrent dans la brèche et hurlent au mensonge. D'autres déplorent que Mediapart ait pu accéder à ces données (qui sont les mêmes que celles qui figurent dans le QR Code du passe sanitaire, et alors qu'Emmanuel Macron avait lui-même annoncé s'être fait vacciner). 

Reste encore à savoir si l'article de Mediapart amènera d'autres professionnels de santé à aller consulter les statuts vaccinaux d'autres personnalités, et comment la Cnam (voire la CNIL) réagira à ce sujet.