Quelles données ne jamais écrire sur un badge ?
Tout ce que vous n'imprimeriez pas sur la face avant. Un badge se porte en public toute la journée, se lit par quiconque s'approche avec un téléphone, et quitte le lieu dans une poche. La puce n'est pas un compartiment privé.
L'hypothèse à abandonner
On traite la puce comme un compartiment caché parce que son contenu n'est pas visible. Il n'est pas caché, il est non étiqueté.
N'importe qui muni d'un téléphone peut lire un badge à quelques centimètres, ce qui dans un hall bondé, un ascenseur ou une file d'attente est une distance normale entre deux personnes.
La lecture ne laisse aucune trace et ne demande aucune interaction, donc le porteur n'a aucun moyen de savoir qu'elle a eu lieu.
Le bon modèle mental est que la puce est une seconde face imprimée, lisible par toute personne assez proche, sans rien demander.
Ce qui n'y va jamais
Les coordonnées personnelles en clair : numéro de mobile, adresse électronique personnelle, adresse du domicile.
Tout ce qui concerne la personne et ne figure pas déjà sur la face imprimée : sensibilité du poste, régime alimentaire ou information médicale, besoins d'accessibilité.
Tout ce qui sert d'identifiant ailleurs : un matricule employé qui ouvre un bâtiment, une référence de compte, une référence de réservation qui désigne une chambre d'hôtel.
Et tout ce qui concerne d'autres personnes, comme les coordonnées d'un collègue regroupées sur un badge d'entreprise.
Employer un identifiant à la place
Écrire un identifiant opaque qui ne signifie rien en dehors de votre système d'événement. Qui lit le badge apprend un numéro.
Tout ce qui concerne la personne réside alors dans le système, derrière le contrôle d'accès que vous appliquez, et cela se corrige, se restreint et s'efface.
Rendre l'identifiant opaque plutôt que séquentiel. Un numéro qui s'incrémente indique à qui le lit le nombre de participants et permet de deviner les badges voisins.
Et dire aux participants ce que le badge contient et ce qui est enregistré quand il est lu. C'est à la fois une bonne pratique et ce à quoi sert une information sur le traitement des données.
Il survit à l'événement
Les badges rentrent à la maison dans des sacs et restent des années dans un tiroir. Un badge portant des données personnelles est une petite fuite à durée indéfinie, hors de votre contrôle et hors de l'esprit du porteur.
Un identifiant devient inerte une fois invalidé, ce qui est l'argument pratique le plus fort en faveur de cette conception.
Si les badges ont été écrits avec un contenu personnel et ne sont pas verrouillés, les effacer à la collecte. S'ils ont été verrouillés, ils ne s'effacent pas, ce qui est une raison de plus de ne pas verrouiller un badge d'événement.
Et invalider chaque identifiant à la clôture de toute façon, puisqu'un badge qui mène encore quelque part reste un titre d'accès.
Questions fréquentes
Quelqu'un peut-il lire mon badge à mon insu ?
Oui, à quelques centimètres, sans laisser de trace. C'est l'hypothèse à retenir en conception plutôt qu'une attaque improbable.
Un nom sur la puce pose-t-il problème ?
Moins que des coordonnées, et il figure déjà sur la face imprimée. Le test est de savoir si vous l'y imprimeriez.
Pourquoi l'identifiant doit-il être opaque ?
Un numéro séquentiel révèle l'ampleur de l'événement et permet de deviner d'autres badges. Une valeur opaque ne révèle rien.
Et les badges gardés après l'événement ?
Ils conservent indéfiniment ce qui y a été écrit. Un identifiant devient sans signification une fois invalidé, des données personnelles non.