新型コロナワクチン接種のデジタル証明書「EUグリーンパス」のQRコードには一体何が書かれているのか？

EUが、新型コロナウイルスの検査結果やワクチン接種の情報をまとめたデジタル証明書「EU Digital COVID Certificate」、通称「EUグリーンパス」の制度を2021年7月1日から施行します。このEUグリーンパスはQRコードか紙を利用して情報を提示する予定となっています。実際にどんな情報がどのようにしてQRコードに格納されているのかについて、オーストリア在住のエンジニアであるTobias Girstmair氏がブログで解説しています。

gir.st - What's Inside the EU Green Pass QR Code?
https://gir.st/blog/greenpass.html

EUグリーンパスの技術仕様を策定したeHealth Networkの担当部署は、GitHubにQRコードの仕様を公開しています。

hcert-spec/README.md at main · ehn-dcc-development/hcert-spec · GitHub
https://github.com/ehn-dcc-development/hcert-spec/commits/main/README.md

実際に、架空のデータから生成されたEUグリーンパスコードのQRコードが以下。Girstmair氏は「QRコードとしてはかなり大きいサイズですが、単なるハイパーリンク以上のものを格納していると考えると、想定内の大きさです」と述べています。

このQRコードをデコードすると、以下のような内容になります。

t@thi3nkpad ~ % zbarimg --raw greenpass.png
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

一見すると謎の文字列ですが、これは署名した上で特定の情報をBase45エンコーディングによってエンコードしたものだとのこと。どういう情報をエンコードしているのかについては、eHealth Networkが公開する(PDFファイル)技術仕様に記されています。

実際に上のデコード内容を、Girstmair氏のPythonスクリプトで元のデータに戻すと以下のようになります。

{-260: {1: {'dob': '1998-02-26', #誕生日
            'nam': {'fn': 'Musterfrau-Gößinger', #姓
                    'fnt': 'MUSTERFRAU<GOESSINGER',#姓のパスポート表記
                    'gn': 'Gabriele', #名
                    'gnt': 'GABRIELE'},#名のパスポート表記
            'v': [{'ci': 'URN:UVCI:01:AT:10807843F94AEE0EE5093FBC254BD813#B', #グリーンパスポートのID
                   'co': 'AT', #ワクチン接種国
                   'dn': 1, #ワクチン接種済みの回数
                   'dt': '2021-02-18', #ワクチン接種年月日
                   'is': 'Ministry of Health, Austria', #証明者
                   'ma': 'ORG-100030215', #ワクチン製造者
                   'mp': 'EU/1/20/1528', #ワクチン製造ID
                   'sd': 2, #必要なワクチン接種回数
                   'tg': '840539006', #標的疾患(この場合は新型コロナウイルス感染症)
                   'vp': '1119349007'}], #ワクチン接種や予防
            'ver': '1.2.1'}}, #EUグリーンパスポートのスキーマバージョン
 1: 'AT', #QR発行者
 4: 1624458597, #QRコードの有効期限
 6: 1624285797} #生成されたQRコード

この情報をまとめると「23歳のガブリエレは2021年2月18日にオーストリアで、ファイザー製mRNAワクチンの予防接種(1回目)を受けた」ということが読み取れます。QRコードにはワクチンの効用期間の情報が含まれていませんが、これは接種した回数と接種日、状況からスキャナーアプリ側が算出するとのこと。

EUグリーンパスポートをはじめとするワクチン接種のデジタルパスポートはアメリカや日本でも導入が検討されていますが、「プライバシー面では不安が残る」と懸念する声も出ています。Girstmair氏はEUグリーンパスのQRコードを解析した上で、「接種したワクチンの名前やメーカー以外に余計なデータは入っていないので、EUグリーンパスコードをQRコードに変換しているといっても、一部で懸念されているようなプライバシーの侵害はあり得ません」と述べています。