Vous n'avez pas encore de notification

Page d'accueil

Options d'affichage

Abonné

Actualités

Abonné

Des thèmes sont disponibles :

Thème de baseThème de baseThème sombreThème sombreThème yinyang clairThème yinyang clairThème yinyang sombreThème yinyang sombreThème orange mécanique clairThème orange mécanique clairThème orange mécanique sombreThème orange mécanique sombreThème rose clairThème rose clairThème rose sombreThème rose sombre

Vous n'êtes pas encore INpactien ?

Inscrivez-vous !

Application StopCovid : La CNIL exige la correction de plusieurs irrégularités

Bas les masques !
Droit 6 min
Application StopCovid : La CNIL exige la correction de plusieurs irrégularités
Crédits : Patrick Daxenbichler/iStock

Comme promis, la Commission chargée de veiller au respect des données personnelles a mis son nez dans StopCovid. Ses conclusions ? L’application de suivi de contact souffre de plusieurs problèmes au regard du RGPD. « Le ministère de la Santé est mis en demeure d’y remédier » expose l’autorité.

L’application StopCovid a été lancée le 2 juin, en plein état d’urgence sanitaire. Son fonctionnement a été résumé dans l’arrêté au Journal officiel : lorsque « deux téléphones mobiles se trouvent, au regard du risque de contamination par le virus du covid-19, à une proximité suffisante l'un de l'autre », à savoir à moins d’un mètre durant au moins 15 minutes, une alerte peut être adressée à l’ensemble des contacts d’un sujet à risque.

Le « signal » initial est adressé par un autre utilisateur, via un code fourni par le personnel médical, après une batterie d’examens constatant sa contamination. L’utilisation de ce code fait alors remonter son historique de contacts au serveur central qui va jauger le risque de contamination auprès de l’ensemble de son graphe social croisé ces derniers jours.

Derrière la technique, il y a surtout un flux de données personnelles « collectées et enregistrées par l'application sur le téléphone mobile de l'utilisateur et stockées sur le serveur central en cas de partage par l'utilisateur de l'historique de proximité des contacts à risque de contamination par le virus du Covid-19 » écrivait la CNIL dans son second avis.

L’autorité avait été en effet saisie par deux fois. Un premier avis en date du 24 avril 2020 s’était penché sur le projet d’application mobile. Le second du 25 mai 2020 visait plus directement le projet de décret relatif à StopCovid. Le 28 mai, trois jours après ce dernier avis, la présidente de la CNIL avait décidé de lancer une mission de vérification du traitement mis en œuvre par la direction générale du ministère de la Santé.

S’en est alors suivi une série d’échanges avec le ministère, accompagné de contrôle portant sur l’analyse d’impact, le registre des traitements et la documentation technique. Ces contrôles se sont densifiés puisque deux versions de StopCovid sont aujourd’hui en circulation en France.

Dans sa délibération, la Commission relève que la v1 a été téléchargée 1,9 million de fois, activée 1,5 million de fois. Pour la suivante les chiffres sont plus légers : « le nombre d’applications « StopCovid France » installées et activées après la sortie de la v1.1.* s’élève à environ 147 000 » indique le ministère de la Santé suite à une demande d’information de la CNIL.

Une remontée des contacts massive, sans filtre local

Plusieurs manquements ont été repérés par l’autorité. D’abord sur la gestion des contacts. Dans la première version, l’ensemble de l’historique des contacts remontait au ministère sans préfiltrage.

Une procédure en contrariété directe avec les textes, puisque le décret du 29 mai relatif à StopCovid ne réserve un tel traitement qu’aux contacts à risque, ceux ayant été à moins d’un mètre pendant plus d’un quart d’heure. Cette contrariété entraine nécessairement une violation du règlement général sur la protection des données personnelles (RGPD) et la Commission enjoint le ministère de la Santé de cesser « de faire remonter l’intégralité des données de l’historique de contacts de l’utilisateur au serveur central ». Il a pour cela le choix des armes.

Mais l’autorité lui suggère de prendre « toutes mesures appropriées permettant de généraliser l’usage de la nouvelle version de l’application ». En effet, la v1.1 a introduit depuis un système de préfiltrage au niveau du téléphone pour éviter les remontées surabondantes d’informations personnelles.

Des informations manquantes

Au fil de son enquête, la CNIL a relevé d’autres indélicatesses. Par exemple, sur le terrain de l’information des personnes concernées, le ministère a omis de préciser dans la rubrique « confidentialité » que INRIA agissant en qualité de sous-traitant et plus exactement d’assistant à la maîtrise d’œuvre « traite des données à caractère personnel issues de l’application StopCovid France pour le compte du ministère des Solidarités et de la Santé ».

De même les clauses du contrat passé entre INRIA et le ministère « ne précisent pas que le sous-traitant aide le responsable de traitement à s’acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d’exercer leurs droits ». De même aurait dû être mentionné « que le sous-traitant aide le responsable de traitement à garantir le respect des obligations […] RGPD et que le sous-traitant met à la disposition du responsable de traitement toutes les informations nécessaires pour (…) permettre la réalisation d’audits ».

Des oublis dans l’analyse d’impact

La version actuelle de l’analyse d’impact n’a pas échappé à ces critiques. Le texte européen exige que ce document porte « une description systématique des opérations de traitement envisagées et des finalités du traitement, y compris, le cas échéant, l’intérêt légitime poursuivi par le responsable de traitement ».

Or, l’analyse d’impact de StopCovid « ne précise pas que la solution anti DDOS (solution visant à prévenir les attaques par déni de service) proposée par la société ORANGE et implémentée dans l’application aux fins de sécurisation du système, entraine la collecte des adresses IP (« internet protocol ») des utilisateurs de l’application ».

La version antérieure du document avait omis que StopCovid utilise le captcha fourni par Google. Destiné à s’assurer que le comportement de l’utilisateur prétendu est bien celui d’un humain, cet outil a attisé l’attention de l’autorité.

Le captcha Google doit être précédé d’un consentement

Si la v1.0 utilisait le captcha Google, la v1.1 a confié cette authentification à Orange. Une technologie « qui ne requiert aucune opération de lecture ou d’écriture sur l’ordiphone de l’utilisateur ». Le souci se pose sur la première version puisque la solution développée par la firme de Mountain View ne se contente pas de sécuriser l’application, mais également d’effectuer des opérations d’analyse. Ces derniers traitements, aux yeux de la CNIL, doivent impérativement reposer sur le consentement de l’utilisateur, précédé d’une solide information.

Problème : « la délégation a constaté que les utilisateurs de l’application StopCovid France dans sa version v1.0.* ne sont à aucun moment informés, notamment par une fenêtre de consentement au moment de l’activation de l’application, de la collecte d’informations stockées sur leurs équipements mobiles ni des moyens de refuser cette collecte ». Les données sont donc traitées sans information ni consentement de l’utilisateur.

« La Présidente de la CNIL ne peut exclure que le reCaptcha Google puisse encore être utilisé par des personnes ayant téléchargé la version 1.0.* de l’application, mais ne l’ayant pas encore activée ». Une défaillance qui devra être corrigée, soit par une fenêtre de consentement, soit par un basculement de l’ensemble du parc vers la v1.1 par exemple. « Cette injonction vise le cas des utilisateurs ayant téléchargé la version v1.0.* de l’application et ne l’ayant pas encore activée pour la première fois », soit selon les chiffres révélés, au tour de 400 000 personnes.

De l’utilité de StopCovid pour justifier l'atteinte à la vie privée

Dans sa délibération, publique, la Commission ajoute que si la protection de la santé est un objectif à valeur constitutionnelle, l’atteinte à la vie privée « n’est admissible en l’espèce que si le gouvernement peut s’appuyer sur des éléments suffisants pour avoir l’assurance raisonnable que le dispositif de l’application « StopCovid France » est utile à la gestion de la crise ».

Dans son avis du 25 mai 2020, l’autorité avait réclamé « que l’impact effectif du dispositif sur la stratégie sanitaire globale soit étudié et documenté par le gouvernement de manière régulière pendant toute sa période d’utilisation ». Lors des contrôles, elle a constaté « que l’évaluation formelle de l’effectivité de l’application n’avait pas encore débuté et que le calendrier du travail d’évaluation n’avait pas encore été établi par le ministère ».

60 commentaires
Avatar de boogieplayer Abonné
Avatar de boogieplayerboogieplayer- 20/07/20 à 14:31:30

C'est quand même dingue, toute l'analyse de ces problèmes avait été vu depuis longtemps et avant la sortie officielle. Et pourtant rien n'y fit, on a quand même fait ce truc qui aujourd'hui ne sert strictement à rien.

On notera également le silence bruyant du gouvernement et de l’administration qui ne communique pas ou peu sur l' appli.

La montagne, la souris...

Édité par boogieplayer le 20/07/2020 à 14:31
Avatar de vince120 Abonné
Avatar de vince120vince120- 20/07/20 à 15:10:58

boogieplayer a écrit :

ce truc qui aujourd'hui ne sert strictement à rien.

C'est pas l'avis de celui qui encaisse la facture ^^. Ca rapporte un bon paquet de brouzoufs chaque mois...

Avatar de Jarodd INpactien
Avatar de JaroddJarodd- 20/07/20 à 15:21:00

Le but de cette appli était de faire du bruit médiatique à sa sortie, pour occulter l'absence de tests et de masques. Maintenant que la situation a évolué, le gouvernement n'a plus besoin d'agiter ce chiffon rouge pour faire détourner les regards. Aujourd'hui tout le monde a oublié cette appli. Sauf erreur on n'a même de secrétaire d'État au numérique pour faire le SAV ! (bon ça, c'est pas un mal)

Avatar de BlueSquirrel Abonné
Avatar de BlueSquirrelBlueSquirrel- 20/07/20 à 15:29:31

Curieux, j 'ai souvenir que dans la com du gouvernement il y avait notamment l'argument "L'appli a été validée par la CNIL".

J'ai rêvé ? Ou bien cette "validation" est donnée trop facilement ? (vu les irrégularités constatées par la CNIL dès la v1.0)

Avatar de carbier INpactien
Avatar de carbiercarbier- 20/07/20 à 15:46:21

Jarodd a écrit :

Sauf erreur on n'a même de secrétaire d'État au numérique pour faire le SAV ! (bon ça, c'est pas un mal)

Toi qui aime dénigrer en permanence les gouvernements, quel qu'ils soient, tu devrais pourtant savoir qu'aucun secrétaire d'état n'a encore été désigné.

boogieplayer a écrit :

C'est quand même dingue, toute l'analyse de ces problèmes avait été vu depuis longtemps et avant la sortie officielle. Et pourtant rien n'y fit, on a quand même fait ce truc qui aujourd'hui ne sert strictement à rien.

Ce qui est dingue c'est que même en ayant lu l'article tu nous sortes ce genre de clichés. La plupart des problèmes sont traités dans la V1.1, le reste est un problème de documentations et de rapports.

Avatar de zempa INpactien
Avatar de zempazempa- 20/07/20 à 15:48:10

Jarodd a écrit :

Le but de cette appli était de faire du bruit médiatique à sa sortie, pour occulter l'absence de tests et de masques. Maintenant que la situation a évolué, le gouvernement n'a plus besoin d'agiter ce chiffon rouge pour faire détourner les regards. Aujourd'hui tout le monde a oublié cette appli. Sauf erreur on n'a même de secrétaire d'État au numérique pour faire le SAV ! (bon ça, c'est pas un mal)

C'est la bonne vieille technique de politicien qui met en avant une "mesure"|"réforme"|"avancée"| etc, pour faire la démonstration de son action.
 
Sauf qu'on n'évalue pas sa véritable efficacité et on ne mesure encore moins les INpacts (positifs ou négatifs).
Résultat, on se retrouve avec un amoncellement de lois pas forcément très utiles...

 Ça rappelle un peu le fameux "planqué" en entreprise., sauf qu'en entreprise, le planqué il est très souvent le seul de son espèce... :francais:

Avatar de SebGF Abonné
Avatar de SebGFSebGF- 20/07/20 à 15:56:59

J'avoue me poser la même question, ou alors ils ont validé le cahier des charges et le résultat final présente des écarts. (changement d'avis en cours de route + contraintes calendaires, ça provoque souvent des ennuis)

Après j'ai du mal à comprendre la notion de v1.0 et v1.1 .. Les applis smartphone se mettent à jour automatiquement, donc les corrections apportées par cette version devraient déjà être disponibles non ?

Avatar de DanLo Abonné
Avatar de DanLoDanLo- 20/07/20 à 16:08:17

carbier a écrit :

Ce qui est dingue c'est que même en ayant lu l'article tu nous sortes ce genre de clichés. La plupart des problèmes sont traités dans la V1.1, le reste est un problème de documentations et de rapports.

Qu'est-ce que tu racontes..?

  • L'analyse d'impact est toujours parcelaire et donc en contradiction directe avec RGPD avec l'INRIA qui récolte et traite toutes les données de l'appli (surpriiiise !), et non, ce n'est pas un simple "problème de documentation" vu toute la règlementation qui en découle
  • Le problème avec le captcha google a été remplacé par un autre problème avec celui d'Orange (qui collecte les IPs).
  • L'efficacité de l'appli n'est toujours pas prouvée (alors que c'était une condition sine qua non de la CNIL)

Au final, la seule chose qu'ils ont vraiment réglé c'est la remontée des informations vers le serveur central qui est juste abusée en V.1. Je ne sais même pas quel "filtre de remontée d'information" ils ont mis en V1.1 d'ailleurs, donc même là, le doute persiste un peu... Rien d'autre. Et la seule info qu'on a sur le filtre, c'est sa mention pendant 30 secondes en conférence de presse (le code source public n'a pas la V1.1 encore, et aucun détail n'a été donné sur l'implémentation).

Et le secrétaire d'Etat au Numérique n'a pas bougé, c'est toujours Cédric O.

...cette mauvaise foi permanente...


Fun fact : la page du gouvernement dédiée à l'application met en lien utile le rapport de la CNIL datant de Mai... mais pas la dernière en date avec mise en demeure...

Édité par DanLo le 20/07/2020 à 16:11
Avatar de boogieplayer Abonné
Avatar de boogieplayerboogieplayer- 20/07/20 à 16:11:31

carbier a écrit :

Ce qui est dingue c'est que même en ayant lu l'article tu nous sortes ce genre de clichés. La plupart des problèmes sont traités dans la V1.1, le reste est un problème de documentations et de rapports.

Ce qui est dingue c'est que même en ayant lu mon commentaire tu me sorte ce genre de cliché. Je parlais à la sortie. Pas dans le peu de corrections apportés.

Tu me diras que 90% des personnes sont toujours utilisateurs de la version incriminées, donc j'ai encore raison.https://www.numerama.com/politique/637756-stopcovid-90-des-utilisateurs-ont-enco...

Allez copain, détends toi :kimouss:

Avatar de Winderly Abonné
Avatar de WinderlyWinderly- 20/07/20 à 16:22:49

BlueSquirrel a écrit :

Curieux, j 'ai souvenir que dans la com du gouvernement il y avait notamment l'argument "L'appli a été validée par la CNIL".

J'ai rêvé ? ...

Dans ce cas j'ai du rêver aussi. :transpi:

Il n'est plus possible de commenter cette actualité.
Page 1 / 6