Plusieurs irrégularités ont été décelées dans l’application de contact tracing, dont une deuxième version est déjà disponible.
L’application de contact tracing française n’est pas au bout de ses peines. Lors de ses travaux de vérification sur la nouvelle version de l’application StopCovid, la Cnil note que, si l’application respecte pour l’essentiel le RGPD et la loi Informatique et Libertés, elle soulève en revanche plusieurs irrégularités, notamment le recours au re-catcha Google dans l’information fournie au public et dans les contrats de sous-traitance.
Dans sa décision du 15 juillet 2020 rendue publique, l’autorité de régulation met le ministère des Solidarités et de la Santé en demeure d’y remédier dans un délai d’un mois.
StopCovid a été mise à jour à la suite des précédents contrôles réalisés par la Cnil au cours du mois de juin. Le régulateur avait en effet constaté dans la première version de l’application que l’adresse IP était régulièrement utilisée par le système de sécurité, dit anti-DDOS, déployé dans le cadre du service.
Si la première version de l’application faisait remonter l’ensemble de l’historique de contacts des utilisateurs au serveur central (et non les seuls contacts les plus susceptibles d’avoir été exposés au virus), la Cnil précise que ce problème est à présent résolu dans la nouvelle version déployée fin juin (version v1.1). « D’une part, la méthode d’authentification par captcha – qui permet de vérifier lors de l’activation initiale de l’application que cette dernière est utilisée par un être humain – qui reposait sur la technologie reCaptcha de la société Google, est désormais remplacée par la technologie captcha développée par la société Orange. D’autre part, une fonction de pré-filtre de l’historique des contacts de l’utilisateur qui se déclare positif au virus SARS-CoV-2, fondée sur des critères de durée et de distance du contact, est activée pour agir au niveau du téléphone de l’utilisateur. »
Mais l’autorité demande toutefois à ce que cette nouvelle version soit « généralisée à tous les utilisateurs de StopCovid » car à ce jour, les deux versions coexistent.
Manquement à l’obligation d’information
L’autorité estime aussi que certaines informations mériteraient d’être mentionnées. La Cnil constate en effet que l’information fournie aux utilisateurs du service est « quasiment conforme aux exigences du RGPD » et devrait être complétée sur quelques points, à savoir « les destinataires de ces données, les opérations de lecture des informations présentes sur les équipements terminaux (réalisées via le recaptcha) et le droit de refuser ces opérations de lecture », explique-t-elle.
La Cnil affirme, par ailleurs, que l’analyse d’impact relative à la protection des données réalisée par le ministère demeure incomplète concernant les « traitements de données réalisés à des fins de sécurité » (solution anti-DDOS collectant l’adresse IP et recaptcha). Or, selon l’autorité indépendante, « dès lors que cette solution de sécurité entraîne une collecte de données à caractère personnel, la description de cette opération de traitement doit apparaître dans l’analyse d’impact réalisée par le responsable de traitement ».
L’application StopCovid avait fait l’objet de fortes réticences dès son lancement. Le nombre d’utilisateurs de l’application a peiné à décoller : deux semaines après son lancement, celui-ci avoisinait difficilement les 1,7 million (soit 2 % de la population). Un chiffre guère suffisant pour impacter véritablement le mode de vie des utilisateurs. Le service toucherait dorénavant « près de 2 millions d’utilisateurs », précise la Cnil.
Source zdnet.fr
