Lettre ouverte du Parti Pirate Vaudois aux Conseillers nationaux vaudois.

L’analyse proposée ci-dessous concerne l’application SwissCovid telle qu’elle se présente au 18.06.2020, le jour de la publication de ce texte. Ce billet pourra donc faire l’objet d’éditions qui seront signalées comme telles et datées.

20.07.2021: Une version du logiciel est désormais disponible dans le magasin F-Droid, pour les téléphone Android. Cette version a été modifiée pour ne pas se reposer sur GAEN. Résultat, elle n’est pas supportée par les autorités fédérales. https://f-droid.org/fr/packages/ch.corona.tracing/

Madame, Monsieur,

C’est avec une immense surprise que le Parti Pirate Vaudois a appris que le Conseil National a voté en faveur de la Modification urgente de la loi sur les épidémies face à la crise de Covid-19 (Système de traçage de proximité) sans que les parlementaires aient pu prendre connaissance du rapport du LASEC (Laboratoire de sécurité et de cryptographie de l’EPFL) soulevant de multiples problèmes posés par l’application SwissCovid dans sa version actuelle. Ces lacunes relèvent notamment de la protection des libertés individuelles et de la vie privée des citoyens. Or, ce rapport a été publié en même temps que celui des auteurs de l’application. Mais, il semblerait que seul ce dernier ait été distribué aux parlementaires (https://www.heidi.news/sante/une-analyse-de-l-epfl-met-en-garde-contre-les-failles-de-l-application-de-contact-tracing-swisscovid).

De plus, il est apparu que les responsables de ce projet semblent frileux dans leurs réponses aux questions posées par des membres de la communauté des programmeurs sur la plateforme GitHub (Microsoft, USA), sur laquelle le code a été publié. Ils semblent aussi n’avoir répondu que très tardivement et de manière évasive aux questions posées par les autorités fédérales. Ceci va à l’encontre de la logique-même sur laquelle se fonde l’Open Source. En effet, à quoi cela sert-il de rendre public cette documentation, si leurs auteurs refusent de dialoguer avec leurs pairs et les représentants de l’État, lorsque ceux-ci émettent des préoccupations, signalent des failles de sécurité, voire émettent de simples objections?

Le rapport du LASEC peut être consulté à l’adresse suivante: https://lasec.epfl.ch/people/vaudenay/swisscovid.pdf. Pour vous aider et vous faire gagner du temps, permettez-nous de vous énumérer et de vous expliquer brièvement les points qui posent le plus problème. Ceux-ci sont de nature à la fois technique et juridique.

Accès au code source, vraiment ouvert ?

L’application SwissCovid ne fonctionne pas uniquement avec des composants open-source, bien que la loi elle-même l’exige, à l’art. 60, al. a., point E: « Le code source et les spécifications techniques de TOUS LES COMPOSANTS DU SYSTÈME TP sont accessibles au public. » (Mise en exergue par PPVD). Il se trouve que ni les serveurs, ni les API de Apple et Google ne sont open-source. D’après le protocole de l’application SwissCovid, ceux-ci ne sont pas considérés comme faisant partie du système. Mais, c’est bien cela qui pose problème. En effet, il est alors impossible de savoir ce qui se passe au niveau de ces deux éléments pourtant essentiels au fonctionnement de cette application.

Nous nous rendons donc entièrement dépendants du bon vouloir de ces deux géants du numérique.

Parlons maintenant des API et de sécurité

Les API sont des accès standardisés à des fonctionnalités d’un système. Dans le cadre de SwissCovid, l’API de Google et celle d’Apple donnent accès au bluetooth des smartphones et ont pour rôle d’assurer le cheminement des données privées de l’utilisateur vers le serveur et non vers un autre appareil. Cependant, rien ne garantit qu’Apple et Google s’interdiront d’accéder à ces données. Nous nous rendons donc entièrement dépendants du bon vouloir de ces deux géants du numérique. Qui plus est, comme signalé par le rapport du LASEC et de plusieurs experts indépendants, les techniques de chiffrement utilisées ne sont pas suffisantes pour empêcher qu’un acteur malveillant puisse s’insérer entre l’application et le serveur ou accéder au serveur. Il serait alors possible pour un criminel de manipuler les données ou de remonter à leurs origines et de retrouver l’identité de l’utilisateur.

Absence de transparence et accès aux données sensibles ?

L’API Google dépendant des services Google, chaque utilisateur sera tenu d’avoir un compte Gmail auprès de la firme américaine. Les personnes, qui auraient fait un effort de sécurisation en refusant un compte Google (ce qui est possible), seraient pénalisées. De même, les entreprises qui auraient fourni des appareils sécurisés à leurs employés. Enfin, peu importe Google ou Apple, il leur sera possible d’associer l’utilisateur de l’appareil à un profil précis, pour lesquels chacun des deux géants dispose déjà de beaucoup d’autres données. En d’autres termes, la Confédération pourrait ainsi garantir l’accès à des données extrêmement sensibles à des acteurs privés. Cela permettra aux GAFAM de les recouper avec d’autres informations, afin de créer des profiles d’une extrême précision, relevant de la santé de l’individu, de ces déplacements, de ces rencontres et habitudes, informations que la Confédération a pour devoir de protéger.

On nous propose donc une application qui […] échappe en grande partie au contrôle démocratie, à la loi et aux citoyens.

Transparence, promesse et souveraineté

Paradoxalement, Apple et Google sont en mesure de siphonner des informations personnelles des utilisateurs de SwissCovid, alors que cette application est conçue de sorte à ne pas pouvoir les transmettre à d’autres appareils ou même aux autorités suisses. On nous propose donc une application dont le protocole est maîtrisé et mis en œuvre par Apple et Google, sur des serveurs d’Amazon, ce qui signifie qu’elle échappe en grande partie au contrôle démocratique, à la loi et aux citoyens. 

Illusion de sécurité et panique inutile

Un autre problème, qui a déjà été mentionné par diverses personnes depuis quelques temps, concerne le risque d’erreur. En effet, SwissCovid est supposé détecter d’autres signaux bluetooth venant d’appareil équipés de cette même application, dans un rayon de 2 mètres, et signaler les contaminations potentielles. Le problème est que cela peut générer de nombreux faux positifs. En effet, un signal bluetooth peut parfaitement traverser une cloison ou un mur très mince, comme c’est souvent le cas dans nos habitations. Des gens vivant dans des appartements contigus risquent donc de recevoir des messages erronés. Inversement, des personnes présentes pendant des heures dans la même pièce, mais sans leurs smartphones, peuvent parfaitement se contaminer sans que l’application SwissCovid ne puisse le savoir. On risque donc soit de créer une illusion de sécurité, soit de faire paniquer les gens inutilement. 

L’humain et la technologie

À ces graves lacunes vient s’ajouter le facteur humain. En effet, pour que SwissCovid puisse fonctionner correctement, il faut que les utilisateurs sachent comment paramétrer leur téléphone pour faire en sorte que l’application ne soit pas éteinte par le système pour économiser de la batterie. Il faut aussi que son détenteur sache comment donner la priorité à cette application, pour qu’elle puisse tourner au premier plan. Enfin, il faut bien entendu que la fonction bluetooth soit constamment activée et non pas automatiquement éteinte par le téléphone pour minimiser les dépenses d’énergie. Vous pouvez le faire, vous ?

Comme on le voit, rien qu’au niveau technique, nous avons déjà relevé de nombreux problèmes qui peuvent rendre cette application non seulement nuisible, mais aussi parfaitement inutile. 

Considérons maintenant les aspects juridiques de la loi qui a été votée au Conseil National.

Obligation ou pas de participer? Attention au respect des libertés !

D’après l’article 60a, la participation se fait sur une base volontaire et aucune personne ne peut être favorisée ou défavorisée du fait de son inscription ou pas à ce programme. Cependant, l’article 83, al.1, aux points C,G, J et L, laisse à penser que des personnes refusant d’utiliser SwissCovid pourraient être pénalisées lourdement. En effet, qui nous dit que le refus d’utiliser l’application ne pourrait pas être considéré comme une infraction aux « dispositions visant à prévenir la transmission de maladies« (point C) ou comme une contravention à des « mesures visant la population » (point J)? Ou que la surveillance médicale (point G) ne pourrait pas être invoquée pour imposer l’utilisation de cette application? Ou même que ce refus ne soit associé à une infraction à « l’obligation de collaborer » (point L)? Tout cela reste assez flou et il nous semble que le volontariat n’est pas garanti. De fait, rien ne nous dit que les libertés individuelles ne pourraient pas être gravement entravées, surtout dans le cas de la survenue d’une seconde vague, laquelle semble toujours plus probable, au fur et à mesure que les épidémiologistes étudient la dynamique de cette maladie.

La protection des données privées relève du bon vouloir des géants du numériques.

Pas de garantie de protection des données

L’article 60, toujours, nous préoccupe aussi à d’autres égards. Ainsi, les points 2,3,4 et 4e de l’alinéa 1, ne pourront, selon nous, pas être respectés, puisque, comme nous l’avons vu, Google, Apple et Amazon pourront accéder aux données privées des personnes ayant installées SwissCovid sur leurs appareils, même s’ils semblent s’engager, pour l’instant, à ne pas le faire. Mais, cet engagement serait extraordinairement difficile à faire respecter, même s’il faisait l’objet d’un accord ou d’un contrat spécifique, ce qui n’est même pas le cas. Cela relève ainsi du bon vouloir de ces géants du numériques. Les articles en questions ne mentionnent strictement rien à ce sujet. En réalité, la problématique de la main-mise technique de ces multinationales n’est simplement pas mentionnée, comme si la question ne se posait même pas. Elle se pose pourtant et avec beaucoup d’acuité! 

Transfert de données à d’autres systèmes à l’étranger

L’article 62, al.a, nous inquiète aussi de la même manière, puisqu’il nous est dit que « Le système TP visé à l’art. 60a peut être relié à des système étrangers correspondants, pour autant qu’un niveau adéquat de protection de la personnalité soit assurée dans l’État concerné par: a. la législation, ou b. des garanties suffisantes, notamment contractuelles. » Compte tenu de la manière dont le projet SwissCovid est mené en partenariat avec les GAFAM, on peut se demander dans quelle mesure il est possible d’avoir de telles assurances de la part d’autres pays, notamment ceux qui utilisent des systèmes complètement centralisés et privatifs pour réaliser la surveillance épidémiologique de leur population.

La réalisation du projet SwissCovid ne respecte ni la lettre, ni l’esprit de cette loi

Le gouvernement ouvre un peu plus la boîte de Pandore

En résumé, SwissCovid n’a rien d’un outil réellement transparent et la législation actuelle ne suffit absolument pas à protéger les libertés individuelles ainsi que les données privées des citoyens face à l’appétit de quelques-uns. Donc, même si dans le texte de la loi, il nous est assuré que tout est mis en œuvre pour protéger la vie privée des citoyens, une lecture du rapport du LASEC nous montre que la réalisation du projet ne respecte ni la lettre, ni l’esprit de cette loi. Or, il apparaît que l’État ne semble pas prêt à se soucier de ce problème, ni à prendre le taureau par les cornes. Par ailleurs, le projet de loi reste relativement flou sur la liberté qui sera réellement laissée aux citoyens de choisir de participer ou pas à ce programme SwissCovid. Sans compter que, contrairement à ce que semblent s’imaginer nombre de promoteurs de cette application, son usage sera loin d’être aussi évident pour une bonne partie de la population, notamment celle qui maîtrise le moins son smartphone. 

S’il ne fallait retenir qu’une chose

Nous abandonnons volontairement de nombreuses libertés aux secteurs privés numériques (Google, Apple, Facebook, Amazon et Microsoft en tête). Mais que ce soit par ignorance, par paresse ou par défaitisme, c’est un choix personnel. SwissCovid n’a rien de personnel. C’est un outil mis en place par la Confédération, validé par nos représentants démocratiques. Le devoir de transparence, de respect de l’intégrité des individus et d’exemplarité de la Confédération ne peut pas s’abaisser à des standards comme celui de Twitter ou Facebook.
L’outil informatique SwissCovid sera, même dans des conditions acceptables, d’une efficacité relative. Relative à son adoption, relative à sa conception et à la confiance que le peuple pourra lui faire. Son efficacité reposera lourdement sur des tests médicaux fiables qui n’existent pas encore.
Les risques de cette application, dans sa forme actuelle et sans une mainmise volontaire et intransigeante de notre État sur la qualité finale, sont bien plus élevés que ceux du Covid-19, aujourd’hui.
L’urgence du Covid-19 ne nécessite pas de court-circuiter la voie démocratique pour un outil qui ne respecte pas les droit fondamentaux, ne sera pas aussi efficace que la prudence humaine et n’est pas soutenue par les besoins médicaux (tests) qu’elle génère. 

Nous appelons les conseillers nationaux à remettre l’ouvrage sur le métier.
Nous appelons les Partis Pirates suisses et étrangers à se positionner sur le sujet.
Nous appelons les associations de protection des données, des droits de l’Homme et des libertés numériques à s’exprimer et défendre nos droits fondamentaux.

Le Covid-19 n’est pas un virus informatique. Ce n’est pas une application qui nous en protégera. La peur, elle, nous condamnera sûrement.

Ressources

• Rapport LASEC: https://lasec.epfl.ch/people/vaudenay/swisscovid.pdf https://lasec.epfl.ch/people/vaudenay/swisscovid.html
• Rapport de Paul-Olivier Dehaye et Joël Reardon du 18.06.2020: https://cloud.ppvd.ch/index.php/s/HGLAdacxLiCTgbn#pdfviewer
• Rapport MELANI https://www.melani.admin.ch/melani/en/home/public-security-test/current_findings.html
• Rapport du Préposé Fédéral à la protection des données https://www.parlament.ch/centers/eparl/curia/2020/20200040/S1%20F.pdf
• Discussion sur l’espace du code source https://github.com/DP-3T/documents/issues/325
• Le cahier des charges de la confédération et le développement https://github.com/admin-ch/CovidCode-UI/wiki  
• Une pétition soulevant les problèmes légaux de SwissCovid https://act.campax.org/petitions/pas-d-application-de-tracage-social-swisscovid-volontaire-ou-non?share=270dc78b-6b17-4341-8fcc-fb7f990b3cf5&source=thxsignmail&utm_source=thxsignmail
• Explication sur le concept DP3-T – Science4all https://www.youtube.com/watch?v=RKZOBSdkUBo