Thread by @Blick_fr

#THREAD #COVID19 | Un audit sur #SocialPass et #SocialScan a mis au jour des failles de sécurité. L’étude n’a par ailleurs pas vérifié si les applications respectaient la Loi sur la protection des données. Notre enquête👇

C’est un geste devenu banal et qui n’a donc choqué personne lundi, lors de la réouverture des terrasses. À l’heure de l’apéro, il faut montrer patte blanche et sortir son smartphone 📱 avant de savourer son déci de Chasselas ou son Coca zéro. 🥤

Le client scanne un QR code apposé sur la table du bistrot via une application de traçage dans laquelle ses données personnelles sont saisies. Ce procédé permet aux autorités d’endiguer la propagation du #coronavirus en prononçant des mesures de quarantaine si nécessaire. 😷

Les enjeux ne sont cependant pas que sanitaires. En octobre, les applications bien connues des Romands #SocialPass (clients) et #SocialScan (restaurateurs), suscitaient la méfiance d’une partie du public. Quid de la protection des données des utilisateurs?

«L'application SocialPass est extrêmement intrusive», avertissait dès l’automne Carmela Troncoso, professeure assistante en sécurité informatique et en respect de la vie privée à l’ @EPFL, qui est aussi une des conceptrices de l’application #SwissCovid 👇🏻

https://twitter.com/carmelatroncoso/status/1315922786859257856

Elle pointait notamment du doigt la politique de confidentialité des apps et le flou qui régnerait autour de la base de données centralisée de l’application ainsi que des conditions qui permettent au médecin cantonal d’y accéder. 👨‍⚕️

Pressée par @EtatdeVaud, la faîtière @gastrovaud lançait un audit pour rassurer la population. Depuis, silence radio. Cet audit est-il terminé? Quelles sont ses conclusions? Président de GastroVaud, @MeystreGilles refuse de nous transmettre le rapport mais répond à nos questions.

Une demande d’accès selon la Loi sur l’information est pendante. Gilles Meystre nous a, dans l'intervalle, envoyé l’attestation d’audit effectué par @navixia. La société se veut rassurante et indique que les recherches ont eu lieu entre le 19 octobre 2020 et le 18 mars 2021.

Une précision de taille intervient toutefois à la fin du document en notre possession. L’audit s’est focalisé sur six domaines, dont le stockage des données et la cryptographie, mais a délaissé plusieurs points centraux 🔎

Comment l’expliquer? Navixia nous indique ne pas être qualifiée pour évaluer les aspects légaux liés à la Loi sur la protection des données.

Ces recommandations ont-elles été suivies d’effets? Gilles Meystre répond par la négative. La centralisation des données sur une base unique serait le fruit de développements survenus alors que l’audit était déjà en cours.

Le président de GastroVaud ne s’en cache pas. Après avoir financé 💸 la gratuité de la solution numérique pour ses membres puis déboursé «17 000 francs» pour l’auditer, la faîtière estime avoir rempli sa mission.

Sur ce point, nous avons adressé une série de questions au préposé fédéral à la protection des données. Son porte-parole, Hugo Wyler, annonce qu’une procédure d’établissement des faits à l’encontre des exploitants de l’applications SocialPass a été ouverte le 18 décembre.

La procédure n’est toutefois pas encore achevée. «@derBeauftragte ne communiquera pas davantage de détails pour le moment», reprend Hugo Wyler. Les adaptations exigées signifient-elles que les apps ne respectaient pas la Loi sur la protection des données?

👉 par @AHurlimann pour @Blick_fr | 🔴 À suivre: explications détaillées de @MeystreGilles et réaction de @DaRaedler, député @VertsVD au Grand Conseil vaudois🎙|

Les explications détaillées de @MeystreGilles 🎙️👇

https://twitter.com/Blick_fr/status/1385605729189519361

La réaction de @DaRaedler, député @VertsVD au Grand Conseil vaudois 🎙️👇

https://twitter.com/Blick_fr/status/1385611766361739272

PRÉCISION | La citation exacte de @MeystreGilles du 11e tweet: «GastroVaud a souhaité débuter l'audit sans attendre et a estimé que le périmètre retenu par Navixia d'une part, et le nombre de points analysés *permettaient* de rassurer les utilisateurs.» 👇

https://twitter.com/Blick_fr/status/1385595407133286406