Thread by @gilbsgilbs

On a récemment parlé de la collecte de statistiques d'utilisation dans @TousAntiCovid, mais TousAntiCovid Verif a insidieusement ajouté un système comparable. Moins bavard, ce dispositif reste problématique et peu éthique. cc @CNIL #PassSanitaire ⬇

Lorsqu'on ouvre TousAntiCovid Verif pour la première fois, un écran contenant un loooooong message menaçant s'affiche. Il faut scroller tout en bas pour trouver une section qui ne parle aucunement de statistiques, mais qui donne un lien vers leur politique de confidentialité.

Il faut donc télécharger leur politique de confidentialité (qui peut changer à tout moment) pour apprendre que « Aucune donnée personnelle concernant l'utilisateur n’est collectée. Seules des données techniques anonymes sont agrégées et consolidées à des fins statistiques. »

Si on descend jusqu'à la page 3 du document, on peut trouver les finalités de cette collecte de statistiques.

Bon, déjà, sur la mise en place de traceurs sans recueil du consentement de l'utilisateur, la CNIL est assez claire et indique que c'est possible en respectant plusieurs conditions (legifrance.gouv.fr/jorf/article_j…), notamment :

➡ « la personne doit être informée préalablement à leur mise en œuvre » ; je suis curieux de savoir combien d'utilisateurs de l'application ou de personnes à qui on scanne le pass sont au courant de cette collecte mentionnée en petites lignes dans un document externe.

➡ « elle doit disposer de la faculté de s'y opposer par l'intermédiaire d'un mécanisme d'opposition facilement utilisable sur l'ensemble des terminaux […]. ; » ; Aucun mécanisme de ce type n'existe dans l'application TousAntiCovid Verif à ce jour.

➡ « la finalité du dispositif doit être limitée à (i) la mesure d'audience du contenu visualisé […] (ii) la segmentation de l'audience du site web en cohortes afin d'évaluer l'efficacité des choix éditoriaux […] et (iii) la modification dynamique d'un site de façon globale. »

J'ai de sérieux doutes que la finalité d'« améliorer l'efficacité du modèle de règles sanitaires » puisse s'inscrire dans cette exemption du recueil de consentement prévue par la CNIL.

Mais bon, même en admettant que ce bouton "Accepter" à la première ouverture de l'application suffise à obtenir un consentement éclairé de l'utilisateur final sur cette collecte (😕), ça reste quand même assez litigieux : legifrance.gouv.fr/loda/article_l…

L'utilisateur n'est pas vraiment en mesure de s'opposer à ce traitement et il semble difficile de considérer qu'il est « strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur ».

Étudions maintenant si la collecte de statistiques dans l'application correspond vraiment à ce qu'@INGroupe prétend. Nous l'avons vu, la politique de confidentialité indique que « Seules des données techniques anonymes sont agrégées et consolidées à des fins statistiques. »

Or, quand on s'intéresse à ce qui est fait en pratique, ce sont bien plus que des données « agrégées et consolidées » qui sont envoyées, mais un journal complet et anonymisé des scans : gitlab.inria.fr/tousanticovid-… .

Ce journal indique notamment l'heure exacte de chaque scan, si ce scan a donné lieu à un retour "valide" ou "invalide", le type de document scanné (2D-DOC ou DCC/certificat de vaccination, de test ou de rétablissement), si le pass a déjà été scanné récemment ou est blacklisté, …

Si un crash se produit lors d'un scan, le message d'erreur technique est également envoyé, ce qui peut compromettre l'anonymat du scan puisque des données personnelles peuvent se retrouver dans un tel message.

Comme pour @TousAntiCovid, on constate donc que le système de statistiques implémenté dans l'application ne correspond pas en nature à ce qui est pourtant mentionné dans la politique de confidentialité.

Ils indiquent également dans le fascicule qu'aucune donnée n'est enregistrée sur le terminal de l'utilisateur. On voit dans le code que c'est faux puisque ces statistiques non-agrégées sont stockées jusqu'à ce qu'elles soient envoyées au serveur d'IN Groupe.

À noter que ces statistiques transitent en clair par un prestataire américain, Akamai, comme à l'époque pour la conversion 2D-DOC => DCC avant qu'ils n'ajoutent du chiffrement bout-en-bout :

https://twitter.com/gilbsgilbs/status/1417495126990102529

Je ne peux pas me prononcer sur la légalité de ce dispositif, mais ce qui est certain, c'est qu'il est très très peu éthique (comme tout ce que fait IN Groupe depuis le début avec cette application). Les efforts qui ont pu être fait dans TousAntiCovid jadis semblent révolus…

Pour en savoir plus sur comment ce type de système de statistiques peut vite devenir très problématique et bavard, on a le cas de l'application TousAntiCovid qui permet dans certains cas d'identifier directement des personnes physiques :

https://twitter.com/cryptosaurus6/status/1428255925878595585

Enfin, si vous n'avez pas suivi la saga TousAntiCovid Verif, sachez que ça fait un moment que ça dure : manque de transparence à tous les étages. En voici un aperçu (il faudrait peut-être que je sois un peu plus stoïcien des fois 😮‍💨) :

https://twitter.com/gilbsgilbs/status/1422235610094342146