SwissCovid

En Suisse, des chercheurs des écoles polytechniques fédérales de Lausanne (EPFL) et Zurich (EPFZ) travaillent depuis mars 2020[1] en collaboration internationale sur un protocole de traçage numérique des contacts, afin d'accélérer et compléter la recherche des contacts des personnes testées positives au SARS-CoV-2 causant la Covid-19. Les chercheurs visent à permettre un suivi des contacts préservant au maximum la vie privée, et leurs efforts résultent en un protocole de traçage de proximité basé sur une approche décentralisée utilisant le Bluetooth, le Decentralized Privacy-Preserving Proximity Tracing (dp³t), « traçage de proximité décentralisé préservant la vie privée » en français. Ce protocole inspire fortement les entreprises Google et Apple, qui développent un système de notification d'exposition intégré à leurs systèmes d'exploitation mobiles Android et iOS, afin de faciliter la création d'applications de suivi des contacts et d'améliorer leur efficacité[1]. L'entreprise de développement de logiciel Ubique, qui a déjà réalisé des applications officielles suisses comme AlertSwiss et les applications des CFF et de Météosuisse[2]^,[3], développe fin mars un prototype inspiré par un concept d'application décentralisée de Marcel Salathé de l'EPFL, avant de s'associer au projet des EPF[3]^,[4].

Un intérêt de la Confédération pour une potentielle application mobile officielle de suivi des contacts est rapporté au début du mois d'avril[3]. Le 23 avril, l’EPFL et l’EPFZ annoncent que la Confédération soutient leur projet d'application de suivi des contacts[5]. Le 30 avril, la Commission des institutions politiques de l'Assemblée fédérale dépose une motion qui exigerait une base légale spécifique pour l'introduction de l'application par la Confédération, et non une simple ordonnance de nécessité du Conseil fédéral. La motion exige également que l'application n'utilise que des solutions techniques qui ne stockent pas les données personnelles de manière centralisée, et que son installation soit facultative. Elle justifie ces demandes par le « risque considérable d'atteinte aux droits fondamentaux » posé par ce type d'application. Le Conseil fédéral répond en affirmant que le projet est basé sur des « méthodes cryptographiques » et un « traitement des données fortement décentralisé », et que la démarche volontaire est un élément important du projet depuis le départ. Il s'oppose cependant à la demande d'une base légale votée par le parlement, affirmant que la loi sur les épidémies lui donne la compétence d'agir, et souligne l'urgence d'une telle application afin de soutenir l'assouplissement progressif du confinement [6]. Le 5 mai, l'Assemblée fédérale rejette l'avis du Conseil fédéral et adopte la motion, repoussant la publication officielle de l'application au moins jusqu'à la session parlementaire de juin[7]. Le 25 mai, l'administration fédérale annonce le lancement de la phase de test de l'application[8]^,[9] et publie son code source le 28 mai afin d'aider à la détection d'éventuelles failles de sécurité ou problèmes de fonctionnement, sous la supervision de l'organisme fédéral de cybersécurité Melani[10]^,[9]. La Confédération et les développeurs de l'application affirment être les premiers à lancer une application à grande échelle basée sur le système de suivi et de notification d'exposition à la Covid-19 de Google et Apple[11]. Le 8 juin, le Parlement approuve la base juridique de l'application, les deux chambres ayant voté en très grande majorité en faveur du projet. L'introduction de l'application est prévue pour fin juin[12]^,[13]. À cette occasion, le Conseil des États fait ajouter dans la base légale que, si elle s'avérait « inefficace », l'application devrait être arrêtée avant le 30 juin 2022[14]. Le 24 juin, le Conseil fédéral adopte l'ordonnance qui règle le fonctionnement concret de l'application, dénommée « Ordonnance sur le système de traçage de proximité pour le coronavirus SARS-CoV-2 (OSTP) »[15].

Le 8 juin, soit deux semaines après le début de la phase de test, l'application, disponible à des fonctionnaires fédéraux et aux membres des EPF, ainsi qu'à toute personne possédant un téléphone utilisant Android, avait été installée plus de 60 000 fois[12]. Le 25 juin, date de sa sortie officielle, le nombre d'applications installées et actives était de 570 000, selon l’Office fédéral de l’informatique et de la télécommunication (OFIT)[16]. Deux semaines après son lancement, le nombre d'applications activées se stabilise autour d'un million de personnes, soit 12 % de la population suisse, puis diminue légèrement. Le comptage est basé sur le nombre d'applications actives 24 heures sur 24, ce qui fait que les applications désactivées manuellement pour quelques heures ou sur des téléphones éteints la nuit ne sont pas incluses dans le décompte[17].

Le 10 septembre, soit deux mois après sa sortie officielle, le nombre d'applications installées et actives était de 1,6 million, et le nombre de téléchargements de plus de 2,3 millions, selon l’Office fédéral de l’informatique et de la télécommunication (OFIT)[18].

Le 4 juillet, le conseiller fédéral Ueli Maurer, responsable du Département fédéral des finances (DFF), déclare à la radio SRF qu'il n'a pas installé l'application et qu'il ne la comprend pas[19].

Le Centre hospitalier universitaire vaudois (CHUV) déconseille à son personnel soignant d'installer l'application, invoquant le risque de devoir imposer des quarantaines à des employés qui ont été en contact avec un patient infecté dans un cadre de travail et avec un équipement de protection adéquats. L'hôpital universitaire de Saint-Gall recommande à son personnel de télécharger l'application et de la désactiver sur le lieu de travail, pour éviter le même problème[20].

Entre le 25 juin, date de lancement de l'application, et le 8 juillet, sur 910 personnes testées positives au SARS-CoV-2 en Suisse, seules 40 avaient activé l'application, soit près d'une sur 23, et parmi ces personnes, 30 ont utilisé le code fourni pour avertir leurs contacts passés d'une contagion possible, soit une sur 30[20].

Le 16 septembre 2020, le nombre de codes saisis par les utilisateurs de l'application pour avertir d'éventuels contacts était de 465 sur la semaine écoulée[21], sur 2 705 cas confirmés dans le pays au cours de la semaine se terminant le 18 septembre, soit près d'une personne testée positive sur six[22].

En juin 2020, les chercheurs Serge Vaudenay et Martin Vuagnoux publient une analyse critique de l'application, où ils relèvent le fait qu'elle repose fortement sur le système de notification d'exposition de Google et Apple, lui-même intégré à leurs systèmes d'exploitation respectifs Android et iOS. Comme Google et Apple n'ont pas publié le code source de ce système, cela remettrait en question le caractère véritablement open source de l'application. Les chercheurs notent que le collectif dp³t, dont font partie les concepteurs de l'application, a demandé à Google et Apple de publier leur code[36]. En outre, ils critiquent la description officielle de l'application et de ses fonctionnalités, ainsi que l'adéquation des bases légales avec son fonctionnement effectif[37].

L'utilisation du réseau de diffusion de contenu (CDN) Amazon CloudFront, et notamment un centre de données basé à Francfort en Allemagne, est sujette à controverse. Selon les critiques, son utilisation pourrait mettre en doute les garanties de protection des données et le caractère « suisse » de l'application mis en avant par ses concepteurs. La réponse de l'administration fédérale et des concepteurs de l'application est que ce CDN est utilisé depuis plusieurs années par l'administration fédérale et notamment l'OFSP pour faciliter le transfert de données, et que les CDN font partie de l'infrastructure essentielle d'internet, offrant en l'occurrence selon l'OFSP « un équilibre approprié entre vie privée et résilience ». Son utilisation pour SwissCovid ne poserait pas de problèmes de confidentialité ou de sécurité, vu qu'il sert à transférer les clés cryptographiques des utilisateurs infectés à tous les utilisateurs de l'application, afin que cette dernière puisse les comparer avec les clés qu'elle a enregistré lors de contacts. Amazon Cloudfront n'effectue donc pas de calcul ni d'analyse de données[38]^,[39]. Cependant, Serge Vaudenay, professeur à l'EPFL, estime que la sécurité d'un tel CDN ne peut pas être évaluée car il n'existe aucune description publique de cette partie de l'infrastructure[37].

Dans leur analyse de l'application en juin 2020, Serge Vaudenay et Martin Vuagnoux relèvent diverses failles de sécurité de l'application. Le système permettrait ainsi à une tierce personne de tracer les déplacements d'un téléphone utilisant l'application au moyen de senseurs bluetooth disséminés sur son chemin, par exemple dans un bâtiment. Une autre attaque possible consisterait à copier des identifiants émis par des téléphones de personnes susceptibles d'être malades (par exemple dans un hôpital), et de reproduire ces identifiants pour recevoir une notification d'exposition à la Covid-19 et bénéficier illégitimement d'une quarantaine (donnant ainsi droit à un congé payé, un examen repoussé, ou d'autres avantages)[37].

L'expert en protection des données personnelles Paul-Olivier Dehaye, de Personaldata.io, estime qu'une personne mal intentionnée pourrait mener une attaque sur les téléphones de particuliers, conduisant à l'émission de fausses alertes[40]. L'Office fédéral de la santé publique répond que ce risque est connu et a été estimé minime. Le Centre national pour la cybersécurité (créé en juillet 2020) indique que les risques se situent surtout du côté de l'utilisation de l'application et sont acceptables[40]^,[41]. Dans une publication de septembre 2020, Paul-Olivier Dehaye et Joel Reardon, de l'université de Calgary, montrent comment il est possible d'utiliser un kit de développement (SDK) ou une application mobile tierce ayant accès au bluetooth du téléphone pour mener des attaques de dé-anonymisation, de faux positifs ou de biosurveillance[42].

SwissCovid n'indique pas si lors des contacts il y avait un obstacle comme une paroi en plexiglas entre les personnes ou si elles portaient un masque[43]. De plus, l'application mesure la distance entre les téléphones portables, et non entre les personnes[44].

Le 25 juillet, le journal SonntagsZeitung (de) rapporte le cas d'une personne qui, testée positive, a entré le code reçu par son médecin dans l'application sans que celle-ci notifie les amis avec lesquels elle avait dîné la veille ; seuls deux d'entre eux, avec lesquels elle avait poursuivi la soirée dans un bar, ont été prévenus d'un risque d'infection[45].

Un sondage mené au début du mois d'avril 2020 indique que plus de deux tiers des Suisses seraient favorables à ce que le Conseil fédéral utilise sans leur consentement les données de géolocalisation des smartphones des citoyens pour lutter l'épidémie, mais seulement durant quelques mois[46]. Cette approche du traçage par géolocalisation est considérée comme plus intrusive que l'approche retenue du traçage de proximité utilisant le Bluetooth. Dans un autre sondage, commandé par l'OFSP à l'institut Sotomo fin avril, 70 % des répondants saluent la mise en service de l’application, et 59 % affirment vouloir installer l'application dans les semaines à venir. Toutefois, un peu plus de la moitié de ces 59 % n’est pas encore tout à fait certaine de vouloir installer cette application et a répondu par « plutôt oui ». Par ailleurs, le sondage montre que l'acceptation augmente avec le niveau de connaissance des fonctionnalités de l'application[11]^,[47]. La troisième vague du sondage Sotomo, dont les résultats sont publiés début mai, indique que le soutien à l'application a légèrement diminué depuis début avril, sauf en Suisse italienne où il a légèrement augmenté[12].

Un sondage mené pour Comparis à la fin du mois de juin, soit au moment du lancement de l'application, sur un échantillon représentatif de 1 000 personnes en Suisse, indique que plus de la moitié de la population en Suisse (56 %) n'entend pas l'installer. Les personnes les plus âgées auraient tendance à être les plus réticentes, avec 63 % d'opposition chez les plus de 60 ans, suivies des personnes de 30 à 59 ans, avec 54 %, et enfin des 16-29 ans, également majoritairement opposés, à 52 %. Les principales raisons évoquées contre une installation de l'application sont l'inutilité supposée de l'application, soutenue par 44 % des personnes opposées, et la peur d'une violation de la protection des données (38 %). En ce qui concerne les craintes pour la protection des données, elle est sensiblement plus élevée chez les 16-29 ans et les 30-59 ans, avec 45 % et 42 % des personnes opposées, que chez les plus de 60 ans (25 %). 10 % des personnes opposées à l'application trouvent son application trop fastidieuse, et 24 % citent d'autres raisons. En ce qui concerne les mesures de protection de la vie privée, un quart (27 %) des personnes opposées à l'application ne désactivent pas systématiquement les fonctions de traçage comme le GPS, le Bluetooth ou le podomètre sur leur téléphone, soit légèrement une proportion légèrement plus faible que chez les partisans de l'application (32 %, soit un tiers). 86 % des détracteurs utilisent l'application de messagerie WhatsApp au moins une fois par semaine, et une majorité (53 %) utilise l'application Facebook au moins par semaine. Par ailleurs, 43 % des critiques de l'application ont régulièrement recours aux cartes de Google et d’Apple et à la fonction de géolocalisation correspondante. Selon J. C. Frick, expert du numérique chez Comparis, « ces taux montrent que de nombreuses personnes utilisent leur portable sans savoir où se situent les véritables dangers », la protection des données ayant été placée au cœur du développement de l’application SwissCovid, à l'inverse des applications commerciales citées, qui ont bâti leur modèle économique sur la collecte de données et voient leur protection comme un fardeau[48]^,[49].

Le 7 juin, un sondage effectué auprès des 246 élus de l'Assemblée fédérale indique que parmi la moitié qui a répondu au sondage, deux tiers comptent installer l'application, les plus réticents étant les élus de l'Union démocratique du centre (UDC) (la part d'élus réticents étant cependant assez similaire à travers tous les partis), les plus enthousiastes étant les élus du Parti libéral-radical (PLR), des Vert'Libéraux (PVL) et du Parti socialiste suisse (PSS), ces derniers étant également les plus indécis. Les élus de Suisse italienne et romande sondés étaient plus réticents que ceux de Suisse alémanique[50].

La Fédération romande des consommateurs (FRC) recommande l'application en donnant des conseils d'utilisation notamment sur le paramétrage des autres applications présentes sur le smartphone, estimant que les avantages en matière de santé publique sont supérieurs aux risques liés à la protection des données relevés par des spécialistes de la sécurité des données. La FRC regrette toutefois que l'application ne soit pas compatible avec les anciens modèles de téléphones[51].

En juillet 2020, un comité référendaire citoyen se forme pour récolter des signatures afin de lancer un référendum, le délai d'obtention des 50 000 signatures étant fixé au 8 octobre 2020. Le comité cherche à interdire l'application en modifiant la loi sur les épidémies, craignant notamment que celle-ci ne soit changée pour rendre l'utilisation de l'application obligatoire[52]. Le conseiller UDC Jean-Luc Addor est le seul conseiller national à soutenir cette démarche[53]. Le comité référendaire ne parvient pas à réunir les 50 000 signatures nécessaires dans le délai légal[54].

• Application concernant la Covid-19
• Pandémie de Covid-19 en Suisse

• Suivi de l’application SwissCovid - Statistiques sur l'utilisation de l'application par l'Office fédéral de la statistique
• SwissCovid-App-Facts (site indépendant de réponses aux questions sur l'application, par un collectif d'organisations de la société civile)
• Questions et réponses : L'application SwissCovid - Office fédéral de la santé publique OFSP, Division Communication et campagnes, 8 pp. (13 mai 2020)
• Application SwissCovid: déclaration de confidentialité & condition d'utilisation - Office fédéral de la santé publique (état le 2 juin 2020)
• (en) The Dark Side of SwissCovid [traduction : « Le côté sombre de SwissCovid »] : résumé des critiques de l'application mis à jour régulièrement par Serge Vaudenay
• (en) Paul-Olivier Dehaye et Joel Reardon, « SwissCovid: a critical analysis of risk assessment by Swiss authorities », 18 juin 2020
• (en) Paul-Olivier Dehaye et Joel Reardon, « Proximity Tracing in an Ecosystem of Surveillance Capitalism », 13 septembre 2020

• Portail des télécommunications
• Portail de la maladie à coronavirus 2019
• Portail des risques majeurs
• Portail de la Suisse
• Portail des années 2020