edoeb · rapport-final-et-recommandations-du-4-août-2021-concernant-lapplication-socialpa-2021-08-04 · 2021-05-31 · fr
Rapport final et recommandations du 4 août 2021 concernant l'application "SocialPass"PDF4.65 MB4. August 2021
Datenschutz


Schweizerische Eidgenossenschaft
Confederation suisse
Confederazione Svizzera
Confederaziun svizra
Prepose federal ä la protection des donnees et ä la transparence
PFPDT
Rapport final et recommandations
du Prepose federal a la protection des donnees et a la transparence
(PFPDT)
du 4 aoüt 2021
dans le cadre
de la procedure d'etablissement des faits selon l'article 29
de la Loi federale sur la protection des donnees du 19 juin 1992
(LPD ; RS 235.1)
concernant
l'application « SocialPass »
de SwissHelios Sari, a Oberlunkhofen
et NewCom4U Sari, a Sierre
representees par Lexing Switzerland, 1951 Sion
Uusqu'au 14 juin 2021)
Feldeggweg 1, 3003 Berne
Tel. 058 463 74 84, Fax 058 465 99 96
www.edoeb.admin.ch

0
Table des matiëres
1. Introduction........................
1.1 .
Remarques prëliminaires ......
1.2.
Situation de dëpart...
1.3. Parties impliquëes ...............
1.4. Chronologie
des ëvënements
. .............................
1.5.
Portëe de la procëdure d’ëtablissement des faits.
1.6.
Bases de l’ëtablissement des faits..
1.7.
Analyses effectuëes dans le cadre de la prësente procëdure.
1.8.
Bases lëgales.
1.9.
Compëtence du PFPDT..
2.
Faits ëtablis
2.1 .
Röles et responsabilitës....... .
2.2.
Composants et fonctions ..... ,
2.2.1 .
ApeQU ..........................
2.2.2.
Description du processus d'enregistrement ....,
2.2.3.
Fonctions de SocialScan .....,... .
2.2.4.
SocialPass : enregistrement et utiËisation
2.2.5.
Base de donnëes centralisëe .
a.
Gënëralitës............................,
b.
Accës des autoritës cantonales aux coordonnëes des clients .. ,
2.3.
But de la collecte des donnëes..........
2.4.
Description des diffërents modes de fonctionnement.
2.4.1.
SocialScan : saisie manuelle (enregistrement des clients rëguliers) .
2.4.2.
Stockage des numëros de tëlëphone mobile issus du processus d’e
2.5.
Services de tiers ...............................
2.5.1 .
Infomaniak ..
2.5.2.
Twilio .......................................,
2.5.3.
Microsoft Azure (base de donnëes SQL) ....
2.6.
Information et droits des personnes concernëes..,
2.6.1 .
Information des utilisateurs . ................
,
2.6.2.
Droits des personnes concernëes ......
a.
Exercice du droit d’accës .
b.
Exercice du droit ä l’effacement des donnëes.....................................,
2.7.
Aspects de sëcuritë des donnëes..
.. 7
10
11
12
13
13
13
13
14
14
15
17
17
19
19
20
23
24
24
26
26
26
26
27
27
27
28
28
28
28
lregistrement .
2/62

0
2.7.1.
Organisation de la sëcuritë de 1’information
Login avec double-authentification
Identifiants de I'utilisateur ...........,
28
29
29
29
29
31
32
32
32
32
33
33
34
34
36
36
36
36
36
37
37
37
37
37
37
37
38
38
38
38
38
38
38
39
39
2.7.2.
2.7.3.
2.7.4.
Gëolocalisation ...........................,
2.8
Analyse de 1’audit de Navixia SA ,
2.8.1.
Interaction avec la plateforme (6.2.6 et 6.3.6)
2.8.2.
Qualitë du code et packaging (6.3.7)
2.8.3.
Descripteur
(7.1) ...............................,
2.8.4.
Mots de passe stockës en clair (7.1 )
2.8.5.
Conservation des donnëes (8.4.1).
2.9. Analyse de I'audit d’lndusface ....................
2.9.1 .
Classification .......,
2.9.2.
Rësultats en fonction des catëgories ..
2.9.3.
Android et iOS Mobile .
2.9.4.
Conclusions de I'audit Indusface ..,
a.
Blind HTML Injection [1]..,
Insecure Direct Object References [2] ...,
Insecure Logging Of The Application [4]
Application is Vulnerable To Improper Token Management [5] .. .
Application Accepts Special Character As User Input [6] .
Valid Account Can Be Brute Forced [7] ...............................
b.
c.
d.
e.
f.
Missing API Rate Limiting [8] ........,
Application Does Not Have A Strong Password Policy [9]
Cleartexttraffic is Set To True [1 1 ]
Application is Vulnerable To Simultaneous Login [12] ................
Application's Request/Response Reveals Sensitive Information
SSL Pinning Can Be Bypassed [14] ...........................................,
Insecure Data Storage in File System [15] . ,
Insecure Content Security Policy (Csp)/X-Frame-Options [16] ...
Missing HSTS Header [17] .,
Information Leakage From Clipboard [18] ..,
q.
Sensitive Data Disclosure in Recent Apps [19] ....
r.
Application Has Set Insecure Permissions [21 ]
Apprëciation juridique et recommandations ...
Röles et responsabiIËtës... ,
g.
h.
i.
j.
k.
[13]
1.
m
n.
0.
P.
3,
3.1
3/62

0
Banque de donnëes centralisëe ....................
Banque de donnëes centralisëe stricto sensu .........
Divers droits d'accës ä la base de donnëe centralisëe / fonctions de filtres
Option « saisie manuelle » ..................,..............
Transferts des numëros de tëlëphone aux Ëtats-Unis ... .
Stockage centralisë et permanent du numëro de tëlëphone mobile dans le processus
d'enngistnment
....................................................................................................................
49
3.6.
Microsoft Mun (base de donnëes SQL) ..............................................................................
50
3.7.
Divers aspects de sëcuritë des donnëes...............................................................................
50
3.7.1.
Gestion
des vulnërabilitës..............................................................................................
51
3.7.2.
Mise en place d’une authentification
forte .................................................,...................
51
3.7.3.
Utilisation disproportionnëe d'identifËants ......................................................................
51
3.7.4.
Organisation et documentation relatives ä la sëcuritë des donnëes . ............................
52
Prises de position des parties ........................................................................................................
53
4.1.
Remarques prëliminaires relatives au droit d’ëtre entendu ...................................................
53
4.2.
Prise de position des parties relative aux faits ëtablis Ie 20 mai 2021 ..................................
53
4.3.
Prise de position des parties relative au rapport final et aux recommandations du 28 mai
2021 .......................................................................................................................................
54
4.3.1.
Recommandation (1) concernant les röles et les responsabilitës .................................
54
4.3.2.
Recommandation (2) concernant Ia base de donnëes centrale....................................
55
4.3.3.
Recommandation (3) concernant Ia liste des clients rëguliers SocialScan .................. . 55
4.3.4.
Recommandation (4) concernant Ie service de vërËfication des numëros....................
. 56
4.3.5.
Recommandation (5) concernant l’enregistrement centralisë et permanent du numëro
de tëlëphone mobile dans le processus d'enregistrement ............................................
57
Recommandation (6) concernant la configuration et le renforcement de Microsoft Azure
58
Recommandation (7) concernant la gestion des vulnërabilitës.....................................
58
RecommandatËon (8) concernant la mise en place d'une authentification forte ............ 59
Recommandation (9) concernant le traitement des identifiants d'appareils..................
59
Recommandation (10) concernant la documentation relative ä la sëcuritë des donnëes
3.2.
3.2.1 .
3.2.2.
3.3.
3.4.
3.5.
41
41
43
47
48
4.
4.3.6.
4.3.7
4.3.8.
4.3.9,
4.3.10,
5.
Conclusion
6. Suite de la procëdure ...................
7.
Publication de la recommandation en vertu de I'art. 30 al. 2 LPD
,.... 60
,..... 61
..61
4/62

0
1. Introduction
1.1.
Remarques prëliminaires
Le Prëposë fëdëral ä la protection des donnëes et ä la transparence (PFPDT) ëtablit les faits d’office ou
ä la demande de tiers lorsqu'une mëthode de traitement est susceptible de porter atteinte ä la
personnalitë d'un nombre important de personnes (erreur de systëme ; art. 29 LPD).
La prësente procëdure a pour but de permettre au PFPDT de vërifier si les principes de la protection
des donnëes tels que fixës aux articles 4 et 7 LPD et les prescriptions sanitaires en matiëre de tra9age
sont respectës dans le cadre de l’exploitation et l’utilisation du systëme SocialPass.
1.2.
Situation de dëpart
Dans Ie but de mieux lutter contre la pandëmie de COVID-19, le Conseil fëdëral a prëvu dans
l’Ordonnance sur les mesures destinëes ä lutter contre l’ëpidëmie de COVID-19 en situation particuliëre
du 22 juin 2020 (Ordonnance Covid-19 situation particuliëre ; RS 818.101.26) que les exploitants
d’installations ou d'ëtablissements accessibles au public doivent cotlecter les coordonnëes des
participants ou des visiteurs. La collecte des coordonnëes (donnëes personnelles au sens de 1’art. 3
lit. a LPD) a pour but de pouvoir retracer des cas d’ëventuelles infections au sein d’un restaurant ou de
tout autre ëtablissement ou ëvënement accessible au public. Ä cette fin, les exploitants et les
organisateurs sont tenus de collecter le nom, le prënom, le domicile et le numëro de tëlëphone de leurs
clients (ch. 4.4. lit. a de l’Annexe 1 Ordonnance COVID-19 situation partËculiëre). L’art. 5 Ordonnance
COVID-19 situation particuliëre prëcise que les personnes concernëes doivent ëtre informëes de cette
coIËecte de donnëes et du but de l’utilisation de leurs donnëes (tragage des contacts). Les coordonnëes
doivent ëtre immëdiatement transmises par voie ëlectronique au service cantonal compëtent s’iI en fait
la demande aux fins d’identification et d’information des personnes prësumëes infectëes au sens de
1’art. 33 de la Loi sur les ëpidëmies (LEp ; RS 818.101). De surcroit, l’Ordonnance situation particuliëre
fixe que les coordonnëes collectëes ne peuvent pas ëtre utilisëes ä d'autres fins que celle du tra9age et
qu'elles doivent ëtre conservëes durant les 14 jours suivant Ia visite de l’ëtablissement puis
immëdiatement dëtruites.
Afin de faciliter la collecte desdites donnëes dans le cadre de la lutte contre la pandëmie, les sociëtës
SwissHelios et NewCom4U ont dëveloppë SocialPass. Ce systëme est composë essentiellement de
trois composants : 1’application SocialPass peut ëtre tëlëchargëe sur l’appareil mobile des clients et
visiteurs tandis que 1’application SocialScan est utilisëe par les ëtablissements accessibles au public
comme p.ex. les restaurants. Les donnëes sont ensuite stockëes sur une base de donnëes centrale
Dans le cadre de la prësente procëdure le terme et
les sites web des deux entreprises SwissHelios et NewCom4U n'ont pas non plus ëtë examinës en
profondeur. II est apparu, lors de I'examen initial, que ces composants ne sont pas directement
impliquës dans le traitement des donnëes des personnes concernëes, respectivement qu'il n’existe pas
d'interfaces ou de flux de donnëes vers les coordonnëes collectëes.
1.6.
Bases de l’ëtablissement des faits
Le PFPDT s'appuie sur les sources suivantes pour la prësente procëdure d’ëtablissement des faits:
Informations accessibles au public, notamment sur Ie site web www.socialpass.ch et dans
I'AppStore (iOS) et le PlayStore (Android) ;
Correspondance avec les reprësentants de SwissHelios et NewCom4U depuis l’automne
2020 ;
Rapports d’audits et documents supplëmentaires fournis par les parties selon Ie tableau ci-
dessous.
Audits
Tableau 1: Rapports d’audit
RaI>port d’audit
Auteur
Date
[A]
[B]
GVD7009 Recheck SocialPass_SocialScanv1.2.pdf
iOS Mobile Application Audit Report of Social Scan
v1 .0.pdf
Navixia
Indusface
18.03.2021
04.1 1 .2020
11/62

0
[c]
Android Mobile Application Audit Report of Social
Scan v1.0.pdf
Indusface
04.11.2020
Documents supplëmentaires
Tableau 2: Documents rëfërencës complëmentaires
Document
Date
Auteur
[D]
[E]
[F]
[G]
[H]
[1]
[J]
[K]
Rapport technique SocialPass 14.01.2021.pdf
Fanti Diagramme.pptx
SocialPass - SocialScan Uebersicht - d.pdf
Rëponses aux questions PFPDT 17032021 - scan.pdf
2021 03 11 QuestionnaireTechniqueVI.pdf
Azu re-Sentinel-whitepaper. pdf
Privacy and Cookies Policy - socialpass -
14102020.docx
2021 03 11 QuestionnaireTechnique.docx
L. Miceli
S. Fanti
SocialPass
A. Staeger
L. MËceli
Microsoft
SwissHelios
14.01.2021
09.1 1.2020
09.1 1.2020
17.11.2021
17.03.2021
17.03.2021
10.10.2020
PFPDT
1 1 .03.2021
Ä plusieurs reprises le PFPDT s’est adressë aux exploitants de 1’application pour savoir si d'autres
informations et documents pertinents ëtaient disponibles pour assurer le meilleur dëroulement possible
de la prësente procëdure. Le PFPDT souhaitait notamment savoir quels composants du systëme
avaient fait l’objet de contröles de sëcuritë, le cas ëchëant par des spëcialistes externes, et s'il existait
des rësultats documentës, par exemple sous la forme d'ëvaluations de sëcuritë et de rapports de
vulnërabilitë
En dehors des documents mentionnës dans ce sous-chapitre, les exploitants de 1’application ont assurë
Ie PFPDT qu'aucun examen de ce type (par exemple pour le stockage de donnëes chez Microsoft
Azure) n'a ëtë effectuë et qu'ils ëtaient donc dans l’impossibilitë de transmettre les rësultats d'un tel
examen au PFPDT.
1.7.
Analyses effectuëes dans le cadre de la prësente procëdure
L’analyse technique de I'application SocialPass du PFPDT s’appuie sur les rapports d’audit des
entreprises Indusface du 4 novembre 2020 et Navixia du 18 mars 2021 ainsi que sur les documents
supplëmentaires soumis au PFPDT par les reprësentants des sociëtës SwissHelios et NewCom4U.
Lesdits rapports d’audit ont ëtë rëdigës entre les moËs d'octobre 2020 et mars 2021,
Aucune inspection des lieux en compagnie des responsables de SocialPass n’a eu Ëieu. Ainsi, toutes
les informations - tant de nature technique que juridique – qui ont ëtë jugëes dëterminantes pour
l’ëtablissement des faits ont ëtë exigëes des reprësentants lëgaux des sociëtës SwissHelios et
NewCom4U par ëcrit. Les questions du PFPDT s’appuyaient sur le cadre lëgal tel que prëvu par la LPD
12/62

0
et les prescriptions sanitaires en matiëre de tragage, la norme ISO 27002 ainsi que sur 1’Open Web
Application Security Project (OWASP)
1.8.
Bases lëgales
Les bases lëgales suivantes sont pertinentes dans le cadre de la prësente procëdure :
Loi fëdërale du 19juin 1992 sur la protection des donnëes (LPD), RS 235.1
-
Ordonnance du 14juin 1993 relative ä la lot fëdërale sur la protection des donnëes (OLPD),
RS 235.11
Loi fëdërale sur la lutte contre les maladies transmissibles de I'homme (Loi sur les ëpidëmies,
LEp), RS 818.101
Ordonnance sur les mesures destinëes ä lutter contre l’ëpidëmie de COVID-19 en situation
particuliëre du 19 juin 2020 (Ordonnance COVI D-19 situation particuliëre), RS 818.101.26
1.9.
Compëtence du PFPDT
En vertu de 1’art. 2 al. ler LPD, la LPD rëgit le traitement de donnëes concernant des personnes
physiques et morales effectuë par des personnes privëes (physiques ou morales). La prësente
procëdure d’ëtablissement des faits se penche sur diffërents traitements de donnëes effectuës par des
entitës privëes, notamment la collecte puis l’enregistrement des coordonnëes des visiteurs effectuës
par les exploitants d'ëtablissements ouverts au public dans le cadre de la lutte contre la pandëmie du
(_,OVID-19. Dës lors, la collecte des coordonnëes des visiteurs teIle que prëvue par l’Ordonnance
COVID-19 situation particuËiëre est une activitë privëe soumise ä la LPD et par consëquent ä la
surveillance du PFPDT. Au contraire, le traitement des donnëes (ultërieur) par les autoritës cantonales
(mëdecin cantonal, direction de la santë publique, ëquipe de tragage) tombe sous la surveillance des
prëposës cantonaux respectifs
2. Faits ëtablis
2.1.
Röles et responsabilitës
Fort,e est de constater qu’au bas du site web www.socialpass.ch consacrë ä 1’information des
citoyennes et citoyens, les coordonnëes de Swisshelios Särl ainsi que celles de HotelPro4U (produit de
marketing dëveloppë par la sociëtë NewCom4U Särl) sont mentionnëes. Ainsi, sur Ie site web, les deux
sociëtës apparaissent comme co-ëditrice de 1’application SocialPass. Le fait qu’iI s’agit d’une coëdition
semble ëtre confirmë par les conditions gënërales SocialPass et SocialScan (cf.
https://www.socialpass.ch/termes-et-conditions/,
version du 17 avril 2021, ch. 1). En vertu du ch. 3 de
13/62

0
la dëclaration de confidentialitë – ëgalement disponible sur Ie site web1 – NewCom4U Särl est l’unique
sociëtë responsable du traitement et maTtre du fichier.
De surcroTt, et dans l’AppStore et dans le PlayStore, SwissHelios GmbH est mentionnë comme unique
distributeur de SocialPass.
Enfin, dans leur courrier du 26.04.2021, les reprësentants des exploitants de SocialPass font rëfërence
ä plusieurs documents selon lesquels les exploitants de SocialPass ont ëtë mandatë par le canton du
Valais et GastroVaud respectivement. Sur la base de la documentation ä notre disposition, GastroVaud
aurait mandatë SwissHelios Särl alors que le canton du Valais aurait mandatë NewCom4U Särl pour
l’exploitation de SocialPass
2.2.
Composants et fonctions
2.2.1. AperQU
Le systëme SocialPass se base essentiellement sur une application pour les entreprises (SocialScan,
cf. chapitre 2.2.3), une application pour les utilisateurs (SocialPass, cf. chapitre 2.2.4) et une base de
donnëes centrale (cf. chapitre 2.2.5). Un apergu du fonctionnement de SocialPass sous forme d’un
schëma est ä disposition sous https://www.socialpass.ch/comment-cela-fonctionne/ (ëtat au
08.05.2021).
Les exploitants de 1’application
SocialPass ont mis ä disposition du PFPDT la figure 1. Cette figure a
servi de base pour 1’analyse technique. Par la suite, notamment en raison du dëveËoppement de
I'application, I'illustration a ëtë complëtëe.
Pour la collecte des coordonnëes des visiteurs, le systëme SocialPass prëvoit deux possibilitës :
Gräce ä 1’application
SocialPass le visiteur scanne un code-QR imprimë.
L'exploitant de I'ëtablissement accessible au public scanne le code-QR des visiteurs. Le
schëma suivant illustre la deuxiëme possibilitë de collecter les coordonnëes des visiteurs.
1 https://www.socialpass.ch/mentionslegales/
14/62

MIt 2864)A
Schhrs8el
geskhed
BetrIeb
Social&an
Gesicherte Datenbank
Gesicherter
Direktzugang
Information
Instruktion
Gast 2 - n
§ocialPass
Figure 1: Schëma tel que figurant dans Ie document SocialPass-SocialScan
Uebersicht-d.pdf
2,2.2.
Description du processus d’enregistrement
Aprës avoir installë I'application, celle-ci est ouverte et aprës avoir sëlectionnë la langue
appropriëe (allemand, anglais, fran9ais, italien ou espagnol), les eonditions d'utilisation, y
compris la dëclaration de confidentialitë, apparaissent. Celles-ci peuvent ëtre soËt acceptëes
soit rejetëes.
Aprës avoir acceptë les conditions d'utilisation, I'utilisateur doit saisir son numëro de
tëlëphone. Ensuite, un masque d'enregistrement apparait, dans lequel il doit impërativement
indiquer son nom, son prënom et son code postal. II importe peu que les donnëes soient
correctes ou non, ä I'exception du numëro de tëlëphone.
En cliquant sur (service tiers
amëricain). Au cours de ce processus, un code QR est gënërë et stockë sur l’appareil mobile
de l’utilisateur. Cela signifie qu'un visiteur d'un ëtablissement (par exemple d’un restaurant)
peut soit faire scanner ce code QR par le personnel du restaurant (possËbilitë 2), soit scanner
un code QR sur la table (avec le numëro de la table) – processus qui correspond ä la
premiëre possibilitë dëcrite ci-dessus. II est ëgalement possible d’enregistrer des personnes
qui n'ont pas 1’application
SocialPass via la saisie manuelle (cf. chapitre 2.4.1), par exemple
parce qu’elles n'ont pas d’appareil mobile.
Les donnëes sont ensuite cryptëes et transfërëes directement vers une base de donnëes SQL
centrale (Microsoft Azure), qui est hëbergëe par Microsoft en Suisse. Cela permet aux
traceurs autorisës d'accëder directement aux donnëes afin de prëvenir les personnes
potentiellement infectëes
(1)
(2)
(3)
(4)
15/62

0
(5)
Le fait de quitter un ëtablissement (saisi par un autre scan) est ëgalement enregistrë et
transfërë dans Ia base de donnëes.
Processus documentation visites
8
TOb4B
c08yr&##cabcxt
d 6hckß9e
en
Oruanbateurs
natIon
Instruction - Quarantaine
Vlstteur 1
So GirlPass
Vi$tteur8 2 . n
1 o.-i’ !Pass
Trageurs ae contact des
mëdecins cantonaux
Si direct sëcuhtë par
autlrentlficatm
d(utie facteur
Figure 2: Schëma actualisë du mode de fonctionnement de SocialPass
(6)
La figure 2 montre qu'un traceur peut accëder directement aux informations des visiteurs
potentiellement infectës sur la base de donnëes en utilisant une authentification ä deux
facteurs. En outre, les autoritës cantonales ont un accës direct aux donnëes enregistrëes
dans Ia base de donnëes Azure lorsque I'utilisation de I'application SocialPass est rendue
obligatoire par ces autoritës (cf. chapitre 2.2.5.b).
La figure 2 montre ëgalement que l’accës des mëdecins cantonaux aux donnëes diffëre d’un
canton ä un autre. Selon le modële choisi, les exploitants d’ëtablissements accessibles au
public peuvent demander une liste d'informations sous forme de fichier Excel/PDF et la
transmettre aux traceurs ou si les traceurs peuvent accëder directement aux coordonnëes des
visiteurs.
(7)
16/62

0
2.2.3.
Fonctions deSocialScan
Le composant SocËalScan est utilisë par un ëtablissement accessible au public (par exemple un
restaurant) pour enregistrer les coordonnëes des visiteurs et peut ëtre installë sur les pIateformes iOS
et Android.
Lors de I'enregistrement d'un ëtablissement dans SocialScan dans Ie but de crëer un compte, les
donnëes suivantes sont collectëes (les champs obligatoires ëtant marquës par un *) :
«Organisation»*: restaurant, ëvënement, religion, prestations de service, restaurant Berne,
sport, gënëral – simple, famiIIe, chantier de construction, centre de formation, EMS ou
organisation partenaire
Nom*
Adresse*
Code postal*
Ville*
E-Mail*
Tëlëphone*
Nom de la personne responsabËe*
Mot de passe*
L’adresse mail et le mot de passe sont utilisës pour crëer un compte d’utilisateur
Les donnëes des ëtablissements sont traitëes ä deux fins diffërentes. D'une part, lors d'une visite dans
un ëtablissement accessible au public, les coordonnëes des visiteurs sont complëtëes avec les
donnëes portant sur l’ëtablissement, l’ëvënement, etc. puis transmises ä la base de donnëes centrale
aux fins de la collecte des coordonnëes des visiteurs/ä des fins de tra9age (contact tracing). D’autre
part, les donnëes sont transfërëes dans le systëme de gestion de la relation client (Customer
Relationship Management, CRM) de NewCom4U Särl. En fonction de I'abonnement conclu entre les
ëtablissements et les exploitants de SocialPass, ce systëme gëre les processus de paiement pour
I'utilisation de I'application.
2.2.4_
SocialPass : enregistrement et utilisation
SocialPass est le composant utilisë par les clients d'un ëtablissement. L'application est gratuite et peut
ëtre utilisëe sur les appareils iOS et Android
Aprës avoir tëlëchargë le composant SocialPass sur son tëlëphone mobile et acceptë la dëclaration de
confidentialitë (un document intitulë 
consultable sous https://www.socialpass.ch/mentionslegales/; ëtat au 10.05.2021), l’utilisateur doit
17/62

0
indiquer son numëro de portable qui est ensuite vërifië. La vërification se fait via le prestataire amëricain
 (cf. chiffre 2.5.2), toutefois I'utilisateur n’en est pas informë.
L'utilisateur
re9oit un code de vërification par SMS sur le numëro indiquë et procëde ensuite ä
 . A cette fin, iI doit indiquer les donnëes suivantes (les champs obligatoires
ëtant marquës par un *) :
Nom*
Prënom*
Numëro de tëlëphone mobile* (repris du pas prëcëdent)
Code postal*
Date de naissance
Adresse
E-Mail
II convient de noter que la date de naissance constituait un champ obligatoire au dëbut de la procëdure
d’ëtablissement de faits, ce qui a ëtë adaptë au cours de la procëdure.
Ä 1’exception du numëro de tëlëphone (voir ci-dessus), les donnëes enregistrëes par l’utilisateur ne sont
pas vërifiëes. Elles peuvent en outre ëtre adaptëes ä tout moment. Lorsque l’utilisateur veut changer le
numëro de tëlëphone mobile indiquë lors de l’enregistrement, iI re9oit un nouveau code de vërification.
Les coordonnëes collectëes sont sauvegardëes localement sur l’appareil mobile de l’utilisateur.
Une fois l’inscription complëtëe, l’utilisateur dispose d’un code QR qui peut ëtre affichë sur son portable.
11 peut ensuite montrer ce code ä l’exploitant de l’ëtablissement lorsqu’iI accëde audit ëtablissement.
L’expËoitant scanne alors Ie code QR gräce au composant SocialScan.
Le client peut ëgalement scanner lui-mëme, ä I'aide de 1’application SocialPass, un code QR fourni par
I'exploitant de l’ëtablissement accessible au public et I'utiliser pours’enregistrer. 11 convient de noter que
dans cette deuxiëme hypothëse, iI n’est pas possible de vërifier si Ie code QR mis ä disposition par
l’exploitant
de l’ëtablissement
ne renvoie pas ä un contenu dangereux, puisque I'application
ne
demande pas de reconfirmation avant de transmettre les donnëes aprës Ie scan du code QR
Quand Ie code QR de l’utilisateur est lu par un appareil de I'exploitant ou que l’utilisateur scanne Ie code
QR mis ä disposition par I'ëtablissement, les coordonnëes des visiteurs enregistrëes, complëtëes par
les donnëes relatives ä la visite dans I'ëtablissement (« dëtails de prësence dans une organisation »)
sont alors transfërëes dans une base de donnëes SQL (Microsoft Azure, cf. chapitre 2.5.3)
18/62

0
2.2.5. Base de donnëes centralisëe
a.
Gënëralitës
Lors d'une visite, les coordonnëes du visiteur (nom, adresse, email, numëro de tëlëphone, etc.) sont
combinëes avec les donnëes de I'ëtablissement accessible au public (nom, emplacement, table, etc.)
et Ie moment de la visite (checkin / checkout) pour former un ensemble de donnëes. Cet ensemble de
donnëes (coordonnëes du visiteur / donnëes de l’ëtablissement / heures de prësence) est ensuite
transmis de maniëre cryptëe et stockë dans ia base de donnëes centrale d'Azure (Suisse Nord / Zurich).
Les interfaces de programmation API (Application Programming Interfaces) sont utiËisëes pour la
transmission des donnëes
D’une maniëre gënërale, les accës aux API sont protëgës par I'utilisation de jetons de sëcuritë du type
JWT encryptë ä I'aide d’algorithmes AES 256. Les API sont aussi dëployës dans Ie cloud Azure Suisse.
Le tableau suivant rëcapitule, ä titre d’exemple, 1’ensemble des donnëes qui sont transfërëes ä la base
de donnëes centrale en tant que « dëtails de prësence dans une organisation » aux fins de la collecte
des coordonnëes des visiteurs en vertu des dispositions lëgales en vigueur :
PresenceDatal D
Orqanizationl D
LastName
FirstName
PhoneNr
Reservation Date
Field1 Value
C
PostalCode
Canton
Arrival
Departu re
DateOfBirth
Adress
4016282
17800
Doe
John
+41791234567
2021 -01 -28
Table 2
Berne
3003
Berne
2021-01-28 10:32:00.000
2021-01-28 11 :45:00.000
1999-01 -01
Feldeggweg 1
Les dëtails des prësences dans une organisation peuvent ëtre transmises soit par SocialPass ou par
SocialScan, selon Ia variante utiËisëe (cf. chapitre 2.4),
Malgrë les demandes explicites du PFPDT, iI n'a pas ëtë possible d'ëtablir quelles ëtaient les mesures
de protection des donnëes dans Azure et si les donnëes sont stockëes sous forme cryptëe ou non (data
at rest protection).
Les dëtails de prësence dans une organisation sont supprimës aprës 14 jours. Ä cette fin, une täche
planifiëe a ëtë exëcutëe ä I'aide de la fonction ; Ie script fonctionne en continu et supprime
automatiquement, deux fois parjour, les enregistrements de donnëes de plus de 14 jours.
19/62

0
Le stockage des dëtails de prësence dans une organisation transmËses est centralisë, c'est-ä-dire que
Ie stockage desdits dëtails de prësence n’est ni physiquement ni logiquement sëparë, iI n'y a pas de
sëgrëgation (sëparation) des donnëes par canton ou par ëtablissement accessible au public. En
d’autres termes, iI n’y a qu'une seule base de donnëes centrale pour toutes les donnëes relatives aux
visiteurs de tous les ëtablissements participants au systëme SocialPass dans toute Ia Suisse.
b.
Accës des autoritës cantonales aux coordonnëes des clients
11 y a deux possibilitës d'accës aux donnëes centralisëes lors d’un cas d’infection : la remise d’une liste
ä I'autoritë compëtente par l’ëtablissement ou un accës direct par les autoritës en charge de la santë
publique (cantons de Valais et Vaud).
Dans Ia variante « remise d’une liste » l’ëtablissement peut, si les autoritës compëtentes le lui
demandent pour l’identification
des personnes prësentes, tëlëcharger une liste des coordonnëes des
visiteurs pour une përiode donnëe et la mettre ä la disposition de I'autoritë cantonale.
Dans Ia variante spëcifique au canton du Valais).
Ä partir de la recherche des cas positifs dans les organisations on peut obtenir l’identification de ces
cas. Ä partir de la recherche prëcëdente on peut obtenir Ia liste des personnes ayant ëtë en contact
direct avec les cas positifs. Pour cette option de recherche, la restriction sur le canton ne s’applique
pas. Tous les contacts du cas positif sont identifiës.
2.3.
But de la collecte des donnëes
Selon Ie ch. 7 de la dëclaration de confidentialitë2, qui trouve son fondement dans l’Ordonnance Covid-
19 situation particuliëre, la collecte des donnëes se fait uniquement dans Ie but de les transmettre aux
autoritës publiques en cas d'infection confirmëe de COVID-19 au sein de l’ëtablissement accessible au
public,
2 Document , d'imprimer un code QR ou de continuer sans rien faire. En pratique
toutefois, le choix entre ces diffërences options appartient ä I'utilisateur de SocialScan. En effet, c'est
l’utilisateur de SocialScan, c'est-ä-dire I'exploitant de l’ëtablissement accessible au public qui dispose
de l’appareil sur lequel SocialScan a ëtë tëlëchargë.
Si le choix porte sur I'inscription sur de la liste des clients rëguliers, les donnëes sont stockëes
localement sur I'appareil de l’utilisateur de SocialScan, c'est-ä-dire de l’exploitant de l’ëtablissement
accessible au public. Les coordonnëes peuvent ensuite ëtre rëutilisëes lors d’une nouvelle visite via la
fonction . Lorsque la fonction « saisie manuelle > est choisie, la liste sur laquelle
figure toutes les coordonnëes des « clients rëguliers » enregistrës s’affiche lorsqu’est sëlectionnëe la
fonction avec
d’autres appareils de I'exploitant de l’ëtablissement accessible au public (p.ex. lorsque l’ëquipe de
service est composëe de plusieurs collaborateurs). L’ensemble des donnëes des dans Socialscan et les donnëes ä saisir et ä transmettre
24/62

0
A- SocialScan
aHH
+
Soumettre les informations
ahoi.sir un client
16b
EntFëe 0
Srxtie. O
h&nl
0
0
INFOS CLIENTS
®IEp
Nam-
Dëpan
rna:1ITh
Forrctions
S:9
Caltl€ikr
Prëirolll-
@1
tkrnandu la bste
MobIle*
Code po stal1
Adresse
<>R Ctxle rnultipk
Date de naissanc:e
FIFa:1
Version: 6.3
§uppört
NFOS-EMS
_• - Date
W 08.01.2021
Heu ; e
10:37
0
Figure 5 : ëcrans de SocialScan. dans : Rapport technique (Document [DD, p. 61 ss.
Ä noter : la fonction ëtait appelëe dans Ia version 6.3 et a ëtë renommëe dans Ia version actuelle.
25/62

0
2.4.2_
Stockage des numëros de tëlëphone mobile issus du processus d'enregistrement
Au cours du processus d'enregistrement, le numëro de tëlëphone mobile est traitë dans Ie but de vërifier
I'authenticitë du numëro indiquë. Avant de dëclencher la vërification par SMS gräce aux services Twilio,
iI est vërifië si le numëro de tëlëphone indiquë a dëjä ëtë utilisë une fois pour I'inscription dans
SocialPass. Ä cette fin, tous les numëros de tëlëphone mobile utilisës prëcëdemment sont stockës de
maniëre centralisëe sur Microsoft Azure. Lorsqu’un nouvel enregistrement est effectuë, ces donnëes
sont interrogëes
11 n'y a aucune indication que tes numëros de tëlëphone sont supprimës aprës une certaine përiode de
temps. En outre, I'utilisateur n'est pas informë de ce stockage permanent lors de la procëdure
d'enregistrement. II n'y a pas non plus d'indication sur la maniëre dont I'utilisateur peut faire supprimer
ces donnëes.
II est important de noter que le traitement du numëro de tëlëphone rëpond ä deux objectifs diffërents
D'une part, le numëro de tëlëphone est traitë afin de procëder ä sa vërification de ce numëro par l’envoi
d’un SMS et, d'autre part, pour rëpondre aux exigences lëgales qui fixent que la collecte du numëro de
tëlëphone est obligatoire afin de permettre le tragage (contact tracing). Ce sous-chapitre se penche sur
Ie traitement des donnëes tel que prëvu par Ie premier objectif dëcrit ci-dessus.
2.5.
Services de tiers
2.5.1.
Infomaniak
Le site www.socialpass.ch sert principalement de portail d'information pour la plateforme SocialPass et
est hëbergë par Infomaniak en Suisse. Infomaniak est un hëbergeur suisse dont les centres de donnëes
sont situës exclusivement en Suisse. Ä I'origine, le site www.socialpass.ch ëtait hëbergë par un
fournisseur en France. Aprës Ie premier audit de la sociëtë Navixia SA en novembre 2020,
l’hëbergement a ëtë confië ä Infomaniak en Suisse.
Le fonctionnement du site web et le traitement des donnëes associë ne sont pas examinës dans le
cadre de cette enquëte. Sur la base des informations ä notre disposition, iI n’y a pas d'ëchange de
donnëes entre Ie site web et les applications SocialPass ou SocialScan ; au moment de la prësente
enquëte, le site web est uniquement utilisë ä des fins d'Ënformation.
2.5.2.
Twilio
Twilio est une entreprise amëricaine basëe ä San Francisco, aux Ëtats-Unis. EIle exploite une
plateforme de communication en nuage en tant que « Platform as a Service >.
26/62

0
Aprës I'enregistrement
initial auprës de SocialPass, Twilio permet I'envoi du SMS aux utilisateurs de
SocialPass. En recevant Ie SMS, la validitë du numëro du client est confirmëe. Ä la fin du processus de
vërification, une clef unique est renvoyëe par ce service si le processus a pu ëtre achevë correctement,
Force est de constater que lors de l’utilisation du service Twilio des donnëes personnelles au sens de
la LPD, notamment les numëros de tëlëphone des visËteurs, son transfërëes aux US. Toutefois, sur la
base de la documentation ä notre disposition, nous constatons que les opërateurs de SocialPass n'ont
pas vërifië si des mesures autres que celles prëvues dans les clauses contractuelles ëtaient nëcessaires
et, le cas ëchëant, si elles avaient ëtë mises en place.
La finalitë de la collecte et du traitement des numëros de tëlëphone ne ressort pas clairement des
documents soumis au PFPDT ; toutefois, sur la base des informations
dont nous disposons, ces
donnëes ne semblent pas ëtre traitëes en tant que coordonnëes, mais sont traitëes afin de vërifier
l’authenticitë du numëro de tëlëphone indiquë.
2.5.3. Microsoft Azure (base de donnëes SQL)
Une base de donnëes Azure SQL de Microsoft, hëbergëe en Suisse, est utilisëe pour stocker les
donnëes tel que dëcrit ci-dessus. Les rapports de test [B] et [Cl qui nous ont ëtë fournis ne concernent
que le composant SocialScan pour Android et iOS. Ils ne contiennent aucune information sur le
composant SocialPass ou les services de fournisseurs tiers, tels que Twilio ou Microsoft Azure. Afin de
permettre au PFPDT de mieux ëvaluer le traitement en termes de sëcuritë et de protection des donnëes,
des rëponses spëcifiques supplëmentaires ont ëtë demandëes ä SwissHelios dans Ie document [K]
Dans ce contexte, la question a ëtë posëe de savoir si Azure ëtait configurë conformëment ä la Baseline,
par exemple. Cette question est restëe sans rëponse jusqu’ä ce jour. Le document [1] a ëtë soumis ä
titre d'information. Toutefois, iI ne contient aucune information sur les mesures prises pour sëcuriser le
systëme ni sur la mise en @uvre effective et le contröle de ces mesures. Dans la rëponse (4-c) du
document [H], les exploitants de SocialPass expliquent que la fonction d’audit est activëe sur Azure, qui
enregistre les accës ä la base de donnëes. EIle prëcise ensuite que I'infrastructure AZURE dispose de
toutes les fonctions de sëcuritë, de journalisation et de tragage. II n'est pas expliquë si et comment ceux-
ci sont utilisës et donc activës. Dans ce cadre se pose ëgalement la question de savoir si des
identificateurs et/ou d'autres donnëes personnelles ont ëtë enregistrës dans Azure en plus des donnëes
des visiteurs/clients (=prësence) et si oui, lesquelles.
2.6.
Information et droits des personnes concernëes
2.6.1. Information des utilisateurs
Au cours de la procëdure d'ëtablissement des faits, la dëclaration de protection des donnëes et d'autres
informations publiquement accessibles,
ä savoir les informations disponibles sur Ie site web
www.socialpass.ch, ont ëtë considërablement modifiëes. Actuellement (ëtat au 10.05.2021), tant les
27/62

0
liens dans I'AppStore (Apple/iOS), dans le PlayStore (Google/Android) que dans les applications
SocialPass et SociaËScan
renvoient ä la dëclaration de protection
des donnëes sur Ie site
www.socialpass.ch/mentionslegales/, ce qui ëtait encore incohërent au moment de I'ouverture de la
procëdure.
2.6.2. Droits des personnesconcemëes
a.
Exercice du droit d’accës
Le document « SocialPass – SocËalScan et la protection des donnëes »3, accessibles via I'application,
les AppStores et Ie site web sous le titre (cf. chapitre 2.4.1) est utilisëe, les coordonnëes des
 restent enregistrëes
sur l’appareil
de l’ëtablissement.
Sur la base de la
documentation soumise au PFPDT, aucune possibilitë d’effacer les donnëes des 
des appareils des ëtablissements accessibles au public ne semble avoir ëtë prëvue par les exploitants
de SocialPass.
Aucune information n'est disponible sur la question de savoir si une sollicitation ä 1’adresse des
utilisateurs de supprimer I'application, et donc toutes les donnëes personnelles dëtenues sur les
appareils, est prëvue lorsque les dispositions pertinentes fondëes surl’Ordonnance COVI D-19 Situation
particuliëre ne seront plus en vigueur,
2.7.
Aspects de sëcuritë des donnëes
2.7.1. Organisation de la sëcuritë de 1’information
Le PFPDT a demandë aux opërateurs de I'application, au moyen d'un questionnaire, comment les
responsabilitës en matiëre de sëcuritë de I'information et de protection des donnëes sont dëfinies,
documentëes et attribuëes entre les deux exploitants de 1’application. Dans leur rëponse ä ce
3 https://www.socialpass.ch/mentionslegales/
28/62

0
questionnaire technique, les exploitants de I'application ont indiquë que la rëpartition des responsabilitës
en matiëre de sëcuritë de I'information et de protection des donnëes n’a pas pu ëtre fixëe (ni par oral ni
par ëcrit), notamment en raison des modifications constantes de I'application au niveau cantonal ainsi
qu’en raison des dëveloppements rapides, mais que peu prëvisibles de la pandëmie.
2.7.2.
Login avec double-authentification
Sur la base des informations soumises au PFPDT, iI n'est pas clair si et, le cas ëchëant, quels
composants du systëme de SocialPass sont sëcurisës au moyen d'une authentification ä deux
facteurs.
2.7.3. Identifiants de l’utilisateur
Selon le chapitre [D] "8.11 - Device - Structure des donnëes", diffërents identifiants d'utilisateur sont
utilisës. Outre le numëro de tëlëphone, iI convient de mentionner explicitement I'utilisation de I'IMEI
(International Mobile Equipment EntËty, un numëro de sërie ä quinze chiffres unËque au monde de
I'appareil) et d'un numëro d'utilisateur unique UID (Unique ID) de Google Firebase. Aucune autre
donnëe pseudonymisëe servant ä identifier de maniëre unique les personnes concernëes n'a ëtë
mentionnëe, mëme aprës des demandes explicites du PFPDT.
2.7.4. Gëolocalisation
SocialPass n’utilise pas la gëolocalisation
2.8.
Analyse de 1’audit de Navixia SA
Les composants et datë du
18 mars 2021, tous les ëlëments des applications susceptibles d'ëtre pertinents pour la sëcuritë ont ëtë
29/62

0
examinës.
Cela
comprend le stockage
des
donnëes,
la confidentiatitë, la cryptographie,
I'authentification, la communication rëseau et les paramëtres de construction.
Pour analyser les applications mobiles, Navixia SA suit une mëthodologie basëe sur I'ëvaluation des
risques OWASP. Cette approche suit un processus structurë et rend tes rësultats obtenus comparables
entre eux. Ä cette fin, pour chaque ëlëment identifië, la vulnërabilitë est dëcrite et son degrë de risque
est cartographië sur la base du systëme normalisë CVSS (Common Vulnerability Scoring System). Les
rësultats sont ëvaluës selon les critëres suivants :
•
Exploitabilitë : les vecteurs d'accës, la complexitë de I'accës et I'authentification ëvaluent comment
un attaquant peut accëder ä une vulnërabilitë et quelles conditions supplëmentaires, le cas ëchëant,
doivent ëtre remplies pourqu'elle soit exploitëe.
•
Implications
: Les indices de protection des donnëes, d'intëgritë du systëme et de disponibilitë
mesurent la maniëre dont une vulnërabilitë peut avoir un impact direct sur I'infrastructure
informatique une fois exploitëe.
Dans le CVSS, le score total d'une vulnërabilitë rësulte de la combinaison d'une sërie d'ëvaluations
isolëes d'aspects indËviduels (mëtriques), en tenant compte des pondërations enregistrëes dans la
formule de calcul.
Les indices de mesure ä cet effet sont indiquës ci-dessous avec les valeurs attribuëes correspondantes,
Cet indice ëvalue Ie niveau d'autorisation qu'un attaquant doit avoir afin d'exploiter avec succës la
vulnërabilitë.
Haut:
L'attaquant dispose de privilëges qui lui donnent accës ä des röles administratifs
importants.
L’attaquant dispose de privilëges d'utilisateur de base qui peuvent affecter les
paramëtres et les fichiers d'un utilisateur.
L'attaquant n'a pas besoin d’ëtre authentifië
Moyen :
Faible:
lci, I'ëvaluation est basëe sur I'impact d'une vulnërabilitë sur la confidentialitë des donnëes traitëes.
Confidentialitë
Haut:
11 y a une perte totale de confidentialitë et un attaquant obtËent I'accës ä toutes les
ressources du composant affectë.
Un attaquant peut accëder ä certaines donnëes.
II existe un faible risque d'accës aux donnëes au sein du composant concernë.
Moyen :
Faible:
30/62

0
Cet indice dëcrit Ë'impact d'une vulnërabilitë sur I'intëgritë du systëme.
Haut:
11 en rësulte une perte totale d'intëgritë. Par exemple, l’attaquant peut modifier
n'importe quel fichier (ou ensemble de fichiers).
Moyen :
Faible:
La modification de donnëes est possible dans une mesure limitëe. Cependant, la
modification des donnëes n'a pas d'impact significatif sur le composant concernë.
11 y a un faible risque de perte d’intëgritë.
Le degrë de danger est ëvaluë dans le rapport de Navixia SA sur la base des ëlëments ci-dessus sur
une ëchelle de O ä 10.
• Score entre 9,0 et 10: critique
• Score entre 7,0 et 8,9: 111:jIt
• Score entre 4,0 et 6,9: ,
• Score entre 0,1 et 3,9: faible
• Score 0: ä titre d’information
Du point de vue du PFPDT, les interprëtations suivantes doivent servir de rëfërence, en fonction de
I'indice d’ëvaluation, afin de prëvenir les risques de violation de la protection des donnëes.
Critique:
Haut;
Cette vulnërabilitë reprësente un risque inacceptable. L’application ne doËt pas ëtre
mise en ligne ; si eIle 1’est dëjä, eIle doit ëtre dësactivëe immëdiatement.
Cette vulnërabilitë doit ëtre corrigëe immëdiatement, ëventuellement dans le cadre
d'un correctif d'urgence. D'autres mesures de minimisation des risques doivent ëtre
envisagëes jusqu'ä ce que le correctif soit en place.
Moyen :
Faible:
Cette vulnërabilitë doit ëtre corrigëe, mëme si eIle entraine des coüts
supplëmentaires (modërës) ou d'autres inconvënients (modërës)
Le correctif peut ëtre inclus dans la planification des versions sur une base rëguliëre.
Par la suite, les conclusions du document 
31 /62

2.8.2. Qualitë du code et packaging (6.3.7)
Comme dëcrit dans le rapport d'audit, un attaquant peut modifier I'APK (paquet Android) afin qu'il
contienne une ancienne version d'une bibliothëque externe sans que cela soit dëtectë par la signature.
Toutefois, si cette ancienne bibliothëque contient des vulnërabiIËtës, l’APK peut ëtre installë sur un
tëlëphone mobile, par exemple, sans briser la signature existante. II est ainsi possible d'exploiter les
failles de sëcuritë des anciennes bibËiothëques.
En outre, les versions intëgrëes des bibIËothëques tierces ont ëtë examinëes au cours de I'audit. 11 a ëtë
constatë que toutes les bibliothëques ne sont pas de la derniëre version. En fait, les bibliothëques tierces
obsolëtes sont souvent affectëes par des failles de sëcuritë.
2.8.3.
Descripteur (7.1)
Le descripteur d'API utilisë par les applications mobiles est accessible au public. Cela permet ä un
attaquant de dëtecter toutes les mëthodes disponibles. D'aprës le rapport, le descripteur d'API n'est
plus visible dans I'environnement de test UAT (User Acceptance Test), mais peut toujours ëtre consultë
en production. Un attaquant peut en tirer des informations pour attaquer I'environnement UAT. Le
problëme ne peut donc ëtre rësolu que si 1’information n'est pas du tout visible.
2.8.4.
Mots de passe stockës en clair (7.1)
Dans le cadre d’interviews, les dëveloppeurs de SocialPass ont confirmë ä Navixia SA que les mots de
passe ne sont plus stockës en texte clair dans la base de donnëes. Cependant, sans accës ä cette base
de donnëes, iI n'a pas ëtë possible pour Navixia de vërifier si les mots de passe sont maËntenant stockës
correctement (salt & hash). Dës lors, le PFPDT part du principe que les dëclarations faites par les
dëveloppeurs dans le rapport sont correctes et que les mots de passe ne sont plus seulement stockës
en texte clair, mais qu'ils sont ëgalement sëcurisës par un Medium Salting.
2.8.5.
Conservation desdonnëes (8.4.1)
La section 8.4.1 mentionne un problëme de conservation des donnëes deI ä une faille de sëcuritë. Selon
Ie rapport d'audit, cela a ëtë rectifië depuis. Or, ce point ne pouvait plus ëtre vërifië par Navixia SA sans
accës ä la base de donnëes.
32/62

0
2.9.
Analyse de 1’audit d’lndusface
Le PFPDT a regu les deux documents suivants par e-mail Ie 1 1 fëvrier 2021 par le reprësentant lëgal
des exploitants de SocialPass
Rapports d’audit
Android Mobile Application Audit Report of Social Scan v1.0.pdf
SHA2 56
D313DCD4B4D8 FBD2C142F7943C65DB4 FF4155F6B474C2F54 35306ADF438F26CC
iOS Mobile Application Audit Report of Social Scan v1 .0. pdf
SHA2 56
C74551665D7B2 2 IAC133DBBEDC31F6EAB2 77FB151879D14237D680117B6A3BD9
Les deux rapports d'audit fournis (Indusface), se rëfërent exclusivement au composant ,
dans les versions pour Android et iOS. Ils ne contiennent aucune information sur le composant
 ou les systëmes back-end sur et diffërent en fonction des systëmes d'exploitation
Android et iOS
2.9.1 .
Classification
La classification est basëe sur les catëgories ci-dessous
Impact
DescrËption
A vulnerability wherein an attacker might have the ability to execute commands
on the server or retrieve and modify private information
Security issues are defined as a risk that puts the system and / or data related
to the system in immediate danger.
Medium
Findings indicate a more serious security matter that should be remedied
appropriately within a short amount of time.
Findings usually indicate a minor security risk that does not pose immediate or
short-term danger. An observational point in the site, or detection of certain
applications or web servers
An observational point in the site, or detection of certain applications or web
servers
33/62

0
2.9.2.
Rësultats en fonction des catëgories
Les vulnërabilitës dëtectëes sont classëes dans les catëgories suivantes
Android-App
iOS-App
CritËcaË fi
High: 2
Medium: 2
Low: 21
Information:
3
Critica!: f 1
High: 2
Medium: 1
Low: 18
Information: 1
2.9.3. Android et iOS Mobile
Le tableau ci-dessous reflëte les rësultats d'lndusface [B] et [C] pour le composant « SocialScan > pour
les systëmes d'exploitation Android et iOS. Les entrëes marquëes d'un astërisque (*) sont considërëes
par le PFPDT comme pertinentes pour la protection des donnëes. Mëme s'ils sont considërës comme
faibles dans la cËassifËcation des risques, ils peuvent dëvelopper une classification des risques diffërente
ä la suite d'interactions. Ces entrëes relatives ä la protection des donnëes sont analysëes au chapitre
2.9.4
Le PFPDT utilise les notations suivantes comme critëre pour attënuer le risque de violation de la
protection des donnëes
Cette vulnërabilitë reprësente un risque inacceptable. L'application ne doit pas ëtre
mise en Ëigne ; si eIle 1'est dëjä, eIle doit ëtre dësactivëe immëdiatement.
Cette vulnërabilitë doit ëtre corrigëe immëdiatement, ëventuellement dans le cadre
d'un correctif d'urgence. D'autres mesures de minimisation des risques doivent ëtre
envisagëes jusqu'ä ce que le correctif soit en place
Cette vulnërabilitë doit ëtre corrigëe, mëme si cela entraTne des coüts
supplëmentaires (modërës) ou d'autres inconvënients (modërës)
La correction peut ëtre incluse dans la planification des versions ultërieures sur une
base rëguliëre
Tableau 3: Rësultats trouvës dans SocialScan
Vulnërabilitës
Nr.
Catëgorie de
risques
Blind HTML Injection
High
High
Medium
Insecure Direct Object References
Application is Vulnerable To Email Flooding Attack
34/62

0
4*
5*
6*
7*
8*
9*
10
11*
12*
13*
14*
15*
16’
17*
18*
19*
20
21*
22
23
24
25
26
27
Insecure Logging Of The Application (betrifft nur Android)
Application is Vulnerable To Improper Token Management
Application Accepts Special Character As User Input
Valid Account Can Be Brute Forced
Missing API Rate Limiting
Application Does Not Have A Strong Password Policy
Application is Vulnerable To Reverse Engineering
Cleartexttraffic is Set To True (betrifft nur Android)
Application is Vulnerable To Simultaneous Login
Application's Request/Response Reveals Sensitive Information
SSL Pinning Can Be Bypassed
Insecure Data Storage in File System
Insecure Content Security Policy (Csp)/X-Frame-Options
Missing HSTS Header
Information Leakage From Clipboard
Sensitive Data Disclosure in Recent Apps
Default Web Page Found
Application Has Set Insecure Permissions
Programming Language And Version Disclosure
Application Displays Web Server Banner
Using Known Vulnerable Components
Application Works in Rooted Device
Application Runs On Older Platform
Printstacktraceo Function is Used in The Application
lediu
Low
Low
Low
Low
Low
Low
Low
Low
Low
Low
Low
Low
Low
Low
Low
Low
Low
Low
Low
Low
Low
Information
Information
35/62

0
setAILowFileAccess Enabled
2.9.4. Conclusions de 1’audit Indusface
Le sous-chapitre 2.9.4 rësume les diffërentes constatations du PFPDT comportant un risque de perte
de donnëes, de corruption de donnëes ou de dommages aux donnëes.
a.
Blind HTML tnjection [1]5
L'injection HTML est utilisëe lorsque I'entrëe dans une application n'est pas validëe. Cela permet de
modifier le contenu d'une page web et tous les utilisateurs qui naviguent sur cette page verront le
contenu modifië. Ainsi, sur la page d'enregistrement de SocialScan, un attaquant peut injecter un HTML
Payload (par exemple, une chaTne de code malveillant) dans les champs de donnëes et rëussir ä
I'enregistrer. L'injection HTML est exëcutëe avec succës dans les modëles d'email.
b.
Insecure Direct Object References
[2]
Les rëfërences directes ä des objets non sëcurisëes (IDOR) constituent un problëme de sëcuritë qui se
produit lorsque le dëveloppeur de I'application utilise un pointeur pour accëder directement ä un objet
d'implëmentation interne, mais ne fournit pas de contröles d'accës et/ou de vërifications d'autorisation
supplëmentaires. Un utilisateur de SocialScan est lië ä son numëro d'identification d'utilisateur par I'ID
de I'organisation. L'attaquant, ä son tour, se connecte ä SocialScan et peut simplement modifier I'ID de
I'organisation ä volontë. Cela permet ä I'attaquant d'avoiraccës aux dëtaiËs de I'utilisateur correspondant
(numëro de tëlëphone mobile et mot de passe).
c.
Insecure Logging Of The Application [4]
Dans SocialScan, les donnëes sensibles d'un point de vue technique sont enregistrëes et peuvent
conduire ä des fuites d'informations. Dans SocialScan, les donnëes sensibles teIles que le nom de
I'utiIËsateur
et le mot de passe sont stockëes sans aucune .
d.
Application is Vulnerable To Improper Token Management [5]
Le rapport indique que dans SocialScan, une session reste active mëme aprës la dëconnexion. Cela
signifie qu’une session peut ëtre reprise et rëutilisëe par un autre utilisateur.
5 Les chiffres entre crochets font rëfërence au tableau 3: Rësultats trouvës dans SocialScan, ci-dessus.
36/62

0
e.
Application Accepts Special eharacter As User Input [6]
SocialScan accepte les caractëres spëciaux (>{ , , , ou .
o.
Missing HSTS Header [17]
SocialScan n'utilise pas d'en-tëte HSTS. Cela signifie que les communications non cryptëes via HTTP
sont autorisëes
p.
Information Leakage From Clipboard [1 8]
SocialScan permet de copier-coller ä partir du presse-papiers, notamment le copier-coller de mots de
passe figurant dans Ie presse-papiers.
q.
Sensitive Data Disclosure in Recent Apps [1 9]
Au vu du rapport, aucune prëcaution n’est prise pour empëcher I'utilisation de donnëes sensibles (d’un
point de vue technique) par des applications tierces (par exemple, en mettant en cache des
instantanës d'applications).
r.
Application Has Set Insecure Permissions [21]
II s'est avërë que SocialScan n'avait pas dëfini des droits d'accës, ce qui constitue une menace pour
la sëcuritë pouvant entraTner des fuites de donnëes dans le pire des cas
38/62

0
3. Apprëciation juridique et recommandations
Sur la base des faits ëtablis ci-dessus, notifiës aux parties Ie 20 mai 2021, le PFPDT considëre ce qui
suit (chapitre 3). II tient ä relever que contrairement ä ce que peuvent laisser entendre les documents
soumis par les parties, le PFPDT ne fonde pas ses considërations sur 1’« attestation de conformitë »
d'un audit externe teIle que mentionnëe dans Ie document intitulë .
Dans Ie document intitulë « Covid-19 – Dispositifs d’identification de la clientële dans les ëtablissements
de restauration – Procëdure de vërification technique – 15 octobre 2020 » (dont l’auteur n’est pas
identifiable), soumis au PFPDT par les reprësentants des parties en annexe au courrier du 23.04.2021,
iI a ëtë prëvu que .
Cet extrait de document, dont Ia nature juridique reste peu claire, ne constitue clairement pas la nature
d’une norme gënërale et abstraite qui pourrait justifier l’accës dëpassant le cadre de la lëgislation
fëdërale pertinente des autoritës sanitaires. Le PFPDT ne saurait donc admettre que l’accës direct sur
la base de donnëes centralisëe permettant des recherches ciblëes presque indëfinies octroyë au
Mëdecin cantonal vaudois se fonde sur une base lëgale au sens de I'art. 13 al. 1 '' LPD.
En ce qui concerne un ëventuel intërët public prëpondërant comme motifjustificatif au sens de I'art. 13
LPD, iI convient de relever que la lutte contre la pandëmie est une täche publique et non une täche qui
incombe aux personnes privëes, pour quelque raison que ce soit, eIle est rëgie par le droit public. Le
fait que la base lëgale pertinente du Conseil fëdëral ne prëvoit pas d'accës direct doit ëgalement ëtre
considërë comme une indication que des droits d’accës aussi ëtendus n'ont pas ëtë jugës nëcessaires
pour lutter contre la pandëmie, et montre qu’iI s'agit d'un traitement de donnëes inutile et donc
disproportionnë.
Dans le canton du Valais, l’usage du systëme SocialPass a ëtë rendu obligatoire par Dëcision du
Conseil d'Etat du 2 dëcembre 2020 qui se lit comme suit : .
Par ailleurs, les dëtails de la mise ä disposition du systëme SocialPass en Valais ont ëtë dëfinis dans le
cadre d’une convention passëe entre I'Etat du Valais, reprësentë par Ie Chef de son Service de la santë
publique, et la sociëtë NewCom4U Särl, ä la fin de l’annëe 2020. L’art. 2.1. dudit contrat oblige la sociëtë
NewCom4U Särl ä fournir une . La mëme disposition contractuelle prëvoit, un peu plus bas, que ). En tout ëtat de cause,
Ie PFPDT prend note que les parties acceptent la recommandation (2) concernant l’accës direct ä la
base de donnëes centrale et la possibilitë de rechercher des personnes.
4.3.3.
Recommandation (3) concemant Ia liste des clients rëguliers SocialScan
La recommandation (3) formulëe cË-dessus au chapitre 3.3 et reprise ci-dessous est la suivante :
(3) Recommandation concernant Ia liste des clients rëguliers SocialScan
SocialPass adapte les processus et les fonctions de collecte et de mise ä
disposition des coordonnëes des personnes recourant plusieurs fois ä
1’application (par ex. les clients rëguliers) de sorte que
- la collecte des coordonnëes ne soit pas effectuëe par le personnel de service,
- les coordonnëes des clients rëguliers que l’ëtablissement a enregistrëes
puissent ëtre effacëes ou rectifiëes ä la demande de ces clients,
- la synchronisation de la liste des clients rëguliers permette d’ëviter des statuts
de donnëes diffërents au sein de la mëme structure, et que les donnëes soient
soumises ä un cycle de vie axë sur la finalitë,
seules les coordonnëes nëcessairës ä I'identification de la liste des clients
rëguliers puissent ëtre consultëes (principe de minimisation des donnëes)
55/62

0
Ä propos de cette recommandation, la prise de position des exploitants de SocialPass se lit comme
suit
 
aux Etats-Unis ;
Alternativement, SocialPass recourt ä un service alternatif qui n'implique pas
un transfert vers un pays ëtranger dont Ie niveau de protection est inadëquat.
Les utilisateurs sont informës de maniëre transparente sur le transfert des
donnëes au service de tiers (Twilio ou autre), des modalitës d’enregistrement
et des possibilitës de demander I'effacement des propres donnëes
Ä propos de cette recommandation, les exploitants de SocialPass ont soumis au PFPDT Ia prise de
position suivante :
 
en
9 Cf. https://www.edoeb.admin.ch/edoeb/fr/home/protection-des-donnees/handel-und-wirtschaft/uebermittlung-ins-ausland,html
57/62

0
Le PFPDT prend note que les parties acceptent la recommandation (5) concernant l’enregistrement
centralisë et permanent du numëro de tëlëphone mobile dans le processus d'enregistrement.
Cependant, le PFPDT constate que la dëclaration de confidentialitë mentionnëe ne porte que sur
I'utilisation des donnëes collectëes pour le trag'age des contacts. Or, la recommandation susmentionnëe
fait rëfërence au stockage du numëro de tëlëphone au cours du processus d'enregistrement.
En raison de ce manque de clartë, le PFPDT estime que cette recommandation n’a pas ëtë suivie de
mesures concrëtes et iI en dëduit que la recommandation n'a pas encore ëtë mise en place
complëtement ä I'heure actuelle.
4.3.6.
Recommandation (6) concemant la configuration et le renforcement de Microsoft Azure
La recommandation (6) formulëe ci-dessus au chapitre 3.6 et reprise ci-dessous est la suivante
(6) Recommandation concernant la configuration et le renforcement de
Microsoft Azure
SocialPass configure la plateforme Microsoft Azure de sorte que
a) les mesures de sëcuritë de la Baseline et du WhitePaper [1] de Microsoft
soient mises en @uvre
b) la vërification de I'efficacitë et la mise en @uvre de ces mesures puissent
ëtre prouvëe9
La rëponse des exploËtants de SocialPass ä cette recommandation se lit comme suit:
« En cours d’implëmentation. Disponible d’ici Ia fin du mois d’aoüt. D
Le PFPDT prend note que les parties acceptent la recommandation (6) concernant la configuration et
Ie renforcement de Microsoft Azure et attend les preuves correspondantes dës que la mËse en cnuvre
de cette recommandation aura eu lieu
4.3.7. Recommandation (7) concernant la gestion desvulnërabilitës
La recommandation (7) formulëe ci-dessus au chapitre 3.7.1 et reprise ci-dessous est la suivante :
(7) Recommandation concernant la gestion des vulnërabilitës
SocialPass adapte les applications SocialPass et SocialScan de sorte que
a) les vulnërabilitës relevëes dans les rapports d'audËt [A] [B] et [C 1 soient
ëliminëes en fonction des risques qu’elles reprësentent,
b) les vulnërabilitës concernant Ia protection des donnëes, en particulier
soient ëliminëes sans dëlai.
58/62

0
Les exploitants de SocialPass confirment avoir donnë suite ä cette recommandation, toutefois sans
apporter de prëcisions (l’affirmation correspondante est limitëe ä .
Le PFPDT conclut de cette rëponse que les exploitants de SocialPass acceptent la recommandation
(9) concernant le traitement des identifiants d'appareils.
4.3.10. Recommandation (10) concemant la documentation relative ä la sëcuritë des donnëes
La recommandation (10) formulëe ci-dessus au chapitre 3.7.4 et reprise ci-dessous est la suivante
59/62

0
(10) Recommandation concernant la documentation relative ä la sëcuritë
des donnëes
Les responsables de SocialPass se dotent d’un rëglement de traitement
portant notamment sur la sëcuritë des donnëes et proposant une stratëgie de
sëcuritë documentëe qui
comprenne des mesures organisationneIËes et techniques relatives ä la
sëcuritë des donnëes qui soient en phase avec I'ëtat actuel de la
technique
attribue de maniëre claire et documentëe les täches qu’eIle prëvoit aux
diffërents acteurs
soit rëguliërement contrölëe quant ä l’efficacitë de sa mise en muvre
La prise de position par rapport ä cette recommandation se lit comme suit :
« a) Nous allons nous doter d’un organigramme avec des fonctions dëdiëes ä la sëcuritë des
donnëes. 11 sera constituë d’un organe de direction qui veillera ä 1’application des normes en
vigueur concernant Ia protection des donnëes.
b) Nous allons dëlëguer les täches de documentation des processus et de l’exëcution de ces
processus auprës d’une compagnie externe.
c) Nous allons nous doter d’un organe de vërification de l’exëcution et de la maintenance des
processus dëcrit au point b >
Le PFPDT
conclut de cette rëponse que
les exploitants de SocialPass
acceptent
cette
recommandation.
II attend les preuves correspondantes
dës que la mise en muvre de cette
recommandation aura eu IËeu.
5. Conclusion
Depuis le dëbut de la procëdure d'ëtablissement des faits, qui s'est avërëe exceptionnellement longue
et compliquëe, des ajustements importants ont ëtë effectuës par les responsables de SocialPass. En
particulier, les exploitants de SocialPass ont affirmë avoir mis en muvre la recommandation (2)
concernant I'accës direct ä la base de donnëes centrale. Dës lors, le PFPDT suppose que les utilisateurs
de SocialPass ne sont plus exposës ä un accës potentiellement excessif sur leurs coordonnëes de la
part des autoritës sanitaires (via une recherche ciblëe des personnes dans Ia base de donnëes
centrale). De plus, les exploitants ont confirmë au PFPDT que les faiblesses techniques – en particulier
celles relevëes dans les recommandations (6) ä (10) – ont ëtë corrigëes. Les risques d’une atteinte au
droit de la personnalitë des personnes concernëes liës ä I'utilisation de I'application SocialPass ont donc
t,onsidërablement ëtë rëduits au cours de la procëdure. Dans le cadre d’un ëventuel suivi du contröle,
60/62

0
Ie PFPDT reviendra sur les diverses implëmentations des recommandations prëvues et de maniëre
ponctuelle sur d’autres aspects mentionnës dans le prësent rapport.
Au vu de la sensibilitë des donnëes personnelles traitëes et des rëactions de la sociëtë civile, le contröle
du systëme SocialPass quant au respect des exigences de protection des donnëes s'est avërë
nëcessaire et efficace. Les constatations faites et recommandations ëmises par le PFPDT pourront
servir de marche ä suivre pour d’autres exploitants privës, qui souhaiteraient dëvelopper des systëmes
de gestion de rëservations dans le cadre de la lutte contre la pandëmie du Covid-19.
6. Suite de la procëdure
La maniëre dont ces recommandations sont mises en @uvre en pratique relëve de la seule
responsabilitë des exploitants de SocialPass qui sont affligës sur leurs dëclarations et affirmations (art.
34 LPD). Dans le cadre de la poursuite de la coopëration entre les exploitants de SocialPass et le
PFPDT, notamment dans le cadre d'ëventuels contröles ultërieurs, le PFPDT se rëserve le droit de
contröler Ie respect du cadre lëgal par les exploitants de SocialPass.
Dans la mesure oü tesdites sociëtës refusent ou ne suivent pas les recommandations, le PFPDT peut
porter 1’affaire devant Ie Tribunal administratif fëdëral pour dëcision (art. 29 al. 4 LPD)
7. Publication de la recommandation en vertu de 1’art. 30 al. 2 LPD
Pour les raisons susmentionnëes, iI existe un intërët fondamental ä sensibiliser Ie public en temps utile
par rapport aux risques potentiels pour la sphëre privëe et le droit ä I'autodëtermination, qui ëmanent
des applications numëriques dëveloppëes pour lutter contre la pandëmie actuelle. Vu que la procëdure
d’ëtablissement des faits s’est avërëe exceptionnellement longue et compIËquëe, le 31 mai 2021 –jour
de la rëouverture des terrasses des restaurants – le PFPDT a donc informë Ie public quant aux aspects
principaux de la procëdure d’ëtablissement des faits clöturëe Ie 28 mai 2021, y compris par rapport aux
recommandations principales : SocialPass: limitation des possibilitës de recherche requise (admin.ch).
La publication du rapport intëgral dans sa version du 4 aoüt 2021 n’aura lieu que sous rëserve que du
point de vue des sociëtës SwissHelios Särl et NewCom4U Särl aucune donnëe confidentielle qui
pourrait rëvëler des secrets d’affaire ou influencer la capacitë concurrentielle ne figure dans le rapport,
61 /62

0
Les sociëtës SwissHelios Särl et NewCom4U Särl sont priëes de vërifier que le rapport de contröle ne
contienne pas de teIles informations confidentielles et de confirmer cet ëtat de fait par ëcrit au PFPDT
dans un dëlai de 10 jours.
Le Prëposë fëdëral ä la protection
des donnëes et ä la transparence
-.\ .
Lobsiger
Berne, le 4 aoüt 2021
Adrian
62/62