Toute personne qui doit ou veut avoir une vie sociale doit, \u00e0 ce jour, d\u00e9tenir un certificat covid.
Toute personne qui a un \u00e9tablissement public ou est organisatrice d'un \u00e9v\u00e9nement dans un lieu public a t\u00e9l\u00e9charg\u00e9 l'application pour contr\u00f4ler lesdits certificats.
Compte tenu de cette nouvelle r\u00e9alit\u00e9, le certificat Covid et le contr\u00f4le de celui-ci, soul\u00e8vent des questions de cybers\u00e9curit\u00e9 et de protection des donn\u00e9es personnelles ainsi que de responsabilit\u00e9 des acteurs impliqu\u00e9s.
Les informations transmises sont des donn\u00e9es personnelles (nom, pr\u00e9nom, date de naissance), ainsi que des donn\u00e9es sensibles, soit celles sur la sant\u00e9 de la personne (vaccin\u00e9e, gu\u00e9rie, date du vaccin, date du test...).
L'usage du certificat light est une r\u00e9ponse partielle aux besoins de protection. Pour l'utiliser, ce certificat doit toutefois faire l'objet d'une demande sur un serveur de l'OFSP afin d'obtenir un certificat avec des donn\u00e9es limit\u00e9es, pour une dur\u00e9e de 48 h. Par cette proc\u00e9dure, l'OFSP obtient, th\u00e9oriquement, le certificat complet de la personne, la date de la demande, ainsi que la localisation.
Si l'auteure du postulat soutient les efforts visant \u00e0 combattre la pand\u00e9mie, elle tient toutefois \u00e0 ce que les moyens utilis\u00e9s respectent le principe de protection des donn\u00e9es.
Les r\u00e9ponses aux questions suivantes sont souhait\u00e9es pour clarifier cette situation\u00a0:
1. Quelles sont les donn\u00e9es qui sont enregistr\u00e9es, conserv\u00e9es, prot\u00e9g\u00e9es, et utilis\u00e9es\u00a0? Par quels serveurs, maintenus par quels prestataires, et dans quels pays transitent les donn\u00e9es pour l'obtention du certificat\u00a0?
2. Quel est le niveau de s\u00e9curit\u00e9 des logiciels qui permettent de contr\u00f4ler les QR code\u00a0? Quelles sont les personnes habilit\u00e9es \u00e0 le faire (quelles comp\u00e9tences, responsabilit\u00e9s, que font-elles des donn\u00e9es r\u00e9colt\u00e9es) ? Quelle l\u00e9gitime autorit\u00e9 poss\u00e8dent-elles pour v\u00e9rifier l'identit\u00e9 des individus et outrepasser le secret m\u00e9dical\u00a0?
3. Lors des discussions sur le certificat Covid, il avait \u00e9t\u00e9 demand\u00e9 que la gestion des donn\u00e9es se fasse de mani\u00e8re d\u00e9centralis\u00e9e, afin d'\u00e9viter que l'OFSP ne puisse avoir les donn\u00e9es de tout un chacun. Qu'en est-il aujourd'hui\u00a0?
4. Quelles sont les mesures envisag\u00e9es par le Conseil f\u00e9d\u00e9ral pour renforcer la protection des donn\u00e9es et limiter la transmission de donn\u00e9es personnelles ou sensibles \u00e0 des tiers\u00a0?
","ReasonText":null,"DocumentationText":null,"MotionText":null,"FederalCouncilResponseText":"1. et 3. Le d\u00e9veloppement du syst\u00e8me de certificat COVID a \u00e9t\u00e9 suivi de pr\u00e8s par le Pr\u00e9pos\u00e9 f\u00e9d\u00e9ral \u00e0 la protection des donn\u00e9es et \u00e0 la transparence (PFPDT) et les services cantonaux charg\u00e9s de la protection des donn\u00e9es. Les donn\u00e9es personnelles n\u00e9cessaires \u00e0 la planification des rendez-vous de vaccination sont saisies dans un syst\u00e8me cantonal et stock\u00e9es conform\u00e9ment aux prescriptions cantonales. Lors de l'\u00e9tablissement des certificats, ces informations sont combin\u00e9es avec les donn\u00e9es sur le vaccin utilis\u00e9 et sign\u00e9es, dans un syst\u00e8me de certificat mis \u00e0 disposition par l'Office f\u00e9d\u00e9ral de l'informatique et de la t\u00e9l\u00e9communication (OFIT). Pour des questions de s\u00e9curit\u00e9, cette signature doit avoir lieu sur les syst\u00e8mes de la Conf\u00e9d\u00e9ration. Le traitement des donn\u00e9es a lieu sur des syst\u00e8mes situ\u00e9s en Suisse et est soumis au droit suisse. Apr\u00e8s que le certificat COVID a \u00e9t\u00e9 g\u00e9n\u00e9r\u00e9 et transmis au requ\u00e9rant, les donn\u00e9es sont \u00e0 nouveau supprim\u00e9es du syst\u00e8me de certificat. Le syst\u00e8me ne stocke que les informations anonymes n\u00e9cessaires pour \u00e9viter les abus, et qui permettent de r\u00e9voquer les certificats COVID-19. Le certificat est imprim\u00e9 sur place lorsqu'il est \u00e9tabli, ou enregistr\u00e9 dans l'application \" COVID Certificate \" sur le t\u00e9l\u00e9phone portable de la personne concern\u00e9e. Pour ce qui est du certificat light, il est g\u00e9n\u00e9r\u00e9 de la mani\u00e8re suivante\u00a0: le certificat COVID est transmis en toute s\u00e9curit\u00e9 de l'application au syst\u00e8me de certificat, qui g\u00e9n\u00e8re le certificat light, le signe, puis le transmet en toute s\u00e9curit\u00e9 \u00e0 l'application avant de supprimer les donn\u00e9es dans le syst\u00e8me de certificat. A aucun moment, l'Office f\u00e9d\u00e9ral de la sant\u00e9 publique n'a acc\u00e8s aux donn\u00e9es trait\u00e9es.
2. L'application \" COVID Certificate Check \" utilise uniquement les donn\u00e9es lues \u00e0 partir du code QR pour les v\u00e9rifier au niveau local. \u00c0 cette fin, le certificat est lu pour v\u00e9rifier la validit\u00e9 de la signature \u00e9lectronique, d'une part, et les informations sur le test, la gu\u00e9rison ou la vaccination par rapport aux r\u00e8gles en vigueur, d'autre part (p. ex. si le certificat de test a expir\u00e9). Les donn\u00e9es ne sont ni enregistr\u00e9es ni transmises. Le contr\u00f4le de l'identit\u00e9 est l\u00e9gitim\u00e9 par les dispositions relatives aux mesures des plans de protection au sens de l'annexe 2 de l'ordonnance COVID-19 situation particuli\u00e8re (RS 818.101.26). Lors d'un contr\u00f4le avec l'application \" COVID Certificate Check \", seules les indications suivantes concernant l'identit\u00e9 s'affichent\u00a0: le nom, le pr\u00e9nom, la date de naissance et le r\u00e9sultat du contr\u00f4le (\" vert \" ou \" rouge \"). Le type de certificat (de vaccination, de test ou de gu\u00e9rison) ne s'affiche pas. En outre, les informations personnelles contenues dans le certificat light ont \u00e9t\u00e9 r\u00e9duites aux donn\u00e9es n\u00e9cessaires au contr\u00f4le de l'identit\u00e9, de sorte que personne ne peut lire d'autres donn\u00e9es. Le code du programme de toutes les parties du syst\u00e8me (l'application du d\u00e9tenteur pour les personnes vaccin\u00e9es, gu\u00e9ries ou test\u00e9es n\u00e9gatives, l'application de v\u00e9rification et les syst\u00e8mes de l'OFIT) est en open source et a fait l'objet de tests de s\u00e9curit\u00e9 publics. Par ailleurs, le Centre national pour la cybers\u00e9curit\u00e9 (NCSC) r\u00e9alise r\u00e9guli\u00e8rement des tests de s\u00e9curit\u00e9 suppl\u00e9mentaires.
4. Le traitement et la transmission des donn\u00e9es ont \u00e9t\u00e9 mis en oeuvre dans le respect d'exigences \u00e9lev\u00e9es en mati\u00e8re de protection et de s\u00e9curit\u00e9 des donn\u00e9es. Il est \u00e9galement recommand\u00e9 d'utiliser le certificat light en Suisse, car il emp\u00eache efficacement la lecture et le stockage non autoris\u00e9s des donn\u00e9es de sant\u00e9. Les risques r\u00e9siduels ont \u00e9t\u00e9 analys\u00e9s \u00e0 chaque fois en tenant compte de la praticabilit\u00e9 et de la s\u00e9curit\u00e9 et ont \u00e9t\u00e9 approuv\u00e9s, \u00e9tant jug\u00e9s proportionn\u00e9s, avec la participation des milieux int\u00e9ress\u00e9s (en particulier le PFPDT et le NCSC).
R\u00e9ponse du Conseil f\u00e9d\u00e9ral.","FederalCouncilProposal":8,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1637712000000)\/","SubmittedBy":"Gapany Johanna","BusinessStatus":229,"BusinessStatusText":"Liquid\u00e9","BusinessStatusDate":"\/Date(1639526400000)\/","ResponsibleDepartment":4,"ResponsibleDepartmentName":"D\u00e9partement de l'int\u00e9rieur","ResponsibleDepartmentAbbreviation":"DFI","IsLeadingDepartment":true,"Tags":"4|34|1236|2841","Category":null,"Modified":"\/Date(1690502722367)\/","SubmissionDate":"\/Date(1632355200000)\/","SubmissionCouncil":2,"SubmissionCouncilName":"Conseil des Etats","SubmissionCouncilAbbreviation":"CE","SubmissionSession":5111,"SubmissionLegislativePeriod":51,"FirstCouncil1":2,"FirstCouncil1Name":"Conseil des Etats","FirstCouncil1Abbreviation":"CE","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Politique d'Etat|M\u00e9dias et communication|Droits de l'homme|Sant\u00e9"}}