Ordonnance
sur le système de traçage de proximité pour le coronavirus SARS-CoV-2
(OSTP)

La présente or­don­nance règle les mod­al­ités de l’or­gan­isa­tion, de l’ex­ploit­a­tion et du traite­ment des don­nées du sys­tème de traçage de prox­im­ité pour le coronavir­us SARS-CoV-2 au sens de l’art 60a LEp (sys­tème TP).

¹ Le sys­tème TP est com­posé des élé­ments suivants:

a.

un sys­tème de ges­tion de don­nées re­l­at­ives aux situ­ations de rap­proche­ment (sys­tème GR), com­posé d’un lo­gi­ciel que les par­ti­cipants in­stal­lent sur leur télé­phone port­able (ap­plic­a­tion Swis­sCov­id) et d’un back-end (back-end GR);

b.

un sys­tème per­met­tant de gérer les codes pour autor­iser l’in­form­a­tion (sys­tème de ges­tion des codes), com­posé d’un front-end en ligne et d’un back-end.

² Le back-end GR et le sys­tème de ges­tion des codes sont ad­min­is­trés comme des serveurs centraux par l’Of­fice fédéral de la santé pub­lique (OF­SP).

¹ L’in­stall­a­tion et l’util­isa­tion de l’ap­plic­a­tion Swis­sCov­id s’ef­fec­tu­ent sur une base volontaire.

² Les par­ti­cipants sont in­formés qu’ils ont po­ten­ti­elle­ment été ex­posés au corona­vir­us unique­ment si la per­sonne in­fectée y a ex­pressé­ment con­senti.

L’OF­SP est l’or­gane fédéral re­spons­able du re­spect de la lé­gis­la­tion sur la pro­tec­tion des don­nées pour tous les com­posants du sys­tème TP.

¹ Dans le fonc­tion­nement de base, le back-end GR donne aux ap­plic­a­tions Swis­sCov­id un ac­cès en ligne à son con­tenu. Le con­tenu con­siste en une liste des don­nées suivantes:

a.

les clés privées des par­ti­cipants in­fectés qui étaient ac­tuelles au mo­ment où d’autres per­sonnes ont po­ten­ti­elle­ment été ex­posées au coronavir­us (péri­ode per­tin­ente);

b.

la date de chaque clé.

² L’ap­plic­a­tion Swis­sCov­id re­m­plit les fonc­tions suivantes à l’aide d’une in­ter­face avec le sys­tème d’ex­ploit­a­tion du télé­phone port­able:

a.

elle génère au moins chaque jour une nou­velle clé privée qui ne per­met pas d’iden­ti­fi­er l’ap­plic­a­tion Swis­sCov­id, le télé­phone port­able ou le par­ti­cipant;

b.

elle échange un code d’iden­ti­fic­a­tion, modi­fié au moins toutes les demi-heures, avec toutes les ap­plic­a­tions com­pat­ibles et à portée de Bluetooth; le code d’iden­ti­fic­a­tion est généré à partir de la clé privée ac­tuelle, mais ne per­met ni de re­monter à la clé, ni d’iden­ti­fi­er l’ap­plic­a­tion Swis­sCov­id, le télé­phone port­able ou le par­ti­cipant;

c.

l’ap­plic­a­tion Swis­sCov­id en­re­gistre les codes d’iden­ti­fic­a­tion reçus, la force du sig­nal, la date et la durée ap­prox­im­at­ive du rap­proche­ment;

d.

depuis le back-end GR, elle ex­trait à in­ter­valles réguli­ers la liste des clés privées des par­ti­cipants in­fectés et véri­fie si les codes d’iden­ti­fic­a­tion qu’elle a en­re­gis­trés loc­ale­ment ont été générés avec une clé privée de la liste;

e.²

si elle con­state qu’au moins un code d’iden­ti­fic­a­tion en­re­gis­tré loc­ale­ment a été généré avec une clé privée de la liste et que les con­di­tions re­l­at­ives au rap­proche­ment énumérées au ch. 1 de l’an­nexe sont re­m­plies, elle émet une in­form­a­tion; la dis­tance du rap­proche­ment est es­timée à l’aide de la force des sig­naux reçus.

³ Les fonc­tions des sys­tèmes d’ex­ploit­a­tion util­isées via l’in­ter­face doivent sat­is­faire aux pre­scrip­tions de l’art. 60a LEp et de la présente or­don­nance; font ex­cep­tion la régle­ment­a­tion con­cernant le code source visé à l’art. 60a, al. 5, let. e, LEp. L’OF­SP s’as­sure que ces pre­scrip­tions sont re­spectées, en par­ticuli­er en se pro­cur­ant les garanties ap­pro­priées.

⁴ ...³

¹ Si une in­fec­tion est avérée, un ser­vice autor­isé peut, avec le con­sente­ment de la per­sonne in­fectée, de­mander un code d’autor­isa­tion unique et tem­po­raire au sys­tème de ges­tion des codes; il trans­met à ce sys­tème la date où les premi­ers symptômes sont ap­par­us ou, si la per­sonne in­fectée ne présente aucun symptôme, la date du test.⁴

² Le ser­vice autor­isé com­mu­nique le code d’autor­isa­tion à la per­sonne in­fectée.⁵ Celle-ci peut saisir le code d’autor­isa­tion dans son ap­plic­a­tion Swis­sCov­id.

³ Le back-end de ges­tion des codes con­firme à l’ap­plic­a­tion Swis­sCov­id la valid­ité du code saisi. Il re­tranche de la date sais­ie le nombre de jours prévus au ch. 2 de l’an­nexe.⁶ La date qui en ré­sulte est con­sidérée comme le début de la péri­ode per­tin­ente. Le back-end de ges­tion des codes com­mu­nique cette date à l’ap­plic­a­tion Swis­sCov­id de la per­sonne in­fectée.

⁴ L’ap­plic­a­tion Swis­sCov­id de la per­sonne in­fectée trans­met au back-end GR les clés privées qui étaient ac­tuelles dur­ant la péri­ode per­tin­ente ain­si que les dates cor­res­pond­antes.

⁵ Le back-end GR in­scrit les clés privées reçues et les dates cor­res­pond­antes dans sa liste.

⁶ Après la trans­mis­sion des clés privées, l’ap­plic­a­tion Swis­sCov­id génère une nou­velle clé privée. Celle-ci ne per­met pas de re­monter à d’an­ciennes clés privées.

¹ L’in­form­a­tion com­prend:

a.

une in­form­a­tion selon laquelle le par­ti­cipant a po­ten­ti­elle­ment été ex­posé au coronavir­us;

b.⁷

une in­dic­a­tion des jours où cela s’est produit;

c.

une men­tion que l’OF­SP gère une ligne d’in­form­a­tion of­frant des con­seils sans frais;

d.

les règles de con­duite re­com­mandées par l’OF­SP.

² Le sys­tème TP ne donne aucune con­signe aux par­ti­cipants.

¹ Le sys­tème de ges­tion des codes con­tient les don­nées suivantes:

a.

les codes d’autor­isa­tion;

b.

la date à laquelle les premi­ers symptômes sont ap­par­us ou, si la per­sonne in­fectée ne présente aucun symptôme, la date du test;

c.

la date de la de­struc­tion des don­nées visées aux let. a et b.

² Ces don­nées ne per­mettent pas de re­monter aux par­ti­cipants.

L’ac­cès au sys­tème de ges­tion des codes peut s’ef­fec­tuer au moy­en:

a.

du front-end, util­isé par un pro­fes­sion­nel du ser­vice autor­isé, ou

b.

d’une in­ter­face entre le sys­tème de ges­tion des codes et un sys­tème em­ployé par le ser­vice autor­isé.

¹ Les per­sonnes suivantes, agis­sant pour le ser­vice autor­isé con­cerné, peuvent de­mander un code d’autor­isa­tion au moy­en du front-end:¹⁰

a.

les mé­de­cins can­tonaux;

b.

le mé­de­cin en chef de l’armée;

c.

les autres col­lab­or­at­eurs des ser­vices des mé­de­cins can­tonaux ou du ser­vice médico-milit­aire de l’armée;

d.

les tiers man­datés par les ser­vices des mé­de­cins can­tonaux ou par le ser­vice médico-milit­aire de l’armée;

e.¹¹

les col­lab­or­at­eurs des cab­in­ets médi­caux;

f.¹²

les col­lab­or­at­eurs des labor­atoires tit­u­laires de l’autor­isa­tion prévue à l’art. 16 LEp;

g.¹³

les col­lab­or­at­eurs des ét­ab­lisse­ments visés à l’art. 24, al. 1, let. b, de l’or­don­nance 3 COV­ID-19 du 19 juin 2020¹⁴;

h.¹⁵

les col­lab­or­at­eurs de la ligne d’in­form­a­tion visée à l’art. 7, al. 1, let. c.

² L’in­scrip­tion dans le sys­tème de ges­tion des codes passe par le sys­tème cent­ral de ges­tion des ac­cès et des autor­isa­tions de l’ad­min­is­tra­tion fédérale pour les ap­plic­a­tions Web. Les dis­pos­i­tions de l’or­don­nance du 19 oc­tobre 2016 sur les sys­tèmes de ges­tion des don­nées d’iden­ti­fic­a­tion et les ser­vices d’an­nuaires de la Con­fédéra­tion¹⁶ s’ap­pli­quent.

³ L’OF­SP at­tribue et gère les droits d’ac­cès au sys­tème de ges­tion des codes. Il peut autor­iser les mé­de­cins can­tonaux, le mé­de­cin en chef de l’armée et cer­tains membres de leur per­son­nel as­sist­ant à at­tribuer des droits d’ac­cès à du per­son­nel as­sist­ant.

L’OF­SP per­met aux ser­vices autor­isés visés à l’art. 9, al. 1, de rac­cord­er leur sys­tème au sys­tème de ges­tion des codes au moy­en de l’in­ter­face, pour autant que le sys­tème con­cerné présente un niveau de sé­cur­ité adéquat.

¹ L’OF­SP peut char­ger des tiers de don­ner aux ap­plic­a­tions Swis­sCov­id un ac­cès en ligne à la liste des don­nées né­ces­saires aux in­form­a­tions.

² Il peut déléguer à des tiers l’at­tri­bu­tion des droits d’ac­cès au sys­tème de ges­tion des codes. Le tiers désigné doit garantir la véri­fic­a­tion fiable et jur­idique­ment cor­recte des droits ac­cordés aux pro­fes­sion­nels.

³ Les tiers doivent être con­trac­tuelle­ment tenus de re­specter les pre­scrip­tions de l’art. 60a LEp et de la présente or­don­nance; font ex­cep­tion la régle­ment­a­tion con­cernant le code source visé à l’art. 60a, al. 5, let. e, LEp. L’OF­SP con­trôle le re­spect des pre­scrip­tions.

¹ Les art. 57i à 57q de la loi du 21 mars 1997 sur l’or­gan­isa­tion du gouverne­ment et de l’ad­min­is­tra­tion¹⁸ et l’or­don­nance du 22 fév­ri­er 2012 sur le traite­ment des don­nées per­son­nelles liées à l’util­isa­tion de l’in­fra­struc­ture élec­tro­nique de la Con­fédéra­tion¹⁹ sont ap­plic­ables à l’en­re­gis­trement et à l’ana­lyse des journaux des ac­cès au back-end GR, au sys­tème de ges­tion des codes et à la liste visée à l’art. 10, al. 1.

² Hormis les journaux des ac­cès et l’en­re­gis­trement des rap­proche­ments, le sys­tème TP n’en­re­gistre aucun journ­al des activ­ités des front-ends du sys­tème de ges­tion des codes et des ap­plic­a­tions Swis­sCov­id.

L’OF­SP met régulière­ment à la dis­pos­i­tion de l’Of­fice fédéral de la stat­istique (OFS) les don­nées ac­tuelles dispon­ibles dans les deux back-ends, sous forme en­tière­ment an­onymisée, à des fins stat­istiques.

¹ Les don­nées du sys­tème GR sont détru­ites à la fois sur les télé­phones port­ables et dans le back-end GR 14 jours après leur sais­ie.

² Les don­nées du sys­tème de ges­tion des codes sont détru­ites 24 heures après leur sais­ie.

³ Les don­nées journ­al­isées par des tiers man­datés au sens de l’art. 10, al. 1, sont détru­ites 7 jours après leur sais­ie.

⁴ Pour le reste, les don­nées journ­al­isées sont détru­ites con­formé­ment à l’art. 4, al. 1, let. b, de l’or­don­nance du 22 fév­ri­er 2012 sur le traite­ment des don­nées per­son­nelles liées à l’util­isa­tion de l’in­fra­struc­ture élec­tro­nique de la Con­fédéra­tion²⁰.

⁵ Les don­nées mises à la dis­pos­i­tion de l’OFS sont égale­ment détru­ites con­formé­ment au présent art­icle.

¹ L’OF­SP pub­lie les don­nées qui ser­vent à véri­fi­er si, pour tous les élé­ments du sys­tème TP, les pro­grammes lis­ibles par une ma­chine ont été créés à partir du code source pub­lié.

² Il ef­fec­tue lui-même la véri­fic­a­tion.

¹ Lors de l’ab­rog­a­tion de la présente or­don­nance, l’OF­SP dés­act­ive l’ap­plic­a­tion Swis­sCov­id et in­vite les par­ti­cipants à la désin­staller de leur télé­phone port­able.

² Il fait rap­port au Con­seil fédéral au plus tard six mois après l’ab­rog­a­tion.

¹ Le sys­tème TP ne peut être relié avec un sys­tème étranger (art. 62a LEp) que si ce­lui-ci re­m­plit les con­di­tions visées à l’art. 60a, al. 5, let. a à d, LEp.

² Lors de la li­ais­on, le back-end GR et le sys­tème étranger sont rac­cordés à un sys­tème de li­ais­on pour per­mettre la trans­mis­sion ré­ciproque des clés privées des par­ti­cipants in­fectés.

³ Le sys­tème de li­ais­on est sou­mis aux règles suivantes:

a.

il est ad­min­is­tré par l’OF­SP ou par l’autor­ité étrangère com­pétente;

b.

con­cernant le code source et les spé­ci­fic­a­tions tech­niques des sys­tèmes de li­ais­on ex­ploités par l’OF­SP, l’art. 60a, al. 5, let. e, LEp et l’art. 14 de la présente or­don­nance s’ap­pli­quent;

c.

les buts du traite­ment des don­nées se fond­ent sur l’art. 60a, al. 2, LEp;

d.

les don­nées du sys­tème peuvent être com­mu­niquées à l’OFS ou à l’autor­ité étrangère com­pétente à des fins stat­istiques, sous forme en­tière­ment an­onymisée;

e.

les don­nées du sys­tème sont détru­ites dès qu’elles ne sont plus né­ces­saires pour in­form­er les par­ti­cipants, mai au plus tard 14 jours après leur trans­mis­sion au sys­tème.

⁴ Si le sys­tème TP est relié à un sys­tème étranger, les dis­pos­i­tions ci-après s’ap­pli­quent en plus des fonc­tion­ne­ments du sys­tème TP visés aux art. 5 et 6:

a.

dans le fonc­tion­nement de base, le back-end GR ex­trait du sys­tème de li­ais­on les clés privées des par­ti­cipants in­fectés du sys­tème étranger et la date des clés afin d’in­scri­re ces don­nées sur sa liste;

b.

après une in­fec­tion, le back-end GR trans­met au sys­tème étranger, par le bi­ais du sys­tème de li­ais­on, les clés privées du par­ti­cipant in­fecté et la date de celles-ci.

L’or­don­nance COV­ID-19 du 13 mai 2020 es­sai pi­lote traçage de prox­im­ité²² est ab­ro­gée.

Le Dé­parte­ment fédéral de l’in­térieur (DFI) ac­tu­al­ise l’an­nexe à la présente or­don­nance en fonc­tion de l’état ac­tuel des con­nais­sances sci­en­ti­fiques.

La présente or­don­nance entre en vi­gueur le 25 juin 2020 à 0 h 00 et a ef­fet jusqu’au 30 juin 2022.