Par Marcel Moritz ¹ et Audrey Dequesnes ² .
Un article de The Conversation

Le 24 mars dernier a été mis en place le Comité d’Analyse Recherche et Expertise (CARE), dont la mission est d’éclairer les pouvoirs publics sur les suites à donner aux propositions innovantes, notamment quant à l’opportunité de la mise en place d’une stratégie numérique d’identification des personnes ayant été au contact de personnes infectées .

Alors que le gouvernement français a annoncé, le 8 avril, la mise en chantier de l’application « StopCovid » , les enjeux juridiques soulevés par une telle technologie sont nombreux.

Les stratégies déployées dans le monde

C’est en Asie, berceau de l’épidémie, que se trouvent les pays les plus en avance sur ces questions. Certains États avaient été touchés par le SARS-CoV-1 en 2003 puis le MERS-CoV dix ans plus tard.

En Corée du Sud, ces épisodes ont marqué la population ; depuis, la loi a autorisé la collecte des données de géolocalisation des téléphones mobiles et des cartes bancaires, ainsi que l’utilisation de la reconnaissance faciale afin de tracer les déplacements des personnes infectées.

Leurs données sont mises à la disposition des citoyens grâce à une application qui les identifie d’un point de couleur différente en fonction du temps écoulé depuis leur dépistage positif.

Ne pas se soumettre à ce suivi pour une personne positive est passible de deux ans d’emprisonnement, et briser le confinement est puni d’une amende de 2300 euros.

Taïwan a adopté une stratégie de suivi similaire, en suivant les déplacements des personnes revenant d’une zone contaminée et en leur imposant un confinement strict et surveillé.

En Chine, à Wuhan, sortir de chez soi est conditionné par l’installation d’une application qui récupère, en plus de la géolocalisation, l’adresse postale, les numéros de téléphone et de pièce d’identité de l’utilisateur.

L’application génère un QR code dont la couleur varie en fonction de l’état de santé présumé de l’utilisateur, de ses déplacements et des personnes qu’il a croisées. Cette couleur conditionne l’accès aux transports et aux commerces, et peut amener à un isolement dans une structure désignée.

En Russie, le traçage par les opérateurs téléphoniques des personnes revenant de l’étranger a été organisé, afin de vérifier qu’elles respectent leur confinement.

Israël confie cette partie de la lutte contre l’épidémie aux responsables de la sécurité intérieure, afin d’utiliser les moyens de lutte anti-terroriste déjà en place pour suivre les déplacements des porteurs du virus, et identifier les personnes avec qui elles ont été en contact. Les données de circulation de malades sont publiques, et il est possible pour chacun de croiser ses propres déplacements avec celles-ci.

Enfin, au sein de l’Union européenne, en Pologne, les personnes revenant de l’étranger ont dû installer une application qui les géolocalise et peut leur demander un selfie, à envoyer sous 20 minutes, pour confirmer qu’elles respectent les consignes. En cas de retard, ou de refus de cette solution numérique, c’est la police qui vient effectuer les contrôles. L’Italie, quant à elle, envisage de s’inspirer de la Corée du Sud pour retracer les déplacements de diagnostiqués positifs.

Ces exemples sont tous teintés d’un certain autoritarisme et d’atteintes à la vie privée. Un contre-exemple est cependant à relever : celui de Singapour, où les autorités ont opté pour un logiciel open source, utilisé sur la base du volontariat, dont il est souligné qu’il traiterait un minimum de données personnelles et anonymiserait les identifiants des utilisateurs.

Basé sur le Bluetooth, il permet de constituer une liste de personnes qui se sont trouvées à proximité de la première. Si cette personne est diagnostiquée positive au virus, la liste sera contactée par les autorités afin que les personnes s’isolent et se fassent dépister.

Ce même type d’application fait actuellement l’objet de recherches à l’Université d’Oxford et par le « Pan-European Privacy-Preserving Proximity Tracing » , une organisation à but non lucratif formée de 130 membres européens (universités, instituts de recherche et entreprises) collaborant pour proposer et améliorer des solutions qui utilisent la détection de proximité sans renoncer à la vie privée.

Quelles stratégies numériques en France ?

Les opérateurs téléphoniques sont les premiers à avoir été sollicités : grâce à nos téléphones mobiles, ils ont accès à nos données de géolocalisation. Indépendamment d’un service de détection de la position activé sur un smartphone, le simple fait de solliciter le réseau téléphonique via une antenne relais permet de donner la position approximative du téléphone.

Plusieurs utilisations des données ainsi récupérées sont envisageables : mesurer le respect des mesures de confinement, repérer les rassemblements non autorisés d’un nombre de personnes, ou suivre les mouvements de la population.

Les données des opérateurs de téléphonie sont dites « anonymisées » et « agrégées » : le résultat obtenu n’est donc pas une localisation ou des déplacements individuels, mais des statistiques sur l’ensemble de la population. Il faut toutefois rester prudent en la matière face au terme d’« anonymisation ».

Concernant la géolocalisation, il a ainsi été démontré que les parcours individuels étaient ré-identifiables en connaissant seulement quatre points de géolocalisation approximative horodatés d’une personne .

Le second type d’utilisation des données est plus individualisé : sans aller jusqu’à montrer les personnes potentiellement contagieuses sur une carte, des applications mobiles proposent aux utilisateurs de collecter leurs positions et de les informer si l’une des personnes qu’elles ont croisées dans les 14 jours précédents a déclaré être atteinte du Covid-19.

Le but recherché est que les personnes qui se savent potentiellement porteuses renforcent les mesures de précaution qu’elles emploient, et d’établir une carte de la dissémination.

Du point de vue de la protection individuelle, l’efficacité de ce type de traçage GPS n’est pas prouvée.

La géolocalisation a ses limites : comment savoir si deux personnes qui se suivent sont à l’intérieur du même bus ou dans les habitacles séparés de deux voitures ? Les endroits où les personnes sont le plus à risque d’avoir des contacts proches et de toucher les mêmes objets, par exemple les supermarchés ou les transports en commun, sont aussi ceux où la géolocalisation ne permet pas d’être précis.

La seconde fonction de ces applications, à savoir cartographier la propagation du virus a posteriori en suivant les personnes en contact qui se révèlent positives à leur tour, semble plus réaliste.

Le hub IA France imagine une solution à code couleur , qui n’est pas sans rappeler celle de la Chine : le téléphone de l’utilisateur lui attribue un code couleur différent en fonction des endroits dans lesquels il s’est rendu, et qui peuvent représenter des zones à risque.

Une « zone à risque » serait, pour cette application, caractérisée par une prédiction basée sur les médicaments vendus dans les pharmacies de la zone, tels que les antipyrhétiques et les antitussifs, qui correspondent au traitement des symptômes du Covid-19.

S’ajoutent à ces stratégies la possible exploitation des données des GAFAM – Google a par exemple diffusé des données en ce sens – ou de la technologie Bluetooth sur le modèle singapourien, qui est au cœur du projet français.

Quel cadre juridique pour la mise en œuvre des technologies de traçage ?

Les technologies citées sont encadrées de différentes façons en France, au moyen de la directive 2002/58/CE « e-Privacy », du RGPD , et de la loi informatique et libertés .

Le traitement de données personnelles – dont la géolocalisation – par des applications mobiles est réglementé par le RGPD. Dans le cas présent, les données pourraient être recueillies avec le consentement de l’utilisateur, mais le motif de la nécessité du traitement à « l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement » (article 6-1 e) pourrait être invoqué dans le cas où une telle mission serait déléguée par les pouvoirs publics à un organisme, public ou privé.

Les données de santé, de la même façon, ne peuvent être traitées que si la personne a exprimé son consentement explicite, ou si le traitement est « nécessaire pour des motifs d’intérêt public important » , « aux fins de diagnostics médicaux, de la prise en charge sanitaire ou sociale, ou de la gestion des systèmes et des services de soins de santé » , ou « pour des motifs d’intérêt public dans le domaine de la santé publique » (article 9-2 g, h et i).

Le traçage de la localisation des utilisateurs du réseau mobile grâce aux antennes relais est, lui, l’objet de la transposition de la directive ePrivacy dans le droit français.

Ainsi, l’article L. 34-1 du Code des postes et des communications électroniques précise que « les opérateurs de communications électroniques […] effacent ou rendent anonyme toute donnée relative au trafic » et que « les données permettant de localiser l’équipement terminal de l’utilisateur ne peuvent ni être utilisées pendant la communication à des fins autres que son acheminement, ni être conservées et traitées après l’achèvement de la communication que moyennant le consentement de l’abonné, dûment informé des catégories de données en cause, de la durée du traitement, de ses fins, et du fait que ces données seront ou non transmises à des fournisseurs de services tiers ».

Une donnée issue de ce type de localisation qui ne soit pas personnelle, donc anonyme, correspondrait par exemple à un comptage du nombre d’utilisateurs sollicitant le réseau à un endroit donné.

Dans le partenariat en cours entre Orange et l’Inserm , qui a pour but de mettre en relation les mouvements des personnes et des modèles épidémiologiques, les déplacements des téléphones mobiles sont analysés et regroupés par tranches d’âge des utilisateurs, appuyant le fait qu’il s’agit ici d’un suivi de terminaux identifiés et non d’un simple comptage des connexions aux antennes relais.

Par conséquent, l’analyse statistique qui en est faite concerne des données personnelles, qui sont traitées sans le consentement des abonnés au service.

Le Comité européen de la protection des données (CEPD) estime dans son avis du 19 mars que les données de localisation des téléphones mobiles peuvent permettre de « générer des rapports sur la concentration d’appareils mobiles à un certain endroit (“cartographie”) » et enjoint les autorités publiques à n’utiliser que des données anonymes .

Le CEPD poursuit cependant en soulignant que ces obligations peuvent être contournées pour des motifs de sécurité nationale ou de sécurité publique, sous réserve que les mesures prises soient proportionnées.

Les États européens disposent donc dans le cadre du RGPD, de la Directive ePrivacy ou de leur droit national des moyens de mettre en place des technologies de suivi de la population présentant différents niveaux de respect de la vie privée.

C’est dans ce contexte que la CNIL a rappelé dès le 6 mars 2020 qu’en dehors de toute prise en charge médicale, la collecte de données de santé est limitée à des cas précis. Auditionnée le 8 avril devant la commission des lois, la présidente de la CNIL a donné sa position : elle demande de privilégier le traitement de données anonymisées et non de données individuelles, lorsque cela permet de satisfaire l’objectif, et précise qu’un suivi individuel devrait être basé sur une démarche volontaire.

« Si la France souhaitait prévoir des modalités de suivi non anonymes plus poussées, le cas échéant sans le consentement préalable de l’ensemble des personnes concernées, une intervention législative s’imposerait. Il faudrait alors s’assurer que ces mesures législatives dérogatoires soient dûment justifiées et proportionnées (par exemple en termes de durée et de portée) ».

Passer par la loi pour autoriser un nouveau dispositif de traçage assure certains garde-fous : un amendement au projet de loi instituant l’état d’urgence autorisant pour une durée de six mois « toute mesure visant à permettre la collecte et le traitement de données de santé et de localisation » a ainsi déjà été rejeté.

Il est cependant légitime de rester attentifs aux nouvelles atteintes aux libertés décidées durant l’état d’urgence. Nous avons déjà vu en France se pérenniser des systèmes qui avaient été mis en place lorsque le pays était en état de choc.

Ainsi le plan Vigipirate s’est fondu dans le quotidien depuis plus de vingt ans, et certaines dispositions de l’état d’urgence de 1955, remis en application après les attaques terroristes de 2015, sont à présent inscrites dans le droit commun.

On comprend dès lors pourquoi le recours possible à un système d’application basé sur la technologie Bluetooth est présenté à l’heure actuelle comme fondé sur le volontariat (juridiquement le consentement des personnes concernées) et non comme une obligation, condition sine qua non à une liberté de circulation retrouvée, par exemple.

Les technologies de traçage, réponse efficace à la pandémie ?

La question de la possibilité d’utiliser un système de suivi ne doit en outre pas occulter celle de son utilité. Or, pour le moment, évaluer l’efficacité des différentes mesures semble illusoire .

Les modèles épidémiologiques prennent en compte les déplacements des populations pour mieux comprendre la diffusion des maladies infectieuses, avec pour but de permettre l’anticipation des foyers de contamination.

Contacter les personnes ayant été en contact avec une personne atteinte du virus grâce à leur téléphone mobile semble être une piste sérieuse pour ralentir la propagation de l’épidémie et la plus respectueuse de la vie privée en comparaison à la géolocalisation, mais, d’une part, elle repose sur des hypothèses d’acceptation issues de sondages ne donnant pas l’intégralité des possibles conditions de déploiement en vie réelle et, d’autre part, elle exclut les personnes les plus vulnérables, la population utilisant le moins de smartphones étant les personnes âgées.

L’efficacité de ces dispositifs dépend du nombre de participants et donc de l’adhésion de la population, or les critères d’acceptabilité sont nombreux : le type de données collectées , le statut de celui qui les collecte et qui a développé l’outil, la durée de conservation des données, les organismes qui vont y avoir accès, l’implication des pouvoirs publics dans la promotion de l’outil, la transparence sur l’hébergement des données et sur le code, par exemple grâce à un outil open source, les garanties de sécurité dont le stockage local, la simplicité d’utilisation, le caractère inclusif (en considérant notamment les personnes âgées), l’analyse en continu ou rétrospective uniquement pour les cas confirmés, le fait que les entrées dans l’application dépendent d’un professionnel de santé ou de l’utilisateur lui-même, la réutilisation des données ou leur suppression (si elles sont réutilisées, à quelles fins et par qui).

Le succès relatif des solutions numériques en Asie dans la maîtrise de l’épidémie ne doit pas faire oublier que d’autres facteurs ont pu influencer le cours de l’épidémie. Le déploiement du dépistage systématique à grande échelle en dehors des hôpitaux, le fait de protéger les soignants, le port du masque par la très grande majorité de la population, ou le fait qu’un pays comme la Corée du Sud dispose de 12,3 lits d’hôpital pour 1000 habitants , contre 6 en France, ont sans doute joué un rôle déterminant dans la gestion de la crise.

De plus, l’émergence de nouveaux clusters et le diagnostic de 20 % de cas dont on ne connaît pas l’origine rappelle que l’efficacité des dispositifs de traçage n’est pas totalement prouvée.

En tout état de cause, quelle que soit leur efficacité réelle, de telles applications exercent un fort attrait sur le public. Dans ce contexte, et compte tenu de la nature sensible des données potentiellement collectées, mieux vaut peut-être une initiative publique juridiquement maîtrisée que des initiatives privées parfois hasardeuses.

—

Sur le web

Ces articles pourraient vous intéresser:

Applis de traçage : scénarios pour les non-spécialistes Pour protéger nos données, devenons cypherpunks Internet : il faut protéger votre vie privée ! RGPD : l’Europe et l’Amérique se divisent sur la vie privée