L’usage des technologies pour lutter contre la pandémie dans le monde.
A l’étranger, plusieurs pays (principalement en Asie) ont déjà mis en place de telles mesures, de façon plus ou moins contraignante :
En Chine, la surveillance est stricte et obligatoire. Outre l’utilisation massive des données de géolocalisation issues des portables pour identifier les malades et ceux qu’ils ont pu infecter (les « sujets contacts »), la reconnaissance faciale et la détection de température, l’utilisation une application dotée d’un QR code de couleur (vert / jaune / rouge pour l’interdiction totale) est obligatoire pour permettre aux habitants de se déplacer, en fonction de leur état de santé. Les données sont partagées avec les autorités.
En Corée du sud, des applications mobiles sont utilisées sans consentement pour suivre les malades et les sujets contacts grâce aux coordonnées GPS (données de géolocalisation). La police peut recevoir une alerte si la personne se rend dans un lieu interdit (gare, centre commercial, etc). Les autorités exploitent aussi l’historique des transactions bancaires réalisées dans les magasins pour identifier nominativement les clients ayant été en contact avec des vendeurs contaminés.
A Singapour, le gouvernement invite fortement la population à télécharger une application fonctionnant grâce au Bluetooth. Si un utilisateur est contaminé, les autorités sanitaires préviennent tous ceux qui l’ont croisé. Les citoyens qui se trouvaient à proximité du malade sont ainsi identifiés et avertis du risque de contamination. Les autorités peuvent enfin envoyer des SMS aux résidents, exigeant une réponse immédiate avec un partage des coordonnées GPS pour démontrer la bonne application du confinement.
A Taïwan, le signal mobile est exploité sans le consentement de l’utilisateur pour retracer la chaîne de contamination. Les fournisseurs téléphoniques doivent collaborer avec le gouvernement, en transmettant les lieux où ont été détectés le signal du mobile d’un malade. Les autorités peuvent enfin appeler directement les personnes pour vérifier qu’elles sont bien chez elles.
En Israël, le service de renseignement et de sécurité intérieure (le Shin Beth) se sert des technologies de traçage utilisées pour lutter contre le terrorisme. La police peut notamment obtenir sans leur consentement la localisation des contaminés via les opérateurs téléphoniques sur une période de 14 jours précédant leur diagnostic, afin d’identifier leurs trajets et les personnes avec lesquelles elles sont entrées en contact. La liste des patients contaminés (anonyme) est mise à jour sur le site du ministère de la santé et indique tous leurs itinéraires.
En Pologne, le gouvernement enjoint les personnes à installer une application utilisant la géolocalisation et la reconnaissance faciale pour s’assurer du respect du confinement. L’application demande de prendre des selfies (géolocalisées) à tout moment. Les autorités peuvent contrôler à leur domicile les personnes qui refuseraient d’installer l’application pour vérifier le respect du confinement.
En Allemagne [1], le pays souhaite lancer une application de tracking volontaire pour mesurer la propagation du virus. Sur la base du consentement, elle stockerait les interactions via le Bluetooth, sans collecter les données de géolocalisation. Elle enverra une alerte à toutes les personnes croisées par un malade dans les deux semaines précédentes, pour les avertir du risque de contamination. Le pays a par ailleurs déjà lancé une appli couplée avec un bracelet pour détecter les malades (mesure de température, fréquence cardiaque, etc.).
Le cadre réglementaire à respecter en France.
L’utilisation en France des applications mobiles pour lutter contre le virus devra respecter les grands principes imposés par le RGPD [2] :
La définition des finalités (les objectifs du traitement) explicites, précises et légitimes ;
La proportionnalité à l’objectif poursuivi des mesures mises en œuvre ;
Le consentement libre et éclairé de l’utilisateur ;
L’absence de conséquence pour les personnes qui refuseraient d’utiliser l’application ;
Seules les données strictement nécessaires devront être collectées (principe de minimisation) ;
La protection des données (garantie de confidentialité et sécurité) ;
Une durée de conservation limitée des données collectées (ne doit pas excéder la durée nécessaire pour lutter contre la pandémie) ;
Le respect des droits des personnes (accès, suppression, rectification, limitation, opposition, etc.).
Dans l’hypothèse d’un suivi individualisé des personnes sans consentement préalable, une nouvelle disposition législative serait nécessaire. Ainsi le système de traçage imposé, tel qu’appliqué en Chine est aujourd’hui illégal en France.
Le Comité Européen de la Protection des Données (CEPD) souhaite de son côté l’instauration d’une application unique et commune à tous les États membres, en coordination avec l’OMS, dans le respect du RGPD.
Les pistes de réflexion étudiées en France.
En France les débats sur le traçage des données mobiles pour lutter contre le coronavirus sont en cours. Le Premier Ministre a déjà exclu tout traçage obligatoire, en évoquant l’hypothèse d’un « engagement volontaire ».
Depuis le 24 mars, un comité (Care) de chercheurs et de médecins est chargé d’étudier la possibilité de mettre en place une solution de backtracking des personnes ayant été au contact de personnes contaminées. Des auditions de la présidente de la Cnil et du secrétaire d’Etat au numérique sont également prévues mercredi 8 et jeudi 9 avril à l’Assemblée Nationale.
En vue du déconfinement, l’ancien secrétaire d’Etat Mounir Mahjoubi a présenté une note parlementaire le 6 avril, aux termes de laquelle il précise qu’il y aurait 3 usages différents des technologies :
« L’observation des pratiques collectives de mobilité et de confinement » :
Il s’agirait de s’appuyer sur les données de connexions (anonymes) des mobiles aux antennes relais. C’est de cette façon que Orange a pu calculer que plus d’un million de Franciliens ont quitté l’Ile de France entre le 13 et le 20 mars dernier. Ces techniques permettraient d’estimer les mobilités par zone notamment pour adapter en temps réel le système de soin. A partir du moment où l’analyse est faite sur des données anonymisées et agrégées, cette utilisation semble poser peu de problématiques éthiques.
« L’identification des sujets contact en retraçant le parcours récent des personnes positives :»
Le but est ici d’éviter une nouvelle vague de propagation au moment du confinement en retraçant le parcours des patients diagnostiqués ou testés positifs, au moyen d’applications mobiles basées sur le Bluetooth et/ou sur les données GPS (plus intrusif, car implique un suivi continu des déplacements). Cela implique nécessairement la collecte de données personnelles. L’idée serait de permettre aux individus ayant été à proximité d’une personne contaminée de recevoir une alerte.
« Le contrôle des confinements individuels :»
L’objectif est ici de « Contrôler la présence effective des personnes tenues à une quarantaine à leur domicile ou dans leur quartier » grâce à la position GPS ou au bornage mobile. Selon l’auteur de la note, ce type de dispositif très intrusif pose des enjeux éthiques majeurs et « entre en contradiction avec de nombreuses valeurs des pays européens ».
La France devrait donc plutôt s’orienter vers un système non contraignant basé sur le consentement et le contact tracing via le Bluetooth.
Dans ce cas, seule une utilisation massive de l’application permettra son efficacité. Pour cela, les citoyens français devront être rassurés par le gouvernement sur le respect de leur vie privée, notamment s’agissant des garanties de confidentialité et de sécurité apportées par le projet qui leur sera soumis (anonymat garantit des malades, absence de géolocalisation des malades autour de soi, suppression rapide des données, cryptage, stockage limité au mobile, etc.).
Dans ces conditions, gageons que les français y adhèrent massivement dès lors que le but est ici de protéger leur santé, et que l’on sait qu’ils utilisent déjà et sans aucune méfiance de nombreuses applications bien plus intrusives, aux origines souvent douteuses et très loin de respecter le cadre protecteur du RGPD (applis de messagerie, de bien-être, de santé, tracker d’activité, réseaux sociaux, jeux, objets connectés, utilitaires divers etc…).
