StopCovid : la CNIL ne voit pas d’obstacle à la mise en place de l’application de suivi
Le gouvernement annonçait hier que ses équipes travaillaient sur le développement d’une application de « contact tracing », visant à permettre aux utilisateurs de savoir s’ils étaient entrés en contact avec un porteur du virus récemment. Ce type de technologie est à l’étude ou en utilisation dans de nombreux pays dans le cadre de la lutte contre le Covid 19 et suscite certaines craintes. Dans ce contexte, les ministres Olivier Veran et Cedric O ont cru bon d’indiquer que la CNIL est associée étroitement au projet.
La présidente de la CNIL Marie Laure Denis était auditionnée hier par la Commission des Lois sur le sujet des « technologies qui se fondent sur l’analyse de données de localisation des individus ». L’occasion pour la Commission d’effectuer certains rappels au sujet de l’usage de ces technologies, et d’esquisser un premier tour d’horizon des lignes rouges à ne pas dépasser en la matière.
Pour la CNIL, le cadre légal actuellement en place ne s’oppose pas au déploiement et à la mise en place d’outils de « suivi numérique, individualisé ou non » pour la protection de la santé publique. Mais la Commission rappelle que les deux textes s’appliquant ici, la directive e-privacy et le RGPD, prévoient la mise en place de certains garde-fous pour limiter la portée de ce suivi. « Si un suivi individualisé des personnes était mis en œuvre, il faudrait d’abord, à droit constant, qu’il soit basé sur le volontariat, avec un consentement réellement libre et éclairé – et le fait de refuser l’application n’aurait aucune conséquence » rappelle la CNIL dans son communiqué de presse.
Pas d’incompatibilité
C’est pour l’instant l’option retenue pour le gouvernement, qui souhaite proposer son application StopCovid sur la base du volontariat. Mais comme le rappellent certains opposants au projet, les applications de « contact tracing » ne démontrent leur utilité qu’à partir du moment où elles sont massivement adoptées par la population. L’option consistant à imposer l’utilisation de l’application aux citoyens pour s’assurer de son efficacité est donc envisageable, et la CNIL aborde également ce cas de figure, pour l’instant hypothétique.
« Si un dispositif de suivi des personnes était mis en place de manière obligatoire, alors il nécessiterait une disposition législative » écrit la CNIL. Si le déploiement d’une application sur la base du volontariat ne semble pas poser de problème, le fait de vouloir l’imposer à la population serait donc une autre paire de manche et nécessiterait le passage d’un texte de loi, assorti de plusieurs garanties (de proportionnalité, d’efficacité et une limite dans le temps) pour être envisagé d’un œil favorable par la Commission.
La présidente de la CNIL a appelé les parlementaires à se méfier du « solutionnisme technologique » et que, quelle que soit la solution retenue, elle ne peut constituer qu’une partie de la réponse à la crise sanitaire en cours et ne pourra pas s’affranchir d’un cadre légal respectueux de la vie privée des utilisateurs.
Le développement de l’application StopCovid a été confié à l’Inria, qui pilotera le projet dans le cadre du projet Pan European Privacy Preserving Proximity Tracking (PEPP-PT). Ce projet initié par l’Inria, le Fraunhofer Heinrich Hertz Institut et l’École Fédérale Polytechnique de Lausanne vise à développer des solutions de pistage des individus respectueuses de la vie privée et du RGPD. Fondé au mois de mars, l’organisation basée en Suisse regroupe aujourd’hui plus de 120 organisations et acteurs européens, qui travaillent sur le développement de technologies utilisables par les gouvernements et propose un premier aperçu du cahier des charges envisagé pour la mise en place d’une application de ce type.
