Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 170

I N T E R V I E W
Par ailleurs, les limites d'une telle application résident
dans le fait que pour être efficace, elle doit fonctionner
avec d'autres éléments : une capacité de dépistage
très importante pour que les personnes qui aient des
doutes puissent se faire diagnostiquer et qu'ensuite
elles puissent envoyer dans l'application la bonne
information avec le code donné par le médecin, ainsi
qu'avec un seuil critique d'utilisateurs importants.
L'application est une des briques des solutions, mais la
technologie ne peut rien régler à elle toute seule. Il faut
se garder du solutionnisme technologique.

niveau européen, même si chaque Etat peut prendre
une initiative nationale. Mais il est important que les
différentes applications soient intéropérables pour
permettre les échanges entre elles. Il est clair qu'on ne
pourra jamais avoir une seule solution. Dans ce contexte,
le RGPD offre beaucoup de marges de manœuvre.
Aujourd'hui, on fait un mauvais procès au règlement.
D'abord, ce n'est pas la règlementation la plus importante
concernant les terminaux des personnes mais la
directive e-Privacy qui comporte un certain nombre
de dérogations dont la santé publique en fait partie. Par
ailleurs, le RGPD prévoit des dérogations en matière de
collecte de données de santé avec le consentement de
la personne exclusivement. Pour des motifs de santé
publique, il est juridiquement possible de s'affranchir
du consentement, mais il faut une loi qui le prévoit. Le
RGPD renvoie à la responsabilité politique. C'est donc un
texte assez flexible, à condition d'une loi qui apporte des
garanties à tous les autres principes : finalité, sécurité,
proportionnalité, minimisation, etc. Une dérogation au
consentement ne veut pas dire une dérogation générale
au RGPD. C'est ce règlement qui va permettre une
solution européenne à cette crise en matière de collecte
de données. Déjà avant la crise, le RGPD était en train de
s'imposer comme un standard mondial. Si à la moindre
crise grave, ce cadre explosait, cela montrerait qu'il n'est
pas robuste. Or, je pense au contraire qu'il l'est et qu'il
possède les marges de manœuvre possibles pour les
données les plus protégées comme les données de santé.
Et il revient aussi aux autorités de contrôle nationales de
proposer des solutions.

André Loesekrug-Pietri, directeur exécutif de la
Joint european Disruptive Initiative (JEDI) pense
que plutôt que de chercher à limiter l'usage que
l'on peut faire d'une application de contact tracing
une fois celle-ci installée, il faut agir en amont, sur
ce que l'application elle-même permet de faire ou
de ne pas faire, et donc, dans son infrastructure
technologique et dans ses lignes de code. Elle
soutient le principe d'une éthique by design qui
serait davantage compatible avec l'esprit du RGPD et
les valeurs européennes de protection des données
personnelles. Qu'en pensez-vous ?
Comme je viens de le dire, la façon dont on conçoit
l'application est essentielle. L'éthique by design n'est
rien d'autre que le privacy by design dans le RGPD.
Effectivement, prévoir dès le début où les données
sont stockées, qui y a accès, comment la notification
de la personne infectée est envoyée aux autres, par
un serveur décentralisé ou non, combien de temps
sont conservées les données,
etc. ? Ce sont des choix qui
Aurions-nous dû davantage
« L'application est une des
sont
technologiquement
nous inspirer des solutions
briques des solutions, mais la
possibles mais qui sont aussi
technologiques qui ont fait
très impactant en termes de
leur preuve à l'étranger,
technologie ne peut rien régler à
centralisation des données,
notamment en Asie ?
elle toute seule. Il faut se garder du
de durée de conservation, des
On voit bien qu'entre les choix
solutionnisme technologique. »
destinataires des informations,
qui sont faits en Chine, en
du responsable de traitement.
Corée du Sud, en europe, on
Il faut avoir une démarche très
ne peut pas adopter la même
rigoureuse de privacy by design et de security by design.
solution. Nous n'avons les mêmes systèmes juridiques,
La confiance dans la parole publique est très importante,
les mêmes systèmes de valeurs ou les mêmes systèmes
notamment sur le fait que les données seront détruites
politiques. En Chine, j'ai vu des petites voitures
mais aussi sur la question de la sécurité. Imaginez ce qui
autonomes qui prennent la température des personnes,
passerait si l'application avait une faille de sécurité alors
qui embarquent des dispositifs de reconnaissance
qu'elle traite des données sensibles.
faciale et qui vérifient leur scoring pour les autoriser
à sortir. Ce n'est pas envisageable en europe et tant
mieux. Encore une fois, gardons-nous de faire du
Que pensez-vous de l'action européenne en la
solutionnisme technologique mais aussi d'un copiermatière ? De la Commission, du contrôleur et du
coller de solutions qui ne nous correspondent pas.
comité européens ? Utilisent-ils toutes les marges de
Nous trouverons des usages technologiques qui sont
manœuvre du RGPD ?
conformes à nos valeurs, sinon ils seront rejetés. On en
La Commission européenne et le commissaire Thierry
revient à la question de la confiance. Construisons-la
Breton ont tout de suite vu l'intérêt des données agrégées
ensemble dans le respect de nos valeurs.
statistiques des opérateurs téléphoniques. Ils ont eu
une démarche proactive que je trouve intéressante.
Par ailleurs, le contrôleur et le comité européens à la
Propos recueillis par
protection des données ont tous les deux souligné
Sylvie ROZENFELD
le besoin d'avoir des initiatives interopérables au

170

EXPERTISES Mai 2020

Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia