Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 184

D

O

C

T

R

I

N

E

Depuis le 18 janvier dernier, une
carte interactive permet également
aux habitants de suivre au jour
le jour les foyers d'infection, le
nombre de personnes touchées,
leurs symptômes, leur âge, leur
sexe, leur nationalité et même la
rue où ils vivent.
L'Europe s'interroge sur les mesures
technologiques de traçage respectueuses de la vie privée et des
données personnelles pouvant être
mises en place.
Pour ce faire, deux textes applicables
aux traitements de données de
localisation doivent être respectés :
■	 la directive «  ePrivacy  »
n°2002/58/CE de 2002 sur la
protection de la vie privée dans les
communications électroniques
posant un cadre très strict : sauf
anonymisation, le traitement de
données de localisation, que ce
soit via les opérateurs télécoms
ou des applications installées par
le téléphone (par des opérations
de lecture d'informations localisées sur le terminal), est soumis
au consentement2, sauf mesures
législatives prises au nom de la
sécurité publique3 ;
■	 le Règlement général sur la
protection des données (RGPD)
n°(UE) 2016/679 du 27 avril 2016,
impose que les données soient
traitées licitement (obligation
d'une base légale au nombre
desquelles figurent le consentement), de façon adéquate, nécessaire et proportionnée.
Concernant la base légale du
traitement, le RGPD prévoit en
son considérant 46 que «  certains
types de traitement peuvent être
justifiés à la fois par des motifs
importants d›intérêt public et par
les intérêts vitaux de la personne
concernée, par exemple lorsque le
traitement est nécessaire à des fins
humanitaires, y compris pour suivre
des épidémies et leur propagation,
ou dans les cas d›urgence
humanitaire,
notamment
les
situations de catastrophe naturelle
et d›origine humaine ».

184

L'adoption d'une disposition législative pour ce type de traitement
resterait nécessaire pour la collecte
de données particulières de type
« données de santé »4.
L'EDPB a lui-même rappelé le
19 mars 20205, que l'urgence
pouvait être une condition juridique
pouvant légitimer des restrictions
de liberté, à condition que ces
restrictions soient proportionnées
et limitées à la période d'urgence.
Pour la Présidente de la Cnil,
deux voies semblent dès lors
envisageables par le Gouvernement
français :
■	 option n°1  : mise en place d'un
suivi individualisé des personnes
basé sur le volontariat, avec un
consentement réellement libre
et éclairé. A ce titre, le fait de
refuser l'application ne devrait
avoir
aucune
conséquence
préjudiciable pour la personne
concernée.
■	 option n°2  : mise en place d'un
dispositif de suivi des personnes
de manière obligatoire, nécessitant alors une disposition législative démontrant sa nécessité
pour répondre à la crise sanitaire
ainsi que sa proportionnalité
en tenant compte des mêmes
principes de protection de la vie
privée, et en étant réellement
provisoire.
Dans ce cadre, les solutions
de surveillance technologique
destinées à endiguer la pandémie
de Covid-19 se multiplient. On
compte d'ores et déjà plus d›une
centaine de solutions, dont près
d'une quinzaine d›applications
de « suivi de contacts »6 (« contact
tracing »). Apple et Google viennent
à ce titre d'annoncer un partenariat
pour développer une technologie
de suivi des personnes infectées
par le Covid-19, fonctionnant sur
les terminaux iOS et Android7.
Le Gouvernement français travaille
quant à lui sur une application
baptisée «  StopCovid  », utilisant la
technologie Bluetooth pour repérer
les contacts entre individus.
EXPERTISES Mai 2020

En
europe,
la
Commission
européenne a dans une recommandation du 8 avril 20208 exprimé le
souhait qu'une approche commune
coordonnée pour l'utilisation des
applications de traçage soit adoptée.

Quels sont les prérequis
techniques à vérifier ?
La position du Chaos Computer Club
est à ce titre instructive et mérite
l'attention  : 10 points de contrôle
semblent devoir être vérifiés pour
valider de telles applications d'un
point de vue technique et sociétal
et ce afin de contrebalancer les
risques que la collecte massive de
données de localisation et de santé
engendre9 :
■	 la condition préalable au «  suivi
des contacts  » est qu'il soit
démontré que la mise en œuvre
de mesures de traçage aide à
réduire de manière significative
et démontrable le nombre d'infections. S'il s'avère que le « suivi
des contacts  » via l'application
n'est pas utile ou ne remplit pas
pleinement le but, l'expérience
doit être abandonnée ;
■	 la deuxième condition est celle
du volontariat et de l'absence
de discrimination. Ainsi, les
personnes qui refusent d'utiliser
une telle application ne doivent
subir
aucune
conséquence
négative ;
■	 la troisième condition tient à la
confidentialité  : des mesures
techniques vérifiables telles que
les technologies de cryptographie et d›anonymisation doivent
garantir la confidentialité des
utilisateurs ;
■	 une condition complémentaire
tient à la transparence  : le code
source complet de l'application et
de l'infrastructure doit être librement accessible sans restrictions
d'accès pour permettre des audits
par toutes les parties intéressées ;
■	 une autre mesure essentielle
tient à l'absence d'entité centrale
gérant les données  : un suivi
des contacts complètement
anonyme sans serveurs centraux
omniscients est ainsi fortement
recommandé ;
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia
