Expertises des Systèmes d'information - Juillet 2020 - N°459 - Le mensuel du droit de l'informatique et du multimédia - 281

Ces questions sont d'autant plus
légitimes et essentielles que parmi
les données collectées et traitées par
de très nombreux acteurs figurent
des données de santé9. Rappelons
que ces données sont des données
dites sensibles dont les traitements
sont interdits. Toutefois, des dérogations sont édictées dans certaines
hypothèses, en particulier, si la
personne a exprimé son consentement explicite pour des finalités
légitimes et spécifiques ou encore
si le traitement est nécessaire pour
des motifs d'intérêt public dans le
domaine de la santé publique10
Dans cette logique, la Présidente
de la Cnil11 a confirmé que le texte
protégeant les données personnelles ne s'oppose pas à la mise
en œuvre des solutions de suivi
numérique pour la protection
de la santé publique à condition
que des garanties adaptées soient
mises en œuvre.

Une approche
française critiquable
Dans le cadre de la stratégie globale
de «  déconfinement  progressif  »,
le gouvernement a mis en place
des dispositifs d'alerte et de
prévention avec la création de deux
nouveaux « méga fichiers »12. D'une
part, le fichier « SI-DEP » (système
d'informationnationaldedépistage)
mis en œuvre par le ministère de la
Santé en charge de l'identification
des personnes infectées. D'autre
part, le fichier « Contact Covid » qui
est mis en œuvre par la Caisse
nationale d'assurance maladie
(CNAV) dont l'objet principal est de
permettre la conduite des enquêtes
sanitaires ainsi que de transmettre
de manière pseudonymisée les
données vers la plateforme des
données de santé.
Le gouvernement13 a, aussi, mis
en place une application mobile
dénommée «  StopCovid  », lancée
le 2 juin dernier14, à destination
du grand public. Son objectif est
d'informer les utilisateurs d'un
risque de contamination lorsqu'ils
ont été à proximité d'un autre
utilisateur ayant été diagnostiqué

positif au COVID-19. Il s'agit
d'un dispositif de «  suivi de
contacts  » (contact tracing), qui
repose sur le volontariat des
personnes et se fonde sur la technologie Bluetooth en connexion avec
un serveur central15. Cette application dont le ministère de la Santé est
le responsable du traitement a pour
finalité de prévenir les personnes
potentiellement exposées et les
inviter éventuellement à se faire
dépister. Les pages dédiées à l'application StopCovid sur le site Internet
du ministère de l'Economie16,
décrivent que «  le principe est le
suivant : prévenir les personnes qui
ont été à proximité d'une personne
testée positive, afin que celles-ci
puissent être prises en charge le
plus tôt possible, le tout sans jamais
sacrifier nos libertés individuelles.
Cette application apporte une aide
complémentaire au travail des
médecins et de l'Assurance maladie
pour identifier les «personnes
contacts » et les prendre en charge.
StopCovid est une application
transparente, temporaire, téléchargeable sur la base du volontariat,
qui s'inscrit dans le cadre de
protection de la vie privée. »
Rappelons que ces dispositifs
d'alerte doivent être temporaires
afin de garantir la proportionnalité et de prévoir des mesures
appropriées et spécifiques pour
la sauvegarde des droits fondamentaux et respecter les principes
essentiels du RGPD17 (durée de
conservation, privacy by design).
Dans ce contexte, une analyse
d'impact sur la vie privée a été
obligatoirement réalisée sur chacun
des dispositifs afin de démontrer
leur conformité aux principes de
protection des données ainsi que
leur gestion des risques pour les
droits et libertés des personnes et
les mesures de sécurité y afférentes.
L'AIPD est une analyse essentielle
pour faire la balance des risques
notamment le fonctionnement
de l'outil, sur l'implication des
intermédiaires, sur l'information
des personnes quant à l'utilisation
de données de santé. Si des risques
EXPERTISES juillet/août 2020

résiduels persistent, l'AIPD doit être
transmise à la Cnil, le traitement ne
pouvant pas être mis en œuvre. Des
interrogations légitimes peuvent
se poser quant à la complétude
des analyses d'impact diligentées.
Comme nous le verrons ci-après,
ces dispositifs comportent de
nombreuses fonctionnalités ou des
usages exorbitants au regard des
libertés fondamentales.

Sur l'application Stop Covid
Cette application suscite de
nombreuses polémiques et critiques
de la part des acteurs politiques
-  y compris de la Commission
européenne18  -, techniques ainsi
que de la société civile19.
L'efficacité d'une telle mesure selon
le nombre significatif d'utilisateurs20, la fiabilité du Bluetooth ou
encore le fait d'avoir une architecture de l'application centralisée
non interopérable avec les autres
applications européennes21 sont
contestées et discutées. Les autorités norvégiennes ont, quant à elles,
annoncé suspendre leur application pour smartphones censée
tracer ses utilisateurs pour mieux
prévenir la propagation du virus22,
au regard du faible nombre de
téléchargements pour rendre cet
outil efficace. De plus, la protection
des données n'était pas assurée au
niveau de la confidentialité.
La Cnil insiste dans ses deux avis23
sur le fait que l'application doit
être utile et que « l'application peut
être légalement déployée dès lors
qu'elle apparaît être un instrument
complémentaire
du
dispositif
d'enquêtes sanitaires manuelles
et qu'elle permet des alertes plus
rapides en cas de contact avec une
personne contaminée, y compris
pour des contacts inconnus ».
Elle rappelle que les principes
fondamentaux de protection du
droit au respect de la vie privée
et de protection des données
personnelles imposent que les
atteintes portées à ces droits par
les autorités publiques soient
nécessaires et proportionnées à la
réalisation de l'objectif poursuivi.

281
Expertises des Systèmes d'information - Juillet 2020 - N°459 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juillet 2020 - N°459 - Le mensuel du droit de l'informatique et du multimédia
