Tribune – Maria Iglesias, Avocat, Pôle IP-IT

L’Assemblée nationale et le Sénat débattent aujourd’hui et demain des implications de l’éventuelle utilisation de la technologie du « contact tracing » dans le cadre de la lutte contre la pandémie de Covid-19 en France. Les discussions devant la chambre basse seront suivies d’un vote des députés à titre purement consultatif et non contraignant pour le gouvernement. Il paraît pourtant compliqué d’envisager la mise en place d’un projet aussi controversé sans avoir le support du Parlement.

Le Président de la République lance la piste du tracking numérique

Lors de son allocution du 13 avril dernier, le Président de la République a évoqué la question du tracking numérique, tout en prévenant que l’épidémie ne devait pas « mordre » sur les libertés individuelles. Après la Chine, Singapour, la Corée du Sud, ou encore l’Allemagne c’est maintenant au tour de la France d’envisager le déploiement d’une application mobile baptisée « StopCovid » permettant de pister les contacts d’une personne porteuse du virus afin qu’elles soient dépistés et, peut-être, placées en quarantaine.

Sa mise en œuvre pose la question du respect des libertés individuelles et notamment de la protection de la vie privée des citoyens dans un contexte économique dramatique où l’INSEE a chiffré la baisse de la croissance engendrée par un mois de confinement à 3 points du PIB annuel.

Le gouvernement a tenu à préciser que cette application fonctionnerait sur la base du volontariat et ne se servirait pas de la géolocalisation des utilisateurs mais de la technologie Bluetooth. L’application devrait fonctionner sur la base d’un chiffre d’identification (ID), sans requérir d’information personnelle des utilisateurs.

Les enjeux juridiques du tracking numérique

Rappelons que les principaux textes réglementant l’usage des données personnelles, le règlement général sur la protection des données (RGPD) et la directive du 12 juillet 2002 sur le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, dite e-privacy, ne s’opposent pas de manière ferme à la mise en œuvre de solutions de suivi pour des motifs de protection de la santé. Tous ces textes encadrent en revanche leur utilisation.

En effet, même si aux termes de l’article 9 du RGPD l’utilisation de données de santé, considérées sensibles, est interdite. Cette disposition prévoit cependant quelques dérogations incluant notamment « l’intérêt public dans le domaine de la santé publique, tel que la protection contre les menaces transfrontalières graves pesant sur la santé » et la « sauvegarde des intérêts vitaux de la personne concernée ».

Le traitement des données de santé doit, en tout état de cause, respecter les exigences du RGPD, notamment les principes d’adéquation, licéité, nécessité, proportionnalité, sécurité et transparence, et rester provisoire.

Par ailleurs, il découle des articles 5 et 9 de la directive e-privacy que, sauf anonymisation, le traitement des données de localisation est soumis au consentement des personnes concernées.

Par conséquent, ainsi que l’a rappelé la Présidente de la CNIL, si un dispositif obligatoire devait être mis en place en France sans obtenir le consentement préalable des utilisateurs, il devrait d’abord faire l’objet d’une disposition législative, conformément aux dispositions de l’article 34 de la Constitution.

Par ailleurs, l’efficacité des outils de traçage numérique est conditionnée à leur usage par un pourcentage minimum de la population, estimé à 60 % selon une étude de l’université d’Oxford publiée dans la revue Science.

Or, le fait que l’application ne soit pas rendue obligatoire en limite nécessairement la portée. Il faut ainsi prendre en considération les fractures numérique et générationnelle touchant notamment les personnes âgées et les populations dites défavorisées qui pourraient se retrouver exclues de l’utilisation de ces dispositifs.

Enfin, ces outils ne servent pas à limiter la transmission du virus par des personnes asymptomatiques et risquent peut-être de faire négliger les gestes barrières.

C’est pourquoi la CNIL a précisé dans un avis rendu public le 26 avril dernier que l’application ne pourra être déployée que si son utilité est suffisamment avérée et qu’elle est intégrée dans une stratégie sanitaire globale.

En conséquence, même si l’efficacité de ces dispositifs était démontrée, ce qui reste à voir, leur utilisation devrait être strictement encadrée.