{"id":13117,"date":"2020-05-01T02:51:13","date_gmt":"2020-05-01T06:51:13","guid":{"rendered":"https:\/\/antilla-martinique.com\/?p=13117"},"modified":"2020-05-01T02:52:17","modified_gmt":"2020-05-01T06:52:17","slug":"que-retenir-de-lavis-de-la-cnil-sur-le-projet-dapplication-mobile-stopcovid","status":"publish","type":"post","link":"https:\/\/antilla-martinique.com\/en\/que-retenir-de-lavis-de-la-cnil-sur-le-projet-dapplication-mobile-stopcovid\/","title":{"rendered":"Que retenir de l\u2019avis de la CNIL sur le projet d\u2019application mobile \u00ab StopCovid \u00bb"},"content":{"rendered":"

Que retenir de l\u2019avis de la CNIL sur le projet d\u2019application mobile \u00ab StopCovid \u00bb<\/strong><\/p>\n

Par Olivia Tambou, Universit\u00e9 Paris-Dauphine, PSL Universit\u00e9
\nAuteur de Manuel de droit europ\u00e9en de la protection des donn\u00e9es personnelles, Bruylant, 2020<\/p>\n

Le 24 avril 2020, la CNIL a rendu un avis \u00e9clairant sur le projet d\u2019application \u00ab StopCovid \u00bb, qui trace des lignes vertes et rouges \u00e0 suivre pour la mise en \u0153uvre future de telles applications de suivi de contacts (2 et 3). Cet avis va au del\u00e0 d\u2019une classique analyse de la conformit\u00e9. Il permet de mieux saisir la nature m\u00eame des traitements en cause (1). La port\u00e9e de cet avis doit aussi s\u2019analyser \u00e0 l\u2019aune d\u2019un ensemble de prises de position \u00e0 l\u2019\u00e9chelle europ\u00e9enne sur ce type d\u2019application de suivi de contact qui mettent en avant l\u2019existence d\u2019un mod\u00e8le europ\u00e9en de protection des donn\u00e9es \u00e0 caract\u00e8re personnel (4).<\/p>\n

1. Quelle est la nature des traitements en cause ?<\/strong><\/p>\n

Le projet d\u2019application StopCovid que le gouvernement semble vouloir mettre en \u0153uvre est en cours d\u2019\u00e9laboration par un consortium europ\u00e9en dans lequel participe notamment l\u2019INRIA. La CNIL se fonde donc sur les \u00e9l\u00e9ments g\u00e9n\u00e9raux qui lui ont transmis pour orienter d\u00e8s ce stade le gouvernement. Elle en d\u00e9duit les deux caract\u00e9ristiques suivantes.<\/p>\n

StopCovid est une application de suivi de contacts<\/strong><\/p>\n

Il s\u2019agit d\u2019une application dite de suivi de contacts (\u00ab contract tracing \u00bb) dont la finalit\u00e9 est uniquement de permettre d\u2019informer les personnes qui l\u2019ont install\u00e9es sur leur smartphone qu\u2019elles ont \u00e9t\u00e9 \u00e0 proximit\u00e9 d\u2019une personne disposant elle m\u00eame de cette application et qui aurait \u00e9t\u00e9 diagnostiqu\u00e9e positive par le Covid-19.<\/p>\n

<strong>Autrement dit, il ne s\u2019agit pas d\u2019une application de g\u00e9olocalisation qui permettrait en temps r\u00e9el d\u2019identifier o\u00f9 se trouvent les personnes diagnostiqu\u00e9es positives et de tracer de fa\u00e7on continue les personnes.<\/strong><\/em><\/p>\n

StopCovid implique un traitement de donn\u00e9es \u00e0 caract\u00e8re personnel<\/strong><\/p>\n

La notion \u00ab donn\u00e9es \u00e0 caract\u00e8re personnel \u00bb a fait l\u2019objet d\u2019une harmonisation \u00e0 l\u2019\u00e9chelle europ\u00e9enne. Selon l\u2019article 4 du RGPD, il s\u2019agit de toute information identifiante se rapportant \u00e0 un individu. Cette identification peut \u00eatre directe en reliant imm\u00e9diatement et pr\u00e9cis\u00e9ment une information \u00e0 une personne, telle que son nom par exemple. L\u2019identification peut aussi \u00eatre indirecte, lorsque l\u2019information en question ne permet pas \u00e0 elle seule identifier la personne, mais que ce r\u00e9sultat peut \u00eatre atteint si on combine cette information avec une autre qui est disponible. Tel est le cas dans le projet d\u2019application StopCovid. Le dispositif envisag\u00e9 repose sur une construction \u00e0 double \u00e9tage : une application mobile et un serveur central qui collectera des donn\u00e9es pseudonomys\u00e9es. Le serveur central devra n\u00e9cessairement r\u00e9-identifier la personne concern\u00e9e pour l\u2019informer. En outre, il peut \u00eatre facile d\u2019identifier un individu \u00e0 partir du smartphone sur lequel il aura install\u00e9 l\u2019application sans savoir son nom. L\u2019avis de la CNIL a le m\u00e9rite de rappeler que la pseudonymisation est avant tout une mesure de s\u00e9curit\u00e9. Elle est tout \u00e0 fait appropri\u00e9e pour permettre de limiter le risque que la personne infect\u00e9e puisse \u00eatre r\u00e9-identifi\u00e9e par les personnes qui auront re\u00e7u la notification.<\/p>\n

StopCovid repose un traitement de donn\u00e9es \u00e0 caract\u00e8re personnel de sant\u00e9<\/p>\n

La notion de donn\u00e9es de sant\u00e9 est aussi harmonis\u00e9e \u00e0 l\u2019\u00e9chelle europ\u00e9enne. Il s\u2019agit d\u2019une donn\u00e9e \u00e0 caract\u00e8re personnel r\u00e9v\u00e9lant \u00ab des informations sur l\u2019\u00e9tat de la sant\u00e9 des personnes \u00bb. La CNIL en d\u00e9duit que l\u2019alerte donn\u00e9e par une personne qui a \u00e9t\u00e9 diagnostiqu\u00e9e positive au Covid-19 tout comme la notification aux personnes qu\u2019elle a crois\u00e9es pour les alerter qu\u2019elles sont susceptibles d\u2019avoir \u00e9t\u00e9 infect\u00e9es constituent des traitements de donn\u00e9es \u00e0 caract\u00e8re personnel de sant\u00e9. Il en r\u00e9sulte de StopCovid devra se conformer au r\u00e9gime sp\u00e9cifique des donn\u00e9es \u00e0 caract\u00e8re personnel de sant\u00e9.<\/p>\n

2. La CNIL a t-elle donn\u00e9 son accord \u00e0 la mise en place de StopCovid ?<\/strong><\/p>\n

Oui et non. La CNIL a surtout clarifi\u00e9 dans quelle mesure ce projet pourrait \u00eatre mis en \u0153uvre, en l\u2019\u00e9tat actuel. Si l\u2019avis de la CNIL n\u2019est en aucun cas contraignant pour le gouvernement, il conditionne largement la mise en \u0153uvre future de StopCovid.<\/p>\n

1re ligne rouge : la transformation de StopCovid en un outil de surveillance<\/strong><\/p>\n

La CNIL ne s\u2019est engag\u00e9e que sur la conformit\u00e9 de l\u2019application au regard d\u2019une finalit\u00e9 pr\u00e9cise et d\u00e9termin\u00e9e qui est celle d\u2019alerter les personnes expos\u00e9es au risque de contamination. Le glissement vers une finalit\u00e9 de surveillance du respect des mesures de confinement ou du suivi des personnes infect\u00e9es constitue une premi\u00e8re ligne rouge pour le gouvernement.<\/p>\n

2e ligne rouge : le d\u00e9tournement du caract\u00e8re volontaire de StopCovid<\/strong><\/p>\n

La CNIL a fond\u00e9 son analyse de conformit\u00e9 sur un mod\u00e8le d\u2019application dont l\u2019utilisation reste volontaire. L\u2019int\u00e9r\u00eat de l\u2019avis de la CNIL est de rappeler au gouvernement ce que cela implique. Une totale libert\u00e9 doit \u00eatre laiss\u00e9e aux individus d\u2019utiliser ou de ne pas utiliser, ou de cesser de d\u2019utiliser StopCovid. Cela suppose aussi de ne subir \u00ab aucune cons\u00e9quence n\u00e9gative \u00bb, (p.5) du fait de l\u2019utilisation ou de la non-utilisation de cette application. La tentation de conditionner les d\u00e9placements des personnes en fonction de l\u2019utilisation de StopCovid constitue une seconde ligne rouge adress\u00e9e au gouvernement.<\/p>\n

3e ligne rouge : Le rejet de certaines modalit\u00e9s de configuration actuellement envisag\u00e9es<\/strong><\/p>\n

La CNIL rejette la possibilit\u00e9 saugrenue d\u2019introduire des faux positifs dans les notifications transmises aux personnes concern\u00e9es. Cette mesure semble avoir \u00e9t\u00e9 envisag\u00e9e pour \u00e9viter les risques de r\u00e9-identification de personnes. Elle aurait eu pour cons\u00e9quences de dire \u00e0 des personnes qu\u2019elles auraient \u00e9t\u00e9 en contact avec des personnes \u00e0 risques alors que cela n\u2019\u00e9tait pas le cas. En mati\u00e8re de s\u00e9curit\u00e9, la CNIL rappelle au gouvernement que l\u2019usage de l\u2019algorithme 3 DES ne peut plus \u00eatre utilis\u00e9 car il ne r\u00e9pond pas au standard de s\u00e9curit\u00e9 \u00e9dit\u00e9 par l\u2019Agence nationale de la s\u00e9curit\u00e9 des syst\u00e8mes d\u2019information (ANSSI) pour garantir l\u2019int\u00e9grit\u00e9 et la confidentialit\u00e9 des donn\u00e9es.
\n<em>Vers un avis \u00e0 double d\u00e9tente n\u2019excluant pas des contr\u00f4les ult\u00e9rieurs.<\/em><strong<\/em><\/strong>><\/p>\n

La CNIL a pr\u00e9cis\u00e9 qu\u2019en l\u2019\u00e9tat actuel du projet, il ne lui semblait pas contraire au droit des donn\u00e9es \u00e0 caract\u00e8re personnel sous r\u00e9serve que certaines garanties soient bien pr\u00e9sentes dans l\u2019application finale. Au del\u00e0 des garanties imagin\u00e9es, la CNIL a clairement demand\u00e9 au gouvernement de la ressaisir des modalit\u00e9s d\u00e9finitives de mise en \u0153uvre du dispositif. Il s\u2019agit donc d\u2019une sorte d\u2019avis \u00e0 double d\u00e9tente. Curieusement, la CNIL souligne d\u2019abord explicitement que cette consultation devrait avoir lieu apr\u00e8s le d\u00e9bat au Parlement (p. 2). Pourtant, nous consid\u00e9rons comme d\u2019autres que la mise en \u0153uvre de cette application n\u00e9cessite une loi. Aussi, la CNIL devrait-elle \u00eatre plut\u00f4t consult\u00e9e au moment du d\u00e9p\u00f4t du projet de la loi, laissant la place \u00e0 une possible saisine minoritaire du Conseil constitutionnel une fois le projet de loi adopt\u00e9. Enfin, il faut pr\u00e9ciser que la CNIL reste comp\u00e9tente pour contr\u00f4ler l\u2019utilisation ult\u00e9rieure de cette application soit de sa propre initiative, soit suite \u00e0 des plaintes qui seraient d\u00e9pos\u00e9es par des personnes concern\u00e9es.<\/p>\n

    \n
  1. Quelles sont les garanties pr\u00e9conis\u00e9es par la CNIL pour la mise en \u0153uvre de StopCovid <\/strong>?<\/li>\n<\/ol>\n

    L\u2019incitation \u00e0 un fondement normatif sp\u00e9cifique pour StopCovid<\/p>\n

    La CNIL oriente le gouvernement \u00e0 sa demande sur la meilleure base l\u00e9gale pour mettre en \u0153uvre une telle application. Th\u00e9oriquement, la CNIL consid\u00e8re que le gouvernement pourrait se fonder sur le consentement des personnes concern\u00e9es dans les limites de ce qui \u00e9t\u00e9 dit pr\u00e9c\u00e9demment. Pour autant, la CNIL recommande naturellement au gouvernement un fondement plus politiquement pertinent. Le gouvernement devrait s\u2019appuyer sur l\u2019existence d\u2019une mission d\u2019int\u00e9r\u00eat public de lutte contre l\u2019\u00e9pid\u00e9mie de COVID-19. Ce choix est directement li\u00e9 \u00e0 la mani\u00e8re dont le d\u00e9ploiement de cette application est envisag\u00e9. StopCovid serait d\u00e9velopp\u00e9e par l\u2019autorit\u00e9 publique, la CNIL recommandant d\u2019ailleurs que \u00ab le ministre de la Sant\u00e9 ou toute autre autorit\u00e9 sanitaire \u00bb (p.9), soit explicitement nomm\u00e9 responsable du traitement. La CNIL se contente n\u00e9anmoins d\u2019\u00e9voquer la n\u00e9cessit\u00e9 d\u2019un fondement juridique \u00ab explicite et pr\u00e9cis dans le droit national \u00bb (p.6) sur lequel elle devrait \u00eatre saisie. Autrement dit, elle laisse l\u2019alternative au gouvernement entre l\u2019adoption d\u2019une loi ou d\u2019un d\u00e9cret.<\/p>\n

    La n\u00e9cessit\u00e9 de documenter l\u2019impact de StopCovid de fa\u00e7on transparente<\/strong><\/p>\n

    La CNIL s\u2019interroge sur la n\u00e9cessit\u00e9 de mettre en place StopCovid. Elle incite le gouvernement \u00e0 mettre en balance l\u2019ampleur des atteintes \u00e0 la vie priv\u00e9e d\u2019un tel dispositif de suivi de contacts au regard de son utilit\u00e9 r\u00e9elle pour la gestion de la crise. La CNIL met en avant des limites li\u00e9es \u00e0 la n\u00e9cessit\u00e9 que l\u2019appli soit massivement utilis\u00e9e alors qu\u2019elle sera volontaire et sans doute peu accessible aux personnes vuln\u00e9rables qui n\u2019ont pas toutes des Smartphones. La CNIL \u00e9voque aussi des arguments techniques li\u00e9s \u00e0 l\u2019accessibilit\u00e9 de l\u2019application dans les magasins d\u2019application mobile, la compatibilit\u00e9 avec l\u2019ensemble des smartphones, le fait que des applications concurrentes pourraient \u00eatre cr\u00e9\u00e9es par des acteurs priv\u00e9s. La CNIL met aussi en garde le gouvernement contre \u00ab la tentation du solutionnisme technologique \u00bb (p. 8), StopCovid devant \u00eatre une mesure \u00e0 envisager dans une approche plus globale de la lutte contre cette pand\u00e9mie.
    \nLa CNIL rappelle \u00e9galement que la nature m\u00eame du traitement rel\u00e8ve de ceux qui n\u00e9cessitent pr\u00e9alablement une analyse d\u2019impact sur la protection des donn\u00e9es (AIDP), dont elle recommande la publication. L\u2019impact de ce dispositif sur la strat\u00e9gie sanitaire globale devrait \u00eatre r\u00e9guli\u00e8rement \u00e9tudi\u00e9 et document\u00e9, ces analyses devant \u00eatre id\u00e9alement transmises \u00e0 la CNIL. Enfin, la CNIL consid\u00e8re que la documentation technique doit continuer \u00e0 \u00eatre rendue publique afin de permettre \u00e0 la Communaut\u00e9 scientifique de pouvoir contribuer \u00e0 son am\u00e9lioration (cf. pour une illustration). Une telle transparence est ind\u00e9niablement n\u00e9cessaire pour assurer la confiance dans ce type de dispositifs. Elle permet d\u2019\u00e9clairer le d\u00e9bat public d\u2019une mani\u00e8re dont on esp\u00e8re qu\u2019elle puisse am\u00e9liorer la qualit\u00e9 de la d\u00e9cision des autorit\u00e9s publiques, seules redevables des choix politiques faits.<\/p>\n

    La n\u00e9cessit\u00e9 de respecter le principe de minimisation des donn\u00e9es<\/p>\n

    Cela se traduit essentiellement par la n\u00e9cessit\u00e9 de veiller \u00e0 ce que la collecte et la conservation des donn\u00e9es soient limit\u00e9es \u00e0 ce qui est strictement n\u00e9cessaire pour la r\u00e9alisation de la finalit\u00e9 envisag\u00e9e, tant au regard du respect de la vie priv\u00e9e que de la protection des donn\u00e9es \u00e0 caract\u00e8re personnel. La CNIL laisse entrouverte la possibilit\u00e9 d\u2019une r\u00e9utilisation ult\u00e9rieure des donn\u00e9es notamment \u00e0 des fins statistiques ou de recherche scientifique qui devrait reposer en principe sur une compl\u00e8te anonymisation de ces donn\u00e9es dans le strict respect du RGDP et de la Loi Informatique et Libert\u00e9s.<\/p>\n

    La n\u00e9cessit\u00e9 d\u2019assurer un niveau \u00e9lev\u00e9 de s\u00e9curit\u00e9 des donn\u00e9es<\/strong><\/p>\n

    La CNIL rappelle \u00e0 ce stade que la s\u00e9curit\u00e9 des donn\u00e9es doit \u00eatre assur\u00e9e, ce qui implique notamment la prise de mesures techniques et organisationnelles non seulement dans l\u2019application, mais aussi \u00e0 l\u2019\u00e9chelle du serveur central.<\/p>\n

    La n\u00e9cessit\u00e9 de garantir les droits des personnes concern\u00e9es<\/strong><\/p>\n

    La CNIL rappelle que les droits des personnes concern\u00e9es devront \u00eatre respect\u00e9s. Il s\u2019agit du droit \u00e0 l\u2019information, d\u2019acc\u00e8s, d\u2019opposition, de rectification, de portabilit\u00e9, de ne pas faire l\u2019objet d\u2019une d\u00e9cision individuelle exclusivement algorithmique. Le futur fondement national normatif devra pr\u00e9ciser les modalit\u00e9s de ces droits. La CNIL n\u2019a pas jug\u00e9e utile de pr\u00e9ciser \u00e0 ce stade que ces droits pourraient faire l\u2019objet d\u2019\u00e9ventuelles limitations dans les conditions pr\u00e9vues par l\u2019article 23 1. h) RGPD. Aucune pr\u00e9cision n\u2019a \u00e9t\u00e9 v\u00e9ritablement donn\u00e9e sur la possible application de l\u2019article 47 de la Loi Informatique et Libert\u00e9s qui permet \u00e0 l\u2019administration d\u2019utiliser des d\u00e9cisions individuelles automatis\u00e9es. La CNIL recommande de fa\u00e7on \u00e9nigmatique et dans un autre d\u00e9veloppement que \u00ab le recours \u00e0 toute forme d\u2019automatisation de la d\u00e9cision d\u2019informer les personnes expos\u00e9es soit associ\u00e9 \u00e0 la possibilit\u00e9 pour ces personnes d\u2019\u00e9changer avec un personnel qualifi\u00e9 \u00bb (p. 8). La CNIL se r\u00e9serve ainsi la possibilit\u00e9 de revenir sur ces points de fa\u00e7on plus d\u00e9taill\u00e9e, lorsqu\u2019elle sera saisie des modalit\u00e9s d\u00e9finitives de StopCovid.<\/p>\n

      \n
    1. Quelle est la port\u00e9e de cet avis \u00e0 l\u2019\u00e9chelle europ\u00e9enne et mondiale ?<\/strong><\/li>\n<\/ol>\n

      L\u2019avis de la CNIL est un avis provisoire qui reprend pour partie des \u00e9l\u00e9ments de la Communication de la Commission europ\u00e9enne et de la prise de la position collective des autorit\u00e9s de protection europ\u00e9enne r\u00e9unies dans le Comit\u00e9 europ\u00e9en de la Protection des donn\u00e9es personnelles. Ces textes dans leur ensemble illustrent l\u2019existence d\u2019un mod\u00e8le europ\u00e9en de la protection des donn\u00e9es \u00e0 caract\u00e8re personnel qui contraste avec certains m\u00e9canismes de surveillance g\u00e9n\u00e9ralis\u00e9e d\u00e9j\u00e0 mis en place en Asie. Pour autant, les solutions techniques \u00e0 mettre en \u0153uvre en Europe soul\u00e8vent de nombreux enjeux \u00e9conomiques et politiques qui ne sauraient se limiter au choix entre une architecture centralis\u00e9e solution envisag\u00e9e en France et une architecture d\u00e9centralis\u00e9e propos\u00e9e par Apple et Google. Cela atteste encore s\u2019il le fallait de l\u2019absence de maturit\u00e9 du d\u00e9bat et de la n\u00e9cessit\u00e9 d\u2019approfondir les analyses d\u2019impact entre juristes et informaticiens sur ce type d\u2019application. Cela explique que le d\u00e9bat StopCovid n\u2019ait pas eu lieu dans le cadre des mesures de d\u00e9confinement pr\u00e9sent\u00e9es par le Premier ministre devant le Parlement hier (mardi 28 avril 2020). Que la mise en place de StopCovid soit questionn\u00e9e est le signe de la vitalit\u00e9 de nos d\u00e9mocraties europ\u00e9ennes. La sauvegarde de nos valeurs en temps de crises est une condition existentielle de nos d\u00e9mocraties.<\/p>","protected":false},"excerpt":{"rendered":"

      Que retenir de l\u2019avis de la CNIL sur le projet d\u2019application mobile \u00ab StopCovid \u00bb Par Olivia Tambou, Universit\u00e9 Paris-Dauphine, PSL Universit\u00e9 Auteur de Manuel de droit europ\u00e9en de la protection des donn\u00e9es personnelles, Bruylant, 2020 Le 24 avril 2020, la CNIL a rendu un avis \u00e9clairant sur le projet d\u2019application \u00ab StopCovid \u00bb, qui<\/p>","protected":false},"author":33,"featured_media":13118,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_uf_show_specific_survey":0,"_uf_disable_surveys":false,"footnotes":"","rank_math_focus_keyword":"","rank_math_title":"","rank_math_description":"","rank_math_canonical_url":"","rank_math_robots":null,"rank_math_facebook_title":"","rank_math_facebook_description":"","rank_math_twitter_title":"","rank_math_twitter_description":""},"categories":[200],"tags":[],"class_list":["post-13117","post","type-post","status-publish","format-standard","has-post-thumbnail","category-ecologie"],"acf":[],"_links":{"self":[{"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/posts\/13117","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/users\/33"}],"replies":[{"embeddable":true,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/comments?post=13117"}],"version-history":[{"count":0,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/posts\/13117\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/media\/13118"}],"wp:attachment":[{"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/media?parent=13117"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/categories?post=13117"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/tags?post=13117"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}