La pandémie de coronavirus a déclenché une crise sanitaire sans précédent, obligeant toutes les populations à modifier leurs comportements et les dirigeants à opter pour des mesures drastiques de confinement. Tous les faits et gestes tentent d’être décryptés pour comprendre comment le coronavirus se propage à très grande vitesse : la chaîne de transmission. L’application Stop Covid pour smartphone est développée en ce sens : répertorier les personnes testées positives au Covid-19 et avertir celles qui sont entrées en contact avec elles, via leur téléphone portable. Son utilité pourrait être de grande importance pour gérer la sortie de confinement du fait du nombre trop réduit de personnes immunisées dans la population. Les équipes du gouvernement, réfléchissent à la mise en service de ce « contact tracing », avec les acteurs de la téléphonie, du numérique et la CNIL. L’autorisation de l’application n’a pas fait partie des directives du plan de déconfinement annoncé mardi 28 avril, elle doit encore attendre : « Pour l’heure, compte tenu des incertitudes sur l’application StopCovid, le débat est un peu prématuré. Mais je confirme mon engagement: lorsque l’application fonctionnera et avant sa mise en œuvre, nous organisons un débat spécifique, suivi d’un vote spécifique » a déclaré le Premier ministre Edouard Philippe par un tweet le 28 avril. L’application devrait être prête pour la deuxième quinzaine de mai, selon l’opérateur de téléphonie Orange qui collabore à son élaboration.

Quelles informations donneraient l’application Stop Covid ?

L’application Stop Covid, une fois installée sur le smartphone préviendrait les personnes qui ont été en contact avec un malade testé positif au coronavirus. La personne alertée pourrait alors se faire dépister et être prise en charge au plus tôt, ou se confiner afin de briser les chaînes de transmission du virus, même si elle ne développe aucun symptôme. Cette alerte suppose que la personne testée positive au Covid-19 se déclare comme telle et accepte de diffuser cette information aux utilisateurs de l’application qu’elle croiserait dans la rue, les magasins… L’anonymat serait respecté dans le cadre strict des diverses conditions établies par les directives européennes en vigueur : le RGPD Règlement général sur la Protection des données. « Un véritable volontariat est la meilleure garantie du respect du Règlement général sur la protection des données (RGPD) » indique la présidente de la CNIL, Marie-Laure Denis. Le consentement nécessite d’informer les utilisateurs sur plusieurs points : « quelles données sont utilisées, par qui, avec qui sont-elles partagées, pour quelle finalité, pour combien de temps. Il faut veiller à ce qu’il n’y ait pas de case précochée » insiste t-elle. 

Le flou demeure encore au gouvernement sur les bases de données à utiliser.

Quelles seraient les informations personnelles utilisées par Stop Covid ?

L’application est toujours en cours d’élaboration. Les bases de données à utiliser pour réaliser le « contact tracing » ne sont pas encore totalement défini. Selon la Commission nationale de l’informatique et des libertés (Cnil) l’application traitera bien de données personnelles et de santé, mais elle « reconnaît qu’elle respecte le concept de protection des données dès la conception, car l’application utilise des pseudonymes et ne permettra pas de remontée de listes de personnes contaminées » explique Marie-Laure Denis, la présidente de la Cnil dans son avis rendu le 24 avril. Cette application ne demanderait donc aucune donnée personnelle : pas d’état civil, ni même de numéro de téléphone. Pour la Cnil « Il en résulte que demeure un lien entre les pseudonymes et les applications téléchargées, chaque application étant elle-même installée sur un terminal, qui correspond généralement à une personne physique déterminée. Du fait de ce lien, la Commission estime que le dispositif traitera des données à caractère personnel au sens du RGPD » souligne Marie-Laure Denis. De plus les données des utilisateurs de smartphones proviennent de sources multiples. Les smartphones enregistrent et émettent notamment à leurs opérateurs téléphoniques des données de géolocalisation. Les entreprises de téléphonies ont donc la possibilité de les utiliser pour comprendre les déplacements de population (leur client). Orange s’était illustré dans cet exercice en transmettant aux pouvoirs publics les analyses selon lesquelles 17% des habitants du Grand Paris auraient quitté la région entre le 13 et le 20 mars et avait désigné les lieux de villégiatures choisis par ses clients en « exode ». Mais il n’est pas le seul. En Allemagne, Deutsche Telekom a également transmis les données anonymisées de géolocalisation de ses 46 millions de clients a des fins d’analyses. Ces informations étant utiles pour rendre visible la propagation spatiale du virus, la Commission européenne a demandé aux principaux opérateurs téléphoniques de transmettre leurs données au JRC, le Centre d’étude scientifique de la Commission européenne, afin d’analyser la propagation de l’épidémie. Ces données sont anonymes et traitées statistiquement, précise la CNIL le 10 avril sur le site Internet de son laboratoire d’innovation numérique Linc. « Après les opérateurs télécoms, les entreprises du logiciel ont également la capacité de collecter des données de géolocalisation via des applications mobiles. Celles-ci qui commencent à produire des données agrégées, comme « l’application Covimoov » qui propose de mesurer différents indicateurs cartographiques liés à la pandémie ou encore Google, explique Antoine Courmont, chargé d’études prospectives pour la CNIL. Cette profusion d’initiatives révèle l’intensité de la collecte de ces données de localisation par une grande pluralité d’acteurs. »

Comment fonctionne l’application Stop Covid ?

Le principe de fonctionnement de l’application serait simple : l’application ne serait pas obligatoire. Elle devra être installée volontairement. Lorsque les téléphones de deux personnes qui ont installé l’application vont se croiser pendant une certaine durée, et à une distance rapprochée (ces données doivent être déterminées), le mobile de l’un enregistre les références de l’autre dans son historique via la connexion Bluetooth. Si une personne s’est déclarée positive au Covid-19 sur l’application Stop Covid, ceux qui auront été en contact avec elle seront prévenus de manière automatique, sur leur smartphone, via l’application : il sera notifié qu’il a été « en contact qualifié avec quelqu’un qui vient d’être testé positif sans savoir qui, quand, où ». précise Aymeril Hoang expert en numérique au conseil scientifique dirigé par le Pr Jean-François Delfraissy. La technologie Bluetooth permet d’estimer la distance entre deux smartphones en mesurant la puissance du signal. « Une application identique à Stop Covid : TraceTogether est déjà utilisée à Singapour. Elle enregistre les rencontres entre deux personnes dans un rayon de deux mètres. Les données sont conservées, de manière chiffrée, pendant 21 jours sur le téléphone. Le ministère de la Santé peut y accéder sur demande pour identifier les personnes ayant été en contact« , indique la CNIL en exemple.

Les limites de l’application 

Le chargé d’études prospectives pour la CNIL le reconnait bien volontiers, outre le détournement des informations vers d’autres usages qui inquiète les usagers, c’est « la précision limitée des systèmes de localisation dans les zones denses qui risque rapidement d’indiquer à de nombreuses personnes qu’elles ont été en contact avec une personne contaminée« . « Google reconnait que les mécanismes de récolte de données d’Android ou de Google Maps ne sont « pas construits pour fournir des enregistrements robustes et de haute qualité à des fins médicales et ne peuvent être adaptées à cette fin. » Enfin, cette technologie suppose que les personnes disposent individuellement d’un téléphone portable, le conservent avec eux tout au long de la journée, activent la fonction Bluetooth et acceptent de télécharger ce type d’application. « Si une de ces associations se délite, alors toute cette chaîne de surveillance de la population s’interrompt. » Or « 25 % des Français n’ont pas de smartphone et ce taux est plus élevé chez les plus de 70 ans (44 %) (…) Il y a aussi la question de la compétence numérique et celle des zones blanches » souligne Marie-Laure Denis, la présidente de la Cnil le 15 avril au Sénat. Et quand bien même, il faudrait pouvoir « mettre en place un testing des patients qui ont le moindre symptôme ou même qui demandent à être testés » indique Jean-François Delfraissy avant d’interroger sur la disponibilité des tests PCR (par prélèvement nasal) : « aurons-nous la capacité de tester très largement les cas contacts ? Pour l’instant, je réserve ma réponse ». Aymeril Hoang abonde : « cette application telle que nous la dessinons aujourd’hui et nous la développons ne fonctionne qu’avec un certain nombre de prérequis : accès aux tests, respect absolu des gestes barrière et de la distance… » Quant à une éventuelle vérification de l’exactitude du diagnostic qui sera déclaré dans l’application, il précise : « je vous parle en transparence de choses non arbitrées et qui font encore l’objet de réflexion. À ce stade, est établie l’hypothèse d’un contrôle préalable de la suspicion de séropositivité de la personne qui ferait qu’elle ne pourrait déclencher l’alerte sur l’application que sur contrôle. Sur le plan technique, un professionnel de santé, un laboratoire de biologie ou un infirmier donnerait un code numérique ou un QR code aux individus concernés pour qu’ils rentrent dans l’application ».

Sources : LINC Laboratoire d’innovation numérique de la CNIL, Coronoptiques : des modèles épidémiologiques au contact tracing, rendre visible la contagion, par Antoine Courmont, pour la CNIL, 10 avril 2020

Avis de la CNIL, 24 avril 2020.