Alors que le gouvernement prépare une application de suivi de contacts dont le téléchargement et l’utilisation reposeraient sur une démarche volontaire, les membres du collège de la CNIL se sont prononcés le 24 avril 2020. StopCovid a été déclarée “conforme” mais à condition de renforcer les garanties de protection des libertés, et d’évaluer régulièrement son utilité.
Ce dispositif doit permettre, lors du déconfinement à partir du 11 mai, de répertorier les contacts avec des malades du Covid-19. L’application sur smartphone, inspirée de stratégies déployées par Singapour notamment, doit alerter les personnes l’ayant téléchargée quand elles ont côtoyé, par exemple dans un train ou un métro, des personnes diagnostiquées positives au Covid-19, et elles-mêmes équipées.
L’usage de l’application envisagée par le gouvernement est volontaire. La CNIL précise que cela implique “qu’il n’y ait pas de conséquence négative en cas de non-utilisation, en particulier pour l’accès aux tests et aux soins, mais également pour l’accès à certains services à la levée du confinement, tels que les transports en commun.” En outre, la CNIL reconnaît qu’elle respecte le concept de “protection des données dès la conception”, car l’application utilise des pseudonymes et ne permettra pas de remontée de listes de personnes contaminées.
Une application soumise au RGPD
L’analyse du protocole technique par la Commission confirme cependant que “l’application traitera bien des données personnelles et sera soumise au RGPD“. Elle attire l’attention sur les risques particuliers, notamment de banalisation, liés au développement d’une application de suivi qui enregistre les contacts d’une personne, parmi les autres utilisateurs de l’application, pendant une certaine durée.
La CNIL indique que “son utilisation doit être temporaire et les données doivent être conservées pendant une durée limitée“. La CNIL recommande donc que l’impact du dispositif sur la situation sanitaire soit étudié et documenté de manière régulière, pour aider les pouvoirs publics à décider ou non de son maintien.
Dans le cas où le recours à ce dispositif serait adopté à l’issue du débat au Parlement, la CNIL émet des recommandations portant sur l’architecture et la sécurisation de l’application. Elle souligne que “l’ensemble de ces précautions et garanties est de nature à favoriser la confiance du public dans ce dispositif, qui constitue un facteur déterminant de sa réussite et de son utilité.”
Enfin, la Commission estime opportun que le recours à un dispositif volontaire de suivi de contact pour gérer la crise sanitaire actuelle dispose d’un fondement juridique explicite dans le droit national. La Cnil prévient : elle restera “particulièrement attentive aux suites de ce projet ainsi qu’aux conditions de mise en œuvre effectives du dispositif.“
Le gouvernement présente mardi à l’Assemblée nationale sa stratégie de
déconfinement, dont cette application fait partie.
