Le gouvernement français annonce développer une application qui tracerait les contaminations au coronavirus. Son utilisation serait volontaire et son code transparent, assurent les autorités. Pourtant les activistes des libertés numériques s’inquiètent : de tels outils pourraient contribuer à une surveillance généralisée de la population.

Le gouvernement prépare une application de traçage des contaminations au virus du Covid-19. L’application s’appellerait « Stop Covid ». Son objectif, « limiter la diffusion du virus en identifiant des chaînes de transmission », explique Cédric O, secrétaire d’État chargé du Numérique [1]. De telles applications sont déjà en place en Corée du Sud, à Singapour, à Taïwan, en Israël… Elles n’ont pas toutes la même fonction.

En Israël, les autorités utilisent les données de localisation des téléphones portables pour identifier les malades potentiels. En Corée du Sud, les personnes en quarantaine doivent installer une application qui permet de vérifier qu’elles respectent bien leur isolement. À Singapour, une application peut être installée pour identifier les personnes qui ont pu être contaminées. En Pologne, une application sert à vérifier le respect de la quarantaine stricte pour les personnes revenant de l’étranger. Celle-ci utilise la géolocalisation et la reconnaissance faciale : il faut envoyer une photo de soi-même depuis son smartphone pour prouver qu’on est bien chez soi. Les multinationales du numérique Apple et Google ont annoncé le 10 avril travailler ensemble à développer une application de tracking des contaminations, qui serait proposée aux États.

Deux modèles d’applications coexistent, qui ont des buts différents. « Deux logiques sont en œuvre », précise l’Observatoire des libertés et du numérique, qui regroupe notamment la Ligue des droits de l’Homme, la Quadrature du net, le Syndicat de la magistrature. Certaines applications ont pour but de « géolocaliser les populations et vérifier qu’elles respectent le confinement », d’autres de « signaler aux personnes qu’elles ont pu être en contact avec des malades du Covid-19 ». Le deuxième type peut sembler de prime abord moins invasif pour la vie privée.

Peut-on faire confiance aux promesses du gouvernement concernant la « transparence » ?
C’est ce second modèle que le gouvernement dit vouloir expérimenter : une application pour identifier qui pourrait avoir été contaminé, en fonction des contacts éventuels. Il s’agit de « prévenir les personnes qui ont été en contact avec un malade testé positif, afin qu’elles se fassent tester elles-mêmes, et si besoin qu’elles soient prises en charge très tôt, ou bien qu’elles se confinent », explique Cédric O au Monde. La détection des personnes se ferait probablement par Bluetooth, sans avoir à enregistrer l’endroit où ce contact a eu lieu. Plus tard, si vous êtes malade, l’application permet d’informer ces personnes pour les inviter à se mettre en quarantaine.

Le secrétaire d’État au Numérique affirme que l’application « Stop Covid » serait téléchargeable uniquement par ceux qui le souhaitent. Personne ne serait obligé de l’utiliser. Autre aspect que le gouvernement met en avant : l’application se baserait sur le Bluetooth, qui permet l’échange de données à très courte distance, sans géolocalisation. « L’application ne géolocalisera pas les personnes », affirme bien Cédric O. C’est « l’historique des relations sociales » dans les jours précédents qui sera relevé. Autre promesse gouvernementale : le code informatique de l’application sera « public ». Ce qui veut dire que quiconque, capable de comprendre un code informatique, dont les associations de défense des libertés, pourra vérifier comment est fabriquée l’application.

Le principe d’une utilisation « volontaire » risque d’être vite oublié
Tout cela aurait de quoi rassurer. Mais ce n’est pas la première fois que ce gouvernement déploie des solutions numériques en promettant la transparence. Rappelons-nous le « Grand débat », et la plateforme en ligne choisie par gouvernement. Son code n’était pas ouvert, pas « auditable ». Le logiciel de la plateforme était basée sur un logiciel « propriétaire » – ce n’était pas un logiciel libre, le code en était fermé, personne d’autre n’y avait accès (voir notre article : Grand débat : pourquoi la plateforme de consultation en ligne est vivement critiquée pour son opacité).

Malgré les promesses, le projet d’application Stop Covid suscite des oppositions. « Le modèle décrit ci-dessus semble simple en théorie, nous ignorons encore tout de la façon dont il sera déployé. Derrière les promesses d’une application décentralisée et autonome, il faut toujours redouter les terribles habitudes de l’État en matière de centralisation et de surveillance », tempère Arthur Messaud, juriste à la Quadrature du net, association qui défend les droits et libertés de la population sur Internet. « La publication immédiate sous licence libre du code de l’application serait une garantie indispensable contre un tel dévoiement. »

Il est aussi à craindre, alerte la Quadrature, que le principe du volontariat soit vite oublié. Soit parce que l’État décidera de rendre l’application obligatoire pour des raisons sanitaires, soit parce que la pression à l’utiliser deviendra trop forte, de la part des employeurs par exemple. Ou bien si le droit de sortir du confinement en dépend… Même au sein de la majorité, le projet a des ennemis, comme le rapporte Mediapart [2].

Des conditions indispensables pour la protection de la vie privée
Le développement de l’application française fait partie d’un projet européen, le « Pan-European Privacy-Preserving Proximity Tracing » (PEPP-PT) [3]. L’intitulé de ce projet, qui associe 17 institutions dont, pour la France, l’Institut national de recherche en informatique et en automatique, insiste bien sur la « préservation de la vie privée ». L’objectif affiché est effectivement une application de traçage via Bluetooth sur la base du volontariat.

Plusieurs centres de recherches allemands font aussi partie du projet. Celui-ci ne suscite pas les mêmes oppositions en Allemagne, même de la part de figures de la défense des libertés numériques. Le mythique Chaos Computer Club (CCC), collectif de hackers et d’activistes du numérique qui existe depuis 30 ans, ne s’y oppose pas fondamentalement. « Il existe un certain nombre de suggestions pour la mise en œuvre technique de ce concept. Ces propositions vont de systèmes dystopiques de surveillance complète à des méthodes ciblées et totalement anonymes d’alerte des personnes potentiellement infectées sans connaissance de la personne concernée », écrit le CCC dans un texte du 6 avril, « Dix exigences pour l’évaluation des applications Corona de "recherche de contacts » [4].

« En principe, le concept de "Corona App" implique un risque énorme en raison des données de contacts et de santé qui peuvent être recueillies. En même temps, il y a une chance ici de mettre en œuvre les principes et les technologies de "privacy-by-design" qui ont été développés par la communauté de la cryptographie et de la protection de la vie privée au cours des dernières décennies », poursuit le collectif. Le terme « Privacy by design » inclut des technologies qui, dans leur conception même, respectent la vie privée, les données personnelles, et sont construites pour ne pas être invasives. « Grâce à ces technologies, il est possible d’exploiter le potentiel épidémiologique de la recherche des contacts sans créer de catastrophe en matière de protection de la vie privée. ». Le Chaos Computer Club liste donc dix points, des « pré-requis sociaux et technologiques », à respecter.

Parmi elles, il y a le volontariat – installer l’application ne doit pas être obligatoire. Et même s’il est nécessaire qu’un grand nombre de personnes utilisent l’application pour qu’elle présente un intérêt dans la lutte contre l’épidémie, « cette large diffusion ne doit pas être obtenue par la force, mais uniquement par la mise en place d’un système fiable et respectueux de la vie privée ». Les personnes qui refusent de l’utiliser ne doivent pas en subir de conséquences. La transparence du code est aussi un critère incontournable pour le CCC : le code doit être public, auditable, vérifiable.

« Le danger existe que les données soient utilisées par les autorités et la police »
Les données doivent aussi être anonymes. Seulement un minimum de données doit être stocké. L’application ne doit pas pouvoir établir des « profils » d’utilisateurs : quels déplacements vous effectuez, avec qui vous êtes régulièrement en contact, etc [5] Un dernier point : l’application ne doit être utilisée que si, vraiment, elle a un intérêt épidémiologique. « S’il s’avère que la "recherche des contacts" via l’application n’est pas utile ou ne remplit pas son objectif, l’expérience doit être interrompue. »

« Toute surveillance des personnes contaminées est un danger pour la vie privée et pour les libertés. Cela ne peut être acceptable que si elle est est proportionnée », ajoute Thilo Weichert, juriste, co-président de l’association allemande pour la protection des données. Il a été pendant plus de dix ans l’un des chargés de la protection des données – l’équivalent de notre Commission nationale informatique et libertés (Cnil) – les plus engagés du pays. « Le danger existe que les données soient utilisées par les autorités et la police. Il faut que cela soit absolument exclu. »

Sa crainte est fondée. Partout en Allemagne, les autorités sanitaires locales suivent les personnes contaminées placées en quarantaine et pratiquent un tracking « analogique » des contaminations, en interrogeant les personnes infectées sur leurs contacts. Dans plusieurs régions, les autorités de santé ont transmis à la police des listes de noms et adresses de personnes infectées [6]. En Basse-Saxe, les noms des personnes avec qui les contaminés ont été en contact, et qui se trouvent donc en quarantaine, ont aussi été fournis aux forces de l’ordre [7].

La nécessité d’un « débat démocratique et public sur les mesures de surveillance »
En France, la mise en place d’une application de pistage des personnes infectées a aussi de quoi inquiéter, à un moment où le confinement donne de très larges pouvoirs à la police. Depuis le 18 mars, les forces de l’ordre ont procédé à plus de 8 millions de contrôle et près de 500 000 verbalisations. Des abus, discriminations et brutalités sont régulièrement signalés (voir notre article Contrôles arbitraires et violences policières : la répression en temps de confinement). Y a-t-il un risque que de telles applications conduisent à rendre la surveillance généralisée plus acceptable par la population ? « Bien sûr, répond le militant de la protection de la vie privée Thilo Weichert. C’est pour cela qu’il faut que ces applications soient contrôlées par une autorité indépendante et qu’un débat démocratique et public sur les mesures de surveillance ait lieu au plus vite. »

Évidemment, le temps de l’urgence sanitaire n’est pas le meilleur moment pour un tel débat, quand la plupart des mesures sont adoptées par décret ou en procédure accélérée. Et voilà que les grandes firmes du numérique qui font depuis des années des profits en commercialisant les données de leurs utilisateurs annoncent vouloir développer elles aussi des applications de tracking des contaminations. Apple et Google ont assuré que leur outil respecterait la vie privée. Comment les croire après les scandales à répétition sur leurs pratiques, dont, dernier en date, les révélations sur leurs assistants vocaux : Siri, pour Apple, et l’assistant vocal de Google ont enregistré les conversations des utilisateurs. Conversations que des employés des deux firmes écoutaient. Les deux multinationales l’ont reconnu [8].

Une large coalition d’organisations internationales de défense des droits humains, dont Amnesty international, Human Right Watch ou La Quadrature du net, ont posé huit conditions, qui reprennent l’ensemble de ces craintes, à « une surveillance numérique accrue » de la part des États pour combattre la pandémie. « La technologie peut et doit jouer un rôle important durant cette mobilisation pour sauver des vies (...). Toutefois, le renforcement du pouvoir des États en matière de surveillance numérique, comme le fait d’obtenir l’accès aux données de localisations des téléphones portables, menace la vie privée, la liberté d’expression et la liberté d’association, ce qui pourrait bafouer les droits et saper la confiance dans les pouvoirs publics – compromettant ainsi l’efficacité de toute réponse de santé publique. De telles mesures comportent également un risque de discrimination et sont susceptibles de porter préjudice de manière disproportionnée à des populations déjà marginalisées », préviennent-elles, dans une déclaration commune le 3 avril.

Rachel Knaebel

Une application déjà utilisée en Allemagne pour connaitre le niveau de propagation du virus
En Allemagne, l’Institut Robert-Koch, qui coordonne avec les autorités la lutte contre le virus du Covid, a de son côté déjà développé une application pour récolter des données sur la propagation du virus. Les personnes qui utilisent des montres ou des bracelets connectés de fitness peuvent la télécharger. Elles transmettent ainsi des données sur leurs pulsations cardiaques. De cela peut être déduit une fièvre, donc une contamination. L’application ne prévient pas les utilisateurs qu’ils sont peut-être infectés, elle vise juste à suivre la circulation du virus sur le territoire.
Lire aussi :
Mastodon, Diaspora, PeerTube... : des alternatives « libres » face aux géants du Net et à leur monde orwellien
Face à Google, Facebook et aux géants de la Silicon Valley : la révolte qui vient ?
Notes
[1] Voir l’entretien au Monde ici.

[2] Mediapart, « "Tracking" : des figures de la majorité rejoignent les gauches pour s’opposer au gouvernement », voir l’article ici.

[3] Voir le site du projet.

[4] Voir ici, en anglais.

[5] « Le système doit être conçu de manière à ce que les profils de mouvement (localisation) ou les profils de contact (modèles de contacts fréquents pouvant être attribués à des personnes spécifiques) ne puissent pas être établis intentionnellement ou non », précise le Chaos Computer Club.

[6] Voir cet article sur le magazine en ligne Netzpolitik.

[7] Voir le communiqué de l’autorité régionale de protection des données.

[8] Voir entre autres ces articles de France Inter, des Échos, et de Mediapart.