9 AVRIL 2020 PAR JÉRÔME HOURDEAUX

Après avoir rejeté les solutions de surveillance électronique, le gouvernement vient de céder aux multiples pressions en annonçant le développement d’une application de « backtracking ». La solution technique retenue semble pour l’instant être la moins liberticide. Mais, pour être efficace, une majorité de Français devraient l’adopter.

Après avoir tergiversé durant plusieurs semaines sur l’opportunité de mettre en place une surveillance numérique des Français pour lutter contre l’épidémie de Covid-19, le gouvernement franchit le pas en annonçant le développement d’une application de traçage reposant, a priori, sur le dispositif le moins liberticide parmi ceux envisagés.

L’installation de l’application « StopCovid », le nom qui lui est donné pour le moment, se fera sur la base du volontariat et pourra être désinstallée « à tout moment », a assuré mercredi 8 avril le secrétaire d’État au numérique Cédric O dans une interview accordée au Monde, avec le ministre de la santé Olivier Véran.

Les données collectées par l’application seront « anonymes et effacées au bout d’une période donnée. Personne n’aura accès à la liste des personnes contaminées, et il sera impossible de savoir qui a contaminé qui. Le code informatique sera public, “auditable” par n’importe qui ».

Le gouvernement a opté pour une solution de « backtracking », « retour sur trace » en français, un ensemble de technologies permettant de retracer le parcours ou les contacts d’une personne infectée afin « d’identifier des chaînes de contamination ». En l’espèce, la géolocalisation des téléphones portables via le GPS, une des solutions possibles, a été écartée. « L’application ne géolocalisera pas les personnes, insiste dans Le Monde Cédric O. Ce n’est pas une application qui trace vos déplacements, c’est une application qui permet d’indiquer aux personnes que vous avez croisées pendant un temps long qu’elles ont, éventuellement, rencontré un cas positif au SARS-CoV-2 ».

À la place, l’application StopCovid utilisera la technologie Bluetooth des appareils, que les utilisateurs devront donc activer. Celle-ci permet à deux appareils situés à proximité de communiquer et d’échanger un identifiant. « Lorsque deux personnes se croisent pendant une certaine durée, et à une distance rapprochée, le téléphone portable de l’un enregistre les références de l’autre dans son historique », détaille Cédric O.

Si un utilisateur se sait contaminé, il pourra le signaler via l’application qui communiquera l’information aux appareils également équipés de l’application qu’il aura croisés. « L’application vous informera simplement que vous avez été dans les jours précédents en contact avec quelqu’un identifié positif au SARS-CoV-2 », détaille Cédric O.

Le développement de StopCovid n’en est pour l’instant qu’à l’état de projet et le secrétaire d’État au numérique précise qu’il ne veut « fermer aucune porte ». Le gouvernement a confié à l’Institut national de recherche en informatique et en automatique (Inria) le pilotage d’une « task force française composée de chercheurs et développeurs du public et du privé ». Celle-ci collabore par ailleurs à « un projet européen mené à la fois par l’Allemagne, la France et la Suisse ».

« La task force est au travail depuis plusieurs jours pour développer un prototype, mais je ne peux pas vous dire s’il nous faudra trois ou six semaines pour le développer, prévient Cédric O. Nous ne sommes pas certains de réussir à franchir toutes les barrières technologiques, car le Bluetooth n’a pas été prévu pour mesurer des distances entre les personnes. Nous ne déciderons que plus tard de l’opportunité de déployer ou non une telle application. »

Même si de nombreuses questions, notamment techniques, restent en suspens, cette annonce clarifie les intentions de l’exécutif en matière de surveillance numérique de l’épidémie, un sujet faisant l’objet d’intenses débats depuis plusieurs semaines, y compris dans les rangs de la majorité.

Dans un premier temps, le gouvernement avait exclu d’avoir recours à des mesures de pistage des Français. Mais, sous la pression, sa position avait évolué ces derniers jours. Le 24 mars, la présidence de la République avait annoncé la mise en place d’un Comité analyse recherche et expertise (CARE) chargé, notamment, « de conseiller le gouvernement pour ce qui concerne les programmes et la doctrine relatifs aux traitements, aux tests et aux pratiques de “backtracking” qui permettent d’identifier les personnes en contact avec celles infectées par le virus du Covid-19 ».

Le vendredi 3 avril, le site Acteurs publics avait révélé le lancement par le gouvernement d’une mission informelle chargée de réfléchir aux questions de tracking. Celle-ci est dirigée par Aymeril Hoang, ancien directeur de cabinet du secrétaire d’État au numérique sous François Hollande Mounir Mahjoubi, et ancien directeur de l’innovation de la Société générale. Le même jour, il a par ailleurs officiellement rejoint le comité scientifique chargé du suivi de l’épidémie en tant qu’« expert en numérique ».

Le caractère plus ou moins liberticide de la solution qui sera finalement retenue dépendra des caractéristiques techniques de l’application, et notamment de la question du stockage des données. Comment seront-elles protégées ? Seront-elles stockées dans un fichier centralisé ? Si oui par qui ? Ou de manière décentralisée ?

Mais en excluant a priori le GPS et en affirmant que « seul le Bluetooth est envisagé », le gouvernement se place d’emblée dans la lignée de solutions technologiques considérées comme moins intrusives et dont l’exemple le plus cité est celui de Singapour. Les autorités ont en effet mis en place une application baptisée TraceTogether fonctionnant sur le principe décrit par Cédric O. Les données y sont en outre stockées de manière chiffrée dans l’appareil de l’utilisateur et automatiquement détruites au bout de 21 jours. Le modèle singapourien a depuis essaimé un peu partout dans le monde et sert de base de travail à plusieurs centres de recherche, notamment au MIT.

De plus, le projet européen dans lequel s’inscrit le travail de la task force française n’est autre que le Pan-European Privacy-Preserving Promimity Tracing (PEPP-PT) qui travaille sur une solution la plus respectueuse possible des données privées, prévoyant notamment un stockage des données de manière chiffrée dans les téléphones.

Les annonces de Cédric O et d’Olivier Véran correspondent également à une étude largement diffusée, à l’Assemblée et dans les médias, par le député de Paris Mounir Mahjoubi à la veille de la publication de leur entretien par Le Monde. L’ancien secrétaire d’État au numérique y comparait les différentes technologies de « traçage des données mobiles dans la lutte contre Covid-19 ». Trois types d’usage y étaient étudiés et comparés.

Le premier consiste en « l’observation des pratiques collectives de mobilité et de confinement ». Il repose sur l’usage d’un grand nombre de données, généralement fournies par les opérateurs téléphoniques, agrégées et anonymisées. Ce type de solution est déjà utilisée depuis plusieurs années, notamment par Orange qui propose des cartographies des déplacements de ses usagers via son service Flux vision. L’opérateur travaille déjà en partenariat avec l’Inserm ou encore l’Insee pour évaluer les mouvements de population dans une étude publiée mercredi 8 avril.

Le deuxième repose sur « l’indentification des sujets “contact” », la solution pour l’instant retenue par le gouvernement. Dans ce cas, deux technologies sont envisageables. D’un côté, il y a la géolocalisation via le GPS du téléphone, et de l’autre l’utilisation du Bluetooth.

Enfin, certains pays utilisent les outils numériques dans un but de « contrôle de confinements individuels ». Dans ces cas, soit le téléphone fait office de mouchard électronique, via la géolocalisation, l’envoi de messages obligatoires ou des appels récurrents, soit un bracelet électronique équipé d’un dispositif GPS est imposé aux citoyens placés en quarantaine.

« Un palliatif visant à masquer les vrais problèmes »
Le même jour que la publication de l’étude de Mounir Mahjoubi, le Comité consultatif national d’éthique (CCNE) a publié le premier bulletin de veille de son « comité national pilote d’éthique du numérique », mis en place à l’occasion de l’épidémie. Celui-ci appelait, entre autres, à « veiller à recueillir et traiter le minimum de données nécessaires au regard des finalités poursuivies et à privilégier les mesures les moins intrusives et les plus respectueuses des libertés individuelles (stockage en local, anonymisation, accès contrôlé aux données, définition des parties intervenant dans la collecte et le traitement des données, etc.) ».

Les premières pistes avancées par le gouvernement respectent également, à première vue, les recommandations que la Commission nationale de l’informatique et des libertés (Cnil) avait transmises en exclusivité à Mediapart le 25 mars dernier. « Pour limiter l’impact sur les personnes », la Cnil demandait à l’État « de privilégier le traitement de données anonymisées et non de données individuelles, lorsque cela permet de satisfaire l’objectif ». Dans les cas où un suivi individuel serait nécessaire, « ce suivi devrait reposer sur une démarche volontaire de la personne concernée » sur le modèle des « applications de contact tracing existantes », ajoutait la Cnil.

Même si le projet du gouvernement semble avoir pris en compte ces précautions, plusieurs problématiques demeurent, à commencer par celle de son efficacité qui repose sur la base du volontariat. Comme le rappelle à plusieurs reprises Mounir Mahjoubi dans sa note, une étude publiée dans la revue Science le 31 mars estime en effet qu’une telle application n’est efficace que si « 60 % de la proportion de la population l’utilise et qu’une campagne de dépistage y [est] associée ».

Outre le manque évident de tests disponibles pour vérifier que les utilisateurs de l’application sont bien infectés, on peut se demander de quelle manière les autorités pousseront les Français à télécharger l’application et à activer leur Bluetooth. « Il s’agit là d’un seuil élevé et les autorités pourraient être ainsi être tentées de recourir à des mesures coercitives pour motiver l’installation, comme une obligation d’usage, soulignait Mounir Mahjoubi dans sa note. Cette obligation d’usage pourrait être rendue possible par l’intermédiaire des opérateurs mobiles ou des fournisseurs de systèmes d’exploitation des téléphones. »

Ces critiques ont été relayées par une tribune également publiée mercredi 8 avril par Le Figaro et signée par une quinzaine de députés de la majorité dénonçant le risque d’un « pistage massif » des Français. « Dernièrement, alors que le gouvernement par la voix de son premier ministre l’avait exclu, l’utilisation des données numériques personnelles pour tracer les malades du Covid-19 – via une application sur notre téléphone – est fortement envisagée. Nous n’y sommes pas favorables pour plusieurs raisons », écrivaient les signataires parmi lesquels on trouve dix députés LREM, les démissionnaires Paula Forteza, Matthieu Orphelin et Jennifer de Temmerman.

Les élus s’inquiètent tout d’abord de la solution technique envisagée par Cédric O et Olivier Véran, reposant sur la technologie Bluetooth. Celle-ci, estiment les députés, « n’est pas encore suffisamment précise et des “faux négatifs” risquent de tromper les utilisateurs, qui auront eux l’impression d’être protégés ». De plus, « pour que cette application récupère la quantité de données suffisantes à son bon fonctionnement, il faudrait qu’au moins 60 % de la population la télécharge ».

« La seconde objection est d’ordre éthique, poursuivaient les signataires. Poser les bases techniques et juridiques d’un traçage numérique et individuel de la population constitue un changement de paradigme majeur par rapport à nos usages numériques. Cette décision ne doit pas être prise en temps de crise, sous l’urgence, sans consultation publique ni débat parlementaire. »

La question de l’acceptation par la population de dispositifs de traçage de la population faisait également partie des inquiétudes de Félix Treguer, sociologue et membre de l’association de défense des libertés numériques La Quadrature du Net. « Il y a un buzz et une appétence pour aller vers ces approches technologiques qui ne sont pourtant qu’expérimentales sans que l’on se pose même la question de leur efficience », expliquait-il à Mediapart le 25 mars.

« Cette période est l’occasion d’une grande campagne de marketing pour l’appareil techno-sécuritaire qui en profite pour faire des démonstrations de ses produits. Je pense notamment à l’usage de drones mis en scène par la préfecture de police à Paris ou à certaines start-up qui promettent de détecter les gens malades. Nous sommes dans une fuite en avant techno-sécuritaire. On peut se demander si ce solutionnisme technologique n’est pas un palliatif visant à masquer les vrais problèmes, à savoir le manque de moyens et de personnel et d’une manière générale la casse de l’hôpital public. »

Félix Tréguer s’inquiétait également des conséquences à long terme qu’aurait la mise en place de dispositifs de surveillance. « Nous sommes dans un processus de sécurisation de cette crise qui a débuté par l’anaphore du président de la République lors de son intervention télévisée, “nous sommes en guerre”, et qui se poursuivait encore aujourd’hui avec le ministre de l’agriculture qui a appelé les Français à “rejoindre la grande armée de l’agriculture française”. On peut donc s’attendre à d’autres mesures d’exception. Le problème est que l’expérience montre que ce genre de période, ça laisse des traces dans les esprits et dans le droit. Il y a un risque de banalisation de certaines techniques de surveillance qui font aujourd’hui encore débat et de pérennisation de certaines mesures. »

Ces inquiétudes ont été réitérées dans un communiqué publié le mercredi 8 avril par l’Observatoire des libertés et du numérique (OLN), un collectif d’associations regroupant la Quadrature du Net, la Ligue des droits de l’homme, le syndicat de la magistrature, le Cecil, le Creis-Terminal et Globenet. « Les utilisations envisagées de nos données personnelles (applications utilisant le Bluetooth pour le suivi des contacts) ou déjà mises en œuvre (géolocalisation) constituent une grave atteinte à nos libertés et ne sauraient être autorisées, ni utilisées sans notre consentement », écrit l’OLN dans son communiqué.

« Pour que des données aussi sensibles puissent être utilisées légalement, nous devrions être informés du moment où ces données sont anonymisées, notre consentement devrait nous être demandé, des informations faciles à lire et à comprendre devraient nous être fournies pour permettre un consentement libre, spécifique et éclairé, poursuit le collectif. Des garanties devraient également être fournies sur les techniques utilisées pour rendre impossible leur réidentification. »

Le collectif souligne également que le risque d’une « pression patronale ou sociale qui pourrait exister avec une telle application, éventuellement imposée pour continuer de travailler ou pour accéder à certains lieux publics. Ou que l’activation de ce moyen de connexion présente un risque de piratage du téléphone ».

Enfin, l’ONL souligne que « l’atteinte au secret médical, à la confidentialité des données de santé, est aussi mise en cause, car ces applications offrent une possibilité d’identifier les malades et de les stigmatiser. Et qu’en sera-t-il de toutes les personnes qui n’auront pas installé l’application, seront-elles soupçonnées d’avoir voulu cacher des informations ? »

« En matière de lutte contre la pandémie et notamment de fin de confinement, il semble que le gouvernement tente de masquer ses manques et ses erreurs avec des outils technologiques présentés comme des solutions miracles, conclut le collectif. Et alors que leur efficacité n’a pas été démontrée, les dangers pour nos libertés sont eux bien réels. »