COVID-19 : applications de contact tracing, nouveau périmètre conversationnel

La version originale de cet article a été publiée dans la lettre trimestrielle de la chaire Valeurs et politiques des informations personnelles (N° 18, septembre 2020).

Le 11 mars 2020, l’Organisation mondiale de la santé déclarait officiellement notre planète en situation de pandémie en raison de la propagation du Covid-19. D’abord signalé en Chine, puis en Iran et en Italie, le virus s’est propagé de façon critique aussi rapidement qu’il lui en était donné la possibilité. En deux semaines, le nombre de cas en dehors de la Chine a été multiplié par treize et le nombre de pays touchés a triplé[1].

Toutes les nations, tous les États, toutes les administrations, toutes les institutions, tous les scientifiques, tous les politiques, toutes les initiatives et bonnes volontés privées comme publiques, ont été appelées à réfléchir et travailler conjointement afin de lutter contre ce nouveau fléau.

De la fabrication de masques et respirateurs jusqu’à la mise en commun de ressources et d’énergies pour trouver un vaccin, toutes les composantes de la société sont venues s’impliquer dans cette transformation de notre quotidien désormais régi par un virus hautement létal à grande échelle. La structure même de notre mode de fonctionnement en société a été adaptée dans le cadre d’un confinement inédit.

Parmi les éléments d’aide au combat collectif, le numérique a lui aussi été sollicité.

La Corée du Sud, Singapour et la Chine annoncent la mise en place d’applications mobiles de contact tracing pour appuyer leur politique sanitaire, dès le mois de mars 2020[2].

Toujours en mars, en Europe, c’est la Suisse, avec l’Université de l’EPFL à Lausanne et l’Université de l’ETH à Zurich, qui la première indique travailler à la mise en place de l’application « SwissCovid », projet pilote d’application de contact tracing finalement implémentée le 25 juin. SwissCovid est conçue pour avertir les utilisateurs ayant été en contact prolongé avec une personne diagnostiquée positive au virus, afin de contrôler la propagation de la maladie. Tout ceci étant, selon les termes employés par ses promoteurs, « basé sur une inscription volontaire et sous réserve du feu vert du Parlement suisse. »  Son autre particularité notable est d’être « basée sur une approche décentralisée et de faire appel aux API de Google et d’Apple ».

La France, qui dans un premier temps annonce par l’intermédiaire de son ministre de l’Intérieur que ce type de brique technologique « n’est pas dans sa culture », change sa politique et décide de créer un groupe de travail pour la mise en place d’une application de même nature baptisée « StopCovid ».

Ce sont au total pas moins de trente-trois applications de contact tracing qui ont vu le jour de par le monde[3]. Avec un succès plus que relatif.

De nombreuses voix, en France, en Europe et au-delà, se sont néanmoins élevées contre la mise en place de tels systèmes pouvant porter gravement atteinte aux droits et libertés fondamentaux, notamment au respect de la vie privée des individus et à leur liberté de déplacement. D’autres voix encore se sont inquiétées d’une possible mainmise sur de telles données personnelles par les GAFAM ou par certains États peu regardants quant au respect des valeurs démocratiques.

La sécurisation de telles applications a elle-même largement été débattue et contestée, en particulier le risque de devoir faire face, dans l’empressement, à un virus numérique, en plus d’avoir à lutter contre un virus biologique.

La présidente de la CNIL, Madame Marie-Laure Denis, s’est faite l’écho des principaux points de vigilance pour limiter le potentiel intrusif de tels dispositifs.

• D’abord, dans un avis rendu le 24 avril 2020 portant sur le principe même du déploiement d’une telle application, et compte tenu du contexte exceptionnel de gestion de la crise sanitaire, la CNIL a considéré possible la mise en œuvre de StopCovid. La Commission a cependant émis deux réserves : que l’application soit utile à la stratégie de déconfinement et qu’elle soit conçue de façon à protéger la vie privée des utilisateurs[4].
• Ensuite, dans un avis du 25 mai 2020, rendu en urgence, sur un projet de décret relatif à l’application mobile StopCovid[5], la CNIL a estimé que l’application « peut être légalement déployée dès lors qu’elle apparaît être un instrument complémentaire du dispositif d’enquêtes sanitaires manuelles et qu’elle permet des alertes plus rapides en cas de contact avec une personne contaminée, y compris pour des contacts inconnus ». Néanmoins, elle a estimé que « l’utilité réelle du dispositif devra être plus précisément étudiée après son lancement. La durée de mise en œuvre du dispositif devra être conditionnée aux résultats de cette évaluation régulière ».

D’un autre côté, d’autres voix se sont exprimées pour souligner la contribution du numérique, afin de restreindre la propagation du virus.

Non, aucune application au monde ne guérit ou n’arrête le Covid. Cela relève du ressort unique de la médecine et d’un éventuel vaccin. Néanmoins, oui, le numérique participe lui aussi à la politique sanitaire par bien des aspects, et il semble parfaitement cohérent que la mise en place d’applications de contact tracing soit venue sur le devant de la scène.

Ce qui nous intéresse ici, et que nous souhaitons porter à votre attention, ne sont pas tant les arguments en faveur ou non des choix de design des différentes applications (centralisée ou décentralisée, souveraine ou non), ou contre leur existence même (dans chaque cas avec des éléments discutables comme fondés), mais bien le périmètre conversationnel qui a accompagné tous les débats autour de leur mise en place.

Si nos progrès technologiques sont impressionnants en termes de réalisations scientifiques, d’ingénierie, c’est bien notre capacité à comprendre collectivement les interactions entre le progrès numérique et notre monde, qui a toujours posé question au sein de la Chaire Valeurs et Politiques des Informations Personnelles.

C’est même l’objet de son existence, et de nos questionnements, avec vous.

À travers l’urgence d’actions à tous les niveaux pour endiguer la pandémie, la gérer et souhaitons-le, la résorber, le cas des applications de contact tracing nous amène à constater que les débats autour du numérique ont peut-être ici enfin évolué de façon tangible vers une réflexion collective plus raisonnée, plus démocratique et plus respectueuse d’autrui.

En Europe, mais aussi dans certains pays du globe, des éléments tels que la protection des données personnelles, le respect de la vie privée, les technologies à mobiliser, les types de données collectées et leur anonymisation, la sécurité des applications, leur transparence, la mise à disposition de leurs codes sources, leur coût d’exploitation, la centralisation ou non des données, le rapport aux monopoles privés ou d’État, la nécessité dans des cas dûment justifiés du traçage numérique des populations, l’indépendance à l’égard des GAFAM[6] et des États-Unis[7] (ou autre État tiers)… tout ceci fait désormais partie de notre socle commun conversationnel.

En cela, au regard d’une temporalité somme toute récente et dans notre rapport au progrès technologique, qui n’est plus ni un ange ni un démon, ni même la chose fantasmée d’un imaginaire abscons pour beaucoup, nous avons évolué. Le numérique nous appartient en propre, nous l’avons collectivement fait nôtre au-delà d’un techno-solutionnisme béat ou d’une technophobie irrationnelle.

Si vous n’êtes pas tant familier de ce sujet précis, nous vous invitons à (re)lire le fil Twitter de la Chaire depuis le début de la pandémie, qui a justement pris soin de relever tous les éléments de ce périmètre conversationnel autour des applications de contact tracing.

Non pas pour la somme de ces éléments, ni même pour la tonalité de certains propos, certains écrits, hauts en couleurs et théâtralité, mais pour quelque chose qui nous semble nouveau : sa qualité, sa richesse et son inscription dans un vrai débat collectif, pensé et structurant.

Il était temps.

Ce 26 août 2020, le Premier ministre français Jean Castex déclarait : « StopCovid n’a pas obtenu les résultats que l’on en espérait, peut-être, je veux bien en convenir, par défaut de communication. En même temps, nous savions par avance que tester grandeur nature, pour la première fois, un tel outil dans le cadre de cette épidémie serait particulièrement difficile »[8]. En effet le rapport résultat/coût/investissement humain et financier de StopCovid (ou d’autres applications de même type dans d’autres pays) ne plaide pas en sa faveur[9].

En exergue, la CNIL ce 14 septembre 2020 a rendu public son avis trimestriel. Si les dispositifs mis en place (fichiers SI-DEP et Contact Covid, application Stopcovid) sont, pour l’essentiel, respectueux des données personnelles, la Commission a constaté certaines mauvaises pratiques. Elle s’est rapprochée des organismes afin qu’ils se mettent en conformité dans les meilleurs délais.

En tout état de cause, le résultat probant, que l’on peut constater factuellement, est que notre niveau de discussion collectif, notre périmètre conversationnel dans notre rapport au numérique, a visiblement fait un progrès remarquable. Nous (nous) posons les bonnes questions. Et nous posons les termes ensemble de nos objectifs, de ce que nous pouvons nous permettre, et de que nous ne pouvons certainement pas nous permettre.

Que cela soit sur le plan éthique, juridique ou technique.

Donc politique.

Claire Levallois-Barth et Ivan Meseguer
Co-fondateurs de la chaire Valeurs et politiques des informations personnelles