11012020Headline:

Traçage numérique du Covid-19, le projet qui fait polémique

Le recours aux technologies numériques dans la lutte contre la pandémie de Covid-19 s’est imposé à travers le monde. Y compris en France. Alors que des organismes de recherche comme l’Inserm travaillent déjà sur des données anonymisées de mobilité pour mieux comprendre la propagation du virus, la possibilité de suivre individuellement les malades est désormais étudiée par le gouvernement. Il s’agit du projet Stop Covid, portant sur une application mobile qui enregistre l’identifiant des personnes croisées par son utilisateur – sous réserve qu’elles possèdent elles aussi l’application – afin de les alerter si celui-ci est dépisté positif au virus.

Piloté par l’Inria en France, ce projet est rattaché à un programme de recherche européen mobilisant 130 chercheurs.

L’objectif : que toute personne exposée à un porteur du virus en soit informée, pour ensuite se faire dépister et/ou se confiner. Le projet n’est pas sans critiques. La France se dirige-t-elle vers des dérives sécuritaires telles que celles observées dans d’autres pays ? Certaines villes de Chine ont soumis le droit d’emprunter les transports publics à l’utilisation de l’application Alipay Health Code, développée par Alibaba, qui génère un QR code de couleur (vert, orange ou rouge) pour demander à l’utilisateur un éventuel confinement en se fondant sur sa fréquentation de zones considérées à risque. À Taïwan, l’application mobile des autorités sert à vérifier le respect des mesures de confinement.

En présentant son projet, l’exécutif français s’est lancé dans un périlleux exercice de déminage pour faire comprendre la finalité de l’application : ne pas surveiller les malades ni les déplacements des Français, seulement enregistrer les interactions sociales pour remonter les chaînes de transmission du virus.

“Personne ne pourra retracer qui a été infecté ni qui a infecté qui”, a martelé Cédric O, le secrétaire d’État chargé du Numérique, sur France Inter. Il a assuré que cette “application de protection individuelle” ne sera déployée que si sa conformité avec les réglementations européennes en matière de protection de la vie privée est garantie. Et uniquement si le gouvernement et les épidémiologistes la jugent utile pour lutter contre la pandémie.

Sur le premier point, la présidente de la Cnil, Marie-Laure Denis, a rappelé devant les députés les prérequis impliqués par les textes européens – directive e-privacy et règlement général de protection des données (RGPD) – : “Si un suivi individualisé des personnes était mis en œuvre, il faudrait d’abord, à droit constant, qu’il repose sur le volontariat, avec un consentement réellement libre et éclairé. Refuser l’application ne devrait avoir aucune conséquence préjudiciable.”

Bluetooth et données cryptées

Des garde-fous dans le déploiement sont assurés : l’application ne sera utilisée que sur la base du volontariat et le temps de l’épidémie du Covid-19. Les autres relèvent de choix techniques. Trop intrusive, la géolocalisation a été écartée au profit du Bluetooth. Cette technologie sans fil permet d’enregistrer le contact – en l’occurrence un numéro d’identification attribué aléatoirement à chaque utilisateur – des personnes croisées à une certaine distance, évaluée en fonction de l’intensité du signal capté. Concernant le stockage des données, inévitable, Cédric O a précisé qu’il sera “le plus décentralisé possible, idéalement sur le téléphone”, et qu’il concernera “des données encryptées et anonymisées pour qui que ce soit, y compris pour le gouvernement”.

“L’outil tel qu’il est évoqué est fondé sur une approche “privacy by design”, la contrainte de respecter la protection des données personnelles étant intégrée dans le design de conception. Il ne permet pas de connaître l’identité de la personne infectée croisée ni de constituer une liste d’individus infectés”, estime Annie Blandin, professeur de droit à l’IMT Atlantique et membre du Conseil national du numérique, tout en rappelant que cet avis porte sur “une volonté affichée”, l’application n’existant pas encore.

Dans le débat autour du projet, une question est centrale : la proportionnalité, c’est-à-dire l’équilibre entre ses apports et ses risques. Si le volontariat minimise les risques pour les libertés publiques, ne compromet-il pas l’efficacité de l’outil ? L’application ne traçant que les interactions de ceux qui l’utilisent, son degré d’efficacité dépend de son taux d’utilisation. “On estime que 79 % des Français ont un smartphone, avec une forte fracture numérique qui fait que tous ne savent pas forcément bien utiliser une application, souligne Gilles Babinet, conseiller sur les enjeux numériques à l’Institut Montaigne. Mais même avec un taux d’utilisation de 20 ou 30 %, cet outil sauvera des vies.” À Singapour, source d’inspiration de l’Europe, l’application Trace Together lancée le 20 mars avait été téléchargée 1 million de fois au 1er avril.

Ce qui n’a pas empêché la ville-État de 5,7 millions d’habitants de prendre de nouvelles mesures, dont la fermeture des écoles et des lieux de travail, devant une remontée des cas de Covid-19. De quoi rappeler qu’il ne faut pas tomber dans le solutionnisme technologique. “Personne ne prétend que le numérique va résoudre à lui tout seul la crise, fait valoir Annie Blandin. Ici, son utilité est de faire mieux et plus vite ce que l’on fait déjà.” Le traçage des contacts pour remonter les chaînes de transmission d’un virus n’est pas nouveau, il est même banal pour la rougeole. Mais impossible à tenir dans le cas du Covid-19, compte tenu de sa virulence et de sa vitesse de propagation.

Comme le traçage manuel des interactions des malades, le numérique a un corollaire : connaître les personnes infectées. L’application n’aura aucune utilité sans une politique de dépistage massif. Estimant que son développement va prendre trois à six semaines, le gouvernement la veut prête quand sera venu le moment de discuter de son intérêt pour sortir du confinement. Un débat, a minima avec le Parlement, devrait être organisé. L’adhésion de la population comptera. “Inscrire ce projet dans une perspective de solidarité et d’entraide, de protection globale de la santé publique, peut être un levier de motivation”, estime Annie Blandin. Une telle application ne sera déployée avec efficacité que si elle apparaît comme un rouage d’une chaîne de mesures sanitaires pertinentes pour enrayer la pandémie.

Trois risques de cybersécurité
Une base de données centrale piratée. Quelle que soit l’architecture du service d’alerte retenue, il faut quasiment toujours un point central de collecte de données pour contacter les gens. La sensibilité et l’exposition aux cyberattaques seront moindres si le nombre d’informations dans cette base centrale est restreint.
Une application contenant des failles de sécurité. Vouloir aller trop vite pour lancer un service de traçage est risqué. Les équipes de développement n’auront certainement pas le temps de réaliser les deux mois de test nécessaires avant la mise en production : tests d’intrusion en profondeur, d’attaque en mode Red Team, où le pirate exploite tous les moyens possibles…
Des sites frauduleux copiant le site officiel. Le risque de voir d’un seul coup émerger de fausses applications de traçage numérique se faisant passer pour l’originale est réel. Ces applications n’auront qu’un objectif : voler le plus possible de données personnelles des personnes abusées.

20 Minutes

Comments

comments

What Next?

Recent Articles