Confinement: le gouvernement a-t-il le droit de récolter les données de nos smartphones?

En cet état d’urgence sanitaire, l'exécutif entend faire des données télécom, dont celles de géolocalisation, une ressource pour lutter contre l'épidémie. Non sans se heurter à plusieurs limites juridiques.

C’est une petite musique qui commence à monter. Pour mieux endiguer l’épidémie de coronavirus, le gouvernement lorgne sur les données télécom des Français. Les surveiller, et mieux les analyser, pourrait en théorie servir deux causes: mieux suivre la propagation de l’épidémie, en analysant les mouvements de population et donc les contaminations potentielles, et s’appuyer sur la localisation des smartphones pour faire respecter les obligations de confinement.

Une stratégie numérique d'identification

Pour l'heure, aucune décision concrète n'a été prise en ce sens. L'exécutif en est plutôt au stade des démentis. Le secrétaire d'Etat chargé du Numérique, Cédric O, a ainsi avancé ce 24 mars qu'aucune application pour smartphone visant à suivre les mouvements des Français n'était prévue.

Sollicitée par l'AFP, Frédérique Vidal a réfuté tout projet d'utilisation du numérique pour s'assurer du bon respect des obligations de confinement. "On n'en est pas à ce stade-là", a tranché la ministre de la recherche et de l'enseignement supérieur, lors de la présentation d'un comité tout juste créé: le Care. 

Ce même Care, un comité de chercheurs et de médecins, a justement et depuis ce 24 mars pour mission de conseiller l'exécutif. L'une de ses tâches spécifiques: déployer une "stratégie numérique d’identification des personnes ayant été au contact de personnes infectées", a fait savoir la présidence.

Le cadre juridique actuel est-il adapté à de tels dispositifs? "C’est la grande question du moment!", estime Thibault Douville, docteur et agrégé de droit privé, et professeur à l'Université de Caen. "L'accès aux métadonnées de télécommunication est loin d'être évident: il obéit à un régime strict, de conservation et de mise à disposition par les opérateurs. Mais le gouvernement pourrait parfaitement introduire une exception à la loi pour la confiance dans l’économie numérique et au code des postes et des communications électroniques, pour permettre un traitement approfondi des métadonnées en cas de crise sanitaire", juge-t-il.

Les données anonymisées en première ligne

Pour aider les chercheurs de l'Inserm à modéliser la propagation de l'épidémie, Orange est dans l'attente d'aménagements réglementaires et d'un accord de la Cnil. Les données transmises seront anonymisées, faisait savoir le PDG de l'entreprise auprès du Figaro. Hors de question, ainsi, de pister les citoyens au cas par cas. "Un traitement de ces données sur une courte durée, dans une finalité de santé publique impérieuse ne serait pas forcément contraire au droit à la protection des données et au droit à la vie privée. Tout dépendrait des contours du traitement. Et en la matière, un suivi permanent de toute la population serait très certainement disproportionné", estime Thibault Douville, en rappelant que l'utilisation de données anonymisées à des fins statistiques est prévu par le RGPD.

L'affaire se complexifie dès lors que l'on entre dans la "stratégie numérique d'identification des personnes" évoquée par le gouvernement. "Concrètement, il s'agira d'identifier les personnes porteuses du Covid-19, pour éventuellement assurer leur suivi". Une stratégie bien plus intrusive. 

"Un encadrement très strict de ces mesures serait nécessaire", souligne Thibault Douville. "À mon sens, aucune généralisation ne serait envisageable à l'ensemble de la population. En revanche, un suivi ponctuel des personnes atteintes pendant la période de 14 jours pourrait être envisagé."

Exception en cas d'épidémie

Autre recours possible, cette fois-ci avancé par la Commission nationale de l'informatique et des libertés (Cnil) dans un avis rendu sur le RGPD: la possibilité d'autoriser des expérimentations sur les données personnelles d'une durée limitée, dans ce qui s'apparente à un état d'urgence sanitaire, rappelle le député LREM Jean-Michel Mis auprès de BFM Tech.

"Certains types de traitement peuvent être justifiés à la fois par des motifs importants d'intérêt public et par les intérêts vitaux de la personne concernée, par exemple lorsque le traitement est nécessaire à des fins humanitaires, y compris pour suivre des épidémies et leur propagation, ou dans les cas d'urgence humanitaire, notamment les situations de catastrophe naturelle et d'origine humaine", peut-on ainsi lire dans ce texte.

L'état d'urgence sanitaire actuel semble légitimer une telle collecte de données personnelles, à des fins de lutte contre une épidémie qui vient non seulement peser sur la santé des Français mais aussi sur l'économie du pays. Une fois la crise passée, sera-t-il possible de faire machine arrière? "L'après-crise doit être anticipé dès maintenant", avance Thibault Douville. "Il faudra notamment prévoir des dispositions concernant le temps de conservation des données traitées ou encore leur effacement... en somme, des garanties pour contre-balancer l'atteinte à nos vies privées."

https://twitter.com/Elsa_Trujillo_?s=09 Elsa Trujillo Journaliste BFM Tech