English
Français
Lu dans la presse
|
Publié le 26 Mai 2020
France - Application StopCovid : la CNIL rend un avis globalement positif
Publié le 26 mai dans Le Monde
Son premier avis, attendu, avait déjà été largement positif. Le second l’est davantage. La Commission nationale de l’informatique et des libertés (CNIL) a rendu, mardi 26 mai, son évaluation du décret qui créera StopCovid, l’application pour smartphone lancée par le gouvernement français pour le suivi des « cas contact » : elle doit aider à éviter la propagation du Covid-19 en signalant qu’on a croisé une personne testée positive à la maladie.
Lundi soir, le secrétariat d’Etat au numérique (rattaché à ministère de l’économie) a annoncé à la presse que « l’application est techniquement opérationnelle et les tests » menés avaient été « conclusifs » –, au point que Bercy a également envoyé des captures d’écran du dispositif.
Mais avant que l’application soit disponible et que les Français puissent installer StopCovid sur leur smartphone, l’Assemblée nationale doit encore donner son accord lors d’un débat parlementaire, promis par Edouard Philippe et prévu dans l’après-midi mercredi 27 mai.
En attendant, le gendarme des données personnelles a rappelé, dans son évaluation publiée mardi, le caractère « sensible » de ce type d’application de contact tracing, qui consiste à enregistrer, par Bluetooth sous un alias, les interactions rapprochées entre les utilisateurs et renouvelle son appel à la « prudence ».
Nombreux motifs de satisfaction
Cependant, les motifs de satisfaction sont nombreux. Dans son premier avis, la CNIL avait fait de « l’utilité » sanitaire de l’application un critère fondamental pour qu’elle soit en accord avec le droit des données personnelles. Dans son second avis, « l’utilité de l’application et la nécessité du traitement [de données] sont suffisamment démontrées en amont de la mise en œuvre du traitement ».
Elle remarque plus largement que de « nombreuses garanties sont prévues par le ministère » et que certains des points de vigilance relevés il y a quelques semaines ont été pris en compte par le gouvernement. Ainsi, par exemple, la commission remarque que « le ministère a confirmé qu’il n’envisage pas d’attacher des conséquences juridiques défavorables au fait de ne pas avoir téléchargé l’application et qu’aucun droit spécifique ne sera réservé aux personnes qui l’utiliseront ».
La CNIL note aussi que le décret sera modifié pour que la prise de contact avec un médecin en cas d’alerte sur l’application soit « à la discrétion de l’utilisateur », que personne ne pourra se déclarer faussement malade et que certaines utilisations de StopCovid, par exemple le « recensement des personnes infectées » ou l’identification des zones où les malades se sont déplacés, sont exclues par le décret. La commission remarque aussi que le consentement sera assuré à plusieurs niveaux : l’installation de l’application, l’activation du Bluetooth, la notification du résultat positif dans l’application notamment.
Elle salue aussi le choix de Robert, le protocole utilisé dans l’application qui permettra la gestion des identifiants pseudonymes des utilisateurs de l’application. « Ce choix est protecteur de la vie privée », explique la commission au sujet d’un choix architectural donnant une forte place à un serveur central qui a été critiqué par certains défenseurs de la vie privée.
La CNIL salue également le fait que l’hébergeur du serveur central (3DS Outscale, filiale de Dassault) est déjà habilité et « possède des centres de données en France ». Elle liste aussi plusieurs mécanismes de sécurité informatique qu’elle juge positifs, dont le changement d’algorithme de chiffrement des données qu’elle avait préconisé dans son précédent avis.
Service de « captcha »
La CNIL évoque toutefois quelques points, annexes, qui pourraient être améliorés. Elle constate notamment que l’application « ne permet pas de tenir compte du contexte dans lequel les personnes se trouvaient au moment où une exposition à une personne infectée a été enregistrée », ce qui peut présenter des problèmes pour les professionnels de santé, par exemple, qui côtoient des personnes malades mais sont équipés de protections rendant la contamination très peu probable.
La commission suggère donc l’ajout d’un bouton « de désactivation temporaire, aisément accessible, sur l’écran principal de l’application, [qui] pourrait être de nature à réduire le nombre de fausses alertes ». Elle recommande également l’ajout d’un texte spécifique à destination des utilisateurs mineurs et de leurs parents, « afin que l’application soit utilisée à bon escient et que le message d’alerte susceptible de leur être adressé soit adapté et bien interprété ».
Un point plus fondamental est enfin relevé par la CNIL : le fait que « certains éléments du “code informatique” de l’application ou du serveur central ne seront pas rendus publics, car cela mettrait en danger l’intégrité et la sécurité de l’application ». La commission affirme qu’il « est important que l’intégralité du code source soit lui rendue publique », ce qui n’était pas initialement prévu, mais ce à quoi le ministère s’est engagé. Seule une petite partie du code de l’application a pour l’instant été publiée en ligne.
Enfin, la CNIL note que l’application utilisera un service de « captcha », qui permet de vérifier lors de l’installation que l’application est utilisée par un être humain, et que ce service sera dans un premier temps fourni par « un service tiers », susceptible « d’entraîner la collecte de données personnelles non prévues dans le décret » ou « des transferts de données hors de l’Union européenne ». Elle recommande donc « des développements ultérieurs de l’application [qui] permettent rapidement l’utilisation d’une technologie alternative ».
Le Crif vous propose aussi :
Source :
Le Monde