L’usage des données personnelles face au confinement

AFP

Marion Roussey

Après plusieurs semaines de confinement, les États européens cherchent des solutions pour envisager un retour progressif de l’activité économique. Plusieurs propositions sont sur la table. Elles préconisent notamment l’analyse de données transmises par les téléphones portables pour suivre les mouvements de masse, mais aussi les déplacements individuels. Leur usage pose des questions éthiques concernant la protection des données personnelles.

Iframe

Suivre les flux de personnes

Face à la pandémie, l'Union européenne cherche des solutions auprès du secteur privé. Fin mars, huit opérateurs téléphoniques, dont Orange et Deutsche Telekom, ont accepté de transmettre les données de leurs clients à des centres de recherche situés au niveau national et européen. Objectif : analyser les mouvements de population pour prédire les risques de propagation de l’épidémie. “Par exemple les chercheurs vont pouvoir savoir que 10, 15, 20 personnes d’un quartier administratif de Paris ont quitté ce quartier pour partir dans la ville de Bordeaux”, explique Yoann Gonthier Le Guen, doctorant en droit public et consultant en protection des données. Ces analyses devront permettre aux autorités d’adapter les mesures sanitaires dans le but de rouvrir progressivement les pays.

Données anonymes et agrégées

La pratique existe déjà. En France, la chercheuse Vittoria Colizza, en charge du projet, collabore depuis des années avec Orange “pour étudier les liens entre la mobilité des populations et la diffusion de maladies, notamment en Afrique”, explique l’Institut de recherche français Inserm dans un communiqué. Avec le Covid-19, les données seront également rassemblées et analysées par le Centre commun de recherche (JRC) qui siège à Bruxelles.

“Il ne s’agira en aucun cas d’étudier les données personnelles de chaque individu ou de retracer les déplacements au niveau individuel”, préviennent les chercheurs. En effet, les données sont agrégées, c’est-à-dire regroupées par catégories. Et elles sont anonymes. “En théorie, cela ne pose donc aucun risque pour le respect de la vie privée”, explique Yoann Gonthier Le Guen. À condition que le processus d’anonymisation soit fait correctement, c’est-à-dire “qu’il y ait bien une rupture définitive et irréversible du lien entre la donnée et la personne à laquelle elle se rapporte”. À titre de garantie, le JRC prévoit que "toutes les données collectées et manipulées par la Commission européenne seront détruites après l’épidémie".

“Contact tracing”

Ces données téléphoniques ne permettent cependant pas d’identifier précisément les risques d’infections. Certains États européens veulent donc aller plus loin et cherchent comment combiner la géolocalisation avec les données de santé. “Il y a actuellement des propositions pour voir comment tracer les individus à l’intérieur d’un pays ou d’un pays à l’autre, notamment les personnes infectées par le virus”, explique Wojciech Wiewiórowski, contrôleur européen de la protection des données. Ces techniques veulent utiliser les applications mobiles et la connexion Bluetooth pour développer le contact tracing, ou “suivi de contacts”. Elles s’inspirent de ce qui existe déjà à Taïwan, en Chine ou à Singapour.

Mais contrairement à d’autres modèles, l’idée européenne n’est pas de savoir où les individus infectés sont allés, mais plutôt de localiser les zones à forte concentration du virus et de détecter les personnes ayant été en contact avec l’infection.

Relancer l’économie

En Allemagne, plusieurs compagnies travaillent d’arrache-pied à la conception d’applications mobiles. Mathias Reidel est dans l’industrie du logiciel depuis plus de 20 ans. Avec le PDG de l’entreprise Open as App, il a mis au point une application en 48 heures : Covid-19 Radar. “Le confinement peut avoir des effets très négatifs sur notre économie”, explique t-il. “Pourtant en Allemagne, il y a des régions où le risque potentiel de contamination est assez faible”. Cette application doit donc permettre de localiser les zones où les risques sont moindres, grâce à une carte thermique affichant en temps presque réel la localisation et le statut des utilisateurs.

ARTE

“Le principe est simple, explique Mathias Reidel. On sélectionne une couleur (vert, orange ou rouge) représentant son état de santé, on autorise ses données de géolocalisation et on envoie ces informations sur un serveur.” L’application est déjà en ligne et elle a été soumise à deux enquêtes vérifiant le respect de la vie privée. “Le système fonctionne sur la base du volontariat et de l’anonymat”, garantit Ralf Hertneck. "Il n’est donc pas possible de localiser une habitation ou un individu testé positivement car la carte comporte un certain degré d’incertitude et les données sont régulièrement mises à jour et supprimées.”

Tests en cours

Le concept séduit de nombreux États soucieux d’accélérer la mise en place d’une phase de déconfinement. À l’échelle européenne, un collectif rassemblant plus d’une centaine de chercheurs (PEPP-PT) travaille actuellement à la mise au point d’un protocole informatique permettant de coordonner les applications de différents pays. Là encore, les données seront anonymes. Le modèle utilise la technologie sans fil Bluetooth pour détecter les téléphones se situant à proximité des personnes infectées et ainsi identifier les potentiels risques de contamination. “Cela nous permettrait de voyager à nouveau à l’intérieur de l’Europe, explique Thomas Wiegand, directeur de l'Institut allemand Fraunhofer Heinrich Hertz (HHI), membre du collectif. Si je vais en France et que je suis en contact avec une personne infectée là-bas, je peux recevoir une notification, même une fois rentré en Allemagne”. Libres ensuite aux utilisateurs de recourir à l’auto-confinement ou de consulter un médecin. “Si chacun se comporte de manière responsable, les autres qui ne sont pas concernés peuvent continuer à travailler et mener une vie normale”, explique l’ingénieur.

Le dispositif n’est pas encore officiel. Il est actuellement en phase de test dans une caserne de la Bundeswehr. “Nous simulons des scénarios et enregistrons les données obtenues pour les comparer ensuite avec des situations à distances réelles”, indique Thomas Wiegand. Si l’opération s’avère concluante, le dispositif pourrait être opérationnel avant la fin du mois. Les résultats sont scrutés de près par plusieurs pays européens, dont la France. “Nous sommes en contact avec les différentes commissions de protection des données personnelles de ces pays pour veiller à ce que le droit à la vie privée soit bien respecté”, indique le Contrôleur européen Wojciech Wiewiórowski. Car le recours à de telles applications soulève de nombreuses questions éthiques. À Taïwan par exemple, les autorités les utilisent pour traquer et mettre en garde les individus qui ne respectent pas le confinement.

Iframe

Caractère temporaire

En Europe, la protection des données personnelles est encadrée par le Règlement général sur la protection des données (RGPD). En théorie, celui-ci restreint le traitement des données de santé qui appartiennent aux données dites sensibles. Mais l’épidémie change la donne : “Ce traitement peut être autorisé dans la mesure où il est mis en place par une autorité publique dans le but de lutter contre une menace transfrontalière grave qui pèse sur la santé”, explique Yoann Gonthier Le Guen. Seule limite selon le doctorant : si les autorités décidaient de recourir et d’utiliser les données fournies par l’application sans recueillir au préalable le consentement des personnes. “Tout dépend de la manière dont est conçue l’application et des données qu’elle envoie, explique-t-il. À partir du moment où il y a une application qui est installée et qui fonctionne sur votre téléphone mobile, tout est techniquement possible."

Autrement dit, la récupération des données est légale mais elle doit être encadrée et temporaire. Or pour le contrôleur européen, le principal risque est justement d’oublier le caractère temporaire. “Ces données pourraient être récupérées et utilisées à des fins frauduleuses ou commerciales”, explique Wojciech Wiewiórowski qui rappelle l’exemple norvégien des attentats d'Utøya en 2011. “Plusieurs années après, les scientifiques ont fait des recherches en utilisant les contacts des personnes qui ont survécu à ce massacre, alors qu’ils aspiraient à tourner la page”.

Autre risque, celui d’une atteinte à la liberté individuelle. “En fonction du sexe de la personne avec qui vous allez partager votre localisation, de votre fréquentation d’un lieu de culte ou d’un local syndical ou politique, il est possible d’en apprendre énormément sur vous, explique Yoann Gonthier Le Guen. C’est pourquoi il est important de protéger les données de localisation, au même titre que les données de santé”.

Quels remparts ?

Les différents concepteurs d’applications interviewés sont formels : leur modèle est conforme aux exigences strictes imposées par l’Allemagne en matière de collecte des données. Mais à l’échelle européenne, le texte de référence est plus souple, basé sur l’équilibre entre liberté d’agir et responsabilité. Pour Yoann Gonthier Le Guen, les garde-fous sont donc davantage à chercher du côté des sanctions en cas de violation de données, pouvant aller jusqu’à cinq ans d’emprisonnement en France.

Si la collecte et le traitement massif de ces données de santé s’avère exceptionnellement légale et légitime en période d’épidémie, le Contrôleur européen pose deux principes pour éviter les dérives : transparence et contrôle. “On doit savoir qui utilise les données, dans quels buts et ce qui se passera quand le danger sera terminé, estime Wojciech Wiewiórowski. Et en cas d’abus, on doit pouvoir compter sur un contrôle judiciaire effectif. C’est le ciment de la confiance, et sans confiance, on n’avance pas”.

07 avril 2020