§1. Lorsque l’épidémie du virus SRAS-COV-2 (« Covid-19 ») s’est étendue au territoire de l’Union européenne, les différents Etats membres ont été contraints d’établir des mesures de prévention pour ralentir et limiter au maximum la propagation du virus dans la population. Parmi ces mesures, certaines impliquent des restrictions importantes aux droits et libertés fondamentales de la population, telles que la liberté de circulation ou la protection de la vie privée. Au cours de cette crise, la collecte et le traitement d’informations relatives, notamment, aux individus qui ont été contaminés par le virus¹ ainsi qu’aux personnes ayant été en contact avec une personne contaminée ont été présentés comme des outils indispensables dans la lutte contre la propagation du virus et la recherche scientifique².

§2. Afin d’assurer que ces traitements respectent le cadre juridique établi par l’Union européenne en matière de protection des données à caractère personnel (et plus particulièrement le Règlement Générale sur la Protection des Données (« RGPD »)³), les autorités de protection des données des Etats membres de l’Union européenne ont rapidement été confrontées à la nécessité de publier des avis, des lignes directrices et des recommandations visant à permettre une lutte efficace contre le virus dans le respect de la vie privée des individus. Ces avis portaient, dans un premier temps, principalement sur les mesures que pouvaient prendre les employeurs pour limiter la propagation du virus sur le lieu de travail.

§3. Les autorités de protection des données ont également été consultées, parfois en extrême urgence, dans le cadre de la mise en œuvre de différentes solutions de traçage, que ce traçage soit manuel ou intervienne via une application de « suivi de contact » à installer sur smartphone. A l’heure où l’Europe se prépare à faire face à une « deuxième vague » d’infections au coronavirus, la mise en place de ce type d’outil attire l’attention de la presse et la question de la protection de la vie privée occupe une place majeure dans le débat public.

§4. Un véritable dialogue s’est instauré entre les autorités des protections des données et les gouvernements en charge de gérer la crise. En témoignent les nombreux avis rendus par l’autorité de protection des données belge (« APD ») et les délibérations rendues par l’autorité de protection française (la Commission Nationale de l’Informatique et des Libertés, aussi appelée la « CNIL ») ainsi que les premiers contrôles que cette dernière a effectués à propos de l’application déployée en France⁴.

§5. Dans cet article, nous procéderons à la présentation des modes de raisonnement des autorités de protection des données dans leur analyse des différents protocoles intégrés dans les applications de traçage de contacts au sein de l’Union européenne. Nous verrons ensuite quels sont les points d’attention soulevés par le Comité Européen de la Protection des Données (« CEPD ») concernant les applications de traçage, et verrons les analyses des autorités de protection de données concernant un projet d’application de traçage « centralisé » (analyse par la CNIL de l’application française) et un projet d’application de traçage « décentralisé » (analyse par l’APD de l’application belge). Enfin, nous nous attarderons sur le rôle de la Cour de Justice de l’Union européenne dans la protection de la vie privée, et sur la question de savoir comment cette dernière pourrait appliquer sa jurisprudence récente à ce type d’applications.

Les autorités de protection des données et le traçage de contacts

L’approche des autorités de protection des données

§6. Pour quiconque n’est pas habitué à la méthode d’analyse établie par le RGPD, il est important de rappeler que le RGPD est un règlement dont une partie des dispositions repose sur une évaluation du risque (« risk-based »)⁵. Cela signifie que, pour ces dispositions, les obligations applicables à un traitement de données personnelles varieront en fonction du risque posé par le traitement en question⁶. Ces risques dépendront des circonstances spécifiques de chaque traitement et, notamment, des catégories de données collectées, des finalités envisagées, de l’éventuelle position de faiblesse des personnes concernées (tels que des mineurs), des destinataires de ces données ou de la manière dont le traitement est envisagé. Dès lors, deux traitements de données personnelles basés sur des données similaires et avec des finalités similaires (voire identiques) peuvent poser des risques différents et entraîner des obligations différentes pour les responsables du traitement, ces obligations ayant pour objet de limiter les risques identifiés⁷.

§7. Il n’est dès lors pas étonnant que les avis des autorités de protection des données n’indiquent pas nécessairement si une solution est, dans l’absolu, conforme ou non au RGPD mais qu’elles indiquent, au regard de toutes les circonstances pertinentes d’un traitement de données, quels sont les risques identifiés et les mesures requises pour les limiter ainsi que les aspects du traitement de données qui peuvent être justifiés au regard, par exemple, des données collectées et des finalités poursuivies.

§8. Par ailleurs, comme les autorités l’ont elles-mêmes rappelé⁸, il faut chasser l’idée selon laquelle le RGPD constitue un obstacle à la mise en place d’une solution technologique. Comme indiqué dans son quinzième considérant, le RGDP est neutre sur le plan technologique : il ne vise pas à s’appliquer à (ou à interdire) un type de technologie en particulier. Le CEPD l’indique : « Le cadre juridique en matière de protection des données a été conçu de façon à être souple et, dès lors, il peut constituer un outil de réaction efficace pour, à la fois, endiguer la pandémie et sauvegarder les droits de l’homme et les libertés fondamentales* *»⁹. Selon les autorités de protection des données, le RGPD peut d’ailleurs renforcer la confiance des personnes concernées dans ce type de solutions et accroître l’adhésion de la population¹⁰.

§9. Toutefois, les autorités préviennent que les applications de traçage ne peuvent être l’unique outil dans la lutte contre le virus. Comme le rappel, entre autres, le CEPD, « le déploiement de ces applications devrait s’accompagner de mesures d’appui destinées à garantir que les informations communiquées aux utilisateurs sont replacées dans leur contexte, et que les alertes peuvent être utiles pour le système de santé publique » et précise que « sans cela, ces applications pourraient ne pas produire leur plein effet »¹¹. Lors de son audition devant le parlement français¹², la présidente de la CNIL appelait à la vigilance contre la tentation du « solutionnisme technologique ». Si ces déclarations peuvent, à première vue, sembler sortir du cadre de la mission de protection de la vie privée, nous verrons ci-dessous que le RGPD requiert que tout traitement de données personnelles soit approprié (et, par extension, efficace) au vu des finalités pour lesquelles les données ont été collectées. Dès lors, une application de traçage de contacts pourrait fonctionner parfaitement et pourtant être dénuée d’efficacité si, par exemple, il n’est pas possible que les individus identifiés comme ayant été en contact avec une personne contaminée par les applications de traçage puissent eux-mêmes être dépistés.

20006919. (ci-après, « Délibération n° 2020-046 »), p.8.

(Dé)centralisation : les différents protocoles intégrés dans les applications de traçage

§10. Au début du mois d’avril 2020, les institutions européennes se sont prononcées en faveur de la mise en place d’une approche commune dans le développement de solutions technologiques et d’applications mobiles afin de lutter contre la propagation du virus¹³. La Commission européenne a notamment insisté sur la nécessité pour les Etats membres d’assurer l’interopérabilité de ces applications et ce, afin de rompre les chaînes de transmission transfrontalières¹⁴. Dans sa recommandation, la Commission européenne envisage tant l’usage d’applications d’alerte et de traçage de contacts que l’usage d’applications qui pourraient être considérées comme des dispositifs médicaux (dont la finalité serait le diagnostic, la prévention, le contrôle, la prédiction, le pronostic, le traitement ou l’atténuation d’une maladie). C’est pourtant principalement vers le développement de solutions de traçage que la réflexion des Etats membres s’est portée¹⁵.

§11. La plupart des applications qui sont en cours de développement ou qui sont déjà disponibles dans certains Etats membres peuvent être distinguées en deux grandes catégories, qu’en tant que juristes, nous pourrions être tentés de qualifier de summa divisio, à savoir, les applications intégrant un protocole « centralisé », d’une part, et les applications intégrant un protocole « décentralisé », de l’autre. Le CEPD a indiqué que ces deux approches sont « des options viables » même s’il estime que l’approche décentralisée répond en général mieux au principe de minimisation (que nous analyserons plus bas)¹⁶. Pour la bonne compréhension de la présente contribution il est utile d’en décrire brièvement leurs fonctionnements (simplifiés).

§12. Le protocole décentralisé le plus utilisé en Europe est le Decentralized Privacy-Preserving Proximity Tracing (aussi appelé « DP-3T »)¹⁷. Une application intégrant ce protocole open source utilisera la technologie Bluetooth du smartphone de l’utilisateur pour détecter les smartphones des autres utilisateurs dans un rayon défini. Lorsqu’un smartphone détectera qu’un autre smartphone utilisant la même application entre dans ce rayon défini, les deux téléphones communiqueront entre eux des informations sur l’intensité et la durée de la rencontre présumée entre leurs deux propriétaires, ainsi qu’un ou plusieurs code(s) d’identification temporaire(s) généré(s) par l’application et stocké(s) directement sur les smartphones. Ainsi, l’application génère régulièrement des codes d’identification temporaires pour ses propriétaires, mais elle retient également, pendant une certaine durée, les codes d’identification temporaires générés par les autres applications avec lesquelles l’application a communiqué (pouvant dès lors indiquer un contact entre les deux propriétaires des smartphones sur lesquels ces applications sont installées). Si un utilisateur de ce type d’application est diagnostiqué positif au coronavirus Covid-19, cet utilisateur recevra un code unique lui permettant d’indiquer son diagnostic dans son application. L’application communiquera alors tous les codes d’identification temporaires se rapportant à la personne contaminée au serveur central. Le serveur central identifiera ces codes temporaires comme se rapportant à une personne contaminée par le virus (sans connaître l’identité de la personne, puisque les identifiants temporaires sont générés de manière décentralisée par l’application), afin que les applications de tous les autres utilisateurs puissent vérifier si elles ont également stocké un de ces identifiants dans la mémoire de leur smartphone, ce qui indiquerait qu’ils ont eu un contact avec une personne dont le diagnostic a été confirmé. L’utilisateur non-affecté est ainsi prévenu qu’il a probablement été en contact avec une personne contaminée, afin qu’il puisse prendre les mesures adéquates. L’Etat belge a opté pour ce type de protocole pour son application « Coronalert », de même que l’Allemagne, l’Autriche et l’Estonie. C’est également une approche similaire qui a été développée par Google et Apple pour faire face au coronavirus Covid-19¹⁸.

§13. En ce qui concerne l’approche centralisée, les principales alternatives (également open source) au protocole DP3T sont le Pan-European Privacy-Preserving Proximity Tracing (PEPP-PT/PEPP)¹⁹ et le ROBust and privacy-presERving proximity Tracing (ROBERT)²⁰, ce dernier étant utilisé pour l’application « StopCovid » en France. L’application « Tous Anti-Covid » (qui remplace l’application StopCovid sans en changer le protocole) fonctionne également par le biais de la technologie Bluetooth des smartphones, afin de détecter les autres smartphones utilisant l’application dans un certain rayon. Cette fois, au lieu de générer des identifiants de manière décentralisée, c’est le serveur central qui attribue un identifiant aléatoire permanent, permettant ensuite de créer plusieurs identifiants aléatoires temporaires pour chaque application. Si un utilisateur confirme qu’il a été diagnostiqué positif au virus, il l’indiquera dans l’application par le biais d’un code unique. Son application importera l’ensemble des identifiants (stockés sur le smartphone) avec lesquelles l’utilisateur est présumé avoir eu des contacts vers le serveur central. L’application enverra alors tous les « contacts » de la personne contaminée, mais pas l’identifiant de la personne contaminée elle-même. Outre la France, la Hongrie et l’Islande ont également développé une application ayant un protocole centralisé²¹ (pour cette dernière, l’application utilise un mécanisme différent, basé sur les données de géolocalisation).

Analyse des applications de traçage de contacts par les autorités

§14. Quel que soit le type de protocole choisi pour les applications de traçage de contacts, le responsable du traitement²² doit se conformer aux grands principes du RGPD²³, résumés en son article 5. Dès lors, la plupart des analyses de traitement de données à caractère personnel au regard du RGPD suivent en principe une structure similaire et posent les mêmes grandes questions (qui sont par la suite plus ou moins précisées, en fonction des dispositions applicables).

Ces principes sont les suivants :

1. le principe de licéité, loyauté, transparence, qui requiert que les données personnelles soient traitées de manière licite, loyale et transparente au regard de la personne concernée ;

2. le principe de limitation des finalités, qui requiert que les données soient collectées pour des finalités déterminées, explicites et légitimes ;

3. le principe de minimisation des données qui requiert que les données personnelles soient adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ;

4. le principe d’exactitude qui requiert que les données personnelles soient exactes et, si nécessaire, tenues à jour ;

5. le principe de limitation de la conservation qui requiert que les données personnelles soient conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ; et

6. le principe d’intégrité et de confidentialité, qui requiert que les données personnelles soient traitées de façon à garantir leur sécurité appropriée, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées.

Enfin, le dernier principe est le « principe de responsabilité », qui impose la responsabilité du respect des principes précités au responsable du traitement, ainsi que l’obligation d’être capable de démontrer ce respect.

Par souci de cohérence, nous allons analyser les positions des autorités de protection des données belge (APD) et française (CNIL), ainsi que celle du CEPD, en suivant ce même ordre.

Le principe de licéité, de loyauté et de transparence

§15. Afin qu’un traitement de données personnelles (tel que la mise en place d’une application de traçage de contacts) soit considéré comme licite, il doit pouvoir être justifié par l’une des cinq « bases légales » prévues de manière exhaustive à l’article 6 du RGPD²⁴. Ces bases légales définissent les circonstances dans lesquelles un responsable du traitement peut justifier le traitement de données à caractère personnel et ont une influence importante sur les droits des personnes concernées²⁵. Par exemple, un traitement peut être justifié par le consentement de la personne concernée, mais également par la nécessité pour l'exécution d'un contrat auquel la personne concernée est partie ou pour le respect d'une obligation légale à laquelle le responsable du traitement est soumis. Par ailleurs, le RGPD considère les données relatives à la santé comme des « catégories particulières de données » dont le traitement est en principe interdit, à moins de remplir une des conditions de son article 9.2.

Cela signifie qu’en plus de répondre aux conditions de l’article 6 du RGPD, le responsable du traitement doit s’assurer que le traitement répondra également aux conditions de l’article 9.2 du RGPD, qui prévoit des exigences additionnelles quant aux circonstances permettant de justifier un traitement de données relatives à la santé.

§16. En combinant les exigences de l’article 6 et de l’article 9 du RGPD, il apparaît que les Etats membres qui souhaitent mettre en place des applications de traçage disposent de deux solutions : soit obtenir le consentement explicite des personnes concernées²⁶ ; soit adopter une loi permettant le traitement de données pour des motifs d'intérêt public dans le domaine de la santé publique, pour autant que cette loi prévoie des mesures appropriées et spécifiques pour la sauvegarde des droits et libertés des personnes concernées²⁷.

§17. Selon le CEPD, la base juridique la plus pertinente pour le traitement envisagé dans le cadre d’applications de traçage est la nécessité à l’exécution d’une mission d’intérêt public²⁸.

§18. Par ailleurs, comme le rappelle l’APD dans ses avis²⁹, l’exécution de ce type de traitement, bien que rentrant dans le cadre d’une mission d’intérêt public, constitue un ingérence au droit à la vie privée et ne peut être admise, conformément à l’article 6.3 du RGDP et à l’article 8 de la Convention de sauvegarde des droits de l’homme et des libertés fondamentales, que si elle est « nécessaire et proportionnée à l’objectif (ou aux objectifs) qu’elle poursuit et qu’elle est encadrée par une norme suffisamment claire et précise dont l’application est prévisible pour les personnes concernées ». L’évaluation de la nécessité du traitement impose à la fois de démontrer, sur la base d’éléments factuels et objectifs, (i) l’efficacité du traitement de données ainsi que (ii) le fait que le traitement constitue la mesure la moins intrusive au regard de l’objectif poursuivi.

§19. Partant de ce constat, le CEPD, la CNIL et l’APD s’accordent sur une série de mesures qu’ils recommandent d’intégrer dans la norme permettant d’assurer la proportionnalité des traitements effectués par les applications de traçage de contacts.

• La première mesure est de prévoir que l’utilisation de l’application doit se faire sur une base strictement volontaire³⁰. Ce volontariat doit être établi à chaque étape de l’utilisation de l’application : l’installation, l’activation du Bluetooth, la notification des résultats d’un examen de dépistage au coronavirus Covid-19 ou la désinstallation de l'application. Les Etats ne peuvent rendre l’installation de l’application obligatoire pour accéder à des droits et services (tels que les transports en commun ou une sortie du confinement)³¹, l’utilisation de l’application ne peut être sujette à aucune sanction pénale ou civile ni à aucun acte discriminatoire. L’APD suggère même de prévoir la possibilité d’imposer des sanctions pénales ou administratives à toute personne qui lierait l’accès à un bien ou à un service à l’utilisation d’une application de traçage³². Il convient de noter que la base volontaire de l’utilisation de l’application n’implique pas que le traitement de données qui en résulte soit basé sur le consentement de la personne concernée³³. Cela peut s’expliquer par les conditions strictes qui entourent l’obtention d’un consentement valide au regard du RGPD³⁴. Un des exemples les plus parlants de cette distinction entre un consentement valide au sens du RGPD et un consentement au sens général du terme est le traitement nécessaire à l’exécution d’un contrat auquel la personne concernée est partie. En effet, bien que d’un point de vue contractuel, la personne concernée a donné son consentement au contrat et aux traitements de données personnelles qui en résultent, ces traitements seront justifiés au regard du RGPD par la nécessité contractuelle (article 6.1b du RGPD) et non par le consentement (article 6.1a du RGPD), car le consentement ne serait pas considéré comme entièrement libre, étant obligatoire pour obtenir une contrepartie contractuelle³⁵.

• Ensuite, comme nous l’avons déjà mentionné plus haut, les applications ne peuvent pas purement remplacer la recherche manuelle de contacts effectuée par du personnel de santé publique qualifié³⁶. Elles doivent s’inscrire dans une approche globale afin d’en assurer l’efficacité³⁷.

• En ce qui concerne l’efficacité des applications de traçage mêmes, les autorités prennent note des justifications avancées par les Etats³⁸, mais elles encouragent les Etats à régulièrement réévaluer la mise en place de ces applications pour vérifier, sur la base d’éléments suffisants, que l’application est utile à la gestion de la crise et que l’ingérence reste nécessaire au regard des circonstances³⁹. La CNIL insiste notamment sur la nécessité d’efficacité des applications, même si une partie de la population pourrait ne pas disposer de téléphones adaptés à l’installation de l’application, en particulier les personnes les plus vulnérables ainsi que les plus jeunes (qui pourraient jouer un rôle sensible dans la propagation du virus). De plus, une partie des personnes contaminées par le virus sont asymptomatiques et pourraient ne pas communiquer leurs contaminations à l’application⁴⁰.

• Toujours dans un souci d’efficacité, les autorités recommandent l’utilisation d’une seule application et d’éviter la concurrence entre plusieurs applications⁴¹. La CNIL insiste sur le fait que cette application devrait être disponible pour le public le plus large possible, ce qui implique qu’elle soit largement compatible avec les différents types d’appareils et offerte sur les différentes plateformes de distribution des applications. Le CEPD recommande d’identifier clairement l’application nationale officielle de traçage de contacts pour réduire le risque d’utilisation d’une application tierce⁴².

§20. En ce qui concerne la question de la transparence du traitement des données, tant le CEPD que l’APD et la CNIL plaident pour la publication du code source de l’application, afin de permettre aux experts indépendants d’en vérifier les algorithmes (ainsi que le code du serveur central et leurs paramétrages)⁴³.

§21. De plus, l’APD et la CNIL rappellent que le principe de transparence requiert qu’une information conforme aux articles 13 et 14 du RGPD soit fournie de manière claire et accessible. La publication de cette information sur un site internet n’est pas suffisante, les personnes concernées devant également recevoir une information (« simple et courte ») à propos de leurs droits et des éléments principaux du traitement lors de l’installation de l’application⁴⁴. Enfin, la CNIL insiste pour que les modalités de mise à disposition de cette information permettent aux personnes en situation de handicap d’en prendre connaissance aisément et que l’information puisse être compréhensible par les mineurs d’âge.

§22. Si les mesures précitées sont partagées par la CNIL et l’APD concernant la mise en place des applications, certaines mesures sont spécifiquement requises par la CNIL pour couvrir les risques liées au protocole « centralisé » ROBERT et par l’APD, pour couvrir les risques liés au protocole « décentralisé » DP3T.

§23. Dans le cas d’une application de traçage de contacts intégrant un modèle centralisé, le CEPD avait déjà précisé que les données stockées sur le serveur central devraient être limitées au strict minimum, et que la communication des pseudonymes des personnes avec qui la personne contaminée avait été en contact ne pouvait s’accompagner de la communication du pseudonyme de la personne contaminée elle-même⁴⁵. Pour la CNIL, la centralisation des pseudonymes des personnes ayant été en contact avec une personne contaminée, sans préciser le lien entre la personne contaminée et ses contacts, s’avère être un choix protecteur de la vie privée⁴⁶. Il nous semble que, si ce choix permet en effet de ne pas centraliser des informations relatives à la santé des personnes contaminées, la ré-identification de la personne concernée pourrait permettre d’inférer bien plus d’informations la concernant (outre le fait qu’elle est contaminée) que dans le modèle décentralisé où l’information stockée sur le serveur central se limite aux pseudonymes temporaires des personnes contaminées. Le CEPD prévient d’ailleurs qu’un modèle centralisé ne peut permettre « l’inférence de schémas de contacts qui ne sont pas nécessaires pour déterminer les contacts pertinents »⁴⁷.

§24. La CNIL estime également que le chiffrement de la base centrale et la répartition de fragments des clefs de chiffrement entre plusieurs entités (de préférence de natures différentes et présentant un haut niveau d’indépendance) devrait limiter le risque de ré-identification et de détournement de la base de données centrale⁴⁸.

§25. Dans le cas d’une application de traçage de contacts intégrant un modèle décentralisé, l’APD note quant à elle que le protocole DP3T permet de minimiser les données collectées et de ne pas partager le graphe social. Toutefois, elle signale une réintroduction « des risques de ré-identification en principe annihilés par le protocole DP3T »⁴⁹. En effet, pour qu’un utilisateur puisse confirmer sa contamination dans l’application, il devait communiquer son numéro de téléphone et la date du test qu’il a passé. L’utilisateur reçoit ensuite un code d’autorisation à indiquer dans l’application pour communiquer ses pseudonymes temporaires au serveur central. Au vu du risque de ré-identification, l’APD recommande dès lors que l’opérateur en charge de communiquer le code d’autorisation soit un opérateur différent de celui qui gère le serveur central contenant les pseudonymes des personnes contaminées et que les données soient effacées dès que le code d’autorisation aura été vérifié. L’APD recommande également que le code d’autorisation soit généré aléatoirement et qu’il ne soit pas lié à un élément d’identification de la personne concernée⁵⁰. Dans ce contexte, elle recommande enfin que le système fonctionne avec plusieurs pseudonymes temporaires et une période de rafraîchissement telle que l’opérateur du serveur central ne pourrait déterminer que les pseudonymes appartiennent à la même personne contaminée⁵¹. Dans son Avis du 7 Septembre 2020, l’APD⁵² note que la création d’une base de données spécifique qui stockerait « très temporairement » le résultat du test et le numéro que l’application de l’utilisateur a attribué à ce test (et qui a été communiqué au responsable du traitement en charge du suivi), à la place du mécanisme utilisant le numéro de téléphone, vise à limiter ce risque de ré-identification. Ce risque est en effet désormais limité dans le temps et est également limité par le fait que cette information est stockée dans une base de données séparée de la base de données principale, qui comprend beaucoup plus de données personnelles. L’APD invite toutefois le responsable du traitement à justifier de la nécessité de recourir à ce mécanisme dans le cadre d’une analyse d’impact relative à la protection des données⁵³.

Le principe de limitation des finalités

§26. En ce qui concerne le principe de limitation des finalités, il n’est pas étonnant de constater que le CEPD, l’APD et la CNIL se rejoignent parfaitement sur le principe selon lequel les finalités de traitement des applications de traçage doivent être décrits de manière claire et précise et avec suffisamment de précision pour interdire tout traitement des données qui ne s’inscrirait pas dans la gestion de la crise de la Covid-19⁵⁴. Il doit par exemple être clair que la finalité d’une application de traçage ne peut être de surveiller le respect des mesures de confinement ou de prendre des mesures répressives. La CNIL note également que les applications n’ont pas pour objet d’organiser une prise de contact avec les personnes alertées, ni d’établir le nombre de personnes infectées ou leur localisation⁵⁵. L’APD recommande, quant à elle, de ne pas inclure une finalité de « recherche épidémiologique » par rapport à l’application de traçage, pour éviter la confusion dans le chef des utilisateurs de l’application (cette finalité étant prévue par ailleurs dans le cadre des dispositions sur le traçage « manuel »)⁵⁶.

Le principe de minimisation des données

§27. Conformément au principe de minimisation, le responsable du traitement ne peut collecter plus d’informations que ce qui est nécessaire aux finalités du traitement.

Les applications ne peuvent dès lors pas collecter des informations qui ne sont pas pertinentes (par exemple, l’état civil, les identifiants de communication, les messages, l’historique des appels, etc.)⁵⁷. Il est également crucial que les applications ne collectent pas d’information permettant de relier un pseudonyme à l’appareil sur lequel l’application est utilisée (telle que l’adresse MAC du téléphone)⁵⁸.

§28. Dans ce cadre, le CEPD, la CNIL et l’APD⁵⁹ s’accordent sur le fait que le traçage de contacts ne nécessite pas la collecte des données de localisation (qui sont d’ailleurs également soumises aux règles de la Directive 2002/58). Les applications pouvant fonctionner avec des données pseudonymisées, il convient de mettre en place les mesures adéquates pour empêcher une ré-identification des personnes concernées et s’assurer que les données sont bien stockées uniquement sur l’appareil de l’utilisateur, sauf en cas « d’absolue nécessité »⁶⁰.

§29. La CNIL et l’APD soulignent également le fait que les applications devraient être conçues de manière à pouvoir évaluer la distance entre les individus pour que seuls les contacts à haut risque d’engendrer une contamination donnent lieu à une alerte⁶¹.

§30. La CNIL suggère également de permettre à l’utilisateur de définir des périodes de temps pendant lesquelles l’application ne devrait pas considérer les contacts comme étant à risque. Cela permettrait, selon la CNIL, de limiter le nombre de fausses alertes (et dès lors, le traitement des données par le serveur central) en prenant en compte le contexte des rencontres⁶². La CNIL donne l’exemple d’un professionnel de la santé qui recevrait indubitablement des patients atteints par la Covid-19 mais qui serait protégé par le matériel médical adéquat.

§31. La CNIL indique enfin que l’approche centralisée de l’application StopCovid et le fait que seuls les pseudonymes générés par les applications associées aux personnes avec lesquelles un individu infecté a été en contact soient communiqués au serveur central s’inscrivent dans le plein respect des principes de protection des données personnelles⁶³.

Le principe d’exactitude

§32. Le CEPD note qu’il existe un risque de faux positif dans le cadre du dépistage du virus. A ce titre, et considérant les conséquences d’une « fausse alerte » pour les personnes alertées, le CEPD insiste sur la nécessité de prévoir la possibilité de corriger les données communiquées dans la mesure où ce serait techniquement possible⁶⁴.

Le principe de limitation de la conservation

§33. Sur le point de la limitation de conservation des données collectées, le CEPD, l’APD et la CNIL⁶⁵ sont d’accord sur le principe que les données ne peuvent être conservées que pour la durée nécessaire à la réalisation de la finalité du traitement, en tenant compte des besoins réels et de la pertinence de ces données d’un point de vue médical. En tout état de cause, les données à caractère personnel ne peuvent être conservées que pour la durée de la crise de la Covid-19. Après cela, les données devront être supprimées ou anonymisées⁶⁶. L’APD note en outre qu’il convient de pouvoir justifier la durée de conservation des données (il s’agissait en l’occurrence de choisir entre une conservation de 14 jours ou de 3 semaines) et cite l’exemple de la durée de contagiosité des individus affectés⁶⁷.

Le principe d’intégrité et de confidentialité

§34. Outre les mesures de pseudonymisation et les mesures prises pour protéger les clefs de chiffrement décrites ci-dessus, le CEPD, la CNIL et l’APD requièrent la mise en place de « techniques cryptographiques de pointe » afin d’apporter une sécurité suffisante aux données stockées sur le serveur central, ainsi que sur les appareils des personnes concernées. Cette cryptographie devra également protéger les échanges entre les applications et le serveur central⁶⁸. Une authentification mutuelle entre l’application et le serveur doit également être exécutée⁶⁹.

La Cour de Justice de l’Union européenne

§35. Les sections précédentes ont mis en lumière les dialogues qui se sont établis entre la Commission européenne, le Parlement européen, les Etats membres et les autorités de protection des données. Les solutions et la législation développées dans le cadre de la gestion de la crise de la Covid-19 devront également prendre en compte le rôle important qu’exerce la Cour de Justice de l’Union européenne dans la définition de la protection de la vie privée et des données personnelles.

§36. En effet, dans sa jurisprudence récente, la Cour de Justice n’a pas hésité à prendre des décisions quelque peu spectaculaires et ayant un impact considérable sur la protection de la vie privée. Dans un arrêt récent⁷⁰, la Cour de Justice a ainsi invalidé un mécanisme permettant aux sociétés établies en Europe de communiquer des données personnelles vers les sociétés établies aux États-Unis participant à ce mécanisme (appelé le « bouclier de protection des données UE-États-Unis »). Ce mécanisme en remplaçait un autre, déjà invalidé par la Cour en 2015⁷¹. Pour les sociétés qui justifiaient leur traitement sur la base de ce mécanisme, cela signifie en pratique qu’elles auraient dû cesser tout transfert de données personnelles vers les Etats-Unis jusqu’à mettre en œuvre un mécanisme de transfert différent (comme ceux prévus aux articles 46 et suivants du RGPD).

§37. En 2014, la Cour a rendu le célèbre arrêt Digital Rights Ireland⁷² qui a invalidé la Directive 2006/24⁷³. Cette directive imposait une rétention, pour une durée de six mois à deux ans, de certaines données concernant les communications électroniques ou téléphoniques (par exemple leur dates, heures, durée, mais à l’exclusion du contenu de ces communications). La directive justifiait ces règles par la lutte contre la criminalité grave, notamment contre la criminalité organisée et le terrorisme. La Cour a considéré que l’obligation générale de rétention de ces informations sans différenciation, limitation ou exception, portait une atteinte disproportionnée au droit à la vie privée et à la protection des données, prévus par les articles 7 et 8 de la Charte des droit fondamentaux de l’Union européenne.

§38. Bien que la mise en place d’application de traçage s’inscrive dans un contexte différent, l’arrêt Digital Rights Ireland peut servir d’avertissement aux Etats qui souhaiteraient s’affranchir du cadre légal de la protection de la vie privée et des données personnelles ou qui n’instaureraient pas les garanties appropriées, telles que celles détaillées dans les sections précédentes.

Conclusion

§39. Nous conclurons sur la question que se pose tout citoyen désirant installer une application de traçage de contacts (qu’elle soit basée sur un protocole centralisé ou décentralisé) : est-ce que cette application respecte la vie privée de ses utilisateurs ? Il nous semble que la réponse nécessite une certaine nuance.

Tout d’abord, on peut considérer que les Etats membres disposent désormais d’un cadre juridique clair et précis concernant la mise en œuvre d’applications de traçage de contacts, eu égard aux nombreux avis émis par les autorités de protection des données (dont nous avons analysé une partie dans cette étude). Par ailleurs, il semble que ces avis, en Belgique et en France ont effectivement été suivis sur certains éléments importants. A cet égard, l’accord de coopération belge⁷⁴ et son accord de coopération d’exécution⁷⁵ instituant le traçage numérique prévoient explicitement entre autres que l’utilisation de l’application doit être volontaire, que le code source de l’application et l’analyse d’impact relative à la protection des données doivent être publiés, que les données doivent être pseudonymisées et définir clairement les finalités du traitement. En ce qui concerne la France, la CNIL a indiqué avoir déjà effectué des contrôles concernant l’application de traçage et a constaté que le fonctionnement de celle-ci respectait pour l’essentiel la règlementation relative à la vie privée, mais a relevé quelques manquements liés à la première version de l’application, ces manquements ayant disparu dans une mise à jour ultérieure⁷⁶. Les deux protocoles (centralisé et décentralisé) semblent a priori apporter un haut niveau de garantie vis-à-vis de la protection des données au regard des obligations contenues dans le RGPD. Il nous semble néanmoins, comme le soutient le CEPD, que le protocole décentralisé (notamment le DP3T) apporte des garanties plus importantes au regard du RGPD. L’application belge se limite en effet à rapporter les clefs relatives à un utilisateur testé positif, là où l’application française partage les clefs relatives à l’ensemble des contacts, ce qui risquerait de permettre d’inférer des informations plus détaillées sur l’individu en question (notamment en cas de ré-identification accidentelle).

Toutefois, il nous semble qu’il y a un élément inconnu à ce jour et qui aura une importance significative dans la détermination de la proportionnalité de l’ingérence que constitue l’utilisation de ce type d’application dans la vie privée de ses utilisateurs : nous ne connaissons pas la réelle efficacité de ce type d’applications de traçage. Comme nous l’avons vu, le risque que les applications de traçage créent pour les droits et libertés fondamentales des personnes concernées, même s’il est accompagné de toutes les mesures et garanties recommandées par les autorités, ne sera admissible dans une société démocratique que s’il est proportionné et, partant, efficace, au regard de l’objectif poursuivi. La première étape pour que ce type d’applications fonctionne est d’emporter l’adhésion la plus large possible de la population. Or, les chiffres disponibles par rapport à l’utilisation de l’application « StopCovid » en France montrent que l’application n’a pas eu de réel succès⁷⁷ (l’application a d’ailleurs été récemment remplacée par une nouvelle version intitulée « Tous Anti-Covid », mais cette application reste basée sur le protocole ROBERT). De plus, on peut se demander quelle sera l’efficacité réelle de ce type d’application dans le cadre de la gestion plus globale de la crise. Certaines mesures, comme la limitation plus ou moins stricte des contacts sociaux ou l’absence de possibilité de tester les personnes asymptomatiques sont des éléments qui limitent l’utilité pratique de l’application. Il est malaisé de déterminer si les applications seront toujours considérées comme un outil efficace dans la gestion de la crise, en combinaison avec ces autres mesures plus restrictives⁷⁸. Ce type d’ingérence dans la vie privée de la population pourrait dès lors ne plus être proportionnée au regard de ses objectifs et être vouée à disparaître à plus ou moins court terme.

§40. Enfin, outre les aspects relatifs à la protection de la vie privée et à la lutte contre la pandémie du coronavirus Covid-19, il nous semble opportun de conclure cette contribution en regardant vers l’avenir. Nous sommes d’avis que ce type de question juridique deviendra de plus en plus fréquent. Le développement technologique permet de résoudre de plus en plus de problèmes qui autrefois restaient sans réponse. Pour s’adapter à cette évolution, les juristes devront probablement être capables de développer de nouvelles compétences, telles que la capacité de réfléchir à l’intégration de normes dans des logiciels et à définir des algorithmes, voire à apprendre le codage informatique.