Stop-COVID : voilà toutes les données qu’une application peut collecter sur vous

Les innovations numériques de lutte contre la pandémie du COVID-19 se multiplient en France et à l'étranger. Dans l'Hexagone, le Gouvernement travaille à proposer une application mobile sur la logique du volontariat. Les citoyens sont préparés par une communication habile et les sondages montrent actuellement que la majorités des français sont prêts à ignorer ce que l'on fait de leur données personnelles pour se protéger du virus.

Il convient toutefois de rester prudent quant à l'usage des données personnelles que font les propriétaires des innovations numériques. On peut par exemple s'inquiéter comme l'Observatoire de l’intelligence économique du recours par l'Assistance Publique - Hôpitaux de Paris aux solutions du géant états-unien du big-data Palantir, proche de la CIA, pour le traitement des données de santé.

Distinguons deux niveaux de risques : celui individuel des citoyens qui fournissent, consciemment ou inconsciemment leur données personnelles et celui des personnes morales (Etats, entreprises ou organisations) qui se font aspirer de façons plus macro leurs données. Pour le dernier risque, il s'agit d'une problématique macro relevant de stratégie de guerre économique et la responsabilité en revient à nos dirigeants. En revanche pour le premier risque, il relève de la responsabilité (ou de l'irresponsabilité) des citoyens.

Rappelons donc à chacun quels types de données peuvent être collectés (ou non) par des innovations numériques :

Les données biométriques sont les caractéristiques physiques ou biologiques permettant d’identifier une personne (ADN, contour de la main, empreintes digitales, reconnaissance faciale, etc.). Certains pays (Russie, Chine) ont eu recours à l'usage de ces données dans le cadre de la lutte contre le coronavirus.

Les données de santé sont actuellement sur le devant de la scène. Le règlement européen sur la protection des données personnelles (RGPD), qui est entré en application le 25 mai 2018, procède à une définition large des données de santé : "Les données à caractère personnel concernant la santé sont les données relatives à la santé physique ou mentale, passée, présente ou future, d’une personne physique (y compris la prestation de services de soins de santé) qui révèlent des informations sur l’état de santé de cette personne." Sont donc compris dans cette définition, les résultats d'examens médicaux, les données génétiques, les échantillons biologiques, les antécédents médicaux, les traitements, etc. Ces données de santé sont considérées comme sensibles et font l’objet d’une protection particulière par les textes (règlement européen sur la protection des données personnelles, loi Informatique et Libertés, code de la santé publique, etc.). Elles sont collectées par les autorités sanitaires qui en détiennent la gestion. Le plus souvent dans la crise actuelle se sont les Etats qui vont les utiliser pour les croiser avec d'autres données (mobiles ou de géolocalisation par exemple pour localiser des personnes atteintes du virus ou retracer leurs déplacements et les personnes qu'ils ont pu croiser).

Les données de géolocalisation sont obtenues par des procédés permettant de positionner un appareil (téléphone, objet connecté, véhicule, etc.) sur un plan ou une carte à l'aide de ses coordonnées géographiques. Elles permettent par extrapolation de positionner la personne utilisatrice de l'appareil. Ces données peuvent être détenues par les opérateurs mobiles ou les gestionnaires des appareils. Ainsi, Orange a fournit ces données, anonymisées, aux autorités (INSERM), pour évaluer précisément combien de parisiens avaient quitté la capitale en période de confinement.

Les données mobiles rassemblent les informations numériques échangées, via internet, entre l’extérieur et les applications installées par l'utilisateur sur son smartphone. Certaines applications vous demandent donc d'avoir accès  votre agenda, vos contacts, d'autres application, votre position géographique, etc. Une fois l'autorisation accordée le gestionnaire de l'application peut en disposer, l'utilisateur lui ayant donné son accord.

Les données Bluetooth concernent de la même manière les informations numériques échangées, entre deux appareils par la technologie de radio courte distance Bluetooth. Plusieurs applications de lutte contre le coronavirus utilisent la technologie Bluetooth, notamment en Europe, pour éviter d'avoir recours aux données de géolocalisation. Elles permettent alors de communiquer avec les appareils proche du sien (à condition que le mode Bluetooth soit activé). Plus que des données, il s'agit en fait d'un mode de transmission de données.

Une donnée personnelle est une information permettant d'identifier directement ou indirectement une personne physique et dont, parce qu’elle la concerne, celle-ci doit en conserver la maîtrise. il s'agit donc des noms et prénoms, des numéros de téléphone, plaques d’immatriculation, numéros de sécurité sociale, adresses postales ou mails, mais aussi maintenant une image ou un échantillon de voix.

Nous renvoyons nos lecteurs vers les cartographies réalisées par région qui spécifient le risque éthique et réglementaire (faible, moyen, fort) par pays (www.covid-innovation.fr).

Enfin, rappelons que s'il existe un droit à l'oubli numérique dans certains pays ou région (France, Europe), celui ci n'est applicable que dans ces zones et surtout que si ce droit à l'oubli numérique existe, l'oubli numérique lui n'existe pas. Le citoyen pourra donc, dans certains cas, demander l'effacement de ses données, mais celles-ci auront pu être copiées, volées ou piratées entre temps, voire données ou vendues après transformation (anonymisation par exemple). Il sera bien évidement impossible de faire valoir ses droits dans ces cas.

Il nous paraît donc aujourd'hui plus que nécessaire de lire les conditions générales d'utilisation des applications de lutte contre la pandémie avant des les accepter en étant bien conscient qu'un retour en arrière sera bien difficile.