Comme d'autres pays, la France réfléchit à l'utilisation des données de géolocalisation pour identifier les cas positifs de covid-19 et les personnes avec lesquelles ils seraient entrés en contact. Le gouvernement s'est d'ailleurs entouré d'un comité pour imaginer "une stratégie numérique" en ce sens. Néanmoins, l'avocate toulousaine France Charruyer, présidente de la société d'avocats Altij, met en garde sur la législation en vigueur en matière de récolte de data. Surtout, elle appelle à ce que cet "état d'exception ne devienne pas la condition normale". Tribune.
"
C'est lorsqu'il parle en son nom que l'Homme est le moins lui-même, donnez-lui un masque et il vous dira la vérité", avec le drame du covid-19, n'en déplaise à Oscar Wilde, la France aura malheureusement besoin autant de masques que de vérité.
Dans le silence des hommes, et dans l'urgence sanitaire, c'est, semble-t-il, à la technologie que le gouvernement souhaite confier voire déléguer la connaissance de la vérité de leurs déplacements afin d'assurer leur sécurité.
La géolocalisation des infectés, contagieux, porteurs sains et pourquoi pas des réfractaires au confinement serait rendue possible, bref potentiellement de tous pour le bien de tous eu égard au caractère pandémique du coronavirus.
Le gouvernement a ainsi indiqué la création d'un comité d'analyse recherche et expertise (CARE) composé de médecins et de chercheurs afin notamment, d'envisager le déploiement d'une "
stratégie numérique d'identification des personnes ayant été au contact de personnes infectées"
.
Contrairement au confinement qui se base sur la localisation en temps réel de la personne dans son habitation, ce processus vise à "
contrôler les flux
"
, et non plus simplement les déplacements. Le gouvernement souhaitant réactiver la figure carcérale du panoptique, pour contrôler les mouvements des populations.
D'autres pays l'ont fait
Une telle stratégie de contrôle non plus des déplacements, mais des flux, pourrait avoir recours aux données de géolocalisation des personnes concernées : de tels processus ont d'ores et déjà été mis en place dans d'autres pays tels que la Belgique, la Corée du Sud ou encore Israël, pays au sein duquel semblent avoir été utilisées les données de géolocalisation collectées depuis 2002 par les opérateurs télécoms afin d'identifier les Israéliens ayant en contact avec des personnes atteintes.
Newsletter
Ma Tribune
L’actualité qui compte pour vous, chaque jour dans votre boîte mail.
En France, la mise en place de mesures massives de collecte de données de santé et de géolocalisation ne semble pas, pour l'instant, acceptée, en témoigne l'amendement proposé au Sénat autorisant - très largement - "
toute mesure visant à permettre la collecte de traitement de données de santé et de localisation
"
pour une durée de six mois, lequel n'a pas été repris au sein de la loi n° 2020-290 du 23 mars 2020 d'urgence pour faire face à l'épidémie de covid-19.
Pour autant, l'impératif de gestion de la pandémie aura très vite raison de la méfiance sociale. Dans cette perspective, les déclarations du gouvernement montrent que l'idée d'un tel traitement ne semble toutefois pas abandonnée. Force est de constater que "
le diable est dans les détails
"
pour reprendre l'expression de F. Nietzsche, et que les contours de telles mesures n'ont à ce jour, pas été précisés par le pouvoir exécutif ni par le comité de chercheurs et médecins.
Ainsi, le principe d'un recours à la géolocalisation non anonymisée pour - tenter - d'enrayer la pandémie de covid-19 appelle des commentaires en matière de protection des données personnelles — il sera, au besoin, rappelé que l'article 4 du RGPD vise explicitement les données de localisation au titre des données à caractère personnel.
Une collecte légale dans le cadre de l'intérêt public
L'on se souvient que la CNIL a mis en demeure, en 2018, plusieurs sociétés pour défaut de recueil du consentement s'agissant de l'utilisation d'outils techniques "SDK " permettant notamment de collecter des données de géolocalisation des personnes à des fins de ciblage publicitaire.
Un tel consentement est-il nécessaire lorsque les données sont collectées aux fins d'enrayer une pandémie
?
Pour rappel, l'article 6 du RGPD précise qu'un traitement n'est licite que s'il répond à l'une des conditions suivantes dont notamment, le consentement de la personne concernée, la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique ou encore, l'exécution d'une mission d'intérêt public.
S'agissant de la gestion d'une crise sanitaire, le considérant du 46 du RGPD semble apporter un éclairage intéressant :
"Certains types de traitement peuvent être justifiés à la fois par des motifs importants d'intérêt public et par les intérêts vitaux de la personne concernée, par exemple lorsque le traitement est nécessaire à des fins humanitaires, y compris pour suivre des épidémies et leur propagation, ou dans les cas d'urgence humanitaire, notamment les situations de catastrophe naturelle et d'origine humaine."
Il semble donc ainsi que le RGPD puisse justifier un tel traitement aux fins de suivi de la propagation et de l'épidémie du covid-19.
La gestion des données sensibles
Par ailleurs, et dans la mesure où l'objectif de ce traitement est de déterminer les éventuels contacts avec des personnes infectées et testées positives au covid-19, il existe de grandes chances pour que des données de santé soient collectées.
Or, conformément à l'article 9 du RGPD, le traitement de telles données est par principe interdit. Il est toutefois autorisé lorsque le traitement "
est nécessaire pour des motifs d'intérêt public dans le domaine de la santé publique
"
(Art. 9. 2).
On notera aussi le considérant n° 53 du RGPD qui précise que "
les catégories particulières de données à caractère personnel qui méritent une protection plus élevée ne devraient être traitées qu'à des fins liées à la santé, lorsque cela est nécessaire pour atteindre ces finalités dans l'intérêt des personnes physiques et de la société dans son ensemble, notamment (...) à des fins de sécurité, de surveillance et d'alerte sanitaire."
Une fois encore, il semble que le traitement de telles données puisse être justifié au regard du RGPD.
Besoin d'une analyse d'impact
Conformément à l'article 35 du RGPD, une analyse d'impact relative à la protection des données doit être réalisée lors qu'un type de traitement, notamment par le recours à de nouvelles technologies et compte tenu de la nature, de la portée du contexte et des finalités du traitement, est susceptible d'engendrer des risques élevés pour les droits et libertés des personnes physiques.
À cet égard, il doit être précisé que la CNIL a établi une liste des traitements pour lesquels une analyse d'impact relative à la protection des données à caractère personnel était nécessaire. Parmi les traitements envisagés, la CNIL recense les traitements de données de localisation à large échelle, donnant ainsi à titre d'exemple "
application mobile permettant de collecter les données de géolocalisation des utilisateurs
"
.
Il semble ainsi que, si un tel traitement de géolocalisation des données à caractère personnel devait être effectué afin du déploiement, par le gouvernement, d'une "
stratégie numérique d'identification des personnes ayant été au contact de personnes infectées
"
, il serait difficile de s'affranchir de la réalisation d'une analyse d'impact — dont on rappelle qu'elle doit être réalisée avant le traitement, ce qui ne pourra que soulever des problématiques pratiques dans le contexte d'urgence sanitaire actuel.
Cependant, la France, ainsi que les autres pays du monde, se trouvent confrontés à une épidémie telle, qu'il n'est pas aisé d'anticiper les éventuelles observations de l'autorité de contrôle quant aux traitements de données à caractère personnel réalisés dans ce cadre, d'autant que l'état d'urgence sanitaire, comme état d'exception, risque de modifier profondément l'état du droit...
Il est à souhaiter que l'état d'exception ne devienne pas la condition normale, non plus que la délégation de la "décision" à des comités scientifiques ou à des intelligences artificielles traçeuses aussi éthiques soient-ils : se contenter de suspendre la vie ou la "datacollecter", fusse pour la protéger, peut générer un désastre tant pour l'économie que pour les individus.
Il est à espérer que les libertés publiques ne soient pas solubles dans le coronavirus.
