« StopCovid » : se conformer au Règlement sur la Protection des Données

Les gouvernements et les acteurs privés se tournent de plus en plus vers l’utilisation de solutions informatiques basées sur la collecte de données à caractère personnel pour la gestion de la crise sanitaire liée au Covid-19, ce qui soulève des problématiques sur le plan de la protection des données.

En effet, si la finalité de ses solutions informatique est fondé sur l’intérêt de santé publique, certaines solutions informatiques incluant par exemple la géolocalisation des individus peuvent faire craindre l’établissement de manière pérenne d’un État « Big Brother », fondé sur une surveillance accrue des individus sacrifiant par là même le droit à la vie privée et la liberté de circulation.

Pour faire face à ces craintes, les institutions en charge de la protection des données au sein de l’Union Européenne (le « Comité Européen de la Protection des Données » ou « CEPD ») ainsi que les autorités de contrôles nationales, telles que la CNIL en France, œuvrent aux côtés des gouvernements des États Membres afin encadrer les projets nationaux de solutions informatiques en conformité avec le Règlement sur la Protection des Données (« RGPD »).

À cet égard, le CEPD comme la CNIL confirment l’application du RGPD à toute collecte de données à caractère personnel d’individus (y compris les données de connexion informatique et/ou de localisation) utilisées dans le cadre d’une solution informatique relative au Covid-19, qu’elle soit mise en œuvre par un État Membre ou un acteur privé.

Par conséquent, la solution devra impérativement répondre à tous les principes établis par le RGPD et en particulier la proportionnalité et la minimisation des données. Ces principes requièrent une collecte et une conservation des données limitées à ce qui est strictement nécessaire pour les besoins de la solution. En pratique, l’utilisation de données des individus devra se faire sur la base du consentement et en évitant l’utilisation de

technologies de suivi des déplacements, comme la géolocalisation.

En France, le gouvernement a proposé la mise en place d’une application « StopCovid » qui permet d’informer les personnes l’ayant téléchargée et qui ont été à proximité d’une personne ayant été testé positif au Covid-19 dans un passé proche.

L’application « StopCovid » présente déjà certaines garanties de protection de la vie privée des personnes :

• Une finalité de l’application limitée à l’alerte de personnes exposées au risque de contamination. Aucune finalité de suivi des personnes exposées au Covid-19 n’est prévue ;
• Le téléchargement et activation de l’application basés sur volontariat ;
• L’utilisation de pseudonymes permettant de limiter le risque de réidentification des individus et d’empêcher la création d’une liste de personnes contaminées ;
• L’utilisation de la technologie Bluetooth pour un « suivi des contacts » plutôt qu’un « suivi des déplacements » des personnes exposées au Covid-19. L’application ne permet donc pas la géolocalisation des individus.

Même si l’application présente ces garanties, le gouvernement à encore beaucoup de travail pour implémenter les principes du RGPD jusqu’au déploiement effectif de la solution.