StopCovid : l’application est opérationnelle annonce Bercy / la Cnil donne son feu vert

La Cnil « relève que le ministère considère que le droit à l’effacement et le droit d’opposition ne sont pas applicables dans le cadre de la mise en œuvre du dispositif », alors que selon elle, « s’agissant d’un traitement basé sur le volontariat des personnes concernées », ces deux droits « devraient être pleinement applicables ». La Commission « prend acte de l’engagement du ministère à modifier le projet de décret sur ces points ».

Elle « insiste » sur « la nécessité de délivrer une information compréhensible par le plus grand nombre », dans la mesure où « une partie importante de la population est susceptible d’être concernée par le dispositif ».  L’avis demande « des modalités permettant aux personnes en situation de handicap d’en prendre connaissance » ainsi qu’« une attention particulière accordée aux mineurs  », pour que « l’application soit utilisée à bon escient et que le message d’alerte susceptible de leur être adressé soit adapté et bien interprété ».

La Cnil constate que, selon le projet de décret, « certains éléments  » du « code informatique » de l’application ou du serveur central « ne seront pas rendus publics  », « car cela mettrait en danger l’intégrité et la sécurité de l’application ». Elle juge « important » que « l’intégralité du code source » soit rendu public, « accueille favorablement l’engagement du ministère » en ce sens et « suggère que le décret soit modifié en conséquence ».

La Cnil demande « que l’impact effectif du dispositif sur la stratégie sanitaire globale » soit « étudié et documenté de manière régulière pendant toute la période d’utilisation de celui-ci », « indépendamment du rapport d’évaluation prévu par le décret » afin de « s’assurer de son utilité au cours du temps ».  Elle juge cette évaluation « essentielle », dès lors qu’un tel outil « n’est admissible  », selon elle, « que s’il contribue utilement à la politique sanitaire ». La Commission « demande que ces rapports de suivi lui soient communiqués au fur et à mesure de leur établissement ».

Relevant que le ministère prévoit d’avoir recours à un « captcha » ((le terme « captcha » désigne est un test de défi-réponse utilisé pour vérifier que l’utilisateur n’est pas un robot) lors de l’initialisation de l’application « afin de vérifier que celle-ci est bien utilisée par une personne physique » et que ce captcha « repose, dans un premier temps, sur l’utilisation d’un service assuré par un tiers », la Cnil « constate que le recours à ce service est susceptible d’entraîner la collecte de données personnelles non prévues dans le décret » ainsi que « des transferts de données hors de l’Union européenne » et « des opérations de lecture/écriture qui nécessiteraient un consentement de l’utilisateur ». La Commission « appelle le ministère à la vigilance » sur ce point et « souhaiterait que des développements ultérieurs de l’application permettent rapidement l’utilisation d’une technologie alternative  ».

« L’absence de prise en compte par l’application du contexte des contacts est susceptible d’entraîner la génération de nombreux faux positifs », affirme la Cnil, qui donne l’exemple des professionnels de santé ou agents d’accueil, « particulièrement susceptibles d'être notifiés par l’application comme étant à risque d’avoir été contaminés alors même qu’ils étaient protégés » par un masque ou une paroi séparatrice au moment où le contact a été enregistré. Elle propose « un bouton de désactivation temporaire, aisément accessible, sur l’écran principal de l’application » pour « réduire le nombre de fausses alertes correspondant à des moments où l’utilisateur n’est pas réellement exposé »

Fonctionnement de StopCovid - © Gouvernement