Un cadre légal est en train de se préparer, par le biais d’une proposition de loi, afin de baliser en amont le déploiement (éventuel) d’une appli de traçage de contact permettant aux personnes diagnostiquées positives au coronavirus ou aux autorités d’alerter des personnes qu’elles auraient croisées et potentiellement contaminées.

A noter que si le fédéral a la main pour la définition de ce cadre légal, c’est aux entités fédérées qu’il revient d’assurer le traçage des contaminations. Tout comme pour le traçage manuel, il leur reviendra donc de se charger du volet éventuel appli numérique. A cet égard, une coordination et entente entre Régions sera donc nécessaire, à la fois pour veiller à ce que les solutions développées soient conformes au cadre légal et pour faire en sorte qu’il n’y ait pas de disparité dans les choix de la ou des applications numériques.

Quid de la coordination et cohérence entre Régions? Risque-t-on de voir apparaître plusieurs applications, nécessairement interopérables, de voir l’une ou l’autre Région faire “bande à part” en n’autorisant pas un tel déploiement? Le discours se veut rassurant du côté des politiques. Ainsi Gilles Vanden Burre (Ecolo), co-auteur de la résolution et de la proposition de loi (traçage numérique), estime que “depuis le début de la crise, la philosophie de travail a été, à tous les niveaux de pouvoir, de travailler sur les mêmes procédures de traçage. Il n’y a pas eu et ne devrait donc pas y avoir de choix différents d’une Région à l’autre.

Chaque Région restera maître de sa décision, en matière de financement et de déploiement de la solution de traçage numérique. Mais cela se fera en bon entendement intersidéral et avec le soutien du fédéral. Comme ce fut le cas avec l’activation des call centers pour le traçage manuel.”

Résolution, proposition et parcours législatif

Le parcours législatif ressemble souvent à une procession d’Esternach et à un puzzle de propositions, amendements, débats, compromis… Dans le cadre de la crise du coronavirus et des solutions de “traçage de contact”, gouvernement (fédéral) et Parlement ont progressé selon ce qui peut ressembler à une démarche bien peu coordonnée, voire même dans une certaine mesure antagoniste. Les choses semblent toutefois devoir s’aplanir au cours des jours ou semaines à venir.

Il y eut, d’une part, l’Arrêté Royal sur la constitution d’une base de données supportant le traçage manuel (via enquêteurs et call centers) – l’A.R. peut être consulté ici.
Quasi dans le même temps, des parlementaires (Ecolo et Groen, bientôt rejoints par des collègues d’autres partis) ont tout d’abord élaboré une proposition de résolution (relire notre article “Traçage de contact: ça cogite…”) qui s’est ensuite muée en proposition de loi.

La manière dont ces deux textes balisent la nature des données collectées et la manière dont elles seront stockées et gérées diffère à certains égards. Ce qui imposera, à un moment donné, que l’on réconcilie les modalités.

Traçage manuel. Un rôle-clé du centre d’appel. Source: Sciensano.

Par ailleurs, l’Arrêté Royal “traçage manuel” n’a qu’une durée de validité limitée dans le temps. Il arrive à échéance le 4 juin et devra faire place à un projet ou proposition loi en bonne et due forme.

De son côté, la proposition de résolution sur le traçage numérique a été adoptée en séance plénière au Parlement  ce mercredi 20 mai tandis que le texte de proposition de loi, qui en est l’émanation, en est arrivée, le même jour, au stade de la délibération en commission. A noter qu’entre-temps, le contenu et l’orientation du texte préparé par les parlementaires avait reçu le soutien, au nom du gouvernement, du ministre Philippe De Backer, compétent en matière d’approvisionnement en matériel médical (compétence que lui a déléguée Maggie De Block) et de protection de la vie privée. Après étude des amendements qui ont été déposés, on attend désormais le passage au vote.

Ce petit rappel du parcours suivi à ce jour par les différents textes, voyons maintenant plus en détail les arguments et contre-arguments qui s’échangent en matière d’efficacité, de légalité et de respect de la vie privée pour ces deux méthodes de “traçage”.

Traçage numérique, moyennant garanties

Voici les grands principes posés par le texte de la proposition de loi:

– principe du fonctionnement “mixte” centralisé-décentralisé (tel que défini par le système DP³T – Decentralised Privacy-Preserving Proximity Tracing)
– publication du code source de l’application
– téléchargement sur base volontaire, par la personne contaminée, des informations anonymes de contamination dans une liste centrale
– possibilité de participer à une recherche épidémiologique: chaque citoyen aurait la possibilité d’activer cette option, avec transfert quotidien systématique des informations vers une base de données épidémiologique distincte ; les données – anonymisées – étant dans ce cas les suivantes: identifiant de l’utilisateur de l’application (clé aléatoire pour masquer son nom), son statut (contaminé ou non), et informations sur les contacts intervenus avec les personnes contaminées (sans géolocalisation ni horodatage).

Comment est sensée fonctionner l’appli?

Selon les règles de fonctionnement et de respect de la vie privée déterminées dans la proposition de loi belge (proches du modèle DP3T que nous évoquions dans cet autre article), le repérage entre smartphones se fait donc via Bluetooth et via échanges de numéros générés aléatoirement par les smartphones.

Les numéros qui seront mémorisés correspondront à des contacts entre personnes durant plus de 30 secondes et “ayant une force de signal minimum” [là, soulignons-le d’emblée, intervient potentiellement une imperfection possible de la technologie Bluetooth – voir l’encadré en fin d’article].

“Une personne ayant installé une application de traçage de contacts sur son smartphone pense qu’il/elle est contaminé(e) avec le COVID-19 et se dirige vers un prestataire de soins. Si le prestataire de soins confirme que cette présomption est correcte, un échantillon est prélevé et envoyé au laboratoire de référence. 

Le prestataire de soins donne une prescription pour le test avec le numéro NISS [n° de sécurité sociale] de l’utilisateur de l’application, le numéro de téléphone du patient et la date de la demande du test Covid-19. Le numéro de téléphone du patient est nécessaire pour pouvoir contacter le patient pour le traçage des contacts en cas de contamination.”

De son côté, le patient fournit à Sciensano son numéro de téléphone (pour pouvoir l’avertir en cas de contamination) et la date de la demande du test.

L’application envoie à Sciensano des informations anonymisées “permettant de vérifier l’authenticité et l’intégrité des données”.

L’application envoie par ailleurs un code de vérification au prestataire de soins, pour confirmation du test – à la fois par le médecin et le patient

En cas de test positif, le patient est “contacté par un prestataire de soins” et peut alors encoder, sur base volontaire, son état dans l’application. Cette dernière relaie l’information vers la base Sciensano qui, en retour, en guise de nouvelle vérification d’authenticité, expédie via SMS un code de vérification à l’utilisateur. Ce dernier devra l’encoder dans son appli.

Dès cet instant, l’appli est “autorisée” à communiquer la date de contamination et la clé aléatoire unique attribuée à l’utilisateur (“masquant” son identité). Ces deux informations, anonymisées, seront stockées dans le répertoire central des personnes contaminées.

Dès qu’une clé unique est transmise et enregistrée dans la base de référence centrale, elle ne pourra plus être utilisée sur les smartphones disposant de l’appli – histoire d’éviter tout duplicata malencontreux et erreur d’identification.

Tous les smartphones contactent régulièrement la base Sciensano afin d’y “détecter” la présence d’une clé qui correspond à la liste des clés qu’ils ont reçues automatiquement des smartphones croisés au cours des trois dernières semaines (toujours selon les critères de 30 secondes minimum de “contact” et selon un degré de puissance donné du signal). En cas de concordance, l’appli se trouvant sur le smartphone de la personne “exposée” l’en avertit. 

Durée de conservation des numéros [identifiant les smartphones ayant été en contact]: “maximum trois semaines”

Ce que l’application stocke

– les clés uniques sécurisées, générées aléatoirement
– les numéros de série temporaires non personnalisés générés par les applications
– le fuseau horaire avec “date et partie de la journée de six heures dans laquelle un contact entre utilisateurs a eu lieu”
– la distance et la durée du contact.

A noter toutefois que les données correspondant à la date exacte, à la durée de contact et à la distance entre les deux smartphones ne sont pas communiquées aux utilisateurs – en respect des règles de la vie privée.

Garde-fous

L’une des craintes souvent exprimée est que l’utilisation qui sera réellement faite des données collectées par l’appli dépasse la finalité première. Que les données, gérées centralement par Sciensano, soient croisées, combinées à d’autres bases de données gérées et accessibles par d’autres personnes ou acteurs (publics ou privés). Par exemple, les bases de données de l’INAMI ou de la Banque Carrefour de la Sécurité sociale. “A l’avenir, ce genre de croisement pourrait donc servir à renforcer le profilage social ou médical”, déclare en guise de scénario possible Elise Degrave, co-directrice de la Chaire E-gouvernement de l’université de Namur.

“La finalité doit impérativement être unique et limitée”, confirme pour sa part Jean-Marc Van Gyseghem, partenaire-associé auprès du cabinet juridique Rawlings Giles. “La base de données doit être gérée uniquement par Sciensano et uniquement pour stocker les données de traçage manuel et, à terme éventuellement, les données collectées par traçage numérique. L’Inami, par exemple, dispose de ses propres données (données de soins, de prescriptions…). Il n’y a aucune nécessité de croiser avec d’autres bases de données.”

Autrement dit, l’Inami, pour la mission qui lui incombe, n’a aucune raison de devoir disposer des données de traçage Covid dans la mesure où les personnes une fois diagnostiquées positives rentrent dans le circuit de soins, avec “trace” et données associées atterrissant dans ses propres bases de données.

Eriger des balises et barrières pour éviter que des bases de données soient croisées à des fins dépassant l’objectif premier du traçage de contact, par exemple à des fins de profilage social ou médical.

Certains craignent que la manière dont l’Arrêté Royal [traçage manuel] a été rédigé laisse en fait la porte ouverte à ce type de croisement, d’utilisation à des fins tierces, ou autorise une “perméabilité” entre bases de données. Cette crainte a d’ailleurs été exprimée également par l’Autorité de Protection des Données (APD). Chose que n’a pas manqué de relayer la Ligue des Droits de l’Homme qui déclarait ainsi, sur son site Internet, en date du 1er mai: “L’avis de l’APD met en évidence que le gouvernement n’a pas correctement déterminé quelles données seront collectées et traitées. L’APD se demande si ces données ne seront pas utilisées, par exemple, pour contrôler les médecins. Ou pour permettre de recruter pour certains emplois des personnes immunisées. Ou encore pour refuser le remboursement de soins médicaux aux personnes qui n’ont pas suivi certaines recommandations.”

Jean-Marc Van Gyseghem est moins inquiet: “La phrase de l’Arrêté Royal qui pose sans doute problème est celle qui dit “la collecte de données est nécessaire en vue d’études scientifiques, statistiques et/ou d’appui à la politique future, après pseudonymisation.”

”Appui à la politique future…” Toutefois, la suite du texte clarifie la chose en précisant que c’est “uniquement possible pour les épidémiologistes associés au Covid-19 Risk Assessment Group ou pour des épidémiologistes autorisés par le comité de sécurité de l’information, après pseudonymisation.” Le type de personnes pouvant accéder aux données et le pourquoi de l’accès sont donc clairement précisés et limités.”

Le texte de la proposition de loi sur le traçage numérique souligne, lui aussi, le rejet de tout de croisement de bases de données. Que dit la proposition de loi à ce sujet?

“Il est primordial que les données des différents banques de données chez Sciensano ne soient pas liées à d’autres banques de données, en particulier avec des banques de données qui contiennent le numéro de téléphone de la personne concernée. Le responsable de traitement doit strictement respecter cela, aussi par rapport à d’autres banques de données qu’il gère lui-même. Vu l’expertise pointue de Sciensano en matière de protection des données relatives à la santé à des fins de recherche scientifique et l’implémentation de méthodes solides en matière de sécurisation et de pseudonymisation des données, Sciensano semble le responsable le plus apte pour ce traitement.”

Il est toutefois un autre croisement qui devra se faire: celui des bases de données de traçage manuel et de traçage numérique. Mais, selon Jean-Marc Van Gyseghem, cela ne pourra se faire qu’en suivant un mécanisme qui respecte le mieux possible les exigences de protection de la vie privée.

Pour la lutte contre le coronavirus, les données sont réceptionnées et agrégées par Sciensano. Les Régions étant compétentes en termes de mécanismes de suivi et de traçage (l’opération relève en effet du principe de prévention), c’est à leur niveau que sont mis en oeuvre les leviers de traçage – que ce soit le centre d’appel et les “enquêteurs” ou l’appli. La base de données de suivi de contact est donc activée au niveau de chaque Région.

Jean-Marc Van Gyseghem estime dès lors que la fusion entre données de contact (par traçage manuel et par traçage numérique) doit s’effectuer au niveau de cette base régionale, et non au niveau fédéral de Sciensano. “La vie privée est mieux protégée si tout n’est pas centralisé”.

Au niveau de Sciensano, il devrait donc subsister, selon lui, deux bases distinctes. Sauf – car il y a une exception envisageable – si l’on se place dans le cadre de la recherche épidémiologique, utilisation potentielle qu’autorisera la proposition de loi actuelle (mais uniquement sur base de données pseudonymisées/anonymisées).

(crédit: PCImpact)

Autre garde-fou (anti-dérive) que prévoit la proposition de loi sur le traçage numérique: “Les applications numériques de traçage de contacts sont désactivées par le responsable du traitement [Ndlr: en l’occurrence ici Sciensano si les termes de la proposition de loi sont maintenus] aussitôt que le jour de la publication de l’arrêté royal proclamant la fin de l’état d’épidémie du coronavirus COVID-19”. 

Autrement dit, l’appli devrait devenir inutilisable par quiconque, même si l’utilisateur ne l’a pas désinstallée de son smartphone. Reste à déterminer le mécanisme de “désactivation”.

Vent debout

Alors que le débat au Parlement se poursuivait, les anti-traçage se sont fait entendre, certains publiant par exemple une lettre ouverte qui évoquait notamment le risque de voir l’appli numérique revêtir un caractère obligatoire du fait de la “pression sociale” – même si le principe de l’utilisation facultative, laissée au bon vouloir de chacun, est préconisé par les autorités.

La proposition de loi fait allusion à ce risque et veut le désamorcer en prévoyant ceci: “Afin de ne pas freiner l’encouragement du citoyen à installer une application, ce projet n’impose pas des sanctions autres que de référer indirectement aux sanctions déjà applicables en vertu de législation en vigueur telle que par exemple la législation en matière de non-discrimination.”

Ou encore: “Il est aussi explicitement prévu que la non installation, la non utilisation et la non désinstallation d’une application de traçage de contacts ne peut donner en aucun cas lieu à une mesure quelconque civile ou pénale, ni à quelconque action discriminatoire.”

Beaucoup de discours se sont tenus au sujet des risques de dérapage, de prolongation indue de mesures de traçage automatique décidées en raison de l’urgence, de manière en principe temporaire. Les anti-traçage estiment que le risque est trop grand pour ne mettre ne fut-ce que le bout du doigt dans l’engrenage.

Du côté de ceux qui préconisent ou acceptent le traçage numérique, on veut avant tout signaler que le concept de santé publique doit prendre le pas sur la notion de vie privée, sans pour autant l’effacer ou le mettre en péril. Voici ce qu’en dit Jean-Marc Van Gyseghem: “Dans le contexte exceptionnel qui est actuellement le nôtre, il faut réaliser un nécessaire équilibre entre vie privée et droit à la santé. Il n’y a plus prédominance de la vie privée, qui fait place, sans pour autant s’effacer, à des mesures privilégiant la santé et l’intérêt général.”

L’avis est similaire du côté par exemple de Gilles Vanden Burre (Ecolo): “Nous vivons un moment intense et grave. Les choix ne sont pas simples. Il s’agit avant tout de sauver des vies. Il faut donc faire la balance avec les libertés et les droits individuels. Mais rappelons que ces libertés sont déjà en partie touchées par le traçage manuel, par le fait que nous sommes obligés de rester chez nous ou de n’avoir pu nous déplacer, dans certaines circonstances, que moyennant autorisation spéciale…”

Manuel, peu ou prou intrusif?

La méthode de traçage “manuel”, par intervention d’enquêteurs et de call centers, n’est pas forcément davantage respectueuse de la vie privée qu’une solution numérique. Même si la collecte de données personnelles qu’elle suppose n’est pas automatique, elle demeure nécessaire. Et pas uniquement de la part des autorités publiques et du centre d’assistance chargé d’identifier et d’avertir les personnes potentiellement contaminées.

Pour pouvoir les désigner aux enquêteurs du centre d’assistance les personnes à qui elles risquent d’avoir transmis le virus doivent évidemment connaître leur identité et savoir comment les joindre ou communiquer leurs coordonnées.

Imaginez que vous deviez, jour après jour, demander à chacun et chacune que vous croisez de vous décliner leurs nom et coordonnées… “Juste au cas où” dans un délai de deux ou trois semaines vous soyez vous-même diagnostiqué comme porteur du virus!

D’autres arguments sont évoqués pour souligner les aléas de la méthode manuelle. Voici ce qu’en dit le texte de la proposition de loi sur “l’utilisation d’applications numériques de traçage de contacts par mesure de prévention contre la propagation du coronavirus Covid-19 parmi la population”: “Il est évident que l’application de cette méthode de traçage de contacts implique une interférence importante dans la vie privée de la personne concernée. De plus, l’efficacité est limitée, vu qu’il n’est pas toujours possible de se rappeler exactement avec qui on a eu des contacts pendant une certaine période de temps, encore moins d’avoir les données de contact de toutes ces personnes. Cela demande également du temps d’atteindre ces personnes de contact, ce qui implique qu’elles ont pu à leur tour contaminer d’autres personnes entre-temps.”

Gain de temps, collecte rapide et précise de la durée de contact et de quelques coordonnées de contact… sont donc deux arguments évoqués en faveur du traçage numérique.

Le texte de l’Arrêté Royal a suscité un certain nombre de réactions et de commentaires négatifs.

Aux yeux de Jean-Marc Van Gyseghem, l’un des problèmes se situe au niveau du type de données qui seraient collectées, dont certaines, selon lui, ne sont pas nécessaires au vu de la finalité. “Pourquoi, par exemple, collecter le numéro de registre national? Seule raison éventuelle, avoir la possibilité d’établir l’identité d’une personne sans équivoque possible.” Ou alors il faudrait préciser dans le texte les raisons pour lesquelles on demande cette information…

Chez Ecolo, la durée de conservation des données à des fins d’utilisation épidémiologique (30 ans après le décès de la personne) est considérée comme trop longue.

Autre critique, déjà évoquée plus haut dans l’article, la “porte ouverte” que le texte laisserait éventuellement à un croisement avec d’autres bases de données.

Le texte, à certains endroits, est trop flou, estime encore Jean-Marc Van Gyseghem. Ce à quoi la proposition de loi (co-rédigée par la Ligue des Droits de l’Homme et Amnesty International), actuellement à l’étude, tente de remédier “mais le texte en est trop compliqué”. D’un excès à l’autre?

Deux démarches complémentaires

En principe (du moins on peut l’espérer), la solution qui sera finalement choisie ne sera pas “tout l’un ou tout l’autre”. Le traçage numérique, à condition bien entendu qu’il soit strictement encadré et balisé – tant technologiquement que légalement, peut être d’une aide précieuse en complément des signalements et “repérages” manuels.

De toute façon, l’intervention humaine, manuelle, restera nécessaire – pour vérifier certains signalements, pour rectifier des données collectées imprécises ou incomplètes et faire un tri parmi les durées et “qualités” de contacts induisant un doute. Ou encore pour avertir toutes les personnes qui ne possèdent pas de smartphone ou qui n’auraient pas téléchargé ou activé l’appli. Ou encore, comme le souligne Jean-Marc Van Gyseghem, pour rendre l’opération de traçage et de notification efficace pour les personnes qui disposent certes d’un GSM équipé en Bluetooth (qui auraient donc été “repérés” par un smartphone doté de l’appli) mais qui sont d’un modèle trop ancien pour pouvoir accueillir ladite appli. “D’anciens Nokia, il en existe encore…” Il est dès lors nécessaire, souligne-t-il, que l’on ait le numéro de téléphone de ces personnes. D’où la nécessité de combiner traçage (et alerte) manuelle et numérique et d’autoriser un modèle de centralisation des données (via Sciensano).

Jean-Marc Van Gyseghem (Rawlings Giles): “Dans le contexte de la question centralisation [des données] ou décentralisation, il faut travailler en termes d’efficacité. Il faudra sans doute allier les deux approches. La centralisation permet en outre d’utiliser les données pour des appels manuels destinés aussi à conscientiser les gens.”

Toujours en se basant sur un raisonnement d’efficacité, il voit encore une raison en faveur d’une combinaison et complémentarité entre traçage manuel et traçage numérique: “certains individus ont peur de révéler volontairement leurs contacts. Ce qui pose un problème dans la quête de l’éradication du virus.” Une appli numérique permettrait de combler, ne serait-ce qu’en partie, la lacune ouverte par la “frilosité” de certains…