Menu Fermer

Dans de nombreux États membres, divers acteurs gouvernementaux ont l’intention d’utiliser des applications de recherche des contacts ou “tracing social” afin de lutter plus efficacement contre le Coronavirus.

Le tracing social consiste au fait d’enregistrer l’identifiant électronique de tous les autres utilisateurs à proximité d’un utilisateur donné. Si cet utilisateur est testé positif ou diagnostiqué porteur du virus, le système peut avertir celles et ceux dont il a croisé la route au cours des jours précédents.

Ce type d’application soulève de nombreuses inquiétudes en lien avec le caractère intrusif et anxiogène des informations traitées et collectées.

Le comité européen de la protection des données vient à cet égard de publier des lignes directrices relatives aux principes à respecter lors du développement de telles applications ainsi que des conseils techniques.


Le Comité constate tout d’abord dans ses lignes directrices 04/2020 que les conditions dans lesquelles de telles applications contribueraient efficacement à la gestion de la pandémie ne sont pas encore établies.

Ensuite le Comité constate également la nécessité d’établir un cadre juridique, vu la sensibilité des données collectées, le caractère intrusif de l’application et la possibilité de dérives (contrôle de la population) et de réutilisation de ces données pour d’autres fins.

Le Comité énonce dans ce but un certain nombre de principes à respecter ainsi que des spécifications techniques (en annexe des lignes directrices), ces principes sont les suivants :

  • L’utilisation d’une telle application doit être strictement volontaire. On ne peut pas conditionner le fait de donner son accès à l’application à l’octroi de certains droits garantis par la loi. Les individus doivent garder un contrôle total sur leurs données à tout moment.
  • De telles applications sont susceptibles d’entraîner un risque élevé pour les droits et libertés des personnes physiques. Par conséquent, une analyse d’impact au niveau de la protection des données à caractère personnel doit être conduite avant leur déploiement.
  • Si des informations sur la proximité entre les utilisateurs de l’application peuvent être obtenues sans utiliser de données de géolocalisation alors ce type de données ne doivent pas être traitées par l’application.
  • Lorsqu’un utilisateur est diagnostiqué infecté par le virus du SRAS-Cov-2, seules les personnes avec qui l’utilisateur a été en contact rapproché au cours de la période d’incubation pertinente sur le plan épidémiologique doivent être informées.
  • Le fonctionnement de ce type d’application doit se conformer aux principes de minimisation des données et de protection des données dès la conception, ce qui implique pour le responsable du traitement :
    – Lorsqu’un utilisateur est diagnostiqué infecté, son identification et des informations concernant ses précédents contacts ne peuvent être diffusées qu’avec l’accord de l’utilisateur concerné. Il faut donc établir une méthode de vérification qui permette d’affirmer que la personne est en effet infectée sans identifier l’utilisateur.
    – Les informations stockées sur le serveur central ne doivent pas non plus permettre au responsable du traitement d’identifier les utilisateurs diagnostiqués comme infectés ou ayant été en contact avec ces utilisateurs, ni devrait-il permettre d’identifier d’autres catégories d’utilisateurs qui ne sont pas concernés.
  • Le fonctionnement de ce type d’application nécessite de diffuser des données lues par les appareils d’autres utilisateurs et pour ce faire afin de respecter le principe de limitation des traitements :
    -Il suffit d’échanger des identifiants pseudonymes entre les mobiles des utilisateurs (ordinateurs, tablettes, montres connectées, etc.).
    – Les identifiants doivent être générés à l’aide de processus cryptographiques de pointe.
    – Les identifiants doivent être renouvelés régulièrement pour réduire le risque de suivi physique et de croisement des données menant à une identification.
  • Ce type d’application doit être sécurisé pour garantir des processus techniques sûrs. En particulier:
    – L’application ne doit pas transmettre aux utilisateurs des informations leur permettant de déduire l’identité ou le diagnostic des autres utilisateurs.

Pourquoi s’interroger sur ces applications ?

Parce que c’est uniquement à ce prix qu’on peut mener l’analyse de la « nécessité » de l’ingérence et de sa « proportionnalité ». Pour le surplus, les caractéristiques techniques de cette application doivent faire l’objet d’un contrôle de conformité au RGPD (surtout à l’aune des principes de minimisation des données, de sécurité et de vie privée par dès la conception et par défaut.).

Pour plus d’information ou un avis de conformité au RGPD lors du développement de votre plateforme ou application, n’hésitez pas à me contacter via la section “me contacter” du blog.

fr_FRFrançais