La Cnil a été auditionnée par la commission des lois le 8 avril sur l’utilisation de technologies d’analyse des données de localisation pour repérer les personnes atteintes du COVID-19.
Les technologies proposant une analyse des données de localisation des individus
Les technologies fondées sur l’analyse les déplacements de la population sont multiples : reconnaissance faciale, utilisations de drones, tracking, applications de « suivi de contacts » en utilisant la technologie des smartphones, etc.
L’analyse des données de localisation des individus permet aux autorités de :
- cartographier la propagation du virus ;
- faire respecter les mesures prises par les gouvernements ;
- faire du suivi de contacts.
La position de la Cnil
Dans son propos liminaire lors de son audition (1), la Cnil rappelle les règles issues du Règlement européen sur la protection des données du 27 avril 2916 (RGPD) et de la loi informatique et libertés modifiée.
- Respect du principe de licéité : Le traitement devra reposer sur une base légale : consentement, obligation légale, mission d’intérêt public ou sauvegarde des intérêts vitaux des personnes. Si un suivi individualisé des personnes était mis en œuvre, la Cnil privilégie le volontariat, avec un consentement réellement libre et éclairé. Le fait de refuser l’application ne devra avoir aucune conséquence préjudiciable.
- Possibilité de collecter des données de santé : La collecte de données de santé, en principe interdite, pourrait être autorisée par l’une des exceptions prévues à l’article 9 du RGPD et l’article 44 de la loi informatique et libertés modifiée, comme le consentement, la nécessité de la prise en charge sanitaire, l’intérêt public dans le domaine de la santé publique, etc.
- Limitation des finalités : Les données ne pourront pas être traitées ultérieurement à des fins autres que la gestion de la crise sanitaire.
- Respect du principe de minimisation des données : L’idée est de consommer le moins de données personnelles possible. Seules les données adéquates, pertinentes et limitées à ce qui est nécessaire pourront être collectées. La Cnil propose à titre d’exemple de collecter un identifiant unique généré lors de l’installation de l’application de suivi des contacts plutôt que de collecter des informations nominatives.
- Limitation de la durée de conservation : La durée de conservation des données devra être limitée à la finalité. Ainsi, la Cnil recommande de détruire les données ou de les conserver un temps limité et de façon protégée, pour ne servir qu’à des finalités complémentaires de recherche ou de gestion d’éventuels contentieux.
- Information des personnes concernées : Les personnes concernées devront être informées de manière transparente sur le dispositif mis en œuvre : données collectées, destinataire, finalité, etc.
- Garantie d’une sécurité appropriée : Le stockage des données en local, sur le terminal de l’utilisateur doit être privilégié.
- Dispositif adéquate, nécessaire et proportionné : Le dispositif mis en place devra être utile pour traiter la crise sanitaire et sans qu’aucune autre alternative efficace ne soit possible.
La Cnil recommande le traitement des données de localisation anonymisées, moins intrusif que le suivi individuel.
Ainsi, la Cnil fournit une première analyse « informatique et libertés » sur le recours à des technologies proposant une analyse des données de localisation des individus pour assurer un déconfinement le plus sécurisé possible. Les solutions numériques peuvent être un des éléments de ce déconfinement mais elles ne doivent pas être utilisées au détriment de la vie privée et des libertés individuelles.
Emmanuel Walle
Oriane Maurice
Lexing Département Social Numérique
(1) Cnil, Propos liminaire, audition commission des lois Assemblée nationale, 8 avril 2020.