Stopcovid : au mieux inutile, au pire risqué

Par Frédéric Mas.

Lundi, la CNIL s’est prononcée sur Stopcovid, cette application pour smartphones mise à disposition par le gouvernement pour alerter la population des risques de contamination au coronavirus. Pour la commission chargée de protéger nos données personnelles, « l’application ‘StopCovid’ ne conduira pas à créer une liste des personnes contaminées mais simplement une liste de contacts, pour lesquels toutes les données sont pseudonymisées. »

En conséquence, elle n’enfreint pas la législation sur la protection des données. La CNIL donne son feu vert au gouvernement pour le tracing de Stopcovid car celui-ci a pris en compte les réserves et les observations de la commission, en particulier en confirmant son caractère optionnel, le droit à l’effacement des données personnelles enregistrées et le libre accès du code source de l’application et du serveur.

Stopcovid devrait donc être applicable sur IOS et smartphones dès ce week-end, ou au plus tard lundi.

« Pas d’intérêt caché »

Cédric O a infatigablement fait la promotion de cette application depuis le début de la crise, assurant que toutes les garanties étaient réunies pour que les données traitées le soient avec le plus de prudence possible.

L’outil se présente comme une solution technologique pour sortir du confinement tout en se prévenant contre un éventuel redémarrage de la pandémie. En d’autres termes, selon ses défenseurs, il est le meilleur moyen d’éviter un retour au confinement strict tout en garantissant la sécurité sanitaire des citoyens, au prix d’un sacrifice minimum en matière de vie privée et d’informations personnelles.

Pourtant, dès le début du projet, et même avec les corrections et garanties apportées par l’État, à droite comme à gauche, des voix se sont élevées pour protester au nom des libertés publiques. Dès le 25 avril, plusieurs organisations marquées à gauche, dont la CGT et La Quadrature du Net, signaient un texte dans Le Monde afin de s’opposer à StopCovid.

Le précédent Cambridge Analytica

Pour elles, même si les garanties apportées par l’État étaient vraies, l’outil pourrait vite se transformer en un scandale « Stopcovid Analytica », c’est-à-dire une nouvelle version du scandale Cambridge Analytica dans lequel des millions de comptes Facebook ont été utilisés pour stocker des données privées :

« À aucun moment ces sujets n’avaient consenti à la réutilisation de leurs informations dans le cadre de la campagne du Brexit ou dans l’élection présidentielle de Donald Trump. Cela est arrivé ensuite, lorsque les chercheurs ont voulu monétiser les données, initialement collectées dans un but théoriquement désintéressé, par le biais de l’entreprise Cambridge Analytica. »

Ainsi, si les premières étapes du tracing se font dans un but désintéressé et conformément aux lois et règlements protégeant les données personnelles, elles sont en quelque sorte la première étape pour rendre possibles les brèches de sécurité et la monétisation des données par les intérêts particuliers, et cela sans le consentement des citoyens.

Croire que l’État puisse être un rempart efficace, imperméable aux intérêts particuliers portés par le capitalisme de connivence, ou plus simplement les ambitions de son personnel politique présent ou futur, semble en effet au mieux naïf. Le principe de précaution appliqué aux mesures étatiques touchant à notre vie privée à l’époque de l’état d’urgence sanitaire devrait nous inciter à nous opposer à ce genre d’initiative. Avec un peu de chance, le projet sera abandonné en cours de route à cause de son inutilité.

Le centralisme français à la manœuvre

Stopcovid est à l’origine un projet européen mené par un collectif d’institutions et de laboratoires, le PEEP PT, avec comme éléments moteurs l’Allemagne et la Suisse. Ces derniers se sont d’abord retirés du projet, préférant les solutions proposées par Apple et Google.

Selon le Journal du Net : « Le gouvernement allemand a dénoncé le fait que l’application de traçage envisagée avait recours à un serveur qui centralise toutes les données. En France, c’est l’Inria qui pilote, sous la supervision du gouvernement, la task force française composée de chercheurs et développeurs issus du public comme du privé. » Cette centralisation s’explique selon Cédric O pour des raisons de protection des données et « de problèmes d’interconnexion avec [notre] système épidémiologique ». La garantie d’indépendance et d’efficacité de l’État protecteur est donc aussi conditionnée à son contrôle par la bureaucratie sanitaire française.

La partie de bras de fer entre États européens et géants de la tech constitue la toile de fond du débat européen. L’Allemagne, par pragmatisme plus que par conviction, a laissé les grandes entreprises de la Silicon Valley poser ses conditions pour la constitution de l’app, là où la France a préféré s’y opposer.

La position française est-elle pour autant plus efficace que celle allemande en matière de protection des données ?

La possibilité « Stopcovid  Analytica » reste envisageable, et la monétisation redoutée ne pourrait être que retardée ou réservée à certains futurs clients de l’État français.

Santé publique et raison d’État

Il s’agit d’abord d’un problème classique de théorie politique plus que d’expertise scientifique : les hommes de l’État sont-ils plus désintéressés que ceux du privé ? Une fois que l’État aura mis un pied dans la porte, qu’est ce qui garantit qu’un gouvernement, au nom de l’urgence ou de l’efficacité administrative, modifie a posteriori la législation pour améliorer un dispositif de surveillance déjà en place, ou l’outsourcer vers certaines entreprises clientes de l’État ?

Felix Tréguer de la Quadrature du Net met en garde contre « les noces de la santé publique et de la raison d’État » inspirées par le modèle de surveillance chinois : « Qu’il s’agisse de modéliser la propagation de l’épidémie et les déplacements de la population, de localiser des individus ou de retracer leurs interactions sociales pour détecter de nouvelles contagions, les États et leurs partenaires privés légitiment des dispositifs jusqu’ici réservés au contrôle social des déviants¹. »

Dans le nouveau modèle sécuritaire né de la crise sanitaire, l’ensemble des dispositifs de surveillance normalise l’état d’urgence, ses mesures d’exceptions et la légitimité des politiques à suspendre nos libertés au nom de la santé publique. Ouvrir une nouvelle brèche qui pourrait se révéler à moyen terme attentatoire à la vie privée des citoyens ordinaires en vaut-il vraiment la chandelle, ne serait-ce qu’en prévision des bénéfices espérés de la légalisation de StopCovid ?

Une fois l’application déployée, il sera très facile pour le gouvernement de lui apporter des correctifs coercitifs de contrôle individuel, et de faire accepter d’autres mesures de contrôle social du même type, comme la reconnaissance faciale.

Et si l’application ne marchait pas ?

Il existe aussi un problème technique fondamental : l’application fonctionnera-t-elle correctement ? En choisissant de s’opposer frontalement aux propositions de Apple et de Google pour privilégier ses propres champions, l’État français a pris le risque de développer une application dont le code pourra comporter des erreurs et des incompatibilités avec les supports smartphones et Iphone. Cédric O a eu d’ailleurs l’occasion de rappeler à plusieurs reprises les réticences d’Apple, qui risquent d’amoindrir l’efficacité du dispositif.

Plus généralement, l’efficacité de Stopcovid est conditionnée à un certain nombre de facteurs qui pourraient tout simplement la rendre inutile. Pour être efficace, l’app devra être massivement utilisée par les Français, que ces Français soient massivement testés, et que la connexion Bluetooth sur laquelle elle repose puisse repousser ses limites techniques.

J’ai essayé, de bonne foi, de résumer les cas dans lesquels l’app StopCovid sera utile. Voilà ce que ça donne : pic.twitter.com/nlzxiNKqsO

— Marie Turcan (@TurcanMarie) May 26, 2020

Enfin, il faudrait trouver une solution pour ceux qui n’ont pas de smartphones. Et ils sont nombreux. Nos experts nationaux y planchent activement. Entretemps, beaucoup d’argent public aura été utilisé pour pousser un projet destiné à rejoindre le cimetière des grands projets d’État sans suite.

Stopcovid est donc au pire une étape supplémentaire dans la constitution de l’État de surveillance, et au mieux une entreprise de gaspillage d’argent public aux résultats incertains. Le déconfinement a-t-il vraiment besoin de ça ?