Nous publions cette lettre adressée jeudi 7 mai à plusieurs parlementaires, en prévision de la discussion à l’Assemblée nationale, le lendemain, de l’article 6 du projet de loi prorogeant l’état d’urgence sanitaire. L’article 6 concerne spécifiquement la question des systèmes d’information qui sont mis en place pour lutter contre l’épidémie de covid-19.
La loi a été adoptée samedi après-midi par le Parlement, dans des conditions de débat très discutables, et les craintes exprimées dans cette lettre restent entières. La loi n’est pas encore en vigueur, cependant : le Conseil constitutionnel a été saisi dans la foulée. Il rendra vraisemblablement sa décision dans un délai record.

• par Stéphanie Lacour, directrice de recherche au CNRS¹ et Noé Wagener, professeur des universités en droit public²

Enseignants-chercheurs en droit, nous sommes directrice de recherches au CNRS pour l’une  et professeur des universités pour l’autre. Nous suivons de près, dans le cadre de nos recherches, le « projet de loi prorogeant l’état d’urgence sanitaire et complétant ses dispositions », qui est en train d’être débattu à l’Assemblée nationale ce jeudi 7 mai 2020, après avoir été adopté par le Sénat dans la nuit de mardi à mercredi.

L’une d’entre nous, Stéphanie Lacour, a récemment pris position dans le débat public au sujet de l’application Stop-Covid, en étant l’un des quatorze scientifiques ayant produit l’étude disponible sur le site https://risques-tracage.fr.

Nous nous intéressons particulièrement à l’article 6 du projet de loi, qui autorise la création de deux systèmes d’information nationaux pour lutter contre l’épidémie de covid-19 :

• le Système d’information national de dépistage populationnel dit « SIDEP », d’une part ;
• « Contact-Covid », d’autre part.

SIDEP sera alimenté par les laboratoires de test et les médecins, et aura pour finalité le suivi des opérations de dépistage et la diffusion des résultats des tests. Contact-Covid, téléservice du portail Ameli.Pro, sera destiné à recenser l’identité des « cas-contacts » indiqués par  les  malades, puis à proposer des mesures de dépistage, et, le cas échéant, de mise à l’isolement prophylactique. Les « brigades d’anges-gardiens » sont présentées comme les futures chevilles-ouvrières de Contact-Covid.

Dans ce contexte, nous avons pris bonne note de deux informations :

• La première, c’est que SIDEP et Contact-Covid « sont techniquement et juridiquement indépendants du projet Stop-Covid» (étude d’impact du projet de loi, p. 35), et que « le seul lien » qui existera « sera entre le SIDEP, le système d’information national sur le Covid, et Contact Covid, le service de l’assurance maladie » (Olivier Veran, Sénat, 5 mai 2020). Le ministre des Solidarités et de la Santé l’a assuré : il n’y aura pas de lien entre les systèmes d’information de l’article 6 du projet de loi, d’une part, et Stop-Covid, d’autre part. Pour plus de clarté, les sénateurs ont néanmoins préféré l’inscrire de toutes lettres dans le projet de loi, et ont ajouté un alinéa à l’article 6 en vertu duquel sont exclus des finalités de SIDEP et de Contact-Covid « le développement ou le déploiement d’une application informatique à destination du public et disponible sur équipement mobile permettant d’informer les personnes du fait qu’elles ont été à proximité de personnes diagnostiquées positives au covid-19 ».
• Dans le même temps, nous avons également noté que Stop-Covid, l’application française pour smartphone, destinée au traçage des malades atteints du Covid-19, est tout de même annoncée par un certain nombre d’acteurs comme devant être déployée à partir du début du mois de juin, avec des objectifs similaires en termes de traçage des personnes avec lesquelles les malades ont être en contact pendant la période d’incubation du Covid-19 pour une meilleure gestion épidémiologique de la crise. Le secrétaire d’État chargé du numérique l’a annoncé mardi 5 mai, les tweets du PDG de l’INRIA, qui communique beaucoup sur le système ROBERT proposé par des chercheurs de son organisme dans le cadre d’un consortium national développant l’infrastructure technique support de l’application Stop-Covid vont dans le même sens.

Dans ces conditions, nous nous posons la même question que nombre de députés et sénateurs : les données du SIDEP, de Contact-Covid et de Stop-Covid ne seront-elles jamais appelées à être croisées ? Notre objectif n’est pas de faire de la prédiction, mais de soulever une question légitime : est-il crédible de penser que ce croisement ne se fera pas ?

Nous ne le pensons pas. Pour l’expliquer, il faut reprendre le problème dans son ensemble.

Les inconvénients de l’article 6

S’il est adopté, l’article 6 du projet de loi actuellement débattu à l’Assemblée conduira à la création des deux systèmes d’information précédemment évoqués, SIDEP et Contact-Covid. Ces deux systèmes d’information seront alimentés par des individus, de manière non automatisée. En caricaturant un peu, on peut résumer la chose de la manière suivante : les laboratoires entrent dans SIDEP les résultats des tests et les médecins et les « anges-gardiens » entrent dans Contact-Covid les informations concernant les « cas-contacts ».

Nous ne nous attarderons pas ici sur les problèmes gigantesques que soulèvent ces deux systèmes d’information, qui nous inquiètent vivement. On les résumera en quelques mots seulement :

• Avec ces systèmes d’informations, on met en place des « méga-fichiers » de données particulièrement sensibles : les données de santé, d’une part : et les données des contacts des personnes malades (qu’on pourrait appeler « données de risque », du fait qu’elles reposent sur le risque de tomber malade du fait d’un contact avec une personne infectée), d’autre part, qui dévoilent de manière inédite les relations sociales de la population, avec tous les risques que cela comporte, en particulier en cas de piratage.
• Ces « méga-fichiers » de données particulièrement sensibles sont constitués sans le consentement des personnes intéressées, et ne sont que très partiellement anonymisés et pseudonymisés.
• Ces « méga-fichiers » sont conservés dans des systèmes d’information à la fois centralisés, mais aussi éparpillés dans des bases de données décentralisées, ce qui conduit à une explosion des risques et doit nécessairement nous mener à relativiser la crédibilité d’une mesure pourtant centrale du dispositif, à savoir sa limitation dans le temps et l’engagement que toutes les données seront effacées une fois la pandémie actuelle terminée ou au plus dans un an.
• Les modalités de leur remplissage (comment seront collectées les données des cas-contacts, en particulier) et d’accès (au niveau central et décentralisé) restent largement inconnues des parlementaires à ce stade. On sait seulement que l’accès, le partage et l’hébergement des données de santé sera ouvert comme jamais il ne l’a été auparavant, en particulier à des acteurs qui ne seront pas médecins, mais qui ne seront pas non plus nécessairement des individus soumis au secret professionnel et habilités à traiter des données de santé tels qu’ils sont définis – pourtant avec une grande largesse – à l’article L. 1110-4 du code de la santé publique. C’est une atteinte sans précédent aux derniers garde-fous qui entourent le secret médical dans notre pays.
• Le principe de la création de ces fichiers, qui fait l’objet de la discussion actuelle devant les deux chambres du Parlement, n’est précédé d’aucune analyse institutionnalisée de la CNIL, dont la saisine « pour avis » a été reportée, avec l’assentiment du Conseil d’Etat, au stade des décrets d’application mettant concrètement en œuvre les systèmes d’information envisagés. Ce report, qui pourrait passer pour purement technique, puisque la CNIL sera appelée à se prononcer sur les modalités concrètes des fichiers évoqués, prive pour autant les parlementaires des lumières de l’analyse de l’autorité administrative indépendante qui garantit, par son travail doctrinal de longue date et son implication constante dans les débats relatifs aux données à caractère personnel en général et aux données de santé en particulier, l’équilibre des éléments juridiques comme techniques nécessaires au fonctionnement des systèmes d’information de santé. Quel que soit le sens de son avis à venir, il n’aura pas éclairé les débats du pouvoir législatif, pourtant supposé garantir l’équilibre des intérêts indispensables à notre démocratie.

Mais le point qui nous inquiète le plus est le suivant, en réalité : le nombre de personnes prévues pour alimenter manuellement Contact-Covid risque d’être très inférieur aux besoins réels prévisibles, notamment si l’épidémie rebondit. Comme le remarque le rapporteur du projet de loi au Sénat, le Professeur Jean-François Delfraissy avait estimé à plusieurs dizaines de milliers de personnes les effectifs requis dans les « brigades d’anges-gardiens », mais le ministre table, lui, sur un chiffre « dix fois moins élevé ». Autrement dit, la pénurie en moyens humains pour alimenter les systèmes d’information n’est pas une hypothèse d’école à moyen terme.

On peut, dans ces conditions, prédire la manière dont les évènements prochains risquent de se dérouler, si l’épidémie repart à toute vitesse, par exemple en juillet : l’application Stop-Covid existera, d’un côté, qui permet de collecter automatiquement des informations sur les contacts des personnes malades ; et de l’autre côté, les deux systèmes d’information SIDEP et Contact-Covid fonctionneront, en particulier grâce au travail manuel d’identification des cas-contacts conduits par les « anges-gardiens ». Alors, certes, SIDEP et Contact-Covid seront « techniquement et juridiquement indépendants du projet Stop-Covid », comme le dit l’étude d’impact du projet de loi actuellement discuté à l’Assemblée. Mais combien de temps pourra tenir la séparation de ces deux ensembles ? Combien de temps, surtout, cette séparation sera-t-elle socialement et économiquement justifiable face au constat, presque irrémédiable, que les anges-gardiens seront débordés ?

Dans ces conditions, il est très probable que SIDEP et Contact-Covid, d’une part, et Stop-Covid, d’autre part, finiront par être combinés : des fichiers de données de santé et de « données de risque » non anonymisés se trouveront alors nourris par un système de collecte automatisée, issu de Stop-Covid, destiné à combler les défaillances de l’identification manuelle des cas-contacts.

Les risques du croisement

Ce choix probable de croiser les fichiers, nous soupçonnons qu’il aurait dû être fait par le gouvernement lui-même. C’était sans doute l’utilité principale de l’habilitation à légiférer par voie d’ordonnance initialement prévue dans le projet de loi, que le Sénat a supprimée. Ce choix sera donc celui du Parlement, a fortiori si la loi qui sera adoptée ce weekend exclut des finalités de SIDEP et de Contact-Covid « le développement ou le déploiement d’une application informatique à destination du public et disponible sur équipement mobile permettant d’informer les personnes du fait qu’elles ont été à proximité de personnes diagnostiquées positives au covid-19 ».

On pourrait se dire qu’une telle conclusion est assez saine : c’est au Parlement qu’il reviendra alors de trancher le croisement de SIDEP, Contact-Covid et Stop-Covid.

Deux réserves de taille nous empêchent néanmoins d’adhérer avec enthousiasme à cette conclusion :

1. Notre première réserve tient dans le fait qu’il aurait fallu, pour que le débat soit effectivement sain, que le Parlement puisse dès maintenant débattre de ce risque, de manière éclairée et en toute connaissance de cause. Les conditions actuelles du débat autour du projet de loi au Parlement démontrent exactement le contraire. Nous ne pensons pas seulement à l’urgence dans laquelle les débats sont conduits, du fait de l’engagement de la « procédure accélérée ». Nous notons surtout que le choix a été fait de ne pas solliciter l’avis préalable de la CNIL, pourtant prévu par l’article 36 du RGPD et l’article 8 de la loi du 6 janvier 1978, et pire encore, qu’il n’est à aucun moment reconnu, par le gouvernement, que le risque de croisement de SIDEP, Contact-Covid et Stop-Covid est considérable. Le Parlement n’est pas mis dans des conditions lui permettant de prendre ses décisions en toute connaissance de cause, alors même que c’est bien à présent qu’une part considérable du débat se joue. Le projet de loi actuel n’aurait en aucun cas dû être réduit à un statut de simple cadre général, sur lequel la consultation de la CNIL n’est pas nécessaire, car c’est faux.
2. Notre seconde et principale réserve tient au fait que si l’on venait, effectivement, à décider de croiser SIDEP, Contact-Covid et Stop-Covid, ce serait le scénario du pire qui, en réalité, se réaliserait.

On connaît les inconvénients de Stop-Covid, déjà pointés : elle est certes une application de traçage théoriquement anonymisé des contacts des personnes malades destinée à alerter ces contacts, mais il a été montré qu’elle ne pourrait pas être réellement anonymisée et qu’en tout état de cause, les risques qui y sont associés ne sont compensés que par des bénéfices très incertains. En outre, les défauts liés à la technologie du bluetooth pour la collecte des données demeurent, en particulier le manque de précision, le fait qu’on y confonde la donnée (un contact) et sa signification (un risque), ou encore les multiples possibilités de détournement.

Mais on connaît aussi les inconvénients de SIDEP et Contact-Covid, que nous avons résumés plus haut : combinaison des risques liés à la centralisation des données et à leur éparpillement dans des bases de données décentralisées, données ni anonymisées, ni pseudonymisées, absence de consentement des personnes malades ou stigmatisées comme « à risque », ou encore l’ouverture des données à un nombre important d’acteurs qui ne sont pas tous soumis au secret médical.

Ce sont tous ces inconvénients, tous ces risques bien réels pour les libertés publiques et les droits humains, qui se combineront alors, dans le scénario probable que nous envisageons. Il nous semble crucial que le Parlement en soit dès maintenant informé. Maintenant, et non dans l’urgence extrême – encore plus extrême que celle qui prévaut aujourd’hui – dans laquelle il risque de se retrouver lorsque, constatant l’insuffisance des « anges-gardiens » et l’existence d’une solution opérationnelle nommée Stop-Covid, il lui faudra décider du croisement de SIDEP, de Contact-Covid et de Stop-Covid.

1. Institut des Sciences Sociales du Politique de l’ENS Paris-Saclay, niversité Paris-Saclay. Courriel : stephaniePOINTlacourATcnrsPOINTfr. [↩]
2. Centre universitaire rouennais d’études juridiques, Université de Rouen Normandie. Courriel : noePOINTwagenerATuniv-rouenPOINTfr. [↩]

---

---