Commission de l’Economie de la Protection des consommateurs et de l’Agenda numérique de la Chambre des représentants
Note relative à la proposition de loi du 13 mai 2020 relative à l’utilisation d’applications numériques de traçage de contacts par mesure de prévention contre la propagation du coronavirus COVID-19 parmi la population (DOC 55 1251/001)
Introduction
La Ligue des Droits Humains (LDH) tient à remercier les auteurs de cette proposition de loi pour leur initiative ainsi que pour leur ouverture au dialogue. Elle tient également à remercier la Commission de l’Economie de la Protection des consommateurs et de l’Agenda numérique de la Chambre des représentants pour son invitation et la mise en place d’un travail parlementaire constructif dans ce dossier.
Depuis son déclenchement, la LDH s’est lourdement impliquée dans le débat public relatif au respect des libertés fondamentales dans le cadre de la lutte contre la pandémie[1]. C’est également vrai concernant le traçage des individus dans l’objectif de prévenir la propagation du virus COVID-19[2].
Ces prises de position ont eu un large écho dans le débat public et c’est à ce titre que nous souhaiterions nous exprimer à nouveau sur la présente proposition de loi. En effet, depuis le début de cette crise, l’un des débats les plus épineux est celui du traitement des données à caractère personnel des individus, infectés ou non. Les dérives potentielles liées au recours à des outils technologiques ne sont plus à démontrer et les mises en garde justifiées, tant ceux-ci portent les germes d’atteintes majeures à nos droits fondamentaux comme à notre système politique. En effet, comme a pu le souligner la Commission Européenne : « The functionalities included in the apps can have different impact on a wide range of rights enshrined in the Charter of Fundamental Rights of the EU, such as human dignity, respect for private and family life, protection of personal data, the freedom of movement, non-discrimination, freedom to conduct a business, and freedom of assembly and of association »[3].
Sur la nécessité d’avoir recours à une application de traçage
Tout d’abord, nous souhaiterions souligner que la nécessité d’avoir recours à une application telle que celle envisagée par la présente proposition s’amenuise de jour en jour. En effet, en vertu des données actuellement disponibles, il s’avère que l’épidémie se calme et que la courbe des infections est en chute libre. Ce qui est bien entendu une excellente nouvelle mais appelle à une réflexion évidente : est-il encore nécessaire d’avoir recours à un système de traçage massif à grande échelle ?
Les exemples étrangers laissent à penser que le recours à cette technologie est disproportionné et, par ailleurs, inefficace. Ainsi, en Australie, l’application de traçage, lourdement promue par les pouvoirs publics, a été téléchargée par 25% de la population et a permis de tracer… 1 personne ![4] En France, le système équivalent – Stopcovid – est à peine adopté que son efficacité pose déjà question, tout comme en Islande et à Singapour[5].
La nécessité de l’application n’est pas une question politique. Elle est éminemment juridique et est imposée notamment par l’article 8 de la Convention européenne des droits de l’homme ainsi que par l’article 35 du RGPD. Comme l’a très bien rappelé l’Autorité de protection des données dans son avis 34/2020 (pt. 7 et 8)[6], avant de réfléchir aux balises d’une application concrète il faut que la nécessité de mettre en place l’application soit démontrée, notamment via les preuves tangibles de son efficacité. Ces preuves sont énoncées par l’Autorité de protection des données dans son avis précité : sondage d’opinion pour évaluer si le nombre de citoyens participants requis pourrait être atteint, tests concrets pour vérifier notamment qu’il est possible d’éviter les « faux positifs » générateurs de stress auprès de la population, etc.
Etant donné que l’encadrement juridique de cette application est organisé par une proposition de loi, et plus par un projet de loi tel qu’initialement annoncé par le ministre compétent, il revient désormais aux parlementaires – et non plus au gouvernement – d’apporter la preuve de cette nécessité. Ce que la présente proposition ne fait pas.
Dès lors, à défaut de la démonstration du respect du principe de nécessité, la présente proposition de loi ne peut être adoptée.
En outre, comme l’a souligné la CNIL dans son avis y relatif[7], il y a lieu, de maintenir une vigilance particulière contre la tentation du « solutionnisme technologique ». Une application numérique est une intrusion dans la vie privée, contribue à l’accoutumance à la surveillance massive par des outils intangibles et contribue à la diminution de l’autodétermination individuelle. En cela, son utilisation, même temporaire et limitée au COVID-19, crée un précédent potentiellement nuisible à la vigueur de la démocratie.
Principes fondamentaux à respecter dans le cadre du traçage numérique, dans l’hypothèse où sa nécessité serait démontrée
Il est indéniable que les auteurs de la présente proposition ont tenu compte des diverses remarques et critiques formulées par le passé contre les dispositifs de traçage numérique. Ainsi, de nombreux points positifs pourraient être relevés, dont l’objectif est de permettre la mise sur pied d’un système de traçage qui soit « human rights compliant ».
Toutefois, des critiques fondamentales demeurent. Comme la LDH a déjà pu le souligner[8], certains principes fondamentaux doivent prévaloir à toute initiative en la matière :
1. Organiser la transparence pour gagner la confiance des citoyens
Seul un cadre légal conforme à la protection de la vie privée peut créer cette confiance. La confiance des citoyen·ne·s est cruciale pour rencontrer leur adhésion ; elle ne s’impose pas
par l’autorité mais se gagne avec la transparence. Cette confiance implique que seules les données nécessaires soient collectées et que le traçage des individus ne soit permis que de manière très limitée, afin que le citoyen comprenne les enjeux et puisse volontairement y adhérer. Or, comme le souligne l’avis 43/2020 de l’Autorité de protection des données, derrière lequel nous nous rangeons totalement, ces conditions ne sont pas remplies par la présente proposition[9]. Ce qui va nécessairement avoir un impact sur la confiance que les individus vont accorder au système et rendre ce dernier inopérant.
Il convient également de garantir que le téléchargement et l’usage de l’application aient lieu uniquement sur base volontaire sans que l’accès à un lieu ou un service puisse être subordonné au consentement donné. Même si la proposition de loi prévoit des garanties juridiques à cet égard, l’effectivité d’une telle interdiction sera difficile à vérifier : après le confinement, de nombreux citoyens risquent malheureusement d’être enclins à limiter leur droit fondamental à la vie privée pour obtenir un peu de « liberté » en contrepartie.
2. Ne collecter que les données nécessaires, pour une durée limitée
Seules les données strictement nécessaires pour informer les personnes concernées doivent être collectées. Les données qui permettent l’identification des personnes doivent être supprimées dès qu’elles ne sont plus nécessaires. Alors que l’objectif principal de la proposition est de garantir que les applications ne permettent pas de ré-identifier leurs utilisateurs (qui a été en contact avec qui, qui a infecté qui, etc.), les données collectées à des fins de recherche rendent cette ré-identification très facile. La proposition de loi ne démontre par ailleurs pas en quoi ces données sont proportionnées pour ces fins de recherche (recherche sur quoi, d’ailleurs, ce n’est pas précisé) ni pourquoi ces recherches ne pourraient pas être effectuées à l’aide de données anonymisées (pourquoi les chercheurs devraient-ils connaître l’identité des utilisateurs des applications en sus de connaître leur comportement en matière de contacts ainsi que leurs symptômes, leur âge, leur numéro de téléphone, etc.?). Enfin, le fait que Sciensano enregistre par ailleurs le numéro de téléphone des utilisateurs implique également une possibilité de ré-identification qui pose question quand on se rappelle l’objectif essentiel qui est de prévenir la ré-identification des utilisateurs.
3. Ne pas impliquer le numéro d’identification au Registre national (RN ou NISS) à aucun stade de l’application numérique et assurer l’étanchéité des bases de données
Ce numéro n’est pas nécessaire et il est même dangereux de le traiter car il permet des rassemblements potentiels de base de données au sujet d’un individu (en matière fiscale ou de sécurité sociale notamment). Le fait que la proposition de loi prévoit l’intervention d’un tiers, à savoir Sciensano, qui enregistre notamment cette donnée est hautement problématique. En effet, pointons le risque lié au fait que Sciensano détient déjà les autres bases de données mises en place dans le cadre du tracing manuel (même s’il est vrai que la proposition s’en défend).
Conclusion
L’utilisation d’une application dont les objectifs, les techniques et les conditions mêmes d’usage portent des risques conséquents pour notre société et nos libertés, pour des résultats probablement médiocres (voire contre-productifs), ne saurait être considérée comme acceptable.
Jusqu’ici la Belgique a fait montre d’une maturité étonnante dans la gestion de cette question qui pousse à responsabiliser les citoyens et continuer à leur faire confiance : les exemples de solidarité citoyenne sont légions, le civisme de la population dans son ensemble est remarquable (respect des gestes barrières, respect du confinement, dévouement du corps médical…). Ce sont autant d’éléments à valoriser avant d’envisager des mesures de surveillance massive.
Comme le souligne le Rapporteur spécial des Nations Unies sur le droit à la vie privée : «[Smartphone and other contact-tracing apps are potentially] amongst the most privacy-intrusive developments in technology in the last twenty years (…). Unless they are deployed very carefully and within the tightest of constraints, they could be abused in order to introduce a level of surveillance which would make Orwell’s Big Brother look like a forgetful kindergarten assistant (…). It’s the control-freak’s dream scenario and potentially a human rights nightmare.»[10]
[1] Voir entre autres https://www.liguedh.be/covid-19-pouvoirs-speciaux-la-ligue-des-droits-humains-adresse-une-lettre-aux-parlementaires-et-au-gouvernement
[2] Voir entre autres https://www.liguedh.be/lettre-contre-le-covid-19-tracage-et-respect-de-la-vie-privee-la-ligue-des-droits-humains-la-federation-internationale-des-droits-humains-et-la-liga-voor-mensenrechten-adresse-une-lettre-au-gouver/ ou encore https://www.liguedh.be/tracer-le-covid-pas-les-citoyen%c2%b7ne%c2%b7s-plus-de-300-personnalites-adressent-une-lettre-ouverte-au-president-de-la-chambre-et-aux-chef%c2%b7fe%c2%b7s-de-groupe
[3] European Commission, Communication from the Commission, Guidance on Apps supporting the fight against COVID 19 pandemic in relation to data protection, C(2020) 2523 final, Brussels, 16 April 2020, p. 4 (https://ec.europa.eu/info/sites/info/files/5_en_act_part1_v3.pdf).
[4] https://www.theguardian.com/world/2020/may/24/how-did-the-covidsafe-app-go-from-being-vital-to-almost-irrelevant
[5] https://www.franceinter.fr/amp/application-stopcovid-accouchee-dans-la-douleur-et-une-efficacite-deja-remise-en-cause?__twitter_impression=true. Voir également https://fra.europa.eu/sites/default/files/fra_uploads/fra-2020-coronavirus-pandemic-eu-bulletin-may_en.pdf
[6] Voir https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/AV34-2020.pdf
[7] Délibération n° 2020-046 du 24 avril 2020 portant avis sur un projet d’application mobile dénommée « StopCovid », p. 8.
[8] Voir https://www.liguedh.be/tracer-le-covid-pas-les-citoyen%c2%b7ne%c2%b7s-plus-de-300-personnalites-adressent-une-lettre-ouverte-au-president-de-la-chambre-et-aux-chef%c2%b7fe%c2%b7s-de-groupe
[9] Voir https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/AV43-2020.pdf
[10] Prof. Joseph A. Cannataci, UN Special Rapporteur on the Right to Privacy, Contact-tracing apps could be our Orwellian nightmare, says expert, Maltatoday, 25 April 2020 (https://www.maltatoday.com.mt/news/national/101804/contact_tracing_apps_could_be_our_orwellian_nightmare#.XsUjcUBuKul).
2 juin 2020