Imprimer

Rapport | Doc. 15648 | 04 novembre 2022

Les applications de traçage des contacts: défis éthiques, culturels et éducatifs

Commission de la culture, de la science, de l'éducation et des médias

Rapporteur : M. Duncan BAKER, Royaume-Uni, CE/AD

Origine - Renvoi en commission: Doc. 15165, Renvoi 4543 du 20 novembre 2021. 2022 - Commission permanente de novembre

Résumé

Les technologies numériques de santé, telles que les applications de traçage des contacts, ont été mises en œuvre dans le monde entier par les gouvernements ainsi que par des entreprises privées pour atténuer la pandémie de covid-19. Il existe cependant d'innombrables autres applications de santé, de style de vie et de bien-être. Leurs cadres éthiques et juridiques restent néanmoins flous, avec des risques liés à l'atteinte illégale au droit à la vie privée. Ils doivent être évalués avec soin pour garantir le respect des normes de protection des données établies par la Convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (Convention 108), et sa version modernisée, la Convention 108+.

Le rapport analyse la position des organes du Conseil de l'Europe, les aspects clés tels que les questions d'efficacité et d'exactitude, le caractère volontaire et l'autonomie, les inégalités et la discrimination ainsi que les taux d'adoption et d'adhésion. Il souligne également la difficulté d'évaluer l'impact des applications de traçage des contacts sur la santé publique ainsi que la nécessité de disposer de preuves scientifiques et d'une évaluation d'impact, d'un débat public et d'un contrôle parlementaire.

Le rapport formule un certain nombre de recommandations à l'intention des États membres du Conseil de l’Europe et de l'Union européenne, notamment en ce qui concerne l'interopérabilité, en vue d'assurer un équilibre prudent entre tous les intérêts en jeu et la protection des droits de l'homme et des libertés fondamentales, non seulement dans la lutte contre la pandémie mais aussi dans la conception des futures technologies destinées à faire face aux futures crises sanitaires.

A. Projet de résolution

(open)

1. L’Assemblée parlementaire note qu’au cours des deux dernières années, des gouvernements et des entreprises privées ont eu recours dans le monde entier à des technologies numériques de santé publique, telles que des applications de traçage des contacts, pour collecter et traiter des données afin d’atténuer la pandémie de covid-19, recenser les personnes risquant d’être contaminées ou garantir le respect des règles de confinement.

2. En mai 2020, l’Organisation mondiale de la Santé (OMS) a publié des orientations concernant l’utilisation de ces technologies et les considérations éthiques s’y rapportant. Le Comité consultatif mis en place par la Convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (STE no 108, «Convention 108»), le Commissaire à la protection des données et le Comité de bioéthique du Conseil de l’Europe ont aussi publié plusieurs déclarations à cet égard, en faisant part de leurs préoccupations et en donnant des orientations utiles. Le rapport 2020 du Conseil de l’Europe sur la protection des données a montré qu’en adoptant des systèmes très divergents, les pays ont limité l’efficacité des mesures prises et l’influence qu’ils auraient pu exercer sur les acteurs du marché numérique.

3. Les applications de traçage des contacts et d’innombrables autres applications concernant la santé, les modes de vie et le bien-être sont disponibles dans les «boutiques» d’applications; leurs cadres éthiques et juridiques restent flous, ce qui suscite des risques liés notamment à l’atteinte illégale au droit à la vie privée.

4. Ces applications doivent être soigneusement évaluées, et les autorités publiques doivent surveiller leur mise en œuvre pour garantir la conformité aux normes relatives à la protection des données énoncées dans la Convention 108 et sa version modernisée par son Protocole d’amendement (STCE no 223, Convention 108+).

5. L’Assemblée souligne que la collecte et le traitement de données à caractère personnel et de données relatives à la santé doivent être justifiés par des objectifs légitimes de santé publique, et être adaptés et proportionnés au but recherché. Les données recueillies par l’intermédiaire de ces applications ne devraient pas être accessibles à des tiers qui ne participent pas à la gestion de la santé publique. La collecte et le traitement des données doivent être transparents et concis, et des informations facilement accessibles sur l’objectif de la collecte, du stockage et du partage de données doivent être mis à la disposition du public. Le choix de télécharger et d’utiliser des applications doit rester libre et respecter l’autonomie de la personne. Toute discrimination liée à la fracture numérique devrait être évitée. En outre, les autorités chargées de la protection des données devraient être associées à l’élaboration, à la supervision et à l’audit des systèmes numériques d’identification des contacts.

6. L’efficacité de ces technologies numériques dépend dans une large mesure des conceptions techniques, des méthodes de mise en œuvre et du degré de confiance que le grand public accorde à ces outils. Dès lors, l’Assemblée considère que le fait que les citoyens ne soient pas suffisamment associés au débat pourrait expliquer le faible taux d’adoption des applications disponibles dans de nombreux États membres du Conseil de l’Europe. À cet égard, la Résolution 2333 (2020) et la Recommandation 2176 (2020) «L'éthique dans la science et la technologie: une nouvelle culture du dialogue public» ont souligné qu’il est essentiel d’associer les citoyens aux décisions qui ont une incidence fondamentale sur leur propre vie, en particulier en temps de crise.

7. La surveillance numérique des épidémies vise – et devrait uniquement viser – à empêcher la propagation des virus et à briser les chaînes de contamination. Cependant, les preuves scientifiques concrètes de l’impact et de l’efficacité des applications de traçage des contacts restent relativement limitées à ce jour.

8. Les applications de traçage des contacts mises au point dans la plupart des pays européens ne collectent pas de données de santé permettant d’identifier les personnes concernées, du moins pas sans le consentement explicite de ces dernières; en outre, les données de santé sensibles, y compris celles qui sont collectées par une recherche manuelle des contacts (dans les centres de dépistage, par exemple) ne peuvent être communiquées à des tiers, y compris à la communauté scientifique, sans consentement.

9. Si cette approche permet de protéger la vie privée, le fait que les ensembles de données de traçage et de dépistage ne puissent être traités et rapprochés sans le consentement des citoyens peut empêcher les gouvernements d’analyser des données agrégées, notamment les caractéristiques démographiques des utilisateurs ou les tendances spatio-temporelles et d’impact sur la santé publique, relatives à l’utilisation des applications de traçage des contacts et les notifications d’exposition.

10. L’Assemblée souligne qu’une évaluation fiable et en temps opportun de l’impact des applications de traçage des contacts sur la santé publique est une condition préalable essentielle pour une politique de santé publique efficace. Il est essentiel d’améliorer en permanence la qualité des processus et des interventions dans le domaine de la santé publique. En particulier, la surveillance numérique des épidémies doit permettre de répondre à l’évolution des situations, en tenant compte des propriétés changeantes des virus en matière de transmission et d’échappement immunitaire.

11. Les normes de protection des données doivent être considérées comme un atout dans les périodes marquées par l’incertitude, telles que les pandémies. Cependant, elles doivent être interprétées de sorte à permettre une collecte de données détaillées, assortie de garanties appropriées. Ainsi, il convient de trouver le juste équilibre entre les normes de protection des données et les évaluations de l’impact sanitaire, non seulement dans le cadre de la lutte contre l’actuelle pandémie, mais aussi dans la conception de futures technologies qui aideront à surmonter les crises sanitaires à venir.

12. L’Assemblée estime que la technologie ne peut contribuer de manière significative à l’intérêt général que si l’on veille à maintenir un équilibre minutieux entre tous les intérêts en jeu et à réaliser une analyse approfondie des risques qu’elle comporte pour les droits humains et les libertés fondamentales dans une société démocratique.

13. À cette fin, l’Assemblée appelle les États membres du Conseil de l’Europe:

13.1. à s’assurer que le recours aux technologies numériques de santé publique s’inscrit dans une stratégie épidémiologique nationale globale, déployée au moyen de différents outils, qui veille à l’équilibre de tous les intérêts en présence et qui repose sur une évaluation appropriée de son efficacité et impact réels;

13.2. à surveiller la mise en œuvre de ces nouvelles technologies, ainsi que leur conformité aux normes de protection des données, et à garantir que la collecte et le traitement des données à caractère personnel et de santé sont justifiés par des objectifs légitimes de santé publique et qu’ils sont adaptés et proportionnés au but recherché;

13.3. à envisager la possibilité de permettre la divulgation volontaire de données dans les applications de traçage des contacts ou d’autres futures technologies, en prévoyant une option de souscription pour les utilisateurs qui souhaitent consentir à l’anonymisation et au traitement de leurs données à caractère personnel dans le cadre de la collecte d’éléments aux fins de la recherche scientifique et de l’évaluation de l’impact, avec des garanties appropriées pour préserver le droit à la vie privée;

13.4. à veiller à ce que le public soit bien informé des interventions de santé publique, en particulier en ce qui concerne l’impact et l’efficacité des nouvelles technologies numériques, notamment au moyen d’auditions parlementaires et de campagnes publiques d’information, afin de sensibiliser les citoyens, de renforcer leur confiance et d’améliorer l’efficacité des nouvelles technologies;

13.5. à combattre les attitudes négatives ou le manque d’intérêt de la population, au moyen de campagnes d’information systématiques et ciblées, menées dans les médias et par le biais d’initiatives citoyennes dans les écoles, qui sont adaptées au contexte et scientifiquement fondées et qui répondent aux doutes et aux préoccupations exprimés, déconstruisent les fausses informations et insistent sur la responsabilité individuelle et collective en ce qui concerne sa propre santé et celle des autres;

13.6. à favoriser l’accès volontaire aux applications de traçage des contacts dans les contextes où les ressources sont limitées, par exemple par la réduction du coût des données mobiles, une disponibilité et une compatibilité accrues d’appareils bon marché et la mise en place de conditions qui facilitent l’utilisation de ces applications, telles qu’une fonction d’assistance, un tutoriel ou des témoignages d’autres utilisateurs;

13.7. à lancer, si ce n’est pas déjà fait, et promouvoir mondialement le processus de signature et de ratification de la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (Convention 108), telle qu’amendée par le Protocole STCE n° 223 (Convention 108+), qui favorise assurément la convergence vers un ensemble de normes élevées en matière de protection de la vie privée et des données à caractère personnel.

14. L’Assemblée décide de renforcer la coopération avec le Comité consultatif mis en place par la Convention 108 afin de partager les bonnes pratiques concernant la mise en œuvre des principes et des normes relatifs à la protection de la vie privée et des données dans les domaines d’intérêt public, et d’identifier des domaines dans lesquels des actions conjointes sont possibles pour sensibiliser aux normes internationales dans ce domaine et en améliorer le respect.

15. L’Assemblée encourage également l’Union européenne à continuer à concevoir des solutions coordonnées aux niveaux européen et international, y compris en dehors de l’Union européenne, pour favoriser des déplacements internationaux sûrs ainsi que le contrôle de la pandémie de covid-19 à l’échelle mondiale, et prévenir les menaces à venir pour la santé publique.

B. Exposé des motifs par M. Duncan Baker, rapporteur

(open)

1. Introduction

1. Ces deux dernières années, des gouvernements et des entreprises privées ont eu recours à des technologies numériques de santé publique, telles que les applications de traçage des contacts, pour collecter et traiter des données afin d’atténuer la pandémie de covid-19, identifier les personnes risquant d’être contaminées ou garantir le respect des règles de confinement. L’utilisation généralisée de ces outils numériques inédits a semblé être une solution intéressante pour limiter les infections, y compris aux yeux de l’Organisation mondiale de la Santé (OMS), qui a rapidement publié, en mai 2020, des orientations relatives à leur utilisation et aux considérations éthiques

. Cependant, dans bon nombre de pays, l’introduction de ces outils a suscité une certaine hésitation, pour des raisons liées, notamment, au respect de la vie privée.

2. Aujourd’hui, d’innombrables applications dans les domaines de la santé, des modes de vie et du bien-être sont aussi disponibles dans les «boutiques» d’applications pour aider les gens à arrêter de fumer, à compter leurs pas, à manger plus sainement, à changer de mode de vie, etc. Les cadres éthiques et juridiques restent flous à ce jour et un débat mondial sur les risques liés à ces outils a vu le jour. Ces risques vont au-delà des défis juridiques posés par l’atteinte illégale au droit au respect de la vie privée. Ils peuvent menacer les droits humains et les libertés fondamentales pendant et après une crise et franchir la frontière floue entre la surveillance des maladies et celle des populations.

3. En outre, l’efficacité de ces technologies numériques dépend largement des conceptions techniques, des méthodes de mise en œuvre et du degré de confiance que le grand public accorde à ces outils. Il pourrait donc être nécessaire de mettre en place une législation et des politiques appropriées, en particulier dans le secteur de l’éducation, pour encadrer et contrôler une utilisation de ces technologies numériques de traçage respectueuse de la vie privée.

4. Ces considérations ont amené notre commission à déposer une proposition de résolution

en octobre 2020

5. Mon rapport vise à cerner le problème et à présenter des recommandations pertinentes non seulement pour sauvegarder les droits humains et les libertés fondamentales, mais aussi pour analyser l’équilibre qui doit être instauré entre les préoccupations relatives à la protection des données et la nécessité d’évaluer l’efficacité de ces outils en termes de protection de la santé publique.

6. Mon analyse prend appui sur le rapport établi par le Professeur Wolfgang E. Ebbers, que je remercie pour ses travaux, ainsi que sur la précieuse contribution des experts ayant participé aux auditions de notre commission

. Il est ressorti de nos discussions qu’il était nécessaire que la communauté scientifique évalue l’efficacité et l’impact des applications de traçage des contacts en vue d’améliorer les politiques de santé publique, tout en respectant les normes de protection des données. J’ai aussi tenu compte des contributions apportées par d’autres experts scientifiques

et par les membres de la commission.

2. La position des organes du Conseil de l’Europe sur les applications de traçage des contacts

7. Le Comité consultatif mis en place par la Convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (Convention 108), le Commissaire à la protection des données et le Comité de bioéthique ont publié, en 2020 et 2021, plusieurs déclarations sur les applications de traçage des contacts dans lesquelles ils font part de leurs préoccupations et donnent des orientations utiles. De fait, ces applications permettent une surveillance massive et la collecte de données à caractère personnel (par exemple sur le suivi des déplacements et de la vaccination des personnes, des preuves d’une infection passée, la détection des symptômes, les résultats des tests, l’application des mesures de confinement ou l’identification numérique des contacts), dont le stockage, l’analyse et l’utilisation soulèvent de sérieuses questions quant à la protection de la vie privée. Les normes de protection des données énoncées dans la Convention 108 et dans sa version modernisée, la Convention 108+, doivent être appliquées lors de l’adoption de toute mesure extraordinaire.

8. Pour aider les Parties à la Convention 108 à traiter les questions relatives à la protection de la vie privée et des données lors de la mise en place et de l’application de mesures de lutte contre la pandémie de covid-19, la présidente du Comité de la Convention 108 et le Commissaire à la protection des données du Conseil de l’Europe ont publié deux déclarations conjointes en 2020. Ces déclarations rappellent que les principes généraux et les règles de protection des données sont pleinement compatibles et conciliables avec d'autres droits fondamentaux et intérêts publics pertinents, tels que la santé publique. Il est essentiel de veiller à ce que les cadres de protection des données continuent de protéger les personnes et à ce que les garanties nécessaires en matière de protection de la vie privée et des données soient intégrées dans les mesures extraordinaires prises pour protéger la santé publique.

9. D’après la première déclaration conjointe du 30 mars 2020 sur le droit à la protection de données dans le contexte de la pandémie de covid-19

, les États doivent prendre des mesures à titre provisoire uniquement si elles sont nécessaires et proportionnées à la finalité légitime poursuivie et respectent la démocratie, l’État de droit et les droits humains, dont les droits au respect de la vie privée et à la protection des données à caractère personnel. Une attention particulière est requise dans certains secteurs tels que la santé publique, l’emploi, les télécommunications et l’éducation.

10. La deuxième déclaration conjointe du 28 avril 2020 sur l’identification numérique des contacts

rappelle que «le traitement à grande échelle de données à caractère personnel ne peut être effectué que lorsque, sur la base de preuves scientifiques, les avantages potentiels pour la santé publique d’une telle surveillance numérique des épidémies (par exemple, le suivi des contacts), y compris leur exactitude, l’emportent sur les avantages d’autres solutions alternatives qui seraient moins intrusives». Il convient de souligner la nécessité de faire en sorte que ces mesures fassent partie intégrante d’une stratégie épidémiologique nationale et d’insister sur l’importance du choix du modèle d’identification des contacts et de son caractère inclusif. La déclaration conjointe définit aussi les conditions d’acceptabilité d’un tel système, dont dépend aussi son efficacité, parmi lesquelles figurent en premier lieu la confiance et le caractère volontaire.

11. En ce qui concerne la légitimité du traitement des données, la déclaration conjointe préconise une base juridique directement prévue par la loi, tout en conservant le caractère volontaire de l’utilisation de l’application. La réalisation d’une étude d’impact sur la vie privée et le principe de protection de la vie privée dès la conception des produits sont au nombre des garanties à prévoir dans le cadre de ces opérations de traitement

. La nécessité d’appliquer scrupuleusement le principe de spécification de la finalité est mise en avant. L’applicabilité pratique de concepts importants doit aussi être présentée (comme la sensibilité, la qualité, la minimisation des données, le droit des personnes concernées en matière de prise de décision automatisée, la nécessité d’anonymiser les données, les exigences en matière de sécurité des données, le lien entre le choix de l’architecture numérique utilisée et la protection de la vie privée, l’importance de l’interopérabilité, la transparence, le caractère temporaire des bases de données, la surveillance et l’audit).

3. Principales caractéristiques des applications de traçage des contacts

12. Sont présentées ci-dessous quelques caractéristiques essentielles qui devraient être prises en compte lors de la mise au point d’applications de traçage des contacts, l’accent étant mis sur certaines des principales recommandations et orientations de l’OMS et des organes compétents du Conseil de l’Europe. Elles concernent principalement la protection des données, l’éthique et les risques de discrimination. Cependant, il convient également de noter que l’acceptabilité de ces systèmes dépend de la compréhension qu’en a la population et de la confiance qu’ils inspirent.

3.1. Efficacité et précision

13. Malgré le large accueil réservé aux applications de traçage des contacts dans le monde entier, les preuves scientifiques de leur efficacité font encore défaut et il n’existe guère d’études d’évaluation des risques. Ainsi, la précision et l’efficacité demeurent ambiguës et même si ces applications peuvent contribuer à la réponse à la pandémie, les risques liés à la qualité et à l’intégrité des données peuvent être supérieurs aux avantages. Cette incertitude et l’absence de connaissances sur leur efficacité scientifique peuvent à leur tour rendre l’évaluation des risques de ces technologies extrêmement difficile

14. La mise au point et le déploiement de nouvelles technologies exigent d’ordinaire beaucoup d’investissements et de temps dans un souci d’efficacité. Ces technologies ne peuvent être efficaces que dans les pays disposant d’une infrastructure technologique suffisante, ce qui suppose une utilisation généralisée des smartphones ou d’autres appareils appropriés ainsi qu’un accès à internet. Une technologie numérique de traçage de proximité devrait être adoptée par un taux suffisamment élevé de la population pour identifier les contacts avec une efficacité maximale

. Toutefois, atteindre le taux d’utilisation ciblé, tout en préservant la liberté de choix, n’est pas facile et l’attitude du public peut varier considérablement

15. L’efficacité de ces applications dépend aussi de la rapidité de réaction des utilisateurs en cas d’alerte

. En outre, certaines applications ne sont pas compatibles avec les anciens smartphones et les applications peuvent entraîner de fausses alertes

. Le risque de signalements excessifs des interactions peut aussi se traduire par des «faux positifs» en surnombre, ce qui peut à son tour donner lieu à un auto-isolement inutile, voire faire douter les utilisateurs de la fiabilité des alertes

16. Comme l’ont indiqué les autorités de protection des données du Conseil de l’Europe, la principale question est la suivante: «Faute de preuves de l’efficacité de ces applications, les promesses valent-elles les risques sociétaux et juridiques prévisibles?» Et si les avantages l’emportent sur ceux d’autres solutions moins intrusives, il faut s’assurer que les garanties juridiques et techniques permettant d’atténuer les risques en jeu existent

. J’aborderai de façon plus détaillée les défis que pose actuellement l’évaluation de l’impact dans la partie suivante.

3.2. Protection des données et respect de la vie privée

17. Le déploiement d’applications de traçage des contacts appelle des lois sur la protection des données et de la vie privée afin de fournir une base juridique et de définir les limites du traitement et de l’utilisation des données. Tous les outils numériques dans le domaine de la santé publique portent atteinte à la vie privée en raison de l’accès à des informations sur l’état de santé, le comportement ou la localisation des personnes

18. Un risque possible est souvent qualifié de «dérive de la surveillance», qui suppose d’exploiter la possibilité offerte par la crise pour procéder à un traçage des citoyens et conserver les données pendant et après les crises. Ainsi, les gouvernements pourraient conserver les données de traçage des citoyens et s’en servir dans d’autres contextes, comme l’application de la loi

19. Plusieurs instruments réglementaires garantissent le droit au respect de la vie privée et à la protection des données, en particulier la Convention 108 et, au niveau de l’Union européenne, le Règlement général sur la protection des données, la directive Vie privée et communications électroniques ainsi que la Charte des droits fondamentaux de l’Union européenne. Ces instruments permettent aussi de restreindre les droits dans des circonstances particulières, notamment en cas de crise de santé publique. Ils doivent être proportionnés aux avantages publics et doivent conduire à un rétablissement plus rapide des autres droits et libertés suspendus, comme la liberté de circulation et de réunion

20. Le traitement des données à caractère personnel recueillies par ces applications a aussi soulevé d’importantes préoccupations au niveau des droits fondamentaux. Certains pays ont élaboré des programmes de biosurveillance qui partagent certaines caractéristiques de la réaction à une pandémie et des programmes de lutte contre le terrorisme

. Par exemple, une application publique soutenue par Alibaba qui facilite les décisions de mise en quarantaine en cas de covid-19 en Chine a aussi partagé des informations avec la police

21. Il est essentiel de distinguer les technologies numériques dans le domaine de la santé publique qui permettent le partage par des tiers d’informations à des fins non liées à la santé de celles qui ne le permettent pas. En outre, les applications de traçage des contacts doivent indiquer clairement, au départ, la durée, le type de données recueillies et la durée de stockage des informations. La surveillance accrue rendue possible par les technologies numériques de santé publique doit cesser dès que l’urgence a disparu. Enfin, les informations recueillies doivent être sur l’appareil de l’utilisateur et non sur des serveurs gérés par le développeur de l’application ou par une entité de santé publique.

3.3. Caractère volontaire et autonomie

22. Les technologies numériques peuvent être une menace non seulement pour la vie privée, mais aussi pour l’autonomie personnelle. La forme la plus évidente de violation de l’autonomie personnelle consiste à rendre leur utilisation obligatoire. En Inde, tous les travailleurs ont été obligés d’utiliser une application de traçage de la covid-19 soutenue par le gouvernement

. Certaines entreprises pourraient exiger leur utilisation pour avoir accès à leurs services mêmes lorsque ces technologies ne sont pas obligatoires.

23. Certaines applications de téléphonie mobile autorisent la collecte de données au-delà de l’objectif déclaré de l’application, ce qui réduit la capacité des personnes de consentir au traçage ou au partage de leurs informations. Par exemple, les applications Bluetooth de traçage de proximité exigent que leurs utilisateurs ne désactivent pas leur Bluetooth, d’où des risques supplémentaires. Une application polonaise aurait contraint des patients à prendre des autoportraits pour prouver qu’ils étaient confinés sous peine d’avoir une visite de la police

24. Pour que l’utilisation de ces applications soit volontaire, les personnes doivent décider d’avoir ou non un smartphone, de télécharger et d’installer les applications, de les laisser fonctionner en permanence en arrière-plan, de réagir aux alertes et de partager les relevés des contacts en cas de test positif

. En outre, les utilisateurs devraient être libres de désinstaller ces applications à tout moment et de supprimer toutes les données déjà collectées. Les utilisateurs potentiels devraient pouvoir prendre des décisions en toute connaissance de cause sur le fonctionnement de l’application et sur la transmission, l’accès et l’utilisation des données.

25. Les personnes qui décident de ne pas utiliser l’application ou de la supprimer ne devraient pas être sanctionnées ni limitées de quelque manière que ce soit. En Chine, la population a été obligée d’utiliser les applications de traçage des contacts pour avoir accès aux espaces publics, tels que les métros, les centres commerciaux et les marchés. Même si l’utilisation des applications est volontaire, les restrictions implicites la rendent de fait obligatoire

. Le caractère volontaire peut aussi être entravé par une coercition indirecte si un gouvernement menace d’imposer un deuxième confinement en cas de téléchargement insuffisant de l’application. En France par exemple, l’utilisation d’applications de traçage a fait l’objet d’un débat au parlement parallèlement à l’assouplissement des mesures de confinement. La pression des pairs et les attentes de la société peuvent créer un environnement dans lequel les gens se sentent obligés d’agir

3.4. Inégalités et discrimination

26. Il existe une inégalité manifeste en termes d’accès aux applications de traçage des contacts. Par exemple, les groupes à haut risque, comme les personnes âgées, peuvent ne pas avoir accès à des smartphones et ne pas pouvoir utiliser cette technologie

. Ces outils pourraient donc accentuer la fracture numérique et entraîner une répartition inégale des charges et des avantages au sein de la population.

27. Les travailleurs défavorisés et leurs familles sont moins susceptibles de travailler à domicile et courent un risque plus élevé d’infection

. Ainsi, dans le cas d’une quarantaine sélective due aux applications de traçage, une plus forte proportion de travailleurs défavorisés pourrait être mise en quarantaine et être plus exposée aux effets sociaux, économiques et psychologiques néfastes

. Il convient une fois de plus d’encourager l’accès volontaire à ces technologies dans les contextes où les ressources sont limitées, par exemple en réduisant le coût des donnés mobiles ou en proposant des appareils bon marché.

28. Puisqu’elles peuvent recueillir des données, ces technologies sont capables d’inclure la race, les groupes ethniques, le genre, l’affiliation politique et le statut socio-économique. Certaines données sensibles n’ont pas nécessairement de lien avec la santé publique et peuvent entraîner la stigmatisation de groupes ethniques ou socio-économiques

29. La stratification de la population pourrait accentuer les clivages existants, exposant davantage certains groupes à la crise. En même temps, la collecte de données devrait aussi refléter les facteurs épidémiologiques, telles que les différences sociales et économiques qui sont connues pour être à l’origine des disparités dans les taux d’infection. Ces efforts, en particulier lorsqu’ils sont faits dans des environnements où le niveau de confiance est faible, doivent être assortis de garanties solides, notamment de capacités analytiques pour contextualiser les données de manière à éviter de stigmatiser davantage les groupes défavorisés et à recourir à des mesures fondées sur des données factuelles pour lutter contre les inégalités persistantes en matière de santé

4. Difficultés relatives à l’évaluation de l’impact des applications de traçage des contacts sur la santé publique

30. Dans bon nombre de pays, européens et non européens, l’introduction des applications de traçage des contacts s’est accompagnée d’initiatives visant à surveiller la mise en œuvre de ces dernières et à évaluer leur efficacité et leur impact sur la santé publique. Le Centre européen de prévention et de contrôle des maladies et l’OMS ont conçu un cadre d’indicateurs pour évaluer l’efficacité des solutions numériques de traçage de proximité appliquées à la santé publique. Cet outil prévoit ainsi une liste d’indicateurs pouvant servir de base à une évaluation normalisée de l’efficacité des applications de traçage des contacts dans le domaine de la santé publique

31. Des chercheurs du monde entier ont réuni des informations scientifiques sur les raisons qui poussaient les citoyens à télécharger et à activer les applications de traçage des contacts, et sur le moment auxquels ils prévenaient les autres, de manière anonyme, via ces applications en cas de test positif. Les experts emploient souvent le terme d’«adoption» des applications de traçage des contacts pour renvoyer aux deux premières démarches, tandis que la troisième reflète l’un des aspects du «respect» par les utilisateurs des recommandations émises par ces applications.

32. Les premiers rapports scientifiques étaient axés sur les motifs incitant les personnes à suivre ces recommandations

. Les applications de traçage des contacts envoient des notifications anonymes signalant que l’utilisateur a été en contact avec quelqu’un qui, par la suite, est devenu positif. Une bonne part de ces notifications sont assorties de recommandations de santé publique, comme des messages invitant à se faire tester, à se mettre en quarantaine et à ne pas recevoir de visiteurs. Les gens suivent-il ces recommandations? Si ce n’est pas le cas, le déploiement d’applications de traçage des contacts pour protéger la santé publique ne peut pas atteindre son objectif d’empêcher que le virus ne continue de se propager.

33. Pour le moment, les preuves scientifiques concrètes de l’impact sur la santé publique des applications de traçage des contacts semblent relativement limitées. En raison de la faible quantité de données collectées, il est très difficile d’évaluer leur efficacité. En effet, il n’existe que très peu de rapports à ce sujet, même sur les paramètres de base, comme le nombre d’utilisateurs actifs, de tests positifs renseignés ou de notifications envoyées et reçues, ainsi que de données qui permettraient de déduire à la fois l’exactitude et l’efficacité des notifications.

34. Lors des auditions organisées par la commission, certains experts ont souligné la rigueur observée dans la mise en œuvre des normes de protection des données.

35. Les applications de traçage des contacts qui reposent sur le dispositif Google/Apple de traçage de l’exposition à la covid-19 sont conçues de sorte à ne pas collecter de données de santé permettant d’identifier l’utilisateur, du moins pas sans son consentement explicite. La recherche manuelle de contacts, effectuée dans les laboratoires et les centres de dépistage, par exemple, peut conduire à une accumulation de données de santé très sensibles. Celles-ci ne peuvent être communiquées à des tiers, y compris la communauté scientifique, sans le consentement des personnes concernées, ou uniquement sous forme de données agrégées et anonymisées.

36. Ce principe s’applique également aux données collectées lors des contacts entre les utilisateurs des applications de traçage des contacts avec le système de santé, par exemple lors d’un test ou d’une identification par recherche manuelle de contacts. Ces données, bien qu’essentielles pour les analyses de l’efficacité des applications de traçage des contacts, ne sont pratiquement pas disponibles pour des raisons d’ordre technique et de protection des données.

5. Adoption des applications de traçage des contacts et respect des recommandations émises

37. À l’évidence, plus les taux d’adoption des applications de traçage des contacts et de respect de leurs recommandations sont élevés, plus les chances de briser effectivement les chaines de contamination le sont également

. Les chiffres et les taux relatifs à l’adoption varient selon les pays

et selon les périodes, mais, d’après les dernières études, en règle générale, ils sont relativement faibles

38. En 2022, bon nombre de pays ont commencé à lever les obligations d’isolement et de quarantaine, et de nombreuses applications ont été désactivées, au moins temporairement, notamment aux Pays-Bas, en Suisse et en Islande.

39. Pour évaluer le taux d’adoption, les chiffres correspondants sont souvent exprimés en pourcentage de la population totale d’un pays. Autre possibilité: ne tenir compte que de la population cible éligible, définie sur la base des téléphones compatibles et de la tranche d’âge

40. Les données dont on dispose émanent notamment d’études et des principales boutiques d’applications, le nombre de téléchargements effectués servant d’indicateur pour exprimer le pourcentage d’utilisateurs. Cependant, cette méthode peut conduire à surestimer le nombre d’utilisateurs des applications de traçage des contacts étant donné que ceux-ci peuvent posséder plusieurs téléphones, supprimer l’application ou changer de téléphone.

41. Il existe une autre méthode qui consiste à prendre pour base le nombre d’utilisateurs actifs, dans le respect des normes de protection des données. L’application britannique, par exemple, envoie un petit paquet de données anonymisées concernant le «statut» à un serveur; en Suisse, une méthode plus indirecte a été utilisée

. Certaines boutiques d’applications fournissent également des données qui permettent d’estimer le nombre d’utilisateurs de façon plus précise que la méthode basée sur le nombre de téléchargements.

42. De la même manière, plus les utilisateurs respectent les recommandations, plus les chances de briser effectivement les chaînes de contamination sont élevées. Les taux varient selon les pays et les périodes, de même que les méthodes de calcul; c’est pourquoi le présent rapport ne contient pas de statistiques par pays.

43. Aux Pays-Bas, jusqu’en 2022, les utilisateurs ne pouvaient partager qu’un code d’utilisateur via l’application, en coopération avec les autorités de santé publique, et chaque partage était enregistré et utilisé à des fins d’analyse épidémiologique des données de traçage de routine

. En Irlande, des codes étaient communiqués dans le cadre d’un ensemble structuré d’appels téléphoniques réalisés par des traceurs de contacts, et, en 2022, le pays est passé à une approche plus automatisée. La Suisse, quant à elle, a eu recours à des questionnaires d’auto-déclaration

44. De son côté, l’Allemagne utilise des données collectées directement auprès de l’application de traçage des contacts nationale (Corona-Warn-App), ce à quoi les utilisateurs ont explicitement consenti, pour évaluer l’efficacité de l’application

45. Les pays peuvent aussi mener des études sur le respect des recommandations en se fondant sur des auto-déclarations volontaires et anonymes. Cette méthode, mise en œuvre en Allemagne

, en Suisse

, aux Pays-Bas

et au Royaume-Uni

, est conforme aux normes de protection des données. Cependant, les données ainsi obtenues risquent de ne pas être objectives ni représentatives en raison de l’incertitude inhérente aux auto-déclarations.

46. De récentes études scientifiques ont mis en lumière plusieurs facteurs qui favorisent ou entravent l’adoption des applications de traçage des contacts et le respect de leurs recommandations

. Ainsi, plus le niveau d’études et de revenus est élevé, plus le niveau d’adoption serait élevé également

. Le niveau perçu d’efficacité, les bénéfices, l’influence sociale, la pression des pairs et la confiance dans l’innovation technologique et dans l’action du gouvernement constituent également de bons indicateurs. Plus ceux-ci sont élevés, plus les chances d’adoption des applications de traçage des contacts et de respect de leurs recommandations sont grandes, ce qui, à son tour, entraîne une meilleure performance de ces applications.

47. Les applications de traçage des contacts peuvent être perçues comme des outils qui n’ont pas d’implication directe pour la santé de l’utilisateur une fois que ce dernier est contaminé et qui permettent seulement de protéger les autres et la société en général en limitant la contagion. Cependant, en cas de nouveau variant ou de virus totalement nouveau, l’utilisateur pourrait en tirer un bénéfice personnel, grâce à une détection précoce et à l’administration d’un traitement en temps utile; les applications de traçage des contacts peuvent avoir un rôle fondamental à jouer à cet égard, tant au niveau individuel que sociétal.

48. Ces observations montrent qu’il est important de mener une évaluation précise, approfondie et rigoureuse de l’impact de cette technologie numérique sur la santé publique. Si cet impact est négatif, il peut entraîner le rejet ou l’abandon de l’outil par la population. Toute action gouvernementale visant à informer la population de façon transparente et précise des mesures de santé peut renforcer la confiance dans le gouvernement

49. En outre, il conviendrait de favoriser l’accès volontaire aux applications de traçage des contacts dans les contextes où les ressources sont limitées, par exemple en réduisant le coût des donnés mobiles, en veillant à ce que des appareils bon marché soient disponibles et en proposant une fonction d’assistance, un tutoriel ou des témoignages d’autres utilisateurs de ces technologies pour faciliter leur utilisation

50. Un autre aspect devant être pris en compte concerne l’attitude de la population envers les mesures de santé publique susceptibles de restreindre les libertés individuelles au nom de l’intérêt général. La faible adoption des applications de traçage des contacts peut aussi s’expliquer par un sens de la responsabilité individuelle et collective limité en ce qui concerne sa propre santé ou celle d’autres personnes, y compris de groupes vulnérables. Ce phénomène se rapproche des attitudes anti-vaccination, qui ont fait l’objet de la Résolution 2455 (2022) «Lutter contre les maladies évitables par la vaccination par le biais de services de qualité et par la démystification des discours antivaccin», adoptée par l’Assemblée le 24 juin 2022.

51. Les attitudes négatives ou le manque d’intérêt peuvent être combattus au moyen de campagnes d’information systématiques et ciblées, menées dans les médias et par le biais d’initiatives citoyennes dans les écoles, qui sont adaptées au contexte et scientifiquement fondées et qui répondent aux doutes et aux préoccupations exprimés, déconstruisent les fausses informations et insistent sur la responsabilité individuelle et collective en ce qui concerne sa propre santé et celle des autres.

6. Nécessité du débat public et du contrôle parlementaire

52. L’évaluation de l’application néerlandaise et l’analyse de l’application suisse

ont montré l’importance du débat public relativement à deux questions majeures, à savoir le traçage de la localisation et les taux d’adoption.

53. Au début de l’année 2020, les responsables politiques et les chercheurs ont vivement recommandé de faire preuve de prudence et exprimé leur inquiétude au sujet de questions liées à la protection des données

. Au Royaume-Uni

et aux Pays-Bas

, des chercheurs ont rédigé des lettres ouvertes pour faire part de leurs préoccupations concernant les risques d’atteinte au droit à la vie privée.

54. Ces craintes étaient compréhensibles. S’agissant du traçage de la localisation, les concepteurs d’applications de traçage de la covid-19 aux États-Unis ont déclaré qu’il était essentiel qu’ils soient autorisés à utiliser les données de localisation GPS en conjonction avec le nouveau dispositif de traçage des contacts afin de suivre l’évolution géographique des contaminations et d’identifier des foyers

. Au Royaume-Uni, le service national de santé (National Health Service) a aussi envisagé l’idée – avant de l’abandonner – d’enregistrer au niveau central l’identifiant désanonymisé des personnes contaminées et celui de leurs contacts. Cette méthode aurait effectivement permis une certaine forme de surveillance

55. Apple et Google, dont les systèmes d’exploitation équipent la très grande majorité des smartphones, ont commencé à mettre en œuvre dans ces systèmes un protocole de traçage de proximité décentralisé et respectueux de la vie privée afin de prévenir les personnes ayant été en contact avec des individus positifs à la covid-19. Ce protocole a fini par être adopté par de nombreux pays. Les deux entreprises ont souligné que le respect de la vie privée et le fait d’empêcher les gouvernements d’utiliser le système pour compiler des données sur les citoyens étaient au cœur de leurs préoccupations

56. L’équipe d’évaluation néerlandaise a découvert que jusqu’en octobre 2021, la majorité des citoyens néerlandais pensaient toujours que l’application de traçage des contacts les géolocalisait

, ce qui a pu nuire à l’adoption de celle-ci.

57. Par ailleurs, les conclusions d’une étude réalisée en mars 2020 par l’Université d’Oxford

ont été mal interprétées par les médias, qui ont affirmé qu’il était nécessaire qu’au moins 60% de la population d’un pays installe une application de traçage des contacts pour que celle-ci fonctionne, ce qui n’est absolument pas dit dans l’étude. Les chercheurs eux-mêmes se sont plaints du fait que leurs travaux avaient été extrêmement mal interprétés et qu’en fait, un niveau beaucoup moins élevé d’adoption de l’application pouvait suffire pour lutter contre la covid-19

58. Aux Pays-Bas, jusqu’en octobre 2021, la majorité des citoyens croyaient encore qu’il était nécessaire qu’au moins 50% de la population installe l’application pour que celle-ci fonctionne. Parallèlement, l’évaluation de l’application néerlandaise a aussi montré que le véritable taux d’adoption était inférieur à 50%

. De même, en Suisse, le nombre relativement faible d’utilisateurs de l’application SwissCovid a suscité la déception de la population et des médias

59. Ces exemples montrent bien la nécessité d’instaurer un débat public et de mettre en place un contrôle parlementaire dès le début du processus en ce qui concerne les questions telles que l’efficacité d’une application ou les préoccupations liées à la protection des données, notamment pour éviter que les médias ne véhiculent de fausses informations, ce qui sape la confiance du public et freine son adhésion aux nouvelles technologies.

60. Mme Emilija Gargcin, représentante du Comité consultatif sur la Jeunesse du Conseil de l’Europe, s’est exprimée devant notre commission le 4 mars 2022 et a également mis en garde contre les risques auxquels sont exposés les jeunes qui grandissent dans une «société de données» où ils n’ont que très peu de contrôle sur leurs informations personnelles, de nombreuses applications commerciales modifiant leur politique de confidentialité lors des mises à jour des logiciels. La collecte de données ne doit pas constituer un moyen facile pour les gouvernements de se soustraire à leurs engagements envers les citoyens, en particulier les jeunes. Les gouvernements devraient plutôt communiquer clairement sur la différence entre la collecte et le traitement de données en lien avec la santé, d’une part, et la collecte et l’utilisation de données à des fins commerciales, d’autre part.

61. Dans chaque pays, après avoir évalué les nouvelles technologies de façon appropriée, il convient de tenir un débat public – au niveau parlementaire, mais pas uniquement – aux stades ultérieurs du processus également, afin de communiquer avec le public et de déterminer si ces technologies devront être utilisées et, si oui, comment, pour lutter contre les futures pandémies ou autres menaces à la santé publique.

7. Trouver le juste équilibre entre les principes de protection des données et la nécessité d’obtenir des preuves scientifiques et d’évaluer l’impact

62. Les préoccupations qui ont été exprimées ces deux dernières années concernant la protection de la vie privée et la sécurité étaient effectivement justifiées. Plusieurs failles ont été découvertes dans le dispositif de traçage de l’exposition de Google et d’Apple. Ainsi, une importante faille de confidentialité a été révélée en avril 2021

, lorsqu’il est apparu que la version Android de l’application Google de traçage de l’exposition pouvait laisser d’autres applications pré-installées accéder à des données sensibles, y compris les éventuels contacts avec une personne testée positive à la covid-19

. En outre, le module des services de Google Play contacte fréquemment les serveurs de Google, permettant potentiellement la localisation de l’utilisateur

63. Malgré ces faiblesses, qui montrent que la protection des données doit rester une priorité et peut aussi avoir un impact négatif sur l’adoption des applications de traçage des contacts, les experts estiment que la plupart de ces dispositifs sont bien conçus

. Cependant, pour protéger la santé publique, la communauté scientifique a besoin d’obtenir des données potentiellement sensibles pour pouvoir prouver l’efficacité et l’impact des applications de traçage des contacts

. En outre, comme mentionné précédemment, le taux d’adoption des applications de traçage des contacts tend à être plus élevé lorsque l’efficacité de ces dernières est avérée

64. Il faut toujours informer le public, de façon transparente et précise, des interventions dans le domaine de la santé publique. D’après les experts scientifiques que nous avons consultés, la transparence sur l’efficacité des applications de traçage des contacts peut cependant se heurter à la réglementation sur la protection des données. Pour une bonne évaluation de l’impact sanitaire des applications de traçage des contacts, fondée sur des analyses de données et modélisations fiables, il est nécessaire de disposer de données recueillies par les applications de traçage des contacts, notamment celles qui concernent le nombre de notifications d’exposition, la fonction de notation des risques (probabilité que les contacts notifiés soient ensuite testés positifs), le dépistage et la quarantaine volontaire ou obligatoire.

65. La plupart des applications de traçage des contacts européennes, voire toutes, sont conçues, sécurisées et protégées, à tel point qu’il est pratiquement impossible d’accéder à leurs données, même pour les gouvernements et les chercheurs indépendants.

66. Une amélioration continue de la qualité des processus et des interventions relatifs à la politique publique est essentielle aux fins de la santé publique

. Il est important, en particulier, que les applications de traçage des contacts restent réactives face aux évolutions de la situation, celles-ci pouvant être liées à des changements dans les schémas de transmission et les caractéristiques d’échappement immunitaire ou à l’apparition de nouvelles preuves scientifiques concernant, par exemple, la durée et la distance du contact d’une personne avec un utilisateur contaminé, ces deux facteurs déterminant s’il existe un risque suffisamment élevé pour alerter cette personne et lui recommander de se soumettre à un test de dépistage du coronavirus.

67. Au départ, de nombreuses applications de traçage des contacts étaient paramétrées pour des contacts d’une durée de cinq à quinze minutes et à une distance d’environ un mètre et demi. Mais que faire si un variant plus contagieux survient et se propage, comme le variant Omicron? Faut-il alors reparamétrer l’application? Pour répondre à ces questions, il est nécessaire de rapprocher et d’analyser les ensembles de données issus des applications de traçage des contacts. Cependant, la plupart du temps, ces données ne peuvent être traitées, les utilisateurs n’ayant pas donné leur consentement à cette fin.

68. D’après l’une des premières études sur les applications de traçage des contacts, qui s’était intéressée au dispositif Google/Apple de traçage de l’exposition à la covid-19, le Règlement général de l’Union européenne sur la protection des données ne doit pas être perçu comme un frein, mais plutôt comme un atout dans les périodes marquées par l’incertitude, telles que les pandémies

, étant donné qu’il offre un modèle fonctionnel pour la conception d’un système qui soit compatible avec les droits fondamentaux.

69. Une étude plus récente a souligné le fait que le manque de données détaillées et centralisées limitait les évaluations de l’efficacité des applications de traçage des contacts

. L’efficacité de ces applications a souvent été mise en doute, surtout dans les premiers temps. Pourtant, on manque considérablement de données concrètes pour comparer les effets du traçage numérique à ceux de la recherche manuelle de contacts.

70. Quoi qu’il en soit, un équilibre entre la nécessité de protéger la vie privée, d’une part, et celle d’évaluer l’impact sanitaire, de l’autre, doit être trouvé. Cette démarche est essentielle non seulement pour les applications de traçage des contacts pour les contaminations par la covid-19, mais aussi pour les technologies futures qui seront mises en œuvre contre les crises sanitaires à venir.

71. Lors de l’audition organisée par la commission le 4 mars 2022 à Paris, Mme Alessandra Pierucci, Présidente du Comité de la Convention 108, a souligné que le droit à la vie privée et le droit à la protection des données personnelles n’étaient pas – et ne devraient pas être – décrits comme une entrave au fait de sauver des vies, ni à l’exercice d’autres droits fondamentaux ou à l’intérêt public. Je partage son point de vue selon lequel la Convention 108, ainsi que sa version modernisée, la Convention 108+, qui ont été élaborées précisément en réponse aux multiples défis que posent les nouvelles technologies, sont suffisamment souples pour garantir un équilibre entre la protection des données à caractère personnel et d’autres droits et intérêts publics.

72. Par exemple, la surveillance d’une épidémie mortelle est explicitement citée parmi les intérêts pour lesquels le traitement de données à caractère personnel est considéré légitime (paragraphe 47 du Rapport explicatif de la Convention 108+). Le traitement à des fins de recherche scientifique est aussi compatible avec cette finalité, à condition que des garanties appropriées s’appliquent (article 5). Des restrictions à certains principes de la protection des données peuvent être autorisées à des fins de recherche scientifique, mais uniquement si elles sont prévues par la loi et lorsqu’il n’existe pas de risque identifiable d’atteinte aux droits des personnes concernées (article 11.2).

73. Mme Pierucci a aussi mis en garde contre le fait que les données à caractère personnel, en particulier les données relatives à la santé, pouvaient finir entre les mains d’acteurs non souhaitables, tels que les compagnies d’assurances ou les assureurs, les employeurs ou d’autres acteurs publics, et être utilisées par ces derniers à des fins non prévues. Il faut assurément éviter cela.

74. L’intervention des autorités chargées de la protection des données après le lancement des applications de traçage des contacts ne s’est pas traduite par une interdiction d’utiliser ces outils numériques. Les autorités ont plutôt appelé à garantir la mise en œuvre de normes appropriées de protection des données, en prévoyant, par exemple: 1) qu’une évaluation de l’impact doit être menée avant le lancement du processus; 2) que le dispositif technologique doit viser à éviter le traitement de données non nécessaires; 3) que le traitement des données ne doit pas être effectué à des fins non prévues; 4) qu’un niveau élevé de sécurité et de qualité des données doit être assuré, dans la mesure où le traitement de celles-ci peut avoir d’importantes conséquences (isolement, tests) pour les personnes identifiées comme contact potentiel d’une personne contaminée; 5) que la personne concernée a le droit de ne pas être soumise à des décisions automatisées sans qu'il lui soit clairement possible d’en contester les conséquences, en particulier au vu des inexactitudes possibles dans ces systèmes.

75. L’existence de règles de protection des données est essentielle pour garantir la confiance, comme lorsque l’on communique des informations sur sa santé à son médecin personnel. De la même manière, tout type de traitement de données effectué dans l’intérêt de la santé publique par les autorités, y compris avec l’aide d’acteurs privés, doit reposer sur la confiance.

76. Il peut exister une certaine latitude permettant de légitimer, dans certains cas, le traitement de données lorsqu’il est effectué à des fins de recherche scientifique, mais cette possibilité doit être prévue par la loi et assortie de garanties appropriées. La Convention 108 et la Convention 108+ autorisent les exceptions dans des circonstances extraordinaires, dès lors que celles-ci sont bien encadrées par la loi, qu’elles préservent l’essence des principes de protection des données et qu’il y est mis fin une fois que l’urgence a disparu.

77. En outre, le recours aux applications de traçage des contacts doit être efficace et s’inscrire dans une stratégie épidémiologie nationale globale, déployée au moyen de différents outils. La technologie peut contribuer dans une large mesure à l’intérêt général, mais on ne saurait se reposer entièrement sur elle pour résoudre les problèmes, sans autre réflexion critique, car il est nécessaire de veiller attentivement à l’équilibre entre tous les intérêts en présence et d’évaluer ses effets et son efficacité de façon appropriée.

78. Ces points ont également été soulignés par M. Walter, Commissaire à la protection des données du Conseil de l’Europe, lorsqu’il s’est exprimé devant notre commission le 21 juin 2022. Il a en particulier indiqué que le choix de faire aveuglément confiance à la technologie sans évaluer ses effets et son efficacité se fonde sur l’idée erronée selon laquelle la technologie en tant que telle serait une panacée. La technologie ne peut contribuer de manière significative à l’intérêt général que si l’on veille à maintenir un équilibre minutieux entre tous les intérêts en jeu et à réaliser une analyse approfondie des risques qu’elle comporte pour les droits humains et les libertés fondamentales dans une société démocratique.

8. Interopérabilité

79. La communication entre les applications et la mise en œuvre d’une application de lutte contre la covid‑19 fonctionnant dans plusieurs pays sont deux aspects importants dont il faut tenir compte, qui sont essentiels pour contenir la pandémie et se préparer à faire face aux menaces futures.

80. Dans l’Union européenne, des lignes directrices pour l’interopérabilité des applications de traçage des contacts ont été adoptées par consensus par le réseau «Santé en ligne» en mai 2020

. La Commission européenne a mis en place un système «passerelle» à l’échelle de l’Union européenne, qui garantit le fonctionnement des applications par-delà les frontières.

81. Trois applications nationales (en Allemagne, en Irlande et en Italie) ont été reliées dans un premier temps en 2020. Au total, 20 applications sont basées sur des systèmes décentralisés et peuvent devenir interopérables

. J’ai contacté il y a peu des représentants de l’Union européenne pour faire le point sur la situation. La Commission européenne a récemment fourni deux études importantes.

82. La première, qui porte sur les bonnes pratiques et enseignements tirés de l’approche commune de l’Union européenne concernant les applications de traçage numérique des contacts et son impact épidémiologique («Lessons learned, best practices and epidemiological impact of the common EU approach on digital contact tracing apps»), poursuit trois objectifs:

donner une vue d’ensemble complète et actualisée de l’approche adoptée et des enseignements tirés des actions menées au niveau de l’Union européenne concernant l’interopérabilité, la coordination et la mise en œuvre transfrontalières ainsi que l’impact épidémiologique du suivi numérique des contacts;

proposer un cadre et une méthodologie de suivi pour recueillir et évaluer des données sur l’utilisation et la performance des solutions de suivi numérique de proximité dans l’Union européenne;

fournir une évaluation complète et actualisée de l’incidence du suivi numérique des contacts dans les États membres de l’Union européenne, fondée sur le cadre et la méthodologie mis au point pour le suivi.

83. Cette étude est menée en étroite coopération avec tous les États membres de l’Union européenne qui ont développé et utilisé des applications nationales de traçage numérique des contacts pendant la pandémie, et ses conclusions sont attendues d’ici la fin de l’année 2022.

84. La Commission européenne analyse également le suivi transfrontalier des contacts dans le cadre d’une étude de faisabilité sur les outils et applications de traçage des contacts utilisés au niveau national et européen et sur leur intégration au module d’échange sélectif du Système d’alerte précoce et de réaction («Feasibility study on whether the contact tracing tools and applications used at national and EU level could be integrated and interoperable within Early Warning and Response System (EWRS), selective exchange module»). Cette étude, qui ne porte pas spécifiquement sur les applications de traçage des contacts numérique de proximité, a deux objectifs principaux:

évaluer les enseignements tirés des pratiques nationale, européenne et internationale du traçage transfrontalier et à grande échelle des contacts dans le cadre de la pandémie de covid-19;

évaluer la faisabilité du couplage des données des applications de traçage des contacts avec le Système d’alerte précoce et de réaction.

85. Cette étude consistera en une analyse des avantages du traçage numérique des contacts, des difficultés et des obstacles juridiques à celui-ci, ainsi que des paramètres nécessaires pour soutenir son intégration au sein du système d’alerte précoce et de réaction et du module d’échange sélectif. Elle recensera de nouvelles caractéristiques et structures permettant de garantir que les différentes applications de traçage numérique des contacts deviennent interopérables, et ainsi d’améliorer l’efficacité des initiatives nationales et internationales de traçage des contacts.

86. Je pense que notre Assemblée devrait souligner la nécessité de concevoir des solutions coordonnées au niveau international pour favoriser des déplacements internationaux sûrs ainsi que le contrôle de la pandémie de la covid-19 à l’échelle mondiale, et prévenir les menaces à venir pour la santé publique.

9. Observations finales et recommandations

87. Les applications de traçage des contacts sont relativement nouvelles et peu testées dans de nombreux pays. La technologie a le pouvoir d’amplifier les efforts de la société pour résoudre des problèmes complexes. Cependant, les gouvernements et les entités privées sont aussi capables de déployer des technologies de traçage nuisibles. Le mot «crise» ne saurait être utilisé pour restreindre les libertés par la surveillance.

88. Le rapport de 2020 du Conseil de l’Europe sur la protection des données a aussi montré qu’en adoptant des systèmes très divergents, les pays ont limité l’efficacité des mesures prises et l’influence qu’ils auraient pu exercer sur les acteurs du marché numérique. D’après ses conclusions, très peu d’applications utilisées dans les États parties à la Convention 108 résistent à l’épreuve de la légalité

89. Rétrospectivement, il faudrait encourager les gouvernements à évaluer les technologies adoptées et à surveiller leur mise en œuvre et le respect des normes relatives à la protection des données. La collecte et le traitement de données à caractère personnel et de données relatives à la santé doivent être justifiés par des objectifs légitimes de santé publique et être appropriés et proportionnés au but recherché

90. La confiance qu’accordent les utilisateurs aux nouvelles technologies est déterminante pour le niveau d’adoption, et donc pour l’efficacité du système. Le fait que les citoyens ne soient pas suffisamment associés au débat pourrait expliquer l'inefficacité des applications de traçage des contacts et les faibles taux d'adoption de celles qui sont disponibles.

91. Les très nombreuses données recueillies par l’intermédiaire de ces applications ne devraient pas être accessibles à des tiers qui ne participent pas à la gestion de la santé publique (autres administrations ou agences publiques, entreprises privées, etc.). La collecte et le traitement des données devraient être transparents et concis, et des informations facilement accessibles sur l’objectif de la collecte, du stockage et du partage des données devraient être mises à la disposition du public. Le choix de télécharger et d’utiliser des applications devrait rester libre et respecter l’autonomie de la personne, et ce, dans le but également d’éviter la discrimination due à la fracture numérique.

92. Le contrôle et la surveillance devraient être temporaires et n’être mis en place que pour faire face à une situation de crise. Enfin, et surtout, les autorités chargées de la protection des données devraient être associées à l’élaboration, à la supervision et à l’audit des systèmes numériques d’identification des contacts.

93. Parallèlement, ces technologies doivent avoir pour finalité d’empêcher que l’épidémie ne se propage davantage et de briser les chaînes de contamination. Leur adoption sur les smartphones et le respect de leurs recommandations (telles que la notification des contacts en cas de test positif ou le fait de se faire tester après avoir reçu une notification) sont fondamentaux pour leur efficacité, et plus les niveaux d’adoption et de respect sont élevés, plus les applications de traçage des contacts ont de chances de briser effectivement les chaînes de contamination.

94. En 2020, la Présidente du Comité de la Convention 108 et le Commissaire à la protection des données du Conseil de l’Europe ont déclaré que le traitement à grande échelle de données à caractère personnel ne pouvait être effectué que lorsque, sur la base d’éléments scientifiques probants, les avantages potentiels pour la santé publique d’une telle surveillance numérique des épidémies l’emportent sur les avantages d’autres solutions.

95. À ce jour, les preuves scientifiques concrètes de l’impact et de l’efficacité des applications de traçage des contacts restent relativement limitées. Mon rapport vise à montrer qu’une interprétation stricte des normes de protection des données pourrait faire obstacle à l’obtention de telles preuves.

96. Les applications de traçage des contacts reposant sur le dispositif Google/Apple de traçage de l’exposition à la covid-19 sont conçues de sorte à ne pas collecter de données de santé permettant d’identifier l’utilisateur, du moins pas sans son consentement explicite. Cependant, la recherche manuelle de contacts (dans les centres de dépistage, etc.) peut conduire à une accumulation de données de santé très sensibles qui ne peuvent être communiquées à des tiers, y compris la communauté scientifique, sans le consentement des personnes concernées, ou uniquement sous forme de données agrégées et anonymisées. Or, ces données sont essentielles pour les analyses de l’efficacité des applications de traçage des contacts .

97. Les applications de traçage des contacts collectant des données limitées et reposant sur des systèmes décentralisés pour protéger la vie privée, comme la plupart des systèmes européens, peuvent empêcher les gouvernements d’analyser les données globales, notamment les caractéristiques démographiques des utilisateurs ou les tendances spatio-temporelles et l’impact sur la santé publique relatives à l’utilisation de ces applications et aux notifications d’exposition. De fait, les données de traçage des contacts et les ensembles de données relatifs au dépistage ne peuvent être traités et rapprochés sans le consentement explicite des citoyens.

98. Comme mentionné plus haut, l’efficacité des applications de traçage des contacts est essentielle pour l’adoption de ces dernières et le respect des recommandations qu’elles émettent. À leur tour, des taux d’adoption et de respect élevés améliorent la performance de ces applications. La conduite d’une évaluation fiable, transparente et précise de l’impact des applications de traçage des contacts sur la santé publique est donc une condition préalable fondamentale à une politique de santé publique efficace.

99. Il est essentiel, aux fins de la santé publique, de s’adapter en permanence à l’évolution de la situation et d’améliorer de façon continue les processus et les interventions dans ce domaine. En particulier, les applications de traçage des contacts doivent pouvoir faire face aux évolutions de la situation en tenant compte des changements concernant les schémas de transmission et les caractéristiques d’échappement immunitaire d’un virus.

100. L’apaisement de la tension entre les normes de protection des données, d’une part, et les évaluations de l’impact sanitaire, d’autre part, sera bénéfique non seulement pour la lutte contre l’actuelle pandémie, mais aussi pour la conception des technologies qui seront mises au point à l’avenir pour combattre d’autres crises sanitaires.

101. Lorsque les technologies sont conçues et mises en œuvre dans l’urgence, dans une période marquée par l’incertitude, comme lors d’une pandémie, et sans connaître précisément leurs retombées dans le monde réel ni leur impact sanitaire, les normes de protection des données doivent être considérées comme un atout. Cependant, ces règles doivent être interprétées de sorte à permettre une collecte de données détaillées par l’intermédiaire de ces technologies elles-mêmes ou du système de santé, en particulier en temps de crise sanitaire mondiale.

102. Sur la base de ces considérations, j’ai élaboré un projet de résolution énonçant notamment un ensemble de mesures que nos gouvernements devraient adopter concernant l’utilisation des applications de traçage des contacts ou de futures technologies similaires. Ainsi, ces applications devraient s’inscrire dans une stratégie épidémiologique nationale globale; elles devraient aussi continuer de reposer sur la base du volontariat et respecter le droit à la vie privée. Les autorités publiques devraient se montrer proactives en communiquant des informations exactes et en sensibilisant les citoyens aux bénéfices de ces outils et à la bonne utilisation de ceux-ci; elles devraient également instaurer des garanties strictes concernant le droit des utilisateurs à la vie privée, renforcer la confiance et veiller à ce que l’efficacité des applications de traçage des contacts soit évaluée de façon appropriée.

103. Les gouvernements ont commencé à se pencher sur des réformes à moyen et long terme, axées sur le renforcement des capacités d’anticipation et de gestion des crises actuelles et futures, comme de nouvelles pandémies ou menaces pour la santé ou encore des chocs climatiques

. Le présent rapport vise à alimenter la réflexion des gouvernements sur ce qui pourrait aider à préparer une réponse à long terme dans le domaine des applications de traçage des contacts.

Assembl�e parlementaire