Actualités de l'Urgence - APM

Auditionnée puis interrogée par les députés pendant près de deux heures mercredi, Marie-Laure Denis s'est exprimée sur le sujet des traitements automatisés mis en oeuvre pour lutter contre le Covid-19.

Le système d'information de dépistage du Covid-19 (Sidep), le SI Contact Covid, l'application TousAntiCovid, les passes sanitaire et vaccinal ou encore le SI Vaccin Covid: de nombreux traitements de données à caractère personnel ont été engagés depuis le début de la crise sanitaire au printemps 2020.

"Il me semble important de rappeler que la gestion de cette crise a rendu nécessaire la création, dans des conditions d'urgence le plus souvent, de nombreux et nouveaux outils impliquant le traitement d'importants volumes de données à caractère personnel, en particulier des données sensibles que sont les données de santé", a d'abord rappelé mercredi Marie-Laure Denis.

"La conception des nouveaux systèmes d'information sanitaire et leur calibrage ont soulevé des questions inédites en matière de protection des données. Cela résulte de l'ampleur des données collectées pour certains systèmes d'information. Ce sont les données d'une majorité de la population française qui ont ainsi été collectées. Et il faut également souligner la multitude de professionnels devant pouvoir y accéder, en particulier pour les données de son système d'information qui recense les résultats des tests pour les contacts et du système d'information sur les vaccins", a-t-elle poursuivi.

La présidente de la Cnil a profité de son intervention pour souligner "la grande robustesse du RGPD [règlement général sur la protection des données]" et "sa souplesse suffisante pour permettre le déploiement de divers outils de gestion de l'épidémie, tout en offrant à la Cnil la possibilité de contrôler réellement le respect des droits et des libertés fondamentales des personnes et, le cas échéant, de demander des corrections en cas de mauvaises pratiques".

"Ces deux dernières années ont mis en exergue que la nécessaire prise en compte de la protection des données à caractère personnel était un facteur déterminant pour contribuer à la confiance des concitoyens, pour contribuer à créer les conditions de l'acceptabilité sociale des solutions proposées et ainsi garantir l'efficacité des mesures employées pendant cette crise", a-t-elle complété.

Mieux "calibrer" les SI en cas de nouvelle crise sanitaire

Durant son audition, Marie-Laure Denis a également dressé un premier bilan de l'action de la Cnil depuis le début de la crise sanitaire.

Ainsi, depuis le printemps 2020, l'autorité administrative indépendante a rendu 31 avis sur des projets de textes du gouvernement, elle a été auditionnée à 13 reprises par le Parlement "afin d'éclairer les débats parlementaires sur des enjeux fondamentaux liés au respect de la vie privée et des données à caractère personnel" et son service chargé de la santé a instruit près de 170 demandes d'autorisations relatives à des projets de recherche en lien avec la crise sanitaire, a fait savoir la présidente de la Cnil.

La Cnil a également publié un certain nombre de délibérations et rendu de nombreux avis relatifs au SI Covid.

La Commission a ainsi relevé "l'utilité marginale" de la fonctionnalité de contact tracing de l'application TousAntiCovid et incité les utilisateurs à ne l'activer "que pendant les périodes de circulation active du virus", dans son cinquième avis adressé au Parlement sur les conditions de mise en oeuvre des dispositifs contre le Covid-19 publié au début de l'été (cf dépêche du 06/07/2022 à 12:31).

Pour rappel, et conformément aux dispositions réglementaires en vigueur, "le 31 janvier 2023 il y aura une extinction de TousAntiCovid", a noté la présidente de la Cnil. Dans son cinquième avis, la Cnil avait rappelé que le recours à un tel dispositif "doit être limité à la durée strictement nécessaire à la réponse à une situation sanitaire exceptionnelle".

"Je voudrais souligner que le passe sanitaire et vaccinal utilisé pour inciter à se faire vacciner est particulièrement attentatoire aux libertés publiques. Il ne doit être réservé qu'à des situations extrêmes pour un temps tout à fait limité", a répété Marie-Laure Denis mercredi.

Pour elle, il faut "éviter l'effet cliquet", qualificatif généralement attribué à un phénomène économique irréversible, et sortir de ces dispositifs intelligemment.

"S'agissant de Contact Covid, je reste, si vous me permettez cette expression un peu familière, un peu sur ma faim", a confié la présidente de la Cnil. "S'agissant des évaluations, je ne conteste pas le principe de ces traitements, mais ils présentent des risques particuliers en termes de protection de la vie privée car ils ont conduit à collecter et à brasser une quantité colossale de données par leur utilisation en continu", a-t-elle expliqué.

"Avec une telle intensité, une telle densité était-elle indispensable? Elle était sans nul doute légitime. Mais si nous sommes confrontés à nouveau à cette situation, ce qui, j'espère, ne sera pas le cas, il faudra s'interroger sur la possibilité de calibrer plus finement les choses. Le traitement pourrait varier selon le contexte, lorsque la situation du virus est maîtrisée ou en est encore à ses débuts, ou pour des enquêtes sur des clusters", a-t-elle poursuivi.

"L'apport du traitement semble établi, mais lors de périodes de circulation intense du virus, un tel traitement nécessite de disposer de moyens suffisants pour collecter et exploiter surtout efficacement les données dans le cadre de la gestion de l'épidémie. Compte tenu des difficultés connues, c’est-à-dire qu'il faut pouvoir mobiliser un grand nombre d'enquêteurs formés, il faut pouvoir mener des enquêtes dans des délais contraints pour conserver la pertinence de la notification."

"Il me semble nécessaire aujourd'hui que soit établie une analyse de la complémentarité des dispositifs ayant été mise en oeuvre, à plus forte raison avant d'envisager une éventuelle refonte du cadre juridique applicable en période de crise. Il ne s'agit nullement de remettre en cause la légitimité d'action sanitaire mise en place en urgence et dans un contexte incertain, mais il est nécessaire d'apprendre de cette crise", a martelé Marie-Laure Denis.

Des moyens en hausse mais pas à la hauteur de ceux des voisins européens

Interrogée à plusieurs reprises sur les moyens dévolus à la Cnil, la présidente de la Commission a salué "une prise de conscience des pouvoirs publics".

"La crise sanitaire y a certainement contribué et j'espère que la réaction de la Cnil [au moment de la crise] a été un facteur et également déterminant, mais les pouvoirs publics ont mieux doté depuis quelques années la Cnil en emplois à temps plein [ETP] qu'auparavant", s'est-elle félicitée.

"À la fin de l'année prochaine, les effectifs de la Cnil atteindront 290 personnes et cela correspond à une augmentation de près d'un tiers en l'espace de trois ou quatre ans."

"Cela étant dit, la Cnil reste 'petite', si j'ose dire, par rapport à des autorités de protection des données comparables et qui ont le même périmètre d'intervention", a toutefois noté Marie-Laure Denis, citant les "Cnil" britannique et allemande, qui comptent respectivement trois fois et quatre fois plus d'agents.

Face à la "révolution réglementaire qui s'annonce avec le paquet numérique européen" et la multiplication des sujets qui vont échoir à la Cnil, sa présidente a appelé de ses voeux à "de nouvelles compétences" au sein de la structure pour affronter ces futures dispositions.

"Il faudra proportionner les moyens de la Cnil en conséquence", a-t-elle prévenu.

wz/ab/APMnews