La CNIL s’est prononcée le 25 mai 2020 sur un projet de décret relatif à « StopCovid », une application mobile mise à disposition des utilisateurs de smartphones par le Gouvernement afin de les alerter d’un risque de contamination au virus.
L’essentiel
La CNIL s’est prononcée le 25 mai sur le projet de décret relatif à l’application mobile «StopCovid ». L’objet de cette application est d’informer les personnes utilisatrices qu’elles ont été à proximité de personnes diagnostiquées positives au COVID-19 et utilisant la même application, cette proximité pouvant entrainer un risque de contamination.
Cette saisine fait suite à l’avis rendu par la CNIL le 24 avril 2020 sur le principe même du déploiement d’une telle application. La CNIL avait alors considéré possible la mise en œuvre de « StopCovid », sous réserve qu’elle soit utile à la stratégie de déconfinement et qu’elle soit conçue de façon à protéger la vie privée des utilisateurs.
La CNIL constate que ses principales recommandations (utilisation de données pseudonymisées, absence de géolocalisation et de création de fichier concernant les personnes contaminées) ont été prises en compte par le gouvernement et estime ainsi que ce dispositif temporaire, basé sur le volontariat, peut légalement être mis en œuvre.
Les observations de la CNIL
Afin d’assurer la pleine conformité de l’application au Règlement Général sur la Protection des Données (RGPD), la CNIL a néanmoins émis plusieurs observations sur le projet de décret et sur les conditions de déploiement de l’application.
Ces observations concernent notamment la responsabilité du traitement confiée au ministère en charge de la politique sanitaire, l’absence de conséquence juridique négative attachée au choix de ne pas recourir à l’application, ou encore la mise en œuvre de certaines mesures techniques de sécurité.
La CNIL estime que l’application peut être légalement déployée dès lors qu’elle constitue un instrument complémentaire du dispositif d’enquêtes sanitaires manuelles et qu’elle permet des alertes plus rapides en cas de contact avec une personne contaminée, y compris pour des contacts inconnus.
Néanmoins, la CNIL estime que l’utilité réelle de l’application devra être plus précisément évaluée après son lancement. Sa durée de mise en œuvre devra être conditionnée aux résultats de cette évaluation régulière.
