Données personnelles

Secret médical, piratage, abus : les questions que pose le “méga-fichier” sanitaire du gouvernement

Dans le fichier sanitaire voulu par le gouvernement, la protection des données personnelles pourrait s’avérer difficile à appliquer.  C’est ce que nous a expliqué Stéphanie Lacour, directrice de recherche au CNRS et spécialiste de la régulation des nouvelles technologies.

Sans tracing, pas de déconfinement, a insisté le gouvernement. Le suivi des malades du Covid-19 et des personnes entrées en contact avec eux est au coeur de la stratégie de l’après-11 mai de l’exécutif. Ce suivi passera par un «système d’information», prévu par l’article 6 de la prolongation de la loi d’urgence sanitaire et voté samedi 9 mai. Par «système d’information», il faut comprendre organisation de bases de données sur les malades.

En pratique, le «système d’information» prendrait la forme de deux fichiers. Le premier, le Sidep (Service intégré de dépistage et de prévention) contiendrait les données des personnes testées positives au coronavirus et serait alimenté par les laboratoires. Le second, «Contact Covid», rassemblerait pour chaque patient testé des informations sur les personnes avec lesquelles il s’est trouvé en «contact rapproché» les quarante-huit heures précédent le test.  En autorisant la collecte et le partage de données médicales, ce dispositif informatique a suscité l’ire de l’opposition au Parlement et l’inquiétude des défenseurs de libertés individuelles. Pour mieux en comprendre les enjeux, nous avons interrogé Stéphanie Lacour, directrice de recherche au CNRS au sein de l’ENS Paris-Saclay et spécialiste de la régulation des technologies émergentes*.

Dérogation au secret médical et risque de piratage

Ce que prévoit le texte : Les données personnelles «concernant la santé relatives aux personnes atteintes par ce virus et aux personnes ayant été en contact avec elles» pourront être collectées, enregistrées, organisées, utilisées et partagées. Le projet de loi prévoit une liste d’organismes dont les agents seront habilités à avoir accès à la base de donnée : Ministère de la Santé, Agences régionales de Santé, Assurance-maladie – et par extension les fameuses “brigades d’anges gardiens” qui doivent participer à l’endiguement de l’épidémie – y figurent. Le texte prévoit également que ces données puissent être enregistrées «hors le consentement des intéressés». Autrement dit, si je suis malade et que je signale avoir été en contact avec ma voisine, celle-ci se retrouvera dans le fichier Contact Covid à son insu.

Pourquoi ça pose question : L’ Académie de Médecine s’est alarmée d’un dispositif qui «porte atteinte à deux droits fondamentaux» : la libre volonté des personnes et le secret médical. Le débat se focalise surtout sur les «brigades d’anges gardiens», où figurent des personnes qui ne sont pas soumises à l’obligation de secret médical mais simplement au secret professionnel. Même si tout le monde n’aura pas accès de la même manière aux données contenues dans la base : les degrés d’accès seront décidés par la suite et par décret par le gouvernement.

L’analyse de Stéphane Lacour : «C’est une dérogation extrêmement étendue à ce principe du secret médical puisqu’on suit les malades et contacts de ses malades. Finalement, on crée un fichier de relations sociales qui va dévoiler la manière dont les gens sont en relations dans la population. C’est extrêmement intrusif, individuellement et socialement».

«Quand un fichier est centralisé et rassemble des données extrêmement sensibles : il est profitable sur le marché des données personnelles. (…) On sait qu’en informatique que la sécurité n’est qu’une question de temps. Si des personnes investissent du temps pour trouver des failles et si elles y parviennent, ils obtiennent potentiellement toutes les données de la population française. Quand vous regardez l’histoire récentes des attaques informatiques, les fichiers de santé sont les plus ciblés».

Le risque d’une utilisation abusive

Ce que prévoit le texte: Craignant que le texte ne serve de base au déploiement de l’application mobile Stop-Covid, les sénateurs ont prévu que soit exclue l’utilisation des deux fichiers pour «le développement ou le déploiement d’une application informatique à destination du public et disponible sur équipement mobile permettant d’informer les personnes du fait qu’elles ont été à proximité de personnes diagnostiquées positives au covid‑19».

Le gouvernement avait déjà insisté : la création de cette grosse base de données est distincte de Stop-Covid, dont le lancement a été reporté au mois de juin. L’application serait utilisée, elle, sur la base du volontariat et permettrait aux personnes malades de se signaler. En utilisant la géolocalisation du téléphone, l’application enverrait ensuite une alerte à toute personne étant entrés en contact avec une personne testée positive dans les 15 derniers jours.

Ce qui pose question : Tel qu’il est formulé, le texte n’exclut ni le développement de l’application Stop-Covid, ni le croisement des données entre les différents fichiers. Autrement dit : les données de Stop-Covid pourraient – en théorie – venir nourrir ces deux «méga-fichiers». Cette option n’a pas été évoquée par le gouvernement.

L’analyse de Stéphane Lacour : «Le risque, c’est que si l’épidémie rebondit, la question se posera de savoir si les brigades d’anges gardiens suffisent à remplir tous les fichiers manuellement. La tentation pourrait être grande de croiser ce fichier sanitaire avec Stop-Covid pour avoir les données les plus complètes possibles, de façon automatique».

Le gros flou sur l’application du texte

Ce que prévoit le texte : La loi ne sert qu’à poser les grandes lignes et le principe de ce «méga-fichier» sanitaire. Les détails seront décidés par décret, par le gouvernement. Pour l’instant, personne ne sait qui aura accès aux fichiers en pratique ou comment ils seront remplis.

Ce qui pose question : Quand un projet de loi touche de près aux données personnelles, la CNIL, l’autorité en charge de la protection de la vie privée, doit intervenir en amont pour informer le législateur. Or, dans ce cas précis, la CNIL ne prononcera son avis consultatif qu’une fois les décrets promulgués.

L’analyse de Stéphanie Lacour : «Je suis ulcérée que la CNIL ne se rebelle pas davantage et que le Conseil d’État ait laissé passé ça. Ça ne devrait pas être légalement possible. (…) Le fait que la CNIL ne se prononce pas est un gros problème car elle aurait pu servir aux parlementaires pour se prononcer. Elle aurait pu donner un avis avant et après (…) Comme on est dans une procédure d’urgence, on décide qu’il faut une loi. Voter le principe d’abord et voir les détails ensuite, c’est éminemment critiquable d’un point de vue juridique.

L’effacement des données : garanti, vraiment ?

Ce que prévoit le texte: Les données ne pourraient être utilisées que « pour la durée de l’état d’urgence sanitaire », prévu jusqu’au 24 juillet et qui pourrait être prolongé. Ces données devront ensuite être effacées. Si la CNIL n’a pas rendu d’avis, sa présidente Marie-Laure Denis a été auditionnée par le Parlement. Elle a souligné que son institution sera « particulièrement attentive à la durée des données qui seront conservées ». Elle indique que les données liées à des « enquêtes achevées (…) devraient être supprimées dans un délai assez bref, bien avant la fin de l’épidémie ». Dans sa dernière version, le texte prévoit que les données soient effacées au bout de trois mois après leur entrée dans la base.

Pourquoi ça pose question : Effacer toutes les données collectées pourrait s’avérer impossible. En plus des deux méga-fichiers qui existeront au niveau national, les Autorités régionales de santé (ARS) pourront également conserver les données dans leurs bases déjà existantes. Cela signifie qu’il n’y aurait pas seulement deux, mais une multitude de fichiers retraçant des personnes atteintes du Covid-19 et leurs contacts.

L’analyse de Stéphane Lacour : «C’est compliqué techniquement mais on peut effacer les données d’un fichier unique. En revanche, à partir du moment où il y a des bases de données un peu partout en France, on sait déjà qu’on ne pourra pas tout effacer».


*Stéphanie Lacour est directrice de recherche au CNRS au sein de l’Institut des Sciences Sociales du Politique de l’ENS Paris-Saclay, à l’Université Paris-Saclay. Elle a étudié de près les risques posés par ce texte de loi avec son collègue Noé Wagener, Professeur des universités au sein du Centre universitaire rouennais d’études juridiques, à l’Université de Rouen Normandie.