Ce qu'il faut savoir sur l'appli StopCovid si vous n'avez rien compris aux critiques

Point par point, on reprend tous les débats autour de l'application de traçage numérique.

Qu’est-ce que StopCovid ? Une application mobile de traçage numérique que le gouvernement français souhaite mettre en place pour enrayer la propagation du Covid-19 sur le territoire national.

Ce mardi 27 avril, quelques heures avant l’annonce du plan de déconfinement que doit présenter le Premier ministre, les députés devront débattre de l’avenir du projet à l’Assemblée nationale. Le lendemain, mercredi, ce sont les sénateurs qui s’y colleront. Ces discussions détermineront le futur de cette application, ses capacités, ses limites et, surtout, si elle sera oui ou non déployée le 11 mai, date qui devrait inaugurer une longue période de déconfinement progressif.

Publicité

Sauf que rien, dans la conception, la mise en place et l’utilisation de StopCovid, ne semble simple. Depuis quinze jours, l’application engrange de nombreux débats sur les libertés numériques, la sécurité des données personnelles et son intérêt sanitaire.

Nous vous résumons tout ce qu’il faut savoir en quatre points clés simples, agrémentés de liens pour approfondir la réflexion, si vous n’avez rien suivi à l’affaire.

Quelle sera l’utilité de StopCovid et qui devra l’installer ?

Commençons par revenir sur la genèse du projet.

Publicité

Dès la fin du mois de mars, l’Union européenne lançait des discussions avec les opérateurs mobiles pour mettre au point un traçage numérique des smartphones afin de suivre la progression du virus. Cédric O, secrétaire d’État au Numérique, a finalement officialisé cette solution en France dans un entretien au Monde, le 7 avril. C’est enfin Emmanuel Macron, dans son allocution du 13 avril, qui a entériné l’arrivée prochaine de StopCovid.

De quoi s’agit, précisément ? D’un projet visant à utiliser le "traçage de contact" grâce aux données mobiles des smartphones des utilisateurs. C’est-à-dire que l’application détecte et enregistre les personnes avec qui vous avez été en contact physiquement, si celles-ci ont également l’appli installée. De cette façon, le gouvernement espère pouvoir remonter facilement les chaînes de contamination dès qu’un malade est identifié. L’appli permettra ensuite de prévenir ceux avec qui la personne a été en contact, sans révéler son identité.

La France s’appuie sur un projet paneuropéen, le protocole ROBERT, pour Robust and privacy-presERving proximity Tracing protocol, pour développer sa propre application. Nous reviendrons sur celui-ci, qui fait également débat, mais retenez que le but recherché est de permettre une collaboration entre pays de l’Union européenne.

Publicité

Enfin, l’application, conçue par l’Institut national de recherche en sciences et technologies du numérique (INRIA), veut utiliser le Bluetooth pour faire fonctionner StopCovid et lui permettre de détecter la présence des autres mobiles. Elle reposerait également sur la base du volontariat – pas d’obligation de l’installer sur son mobile – et de l’anonymat, c’est-à-dire qu’elle ne recueillerait pas de données personnelles tierces comme la géolocalisation.

Les critiques et problèmes liés à l’application

Néanmoins, un grand nombre de critiques ne cessent de venir émailler le scénario technologique souhaité par Cédric O. Reprenons-les, point par point.

Les craintes pour les libertés numériques. Les opposants et critiques du projet s’interrogent sur le pistage de la population française et la sécurité de nos données numériques. "Poser les bases techniques et juridiques d’un traçage numérique et individuel de la population constitue un changement de paradigme majeur par rapport à nos usages numériques", écrivaient Paula Forteza et plusieurs députés de la majorité dans une tribune au Figaro, publiée le 9 avril.

Publicité

D’autres entités, comme l’association la Quadrature du Net ou un collectif de chercheurs (dont certains travaillent à l’INRIA), craignent également pour le respect de notre vie privée en ligne sur le long terme. Plusieurs centaines de scientifiques européens ont également signé une tribune à ce sujet.

"[…] Les applications mobiles de surveillance risquent de banaliser le port du bracelet électronique", écrivait carrément un collectif de spécialistes du numérique dans une tribune remarquée et adressée au Monde, le 25 avril dernier. "Même si toutes les garanties légales et techniques étaient mises en place (anonymisation des données, open source, technologies Bluetooth, consentement des utilisateurs, protocole décentralisé, etc.), StopCovid serait exposée au plus grand des dangers : celui de se transformer sous peu en 'StopCovid Analytica'", continuent-ils, en référence à l’affaire Cambridge Analytica.

StopCovid, un dispositif inefficace ? La deuxième critique soulevée par les détracteurs de l’application est plus prosaïque : le contact tracing serait inefficace. Pourquoi ? D’abord, parce qu’il reposerait ici sur la base du volontariat – et que rien ne garantit que les Français l’utilisent. Ensuite, parce que tout le monde ne possède pas de smartphones. L’application est ainsi accusée de favoriser la fracture numérique, notamment vis-à-vis des personnes âgées. Troisième raison : parce que beaucoup d’entre nous utilisent des iPhones qui, nous allons le voir, ne pourront pas faire fonctionner l’application correctement. Enfin, et surtout, parce que l’utilité d’une telle application est subordonnée à la capacité du pays à réaliser des dépistages en masse.

La question du Bluetooth. La problématique liée au Bluetooth est inhérente à cette technologie : elle est instable, peu sécurisée et n’a pas été créée pour ce type d’utilisation. Activer le Bluetooth en permanence, c’est potentiellement exposer les mobiles à des vulnérabilités. Enfin, l’utilisation du Bluetooth représente le nœud du problème entre Apple et le gouvernement français : iOS empêche les applications de solliciter le Bluetooth tout au long de la journée, ce qui empêcherait StopCovid de fonctionner correctement. Notons enfin qu’à Singapour, où une appli de contact tracing par Bluetooth a été utilisée, les résultats n’ont pas été au rendez-vous à cause de l’imprécision du dispositif et de ce fameux problème de fonctionnement en arrière-plan.

La conception et les entreprises privées. Le protocole européen centralisé Robert, sur lequel repose l’application, a été critiqué par différentes organisations. En Suisse, en Belgique ou en Italie, plusieurs organisations ont quitté le consortium à cause d’un manque de transparence et de la centralisation des données. La Belgique a d’ailleurs complètement quitté le navire. Enfin, la présence d’entreprises privées dans la conception de StopCovid, comme Orange ou Dassault System, inquiète à nouveau sur la protection des données privées.

Ce qu’en dit la CNIL

Ce dimanche 26 avril, la Commission informatique et liberté (Cnil) a finalement rendu public son avis sur l’application StopCovid.
En un mot : c’est un oui avec de grandes conditions.

La commission estime ainsi que "l’application peut être déployée, conformément au règlement général de protection des données (RGPD), si son utilité pour la gestion de la crise est suffisamment avérée et si certaines garanties sont apportées".

Quelles sont ces garanties ? "L’application ne peut être déployée que si son utilité est suffisamment avérée et si elle est intégrée dans une stratégie sanitaire globale", souligne la Cnil. Elle précise aussi qu’il ne doit pas y avoir "de conséquence négative en cas de non-utilisation, en particulier pour l’accès aux tests et aux soins".

La Cnil avertit sur la "banalisation" liée au développement d’une application de suivi. Elle souhaite par ailleurs que son utilisation soit limitée dans le temps et demande à se prononcer à nouveau après les débats parlementaires qui auront lieu mardi 28 et mercredi 29 avril.

Notons enfin que la CNumm (Conseil national du numérique) et le Conseil scientifique ont également donné leur aval.

Apple, Google : bras de fer et de Bluetooth

Les deux géants de la tech américaine ont proposé aux différents gouvernements une solution "clé en main" pour faire fonctionner leur appli de contact tracing. Dans une collaboration inédite, ils ont développé une API (interface de programmation) à la disposition des développeurs, compatible à la fois pour iOS et Android. Une solution à laquelle l’Allemagne s’est ralliée, mais à laquelle la France se refuse, comme l’a confirmé Cédric O dans un entretien au Journal du Dimanche, le 26 avril.

Pourquoi ? Le secrétaire d’État avance d’abord la question de la souveraineté numérique de la France. "C’est la mission de l’État que de protéger les Français : c’est donc à lui seul de définir la politique sanitaire, de décider de l’algorithme qui définit un cas contact ou encore de l’architecture technologique qui protégera le mieux les données et les libertés publiques", avance Cédric O.

La question est en réalité plus complexe.

Apple bloque l’utilisation du Bluetooth en arrière-plan pour des raisons de sécurité, mais aussi pour éviter le tracking publicitaire par les applications. C’est aussi le cas de Google, du moins partiellement. Le gouvernement français a demandé une levée officielle de ces restrictions, mais il y a peu de chances que la firme à la pomme accepte : elle ne l’a jamais fait avant, même pour le FBI. Par ailleurs, si Apple cédait ce passe-droit à la France, cela créerait comme une jurisprudence vis-à-vis des autres gouvernements.

Il y a en réalité deux conceptions différentes et très techniques de l’utilisation du contact tracing qui s’affrontent ici. Protocole Robert versus API de Google et Apple.

La solution européenne présente l’avantage de ne pas identifier les clefs Bluetooth des personnes infectées. Le rapport entre chaque personne contact est anonymisé et il n’y a aucun moyen de briser cet anonymat. En clair, "aucun lien n’est fait entre le téléphone de la personne et son historique", comme l’écrit Bruno Sportisse, PDG de l’Inria, dans un texte explicatif très accessible.

Basiquement, la solution proposée par Apple et Google, elle, identifie ces clés. Les informations collectées sont stockées localement sur les mobiles des utilisateurs avant de remonter vers un serveur chiffré. On pourrait ainsi dire qu’une "liste d’identifiants contaminés" existe. Pour autant, les deux géants promettent des garde-fous hautement sécurisés

La situation française semble donc devoir faire face à une impasse. Et la volte-face de l’Allemagne laisse la France bien seule à s’entêter face à Apple et Google.

Par Benjamin Bruel, publié le 28/04/2020