C. UNE SENSIBILITÉ COÛTEUSE ET MAL PLACÉE
Si la sensibilité française à toute collecte et croisement de données personnelles par les autorités peut se comprendre, au regard notamment de l'histoire, la crise sanitaire a aussi montré que cette sensibilité avait un prix élevé. Mais surtout, cette sensibilité apparaît en réalité infondée, ou plus exactement décalée ou mal placée , pour plusieurs raisons qu'il convient de détailler ici.
En effet, ce n'est qu'en interrogeant les fondements mêmes de ce tabou qu'il sera possible de le dépasser , pour s'attacher enfin à trouver d'autres solutions permettant à la fois de protéger la vie privée des citoyens et de bénéficier des avantages du numérique.
1. L'État et les GAFA, ou comment se tromper de Big Brother
Tout d'abord, cette sensibilité apparaît de plus en plus décalée, pour ne pas dire complètement absurde, à l'heure où les géants du numérique accumulent sur chacun d'entre nous davantage d'informations que l'État n'en aura jamais, à des fins qui n'ont rien à voir avec l'intérêt général, et sans aucune des garanties que procurent les mécanismes de contrôle démocratique, compte tenu notamment du « privilège » de l'extraterritorialité dont bénéficient les GAFA. Il existe une disproportion manifeste entre les obstacles imposés à l'État et aux institutions publiques en général - ici celles chargées de protéger notre santé - et les facilités qu'ont ces entreprises pour collecter et utiliser des données de manière autrement plus intrusive.
Le pire est que nous fournissons toutes ces données volontairement, en échange d'un peu de confort et d'une illusoire gratuité. Ironiquement, alors que les polémiques sur TousAntiCovid n'étaient pas encore éteintes, Apple présentait le 23 avril dernier ses AirTags , des petites balises de la taille d'un porte-clés permettant, grâce au Bluetooth et en s'appuyant sur le milliard d'appareils de la marque en circulation dans le monde, de localiser tout objet auquel elles sont accrochées : un portefeuille, un sac à main, un vélo, un chien... et pourquoi pas un jeune enfant, un senior en perte d'autonomie, un conjoint infidèle, ou un employé pas assez modèle . C'est exactement le même principe que pour la solution de contact tracing proposée par Apple et Google, celle-là même que la France a fièrement refusée au profit de TousAntiCovid (cf. infra ). Elle est même plus intrusive encore, car tout possesseur d' iPhone fait automatiquement partie du réseau de détection, sans possibilité de désactivation - et pourtant, on n'a pas entendu les mêmes cris d'orfraie. Il faut dire qu'avec les AirTags , au prix de 119 euros les quatre, la gravure d'un emoji personnalisé est offerte.
2. La mauvaise excuse des dictatures
L'un des arguments les plus fréquemment évoqués à l'encontre du recours au numérique dans la lutte contre le Covid-19 est qu'il s'agirait de méthodes caractéristiques de régimes autoritaires et autres « dictatures numériques » que l'on trouve surtout en Asie . Cet argument, à la subtilité douteuse, appelle deux réponses.
Premièrement, c'est faux : les pays qui se sont appuyés sur des outils numériques puissants, souvent très intrusifs et obligatoires, sont dans leur majorité des pays démocratiques, avec des élections libres et un État de droit . C'est le cas du Japon, de Taïwan (qui a connecté ses bases de données sanitaires avec celles de la police aux frontières) ou encore de la Corée du Sud (qui a institué un contact tracing obligatoire et utilisant la géolocalisation, croisant de multiples données non sanitaires et permettant d'identifier les individus). Sans être de « pures » démocraties à l'occidentale, Hong Kong et Singapour n'en sont pas pour autant des dictatures.
Ces pays ne sont d'ailleurs pas seulement asiatiques - citons par exemple Israël ou l'Estonie , sans compter les nombreux autres qui ont très tôt fait le choix d'un pass ou d'un passeport sanitaire, et que la France s'apprête à rejoindre. À l'inverse, les régimes les plus autoritaires n'ont attendu ni la révolution numérique ni la crise sanitaire pour s'en prendre aux droits et libertés de leurs citoyens.
Les risques de dérives, bien sûr, sont tout à fait réels - et ce n'est pas pour rien que les technologies numériques les plus intrusives, comme la géolocalisation ou la reconnaissance faciale, sont strictement encadrées. Dans un pays comme la Chine, le système du « crédit social », la vidéosurveillance et l'usage des codes couleur en fonction de l'immunité contribuent en effet à une forme de surveillance généralisée , comme l'a montré l'audition publique organisée sur le sujet 95 ( * ) par la délégation à la prospective le 11 février 2021.
Mais ces dérives ne tiennent pas aux technologies elles-mêmes, elles tiennent à l'usage qui en est fait , à l'absence de contre-pouvoirs notamment, et aussi à des facteurs politiques et culturels. En lui-même, le progrès technique est neutre, porteur du pire comme du meilleur. Il n'est ni souhaitable, ni même possible, de l'entraver - et ce n'est certainement pas en laissant les régimes les moins démocratiques prendre une avance décisive en ce domaine, ou en abandonnant aux GAFA le soin de lutter contre les épidémies (et quoi d'autre demain ?), que nous pourrons défendre nos valeurs.
Deuxièmement, tout ceci n'est pas le problème . Si une « dictature » sauve des vies pendant qu'une « démocratie » pleure ses morts, la bonne attitude n'est pas de se réfugier dans des positions de principe, mais de s'interroger sur les moyens concrets, à la fois techniques et juridiques, de concilier efficacité et respect de nos valeurs .
Or tout est affaire de proportionnalité : a-t-on les mêmes « valeurs absolues », universelles et non négociables, quand il s'agit de sauver 1 000 vies ou 100 000 vies ? Ou, face à une menace plus grave, un million, voire dix millions ? Nos « lignes rouges » ont déjà beaucoup évolué en un an.
3. Une étrange conception de la proportionnalité
Le coeur du problème est en effet la proportionnalité. Le principe lui-même ne fait pas débat , et le RGPD prévoit d'ailleurs la possibilité de mettre en oeuvre des traitements de données personnelles intrusifs et dérogatoires, y compris au regard du consentement explicite des individus , lorsque les circonstances le justifient - ce qui est typiquement le cas d'une crise sanitaire. Dans son point d'étape de novembre 2020, la CNIL précise ainsi que sa mission a consisté à « concilier la protection des données à caractère personnel et des libertés, dont elle est garante, et la protection de la santé qui sont toutes deux des objectifs à valeur constitutionnelle ».
C'est bien le placement du curseur qui pose problème, c'est-à-dire le sens des priorités . Dans le contexte de la crise, la priorité absolue 96 ( * ) donnée à la protection des individus contre toute mesure susceptible de compromettre leur anonymat ou de déboucher sur une quelconque « obligation » ou « discrimination » est problématique à deux égards :
- d'une part, en raison du rapport entre bénéfices individuels et risques collectifs ;
- d'autre part, en raison de la disproportion entre atteinte aux libertés « numériques » et atteinte aux libertés « physiques ».
S'agissant du premier point, rappelons que la spécificité d'une crise sanitaire est d' impliquer des externalités (positives ou négatives) liées aux comportements individuels : les atteintes à la vie privée d'un individu ne sont donc pas seulement justifiées par la nécessité de le protéger lui-même, mais par la nécessité de protéger l'ensemble de la société , compte tenu du risque de contamination. Or la propagation d'une épidémie est par définition exponentielle dès lors que le taux de reproduction (R0) est supérieur à 1. Par conséquent, l'impact d'un comportement individuel peut être considérable , ce qui justifie des mesures obligatoires et intrusives, quitte à ce qu'elles soient limitées dans le temps et assorties de fortes garanties.
Du reste, il existe déjà - et fort heureusement - des maladies à déclaration obligatoire, sans que personne ne s'en scandalise . Outre les exigences relatives aux voyages internationaux, déjà évoquées, il existe en France une liste de 34 maladies à déclaration obligatoire (MDO) 97 ( * ) :
|
1. Botulisme 2. Brucellose 3. Charbon 4. Chikungunya 5. Choléra 6. Dengue 7. Diphtérie 8. Fièvres hémorragiques africaines 9. Fièvre jaune 10. Fièvre typhoïde et fièvres paratyphoïdes 11. Hépatite aiguë A 12. Infection aiguë symptomatique par le virus de l'hépatite B 13. Infection par le VIH quel qu'en soit le stade 14. Infection invasive à méningocoque 15. Légionellose 16. Listériose 17. Mésothéliomes 18. Orthopoxviroses dont la variole 19. Paludisme autochtone |
20. Paludisme d'importation dans les départements d'outre-mer 21. Peste 22. Poliomyélite 23. Rage 24. Rougeole 25. Rubéole 26. Saturnisme chez les enfants mineurs 27. Schistosomiase (bilharziose) urogénitale autochtone 28. Suspicion de maladie de Creutzfeldt-Jakob et autres encéphalopathies subaiguës spongiformes transmissibles humaines 29. Tétanos 30. Toxi-infection alimentaire collective 31. Tuberculose (incluant la surveillance des résultats issus de traitement) 32. Tularémie 33. Typhus exanthématique 34. Zika |
S'agissant du second point, il faut rappeler que « la réflexion sur les libertés "numériques" doit aussi être conduite au regard des restrictions extrêmement importantes qui ont été portées aux libertés "physiques", et notamment à la liberté d'aller et venir » . La citation provient de la CNIL elle-même, dans son point d'étape de novembre 2020 : là encore, ce n'est pas le principe qui est en cause, mais son application. Il est vrai que, six mois après le point d'étape, les restrictions ne sont toujours pas levées, et la France compte désormais plus de 100 000 décès.
C'est tout le paradoxe de la situation : les restrictions « physiques » sont bien plus lourdes, durent bien plus longtemps, et s'appliquent à tous de manière « aveugle » . Elles sont aussi bien plus difficiles à faire respecter , et sans doute in fine bien moins efficaces - quoique la France n'ait jamais eu l'occasion de les comparer avec des mesures « numériques ».
À cet égard, l'appréciation par la CNIL du principe de nécessité ( quelle utilité sanitaire de la mesure ? ) interroge . Tout d'abord, celle-ci n'a pas de compétence médicale - c'est sans doute un problème, mais il serait injuste de lui en faire le reproche, car telle n'est pas sa vocation, et la remarque vaudrait tout aussi bien, par exemple, pour le juge administratif.
En revanche, sur le strict plan du raisonnement juridique , il est plus légitime de s'interroger. S'agissant par exemple des caméras thermiques (cf. supra ), la CNIL développe un raisonnement pour le moins curieux : « l'efficacité et l'opportunité » de la prise de température seraient contestables parce que celle-ci n'est pas un symptôme systématique du Covid-19, et parce que la consommation de produits antipyrétiques (aspirine, etc.) permet de faire baisser la fièvre sans pour autant en traiter les causes, ce qui limite les possibilités de détection dans certains cas 98 ( * ) . En d'autres termes, la CNIL préfère ne détecter personne plutôt que de risquer de ne pas détecter tout le monde...
Cette position de principe est certes louable sur le plan de l'égalité mais bien peu adaptée à un contexte de crise sanitaire, où tout cas identifié est une victoire sur la maladie . La crise a livré plusieurs autres exemples de cette approche, par exemple lorsque la CNIL a émis des réserves au sujet d'un « passeport vaccinal », au motif qu'il n'existe « aucune certitude concernant la capacité des vaccins commercialisés actuellement à rendre 100 % des vaccinés sans danger pour autrui ». Faudrait-il, pour autant, se priver de leur efficacité importante pour permettre la réouverture des frontières et des commerces ?
4. Le totem de la discrimination
Ce type de raisonnement montre une chose : derrière la sensibilité française à la protection des données personnelles se trouvent non seulement un attachement à la liberté individuelle (par la protection de la vie privée), qui est la mission de la CNIL et s'accommode somme toute assez bien du principe de proportionnalité, mais aussi à l'égalité entre les citoyens .
Plus précisément, la doctrine de la CNIL semble opposée à toute mesure conduisant à une « discrimination en raison de l'état de santé » , expression apparue plusieurs fois au cours de la crise, et chargée d'un poids symbolique important.
Mais, dans la lutte contre une épidémie, l'objectif des mesures est très précisément de discriminer les individus en fonction de leur état de santé , pour leur propre protection et celle de la collectivité, et soutenir le contraire n'a strictement aucun sens .
Le refus par principe de toute « discrimination », par la seule magie du mot, ne contribue pas à la sérénité des débats sur des mesures telles que le pass ou le passeport sanitaire, pourtant indispensables.
Plusieurs intellectuels en ont aussi appelé à Michel Foucault et à ses concepts de biopouvoir ou de biopolitique 99 ( * ) , qui suffisent à discréditer ab initio toute mesure impliquant une contrainte imposée sur les corps des individus, dont font partie le confinement, hériter des quarantaines, ou les applications conditionnant l'accès à certains lieux.
Un autre exemple est la tribune 100 ( * ) publiée le 13 avril 2020 dans le New York Times par Kathryn Olivarius, professeure d'histoire à Stanford, intitulée « La dangereuse histoire de l'immunoprivilège ». À propos de l'épidémie de fièvre jaune qui toucha le Sud esclavagiste des États-Unis au 19 e siècle, causant quelque 150 000 morts, elle souligne que les discriminations liées à l'état de santé venaient aggraver les discriminations existantes fondées sur l'origine ethnique : les « Blancs acclimatés », c'est-à-dire immunisés 101 ( * ) , se situaient au-dessus des « Blancs étrangers non-acclimatés », eux-mêmes situés au-dessus des autres catégories ethniques, et notamment des Noirs. Faudrait-il, en suivant ce raisonnement, refuser toutes les mesures sanitaires fondées sur l'immunité (et donc la contagiosité) des personnes , au motif qu'elles ont, par le passé et dans un tout autre contexte, été associées à des discriminations raciales ?
Ces débats n'ont pas eu lieu en France. Toutefois, ils rappellent que de mauvaises raisons peuvent parfois conduire à refuser de bonnes mesures, ce qui n'est pas étranger aux polémiques nationales.
5. Une préférence pour l'inefficacité
Enfin, la défiance historique de la société française à l'égard de la collecte des données personnelles, dont la doctrine actuelle de la CNIL est le reflet, tient à une confusion, rarement formulée en tant que telle, entre les fins (protéger les droits et libertés) et les moyens (interdire les croisements de fichiers) .
Il est vrai que dans les années 1970, au moment du débat sur le fichier SAFARI qui allait donner naissance à la CNIL, l'interdiction du croisement des fichiers apparaissait légitimement comme le moyen le plus évident de prévenir les atteintes à la vie privée , dans un contexte où de tels croisements évoquaient essentiellement les dérives des services de police et de renseignement. La Seconde guerre mondiale était un souvenir récent, la guerre d'Algérie plus encore, et l'URSS n'offrait guère un modèle enviable à ce titre. Dans le même temps, les immenses bénéfices résultant de tels croisements ne pouvaient être imaginés .
Il en va bien différemment aujourd'hui : à l'heure de la révolution numérique, du big data et de l'intelligence artificielle , on ne peut plus raisonnablement soutenir que l'intérêt principal des croisements de fichiers est la surveillance policière, ou l'instauration d'un État totalitaire fantasmé. Fort heureusement, les applications reposant sur l'exploitation des données se sont aujourd'hui généralisées dans le secteur privé, allant des domaines les plus importants (dont la recherche médicale) aux plus triviaux - qui ne sont pas les moins lucratifs.
Pourtant, dès lors qu'il s'agit de l'État ou du secteur public, la méfiance demeure : en somme, tout se passe comme si la meilleure garantie possible pour nos droits et libertés était de maintenir l'inefficacité de l'administration , quel qu'en soit le prix en termes de qualité du service public, et en l'occurrence de vies humaines. Si la crise sanitaire doit servir de révélateur, ce problème est bien plus général, et concerne la « réforme de l'État » et la « transformation du service public » dans leur ensemble. Les obstacles à l'utilisation du NIR ou à la mise en place de l'identité numérique en sont d'excellents exemples.
La persistance de ce blocage est d'autant moins compréhensible qu' il existe aujourd'hui des solutions techniques permettant de garantir un très haut niveau de confidentialité et de sécurité , sans pour autant renoncer aux bénéfices ouverts par le numérique. Il est donc impératif que le débat public dépasse les oppositions de principe et les arguments binaires (pour ou contre le croisement), pour s'intéresser aux solutions techniques .
Naturellement, passer des principes à la technique demandera un effort pédagogique immense . Ce devoir incombe d'abord aux responsables politiques qui, notamment faute de disposer d'une culture technique dans ce domaine, optent souvent pour le statu quo .
Il faut, en particulier, insister sur le fait qu'un croisement de données ne pose pas en soi un problème de « sécurité » , même s'il peut le cas échéant poser un problème pour la protection de la vie privée. La protection de la vie privée, mission de la CNIL, et la cybersécurité, mission de l'ANSSI, sont en effet deux choses différentes. Il est donc impératif que celle-ci se dote de capacités d'analyse technique en matière de cybersécurité , et non pas seulement de capacités d'analyse juridique, en travaillant notamment davantage avec l'ANSSI. C'est tout le sens des recommandations n° 14 et n° 15 du rapport de la mission Bothorel, qui proposent, de façon certes moins frontale :
- de prévoir au sein du collège de la CNIL deux personnalités qualifiées compétentes, l'une en matière de sécurité des systèmes d'information et l'autre sur les nouveaux usages de la donnée ;
- d'ouvrir la possibilité pour la CNIL de saisir l'ANSSI pour avis en cas de doute sérieux en matière de sécurité des systèmes d'information.
Quelles sont ces solutions techniques permettant de garantir la sécurité et la confidentialité des traitements de données personnelles ? Sans entrer ici dans le détail, on peut citer les deux exemples suivants :
- l a blockchain : cette technologie de validation décentralisée permet tracer tous les accès et modifications aux données, sans qu'aucune autorité - étatique ou autre - ne puisse les falsifier. L'Estonie l'a introduite au coeur de la X-Road dès 2011. Ainsi, chaque citoyen a non seulement accès immédiatement à l'intégralité de ses données, mais aussi au nom de tous les fonctionnaires qui y ont accédé, avec la date et l'heure, et une fonctionnalité native permet de porter plainte en cas d'utilisation suspecte, avec de forte sanctions - de sorte que les abus sont presque inexistants ;
- l ' open source : rendre publics les algorithmes de l'administration est la meilleure façon de protéger les citoyens contre le mésusage de leurs données. C'est par exemple le cas du protocole ROBERT , sur lequel est construite l'application TousAntiCovid , et qui garantit un très haut niveau de protection.
Ce très haut niveau de protection, pourtant, n'a pas empêché l'échec de TousAntiCovid . Au contraire, le choix du Gouvernement de porter son discours sur la protection absolue de l'anonymat a sans doute aggravé les choses et conduit à de mauvaises décisions. TousAntiCovid apparaît ainsi comme un cas d'école des contradictions françaises , et une illustration des développements qui précèdent.
* 95 Audition de Mme Séverine Arsène, chercheuse associée au Médialab de Sciences Po et enseignante à l'Université chinoise de Hong Kong, sur le crédit social en Chine, 11 février 2021.
* 96 Au-delà de la doctrine de la CNIL, cette priorité, quoique déjà entamée en pratique, est toujours au centre du discours du Gouvernement. Ce discours n'est d'ailleurs pas propre à la France : la remarque vaut pour la plupart des pays occidentaux.
* 97 Cette liste est fixée par décret du ministre chargé de la Santé, après avis de Santé Publique France. Actuellement, 30 MDO relèvent de la catégorie 1 : elles nécessitent une intervention urgente locale, nationale ou internationale, et une surveillance pour la conduite et l'évaluation des politiques publiques. Seules 4 MDO, signalées en gras italique , relèvent de la catégorie 2 : pour celles-ci, seule une surveillance est nécessaire.
* 98 Caméras dites « intelligentes » et caméras thermiques : les points de vigilance de la CNIL et les règles à respecter , 17 juin 2020, https://www.cnil.fr/fr/cameras-dites-intelligentes-et-cameras-thermiques-les-points-de-vigilance-de-la-cnil-et-les-regles
* 99 Sur le concept de biopouvoir, voir notamment Michel Foucault, Histoire de la sexualité , 1976. Sur le concept de biopolitique, voir notamment Michel Foucault, Surveiller et punir , 1975.
* 100 https://www.nytimes.com/2020/04/12/opinion/coronavirus-immunity-passports.html .
Kathryn Olivarius est l'auteure de l'ouvrage à paraître Necropolis: Disease, Power, and Capitalism in the Cotton Kingdom . Cette tribune est citée par le LINC dans son article du 5 mai 2020 sur le passeport d'immunité : https://linc.cnil.fr/fr/passeport-dimmunite-un-totem-risques
* 101 Notamment par la pratique des chickenpox parties , où les Blancs aisés étaient incités à se contaminer volontairement pour atteindre l'immunité de groupe. Au 20 e siècle, sur le même principe, les pox parties (fêtes de la varicelle) réunissaient des enfants afin de les contaminer et de développer leurs défenses immunitaires.