C. LES GARANTIES DÉMOCRATIQUES : UN RÉGIME PROTECTEUR, ACCEPTÉ EN AMONT, ACTIVÉ EN TOUTE TRANSPARENCE, ET CONTRÔLÉ EN CONTINU
Compte tenu de sa portée potentielle, le dispositif proposé ici peut légitimement soulever des interrogations s'agissant de la protection des droits et libertés. À cet égard, il convient tout d'abord de rappeler que rien n'est pire que l'improvisation, qui est à la fois bien moins efficace et potentiellement bien plus attentatoire aux libertés individuelles .
Ensuite, il doit être rappelé que se préparer à collecter des données n'implique nullement que cette collecte aura forcément lieu , ni le cas échéant qu'elle aura lieu dans ses proportions maximales. Il s'agit bien d'un dispositif de réponse graduée à la menace.
Enfin, et surtout, la préparation en amont d'un dispositif de collecte et d'exploitation des données est, en réalité, la meilleure garantie qui puisse être apportée aux droits et libertés . En effet, cette préparation en amont rend possible :
- d'une part, l'élaboration d'un cadre juridique adapté et réfléchi , spécifique aux situations de crise , et permettant de concilier la protection de la vie privée et celle de la santé ;
- d'autre part, une activation sous la forme d'une « loi-cadre » , qui permette à la fois d'obtenir un consensus politique et de préserver la marge de manoeuvre de l'administration, dont la contrepartie serait un mécanisme ad hoc de contrôle en continu .
L'urgence est l'ennemie de la démocratie : le Crisis Data Hub est un moyen de ne pas être pris au dépourvu.
1. Un cadre juridique spécifique, prévu à l'avance et protecteur des droits et libertés
Face à la pandémie de Covid-19, la construction du cadre juridique de protection des données personnelles s'est faite au fil de l'eau , au fur et à mesure de la mise en place effective des dispositifs (fichiers sanitaires, pass sanitaire, etc.), car ceux-ci n'avaient pas été envisagés ni débattus auparavant. La création en amont d'une « boîte à outils » ayant éventuellement vocation à être utilisée permettrait, dans la mesure du possible, de décorréler la réflexion juridique de la mise en oeuvre des mesures , et de réduire ainsi la place des inévitables tâtonnements, incertitudes et contradictions propres à une période de crise.
Cela vaut, d'abord, pour le Parlement , où les débats sur les contours du dispositif pourraient se dérouler sereinement, en prenant le temps nécessaire à l'expertise et à la pédagogie , et non pas sous la pression des circonstances et des contingences politiques.
S'agissant en particulier des données personnelles, cela permettrait aussi à la CNIL d'établir en amont une doctrine d'autorisation précise et graduée en fonction du niveau de la menace , plutôt que d'avoir à se prononcer au cas par cas - ce qu'elle a toutefois fait, il faut le souligner, avec une grande rapidité.
La même remarque vaut pour le juge administratif et judiciaire . Lors de la crise, et comme d'habitude, les recours ont été traités au cas par cas - avec, là encore, une véritable rapidité, notamment grâce à la procédure du référé, mais au prix, parfois, d'une remise en cause des dispositifs utilisés par l'administration. On peut citer le cas des drones , sur lequel le juge comme la CNIL se sont prononcés : sans contester le fond de cette décision, chacun pourra reconnaître qu' il aurait été préférable pour tout le monde de savoir avant si cela était possible .
La mise en place du Crisis Data Hub implique de réfléchir à l'avance à toute une série de mesures, de la plus légère à la plus intrusive, au regard de menaces théoriques. Lancer ce chantier permettrait ainsi au juge de se prononcer en amont sur certaines mesures , sans attendre leur hypothétique mise en oeuvre effective, mais en leur garantissant un haut niveau de sécurité juridique. Naturellement, cela n'exclurait en rien la possibilité d'un recours sur le moment, et compte tenu de circonstances spécifiques : les deux voies sont complémentaires.
Du reste, la voie juridictionnelle n'est pas la seule possible : la « boite à outils » du Crisis Data Hub se prête particulièrement bien au développement d'une procédure de « rescrit » , que pourraient en l'espèce solliciter les associations de défense des libertés publiques, les citoyens, ou encore les opérateurs dont les données pourraient être requises.
Les craintes - légitimes - que suscite le recours à des technologies intrusives ne portent pas seulement sur les règles juridiques encadrant les traitements de données, mais aussi sur la réalité de ces traitements : comment peut-on avoir la certitude que les données ne seront pas ensuite utilisées de manière abusive, volontairement ou par manque de sécurité ?
C'est le dernier grand avantage du Crisis Data Hub : celui-ci peut être développé en open source , de sorte que chacun aura non seulement la possibilité, mais aussi le temps, d'examiner chaque ligne de code, chaque champ de chaque base de données, pour être sûr que le dispositif ne fait rien d'autre que ce qu'il est censé faire. Faisons confiance à la société civile pour se saisir pleinement de cette possibilité. Aucune modalité de gestion de la crise du Covid-19 ne présente un tel niveau de garantie des droits et libertés, ni en France, ni ailleurs dans le monde . La France n'a certes pas à rougir de sa situation : l'algorithme de TousAntiCovid , par exemple, est en open source , mais il ne s'agit là que d'un outil parmi d'autres, là où le Crisis Data Hub permettrait l' open data par défaut.
2. Une procédure d'activation favorisant le consensus et l'union nationale plutôt que les polémiques
Élaborer en amont un cadre juridique applicable à la mise en oeuvre éventuelle de certaines mesures est une chose ; décider de leur mise en oeuvre effective lors d'une crise en est une autre , qui relève de la responsabilité du Gouvernement et du Parlement, mais ne peut se faire sans un soutien de l'opinion, c'est-à-dire sans un consensus démocratique .
À cet égard, la gestion de la crise du Covid-19 n'a pas bénéficié d'un climat particulièrement apaisé, mais a plutôt souffert d'une succession de polémiques et de revirements dans l'opinion publique, mais aussi dans les médias et au sein de la classe politique . Citons par exemple le cas de la vaccination 134 ( * ) ou, pour rester dans le domaine du numérique, celui l'adhésion à TousAntiCovid ou au pass sanitaire (cf. Partie II), d'abord accueillis avec circonspection voire rejetés, puis réclamés ensuite pour hâter le retour à la normale.
Dans le même temps, il a souvent été reproché au Gouvernement de ne pas en faire assez contre l'épidémie, ou de ne pas agir en fonction des seuls impératifs sanitaires ni même économiques et sociaux, mais de décider des restrictions « en fonction des sondages ». Le reproche est trop facile : en démocratie, il est tout à fait logique de prendre en compte, parmi d'autres critères, l'acceptabilité politique des mesures envisagées , sans laquelle elles seraient de toute façon vouées à l'échec. Plus généralement, la France se distingue par le très faible niveau de confiance que les citoyens accordent au Gouvernement pour faire face à la crise 135 ( * ) .
Ce qui a si souvent manqué, c'est donc un consensus politique sur les mesures à prendre, au cas par cas, sur le moment , faute de les avoir anticipées bien sûr, mais aussi faute de disposer d'une procédure adaptée, avec l'équivalent d'une « loi-cadre » pour le recours aux outils numériques, c'est-à-dire une « boîte à outils » préalablement définie au sein de laquelle le Gouvernement aurait pu « piocher » en fonction des circonstances, sans devoir à chaque fois justifier le principe même de chaque mesure, expliquer pourquoi ce qui n'était pas nécessaire hier l'est devenu aujourd'hui, et pourquoi le calendrier promis ne serait finalement pas tenu. Le Crisis Data Hub est précisément cette boîte à outils.
À l'avenir, la procédure pourrait être la suivante :
- d'une part , l'activation du CDH, acte politique fort, devrait revêtir un caractère solennel, par exemple par un article spécifique dans la loi proclamant l'état d'urgence sanitaire . Ceci permettrait à la fois d' obtenir une majorité claire et de fixer les limites propres aux circonstances, en application du principe de proportionnalité (limitation dans le temps, dans la possibilité d'utiliser ou non certains outils, etc.) ;
- d'autre part, et en contrepartie de cette marge de manoeuvre , la mise en oeuvre de ces outils par l'exécutif ferait l'objet d'une procédure ad hoc de contrôle en continu , sans pour autant gêner sa réactivité. Ce contrôle, qui incombe d'abord au Parlement , pourrait prendre la forme d'une commission de suivi spécifique du CDH, dès l'instant où celui-ci est activé. La CNIL devrait aussi avoir les moyens - y compris matériels - de vérifier en continu le respect du cadre juridique qu'elle aura validé « par temps calme ».
Les citoyens et la société civile bénéficieraient aussi d'un tel système : parce que le Crisis Data Hub est par construction un agrégateur de données, il serait beaucoup plus facile de prévoir une publication par défaut, en open data , des principaux indicateurs - et beaucoup plus difficile, le cas échéant, de justifier un refus. Le débat démocratique s'en trouverait renforcé, les mesures légitimées, et le Gouvernement responsabilisé.
* 134 En mai 2021, 69 % des Français souhaitaient se faire vacciner, contre seulement 45 % en décembre 2020. Ce chiffre reste toutefois très en deçà de la plupart des pays occidentaux (par exemple, 90 % des Britanniques et 78 % des Allemands souhaitent se faire vacciner). Source : Kekst CNC Covid-19 Opinion Tracker , 8 ème édition, 12 mai 2021 : https://www.kekstcnc.com/insights/covid-19-opinion-tracker-edition-8
* 135 Au-delà des sondages régulièrement publiés à l'échelle nationale, l'étude Kekst CNC Covid-19 Opinion Tracker précitée permet de comparer différents pays, à partir d'un indicateur « net » de confiance (nombre de « confiance » - nombre de « pas confiance »). En France, le Président de la République a un score de confiance de -24 %, le Premier ministre de -26 %, et le Gouvernement de -20 %. Par contraste, au Royaume-Uni, le Premier ministre bénéficie d'un score de -4 % et le gouvernement de +2 %. En Allemagne, la Chancelière bénéficie d'un score de confiance de -1 %, les Länder de -1 % et le gouvernement fédéral de -12 %. Enfin, aux États-Unis, 32 % des citoyens font confiance au Président, 20 % au gouvernement fédéral, et 19 % aux États fédérés.