Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 185

■	 en outre, seules les données et

métadonnées minimales nécessaires à l'application doivent faire
l'objet d'un stockage. Les données
qui ne sont plus nécessaires
doivent être supprimées. Les
données sensibles doivent également être cryptées en toute sécurité localement sur le téléphone ;
■	 un anonymat parfait doit être
garanti : il doit ainsi être possible
d'utiliser le système sans collecter
ni pouvoir dériver des données
personnelles de quelque nature
que ce soit. Cette exigence interdit les identifications uniques
des utilisateurs ;
■	 pas de création de profils  : le
système doit être conçu de
manière à ce que les profils de
mouvement (suivi de localisation)
ou les profils de contact (modèles
de contacts fréquents traçables
à des personnes spécifiques)
ne puissent pas être établis,
intentionnellement ou non. Les
méthodes telles que la journalisation centrale du GPS, la localisation ou la liaison des données
aux numéros de téléphone, aux
comptes de réseaux sociaux et
autres doivent donc être rejetées
par principe ;
■	 Dissociabilité  : la conception
de la génération d'ID temporaires doit être telle que les ID
ne puissent pas être interprétés et liés sans la possession



d'une clé privée contrôlée par
l'utilisateur. Il ne doit donc pas
être dérivé d›autres informations d›identification directe
ou indirecte des utilisateurs ;
■	 l'ultime condition est l'inobservabilité de la communication  :
en cas d'observation d'une
transmission d'un message dans
le système (par exemple via des
métadonnées de communication), celui-ci ne doit pas pouvoir
conclure qu'une personne est
infectée elle-même ou a été en
contact avec des personnes infectées. Cela doit être garanti à la fois
vis-à-vis des autres utilisateurs et
des opérateurs d›infrastructure
et de réseau qui ont un aperçu de
ces systèmes.
■	 Il semble que ce ne soit qu'avec de
telles garanties qu'une CoronApp
soit acceptable.

Notes
(1)	

Audition commission des Lois Assemblée nationale, Propos liminaires de Madame Marie-Laure
Denis, Présidente de la Cnil, 8 avril 2020

(2)	

Articles 5 et 9 de la Directive e-privacy

(3)	

Article 15 de la Directive e-privacy

(4)	

Article 9 (2) g du RGPD

(5)	

Statement on the processing of personal data in
the context of the COVID-19 outbreak. Adopted
on 19 March 2020:https://edpb.europa.eu/sites/
edpb/files/files/file1/edpb_statement_2020_
processingpersonaldataandcovid-19_en.pdf

(6)	

https://ethercalc.org/gq47xdrzw99y

(7)	

https://covid19-static.cdn-apple.com/applications/covid19/current/static/contact-tracing/
pdf/ContactTracing-BluetoothSpecification.pdf

(8)	

Recommendation on apps for contact
tracing :
https://ec.europa.eu/info/files/
recommendation-apps-contact-tracing_fr

(9)	

10 exigences pour l'évaluation des applications «Contact Tracing» : https://www.ccc.de/en/
updates/2020/contact-tracing-requirements

Gageons que les projets d'application
de traçage, qu'ils soient  européens
ou nationaux, prennent en compte
ces prérequis.

Nicolas MOREAU
Avocat associé

Elise DUFOUR 
Avocate associée
Présidente de Cyberlex
Bignon Lebray

Vous avez envie de vous exprimer sur un sujet qui vous tient à cœur, de partager votre analyse
avec la communauté des lecteurs d'Expertises, d'exposer un point de vue différent sur un article
déjà publié, de lancer un débat sur un thème émergent, ou simplement de commenter l'actualité
du droit du numérique ?

Contactez la rédactrice en chef d'Expertises Sylvie Rozenfeld sr@expertises.info

EXPERTISES Mai 2020

185

https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_statement_2020_processingpersonaldataandcovid-19_en.pdf https://www.ethercalc.org/gq47xdrzw99y https://covid19-static.cdn-apple.com/applications/covid19/current/static/contact-tracing/pdf/ContactTracing-BluetoothSpecification.pdf https://ec.europa.eu/info/files/recommendation-apps-contact-tracing_fr https://www.ccc.de/en/updates/2020/contact-tracing-requirements

Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia