Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia - 218

D

O

C

T

R

I

N

E

trouvée dans cette problématique...
annoncée 4 jours avant que l'ensemble
de la population française soit amené
à être confiné, avec des déplacements limités à un périmètre d'un
kilomètre  ! Cette ironie se confirme
d'autant plus quand ces restrictions
de déplacement (quoiqu'étendues
géographiquement) vont durer et que
le projet « StopCovid » fait débat.

sur la seule base légale du consentement de la personne, sous réserve que
ce consentement réponde aux critères
posés par le CEPD, à savoir (i) qu'il
soit n'entraîne pas de déséquilibre de
rapports de force, (ii) qu'il soit donné
librement et non subordonné à une
condition, (iii) qu'il soit détaillé et (iv)
sans qu'un refus ou retrait n'entraîne
un préjudice pour l'utilisateur9.

Initialement, la Cnil avait illustré
sa problématique en évoquant
les solutions qui proposent des
recommandations relatives aux modes
de transport adaptés selon un trajet
défini. La finalité de telles solutions
d'optimisation des déplacements peut
se trouver d'autant plus justifiée dans
une période inédite de «  sortie de
confinement », laquelle est susceptible
d'inviter la population à repenser, à
plus ou moins long terme, sa stratégie
de transports  vers son lieu de travail
ou dans un cadre personnel. Pour
autant, se pose la question de la mise
en œuvre du traitement, notamment
de sa proportionnalité, ainsi que
celle de la nature des responsables
de traitement concernés. L'équilibre
entre d'une part, la mise en œuvre
d'un outil de géolocalisation et d'autre
part, son exploitation aux seules fins
d'optimiser lesdits déplacements sera
donc essentiel. 

L'exploitation des données pour
d'autres finalités ne pourrait être
effectuée que sous réserve, soit d'obtenir le consentement de la personne
concernée, soit de vérifier si les
critères posés par l'article 6.4 du RGPD
relatif au traitement ultérieur sont bien
respectés, parmi lesquels le lien entre
la finalité initiale et la finalité nouvelle
ou à venir, le contexte dans lequel les
données ont été collectées, le type et
la nature des données, les éventuelles
conséquences du traitement ultérieur
envisagé et/ou l'existence de garanties
appropriées.

Il sera rappelé que le RGPD énonce à
son article 5 des principes déjà admis
bien avant son adoption puisqu'ils
étaient déjà prévus par la Directive
de 1995 et, sur le plan national,
parmi lesquels les principes de
licéité, de loyauté et de transparence
(point 1 a) ; celui de limitation des
finalités (point 1 b) ; et enfin celui de
minimisation des données (point 1c), le
responsable de traitement devant alors
anticiper si le traitement de la donnée
nécessite qu'elle présente un caractère
personnel ou si une procédure
d'anonymisation devrait être envisagée avant toute exploitation.
Les responsables de traitement seront
également invités à travailler sur la
base légale applicable à la mise en
œuvre d'un tel traitement  : ainsi,
l'exploitation d'un mécanisme de
géolocalisation repose généralement

218

Enfin, il est probable que de nombreux
prestataires viennent proposer leurs
propres solutions de mobilité et de
services de proximité spécifiquement
adaptés à la situation actuelle, compte
tenu du besoin prévisible de ces
prochaines années en la matière  : le
plan de protection des données dès
la conception décrit à l'article 25 du
RGPD, et plus connu sous l'appellation
anglophone « privacy by design », aura
donc ici tout son intérêt afin de justifier
du plan d'action dans les modalités de
conception du service proposé.
D'autre part, la crise sanitaire a
amplifié cette problématique avec
l'apparition de la controversée application « StopCovid », ayant pour objet de
permettre aux utilisateurs de savoir
s'ils étaient entrés en contact avec
des porteurs du virus. Sur ce point,
le présent article est rédigé alors que
ladite application reste encore au stade
de projet et il ne sera donc émis que
des réserves générales, non pas sur
l'application elle-même, mais sur les
dérives qu'elle peut créer.
En effet et au jour de la rédaction
du présent article, le volet juridique
paraît jouer son rôle efficacement.
EXPERTISES Juin 2020

Ainsi, durant tout le moins d'avril
2020, ce projet aura invité la Cnil à
prendre position à deux reprises, l'une
lors de l'audition de sa Présidente
le 8 avril à l'Assemblée nationale et
l'autre, par la publication d'un avis le
26 avril dernier10, la CNil confirmant
la conformité d'une telle application au RGPD sous réserve de fortes
garanties : utilisation temporaire et sur
la base du volontariat, durée de conservation limitée, système de pseudonymisation... Le Gouvernement a quant
à lui annoncé que cette application
ferait l'objet d'un vote par l'Assemblée
nationale. A suivre donc.
En revanche, le volet sociétal interpelle
et il convient de s'arrêter sur la portée de
la déclaration du ministre de l'Intérieur
selon lequel il se disait « convaincu que
si [l'application StopCovid] permet de
lutter contre le virus, et si, évidemment,
elle respecte nos libertés individuelles,
c'est un outil qui sera retenu et
soutenu par l'ensemble des Français ».
L'insertion «  si, évidemment, elle
respecte nos libertés individuelles  »11
doit ainsi être regardée avec vigilance
car le respect des libertés individuelles
n'a rien d'évident et il sera pris appui sur
les conclusions des lignes directrices
du CEPD du 21 avril 2020 portant sur
de tels outils de tracking12.
Ainsi, si le Comité conclut ainsi dans
un premier temps en indiquant que « le
traitement automatisé des données et
les technologies numériques peuvent
constituer des éléments clés de la
lutte contre le COVID-19. », la seconde
partie de sa conclusion se veut légitimement solennelle en fustigeant ce
qu'elle nomme « l'effet de cliquet » : « Il
est de notre responsabilité de veiller
à ce que toutes les mesures prises
dans ces circonstances extraordinaires soient nécessaires, limitées
dans le temps, de portée minimale et
soumises à un examen périodique et
authentique ainsi qu'à une évaluation
scientifique. »13
Il semble indispensable de rappeler
(avec fierté) que la France est le pays
précurseur en matière de protection
des données personnelles suite à
la publication du Monde intitulé «  Safari ou la chasse aux Français  »
Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia
