Application StopCovid : clôture de la mise en demeure à l'encontre du ministère des Solidarités et de la Santé,

Les préoccupations de la CNIL ont été prises en compte dans les nouvelles mesures

La Présidente de la CNIL avait rendu publique, le 20 juillet 2020, une décision de mise en demeure à l’encontre du ministère des Solidarités et de la Santé concernant le traitement des données personnelles mis en œuvre dans le cadre de l’application StopCovid France. En effet, après des opérations de contrôles réalisées par la CNIL au mois de juin, la Commission a relevé plusieurs manquements aux dispositions du RGPD et à la loi Informatique et Libertés. Cependant, les éléments de réponse apportés par le ministère au cours du mois d’août ont permis de démontrer que les manquements constatés lors du contrôle avaient cessé.

Le ministère a en effet pris les mesures nécessaires pour se mettre en conformité avec les injonctions de la mise en demeure. C’est ainsi que le 3 septembre 2020, la Présidente de la CNIL a décidé de procéder à la clôture de la mise en demeure adressée au ministère des Solidarités et de la Santé. « Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2020-097C », a déclaré, dans un communiqué, l’autorité administrative indépendante française.


Pour combattre la pandémie du covid-19 et surtout réussir la stratégie de déconfinement menée par le gouvernement, le ministère français des Solidarités et de la Santé a proposé, depuis début juin dans PlayStore de Google et App Store d’Apple, une application dénommée StopCovid France, disponible pour les smartphones tournant sur iOS et Android.

StopCovid est une application mobile de recherche des contacts déployée dans le cadre de la pandémie de Covid-19 en France et destinée à avertir d'une éventuelle transmission avec une personne infectée. StopCovid France permet à chaque utilisateur d'enregistrer un historique de contacts avec d'autres utilisateurs, c'est-à-dire une information relative à la proximité entre deux terminaux mobiles. Elle permet à l'utilisateur de se déclarer diagnostiqué ou dépisté au virus SARS-CoV 2. Elle permet également aux utilisateurs d'être informés qu'ils ont été à proximité d'au moins un autre utilisateur diagnostiqué positif.

Le téléchargement et l'utilisation de l’application reposent sur une démarche volontaire de la part de l'utilisateur. StopCovid France fonctionne grâce à la conservation de l'historique de proximité, constitué des pseudonymes émis par les smartphones via la technologie Bluetooth à basse consommation. En pratique, une fois installée et les fonctionnalités activées, l'application émet des messages Bluetooth spécifiques et en reçoit en provenance d'autres smartphones sur lesquels elle a été installée et activée.

Les manquements relevés par la CNIL en Juillet

L’agence publique CNIL a procédé à trois opérations de contrôles de l’Application au cours du mois de juin dernier. Bien que ces contrôles avaient permis de constater que le fonctionnement de l’application StopCovid respectait pour l’essentiel les exigences de protection de la vie privée et des données personnelles des utilisateurs, la CNIL avait néanmoins relevé plusieurs manquements aux dispositions du RGPD et à la loi Informatique et Libertés.

La Présidente avait donc mis en demeure le ministère de mettre l’application Stopcovid en conformité dans le délai d’un mois sur les points suivants :

• Veiller à ce que la nouvelle version de l’application, qui permet de n’envoyer que l’historique de proximité, soit généralisée ;
• Compléter l’information fournie aux utilisateurs de l’application sur les destinataires de ces données, sur les opérations de lecture des informations présentes sur les équipements terminaux (réalisées via la technologie recaptcha) et le droit de refuser ces opérations de lecture ;
• Compléter le contrat de sous-traitance conclu entre le ministère et INRIA conformément aux exigences du RGPD ;
• Compléter l’analyse d’impact relative à la protection des données (AIPD) sur des traitements de données réalisés à des fins de sécurité.

Du fait de la présence de données médicales, donc sensibles, dans ce projet, le ministère de la Santé a été désigné comme responsable légal du traitement, et donc l’interlocuteur de la CNIL. En juillet, l’agence avait également demandé au gouvernement de se prononcer quant à l’efficacité de l’application dans la lutte contre l’épidémie. Le gendarme des données personnelles a rappelé dans son communiqué à l’époque que « cette mise en demeure n’est pas une sanction. Aucune suite ne sera donnée à cette procédure si le ministère des Solidarités et de la Santé se conforme au RGPD et à la loi Informatique et Libertés dans le délai imparti ».

StopCovid France a beaucoup été critiquée, à la fois sur son principe et sur les choix techniques faits par le gouvernement. Le Premier ministre français, Jean Castex, a lui-même reconnu lors d’une interview en août que « StopCovid n'a pas obtenu les résultats espérés ». « Nous savions par avance que tester grandeur nature, pour la première fois, un tel outil dans le cadre de cette épidémie serait particulièrement difficile. Et je vous fais observer que nous ne sommes pas le seul pays à faire ce constat. Ce n’est pas l’outil majeur de lutte contre la pandémie, j’en conviens volontiers », a-t-il ajouté.


Les nouvelles mesures prises pour la mise en conformité de StopCovid France

Un premier point de mise en conformité de l’application concerne les versions de StopCovid. Selon la CNIL, les utilisateurs disposant de la première version de l’application (v1.0) se voient désormais afficher un écran de mise à jour les empêchant d’activer l’application ou de remonter leurs données de contact sans procéder à une mise à jour préalable. Cette première version de StopCovid ne contenait aucun filtrage local de l’historique des contacts, le filtrage s’effectuant au niveau du serveur central.

Suite à la mise en demeure, la nouvelle version de l’application (v1.1) impose quant à elle un préfiltrage de l’historique des contacts de l’utilisateur au niveau du téléphone. En conséquence, il est désormais impossible que l’intégralité de l’historique des contacts de l’utilisateur remonte vers le serveur central, sans préfiltrage au niveau du téléphone, d’après l’agence publique.

Dans une seconde mesure prise par le ministère de la Santé, le système n’a plus recours au système de « reCaptcha » proposé par la société américaine Google. Le captcha est un outil qui vérifie qu’une application ou un service est bien utilisé par une personne, et non pas un programme. Il n’y a donc plus d’opérations de lecture et d’écriture sur le terminal en lien avec cette technologie, même pour les utilisateurs de la première version de l’application (v1.0).

Le ministère a aussi indiqué dans les mentions d’information fournies aux utilisateurs...