L’outil de traçage StopCovid : entre inefficacité et proportionnalité

En rendant l’outil de traçage StopCovid volontaire, on réduit son impact sur la vie privée, mais on affaiblit en même temps son efficacité sur le plan épidémiologique. Selon le réseau européen eHealth(1), il faudrait un taux d’adoption de 60 % à 75 % pour que le dispositif soit efficace, et ce taux n’est probablement pas atteignable sur la base du volontariat. Or, la jurisprudence de la CJUE exige qu’une mesure soit véritablement efficace, c’est-à-dire essentielle à la réalisation de l’objectif d’intérêt général poursuivi.(2)

Plutôt que d’examiner l’application StopCovid sous l’angle du RGPD (ce que la CEPD vient de faire dans ses lignes directrices du 21 avril 2020(3)), j’aborderai le sujet sous l’angle de la proportionnalité. La protection de la santé publique est un droit fondamental reconnu par la Charte des droits fondamentaux de l’Union européenne et par la Constitution française de 1946,(4) mais elle doit être appliquée avec équilibre par rapport à d’autres droits fondamentaux comme la protection de la vie privée.

Proportionnalité et santé publique

Les lecteurs de Légipresse connaissent la jurisprudence sur la proportionnalité en matière de liberté d’expression, mais probablement moins celle en matière de santé publique. Dans l’affaire Léger(5), la CJUE a examiné la proportionnalité d’un arrêté français qui interdisait le don de sang à tout « homme ayant eu une relation sexuelle avec un homme », une mesure qui mettait en conflit la protection de la santé publique et la protection contre la discrimination fondée sur l’orientation sexuelle. En ce qui concerne le caractère nécessaire de la mesure, la CJUE a demandé à la Cour de cassation de vérifier si le recours à des tests virologiques avec une période de quarantaine du plasma, et/ou l’utilisation de questionnaires permettraient, sans inconvénient disproportionné pour l’État, d’arriver à un niveau de protection sanitaire équivalente. L’avocat général est plus précis, demandant que les affirmations sur le risque associé aux hommes homosexuels soient étayées par des statistiques récentes, représentatives et fiables.(6) L’avocat général a relevé des incohérences dans les justifications scientifiques avancées par le gouvernement français, incohérences qui affaiblissent selon lui le caractère « nécessaire » de la mesure. Conclusion : l’efficacité de la mesure est un élément essentiel du test de la proportionnalité.

Quelles leçons tirer de cette jurisprudence pour l’application « StopCovid » ?

Pour l’application StopCovid, le principal point d’achoppement concernera la nécessité de la mesure. Selon le contrôleur européen à la protection des données personnelles, le test de nécessité exige une évaluation factuelle sur l’efficacité de la mesure au regard de l’objectif poursuivi. Ainsi, une mesure qui s’avèrerait inutile échouerait au test de la proportionnalité.(7) Si on se réfère aux conclusions de l’avocat général dans l’affaire Léger, la nécessité sur le plan sanitaire doit s’apprécier notamment au regard de « statistiques fiables, représentatives et récentes », et par rapport à d’éventuelle incohérences dans les justifications fournies.

Les données disponibles à ce jour montrent que les approches volontaires de traçage, essentiellement l’application singapourienne TraceTogether, génèrent un taux d’adoption d’entre 10 % et 20 % alors que, selon le réseau européen eHealth, il faudrait un taux d’au moins 60 % pour être efficace.(8) Si l’on suit la méthodologie du contrôleur européen, l’application StopCovid ne serait pas efficace et échouerait au test de la proportionnalité. Il est vrai que la jurisprudence sur la proportionnalité concerne des mesures obligatoires bien plus intrusives que l’application StopCovid. Ainsi, le test de nécessité pourrait être assoupli pour tenir compte du contexte de l’application, et notamment son faible impact sur la vie privée en raison de son caractère volontaire et des mesures de protection qui l’entourent. Vu sous cet angle, le caractère volontaire de la mesure pourrait constituer à la fois le problème, en raison de son manque d’efficacité, et le remède, en raison de son plus faible impact sur la vie privée.

Comme l’application singapourienne(9), l’application StopCovid incorpore les principes de privacy by design, car elle n’utilise aucune donnée de géolocalisation, et crée des identifiants éphémères pour garantir un haut niveau de pseudonymisation. Les garanties institutionnelles de l’application ne sont pas encore connues, mais si l’on se réfère à la jurisprudence, ces garanties devraient inclure le contrôle par une commission indépendante, une limitation stricte dans le temps, et la possibilité pour le dispositif d’évoluer en fonction des dernières études épidémiologiques. Santé publique France collecte déjà des données sur les maladies contagieuses à déclaration obligatoire. Il serait logique que cette autorité assure également la gestion du système StopCovid, ce qui serait cohérent avec les recommandations de la Commission européenne, et assurerait que l’ensemble des personnes ayant accès aux données soit soumis au secret médical.

En matière de nécessité et d’efficacité, la Corée du Sud est un contre-exemple. Son dispositif de traçage obligatoire a permis au pays d’éviter un confinement généralisé tout en limitant la propagation du virus. La loi coréenne sur la santé publique a été modifiée en profondeur après l’épidémie MERS en 2015, une crise sanitaire pendant laquelle le gouvernement sud-coréen a été accusé d’amateurisme et de manque de transparence. L’article 76-2 de la loi donne aux autorités de santé sud-coréennes des pouvoirs étendus de réquisition d’informations, y compris auprès d’opérateurs de télécommunications. Ces mesures sont encadrées par des mesures de protection au titre de la loi coréenne sur la protection des données personnelles, qui est l’une des plus protectrices de la région. Le dispositif sud-coréen, plus intrusif que celui envisagé en France sur le plan de la protection des données personnelles, a ainsi permis d’éviter des mesures de confinement. En France, le débat public autour du traçage numérique suggère que celui-ci dérange les citoyens plus que le confinement, ce qui traduit sans doute une sensibilité particulière à l’égard des mesures de surveillance de l’État. Chaque pays met ces droits en équilibre en fonction de sa propre culture et histoire. L’approche coréenne effectue un équilibrage différent, mettant clairement dans la balance le confinement d’une part, et le traçage et le port de masques obligatoires, d’autre part.

Après la crise actuelle, la France comme d’autres pays, sera amenée à revoir l’ensemble de son dispositif législatif concernant la lutte contre les épidémies. Il sera légitime à ce moment-là d’examiner la pertinence du modèle sud-coréen, dont le cadre législatif confère aux autorités sanitaires des outils exceptionnels de réquisition, similaires à ceux dont disposent les autorités judiciaires en France pour la lutte anti-terroriste. Il faudrait évidemment tenir compte du contexte français des droits fondamentaux, prévoir un encadrement institutionnel robuste, et ne pas sous-estimer « l’effet cliquet » lié à la généralisation d’outils de surveillance. Il est possible que l’approche sud-coréenne ne soit pas du tout adaptée à la France. Mais l’enjeu de santé publique paraît suffisamment important pour revoir entièrement le dispositif, en tenant compte des impératifs de nécessité et de proportionnalité imposés par la CJUE.