L’auteur conclut que le choix des autorités de décider d’un traçage géographique des citoyens à des fins de lutte épidémique constitue un acte particulièrement attentatoire aux droits et libertés individuels. Tout comme le scientifique, le juriste a pour rôle d’éclairer la décision publique sans s’y substituer. Néanmoins, il est possible de tracer une ligne rouge audelà de laquelle une démocratie libérale ne devrait pas s’aventurer.

Premièrement, un tel dispositif de traçage ne doit pas conduire à une stigmatisation, laquelle entraînerait inévitablement une exclusion sociale, dont pourrait notamment résulter la restriction de l’accès à un service comme cela a pu être le cas en Chine avec la « classification systématique de la population en fonction d’un critère de santé». Sans recourir à une solution technologique, la France s’est engagée quelque peu sur cette voie en autorisant les conducteurs de taxi et de voitures de transport avec chauffeur « à refuser l’accès du véhicule à une personne présentant des symptômes d’infection au Covid19 ».

Deuxièmement, un tel traitement de données ne doit pas conduire à la mise en œuvre d’une automatisation de la sanction pénale à l’égard des personnes qui contreviendraient à l’interdiction de « tout déplacement (…) hors de son domicile » ou qui s’affranchiraient des mesures de distanciation sociale. Cette hypothèse est déjà une réalité « en Corée du Sud, à Taiwan ou en Israël, où les données téléphoniques permettent aux autorités de détecter et d’identifier les personnes ne respectant pas les mesures de confinement et, le cas échéant, de les sanctionner. »  Autant dire qu’« ils ne mouraient pas tous, mais tous étaient frappés. »

• Yoann GONTHIER LE GUEN, « La protection des données personnelles en situation de crise sanitaire exceptionnelle. L’hypothèse du traçage géographique des citoyens à fin de lutte épidémique », 2020, RDLF chron. No 27.

Saisie en novembre 2019 par plusieurs syndicats représentant les éditeurs de presse ainsi que par l’Agence France-Presse (AFP) de pratiques mises en œuvre par Google à l’occasion de l’entrée en vigueur de la loi du 24 juillet 2019 sur les droits voisins, l’Autorité de la concurrence fait droit à leurs demandes de mesures conservatoires. L’Autorité a estimé que les pratiques de Google à l’occasion de l’entrée en vigueur de la loi sur les droits voisins étaient susceptibles de constituer un abus de position dominante, et portaient une atteinte grave et immédiate au secteur de la presse.

Elle enjoint ainsi à Google, dans un délai de trois mois, de conduire des négociations de bonne foi avec les éditeurs et agences de presse sur la rémunération de la reprise de leurs contenus protégés. Cette négociation devra couvrir, de façon rétroactive, les droits dûs à compter de l’entrée en vigueur de la loi le 24 octobre 2019.

• Autorité de la concurrence, Droits voisins : l’Autorité fait droit aux demandes de mesures conservatoires présentées par les éditeurs de presse et l’AFP, Communiqué de presse, 9 avril 2020.
• Autorité de la concurrence, Décision 20-MC-01 du 09 avril 2020 relative à des demandes de mesures conservatoires présentées par le Syndicat des éditeurs de la presse magazine, l'Alliance de la presse d'information générale e.a. et l’Agence France-Presse.

En réponse à sa saisine par le secrétaire d’État chargé du numérique le 17 avril dernier, le Conseil national du numérique rend un avis favorable sur l’application StopCOVID qui se fonde sur trois éléments. 1) L’application peut s’avérer utile dans la lutte contre la pandémie, en tant qu’élément d’une stratégie plus globale. Une telle application doit être unique et spécifiée par l’État afin de garantir sa souveraineté numérique. 2) Une série de conditions doivent être assurées afin de garantir l’intérêt général et l'État de droit. Elles touchent à la confiance des citoyens ainsi que sa limitation dans le temps et la reconnaissance de son caractère exceptionnel.  3) L’inclusion, l’accessibilité et la loyauté de l’information sont les facteurs-clés de la réussite de son déploiement. À ce titre, l’accent doit être mis sur l’expérience utilisateur de l’application, l’accompagnement des publics fragiles ou éloignés du numérique et la mobilisation des acteurs de la médiation numérique.

Le Conseil détaille ses positions en proposant plusieurs pistes de réponses sur des problématiques technique, sociétale,  d’acceptabilité, de confiance et de communication soulevées par l’application. Le Conseil fait quinze recommandations, parmi lesquelles :

• Créer un comité de pilotage, avec des parlementaires, des chercheurs et des citoyens-experts, disposant d’un pouvoir d’arrêt de l’application.
• Renommer l’application « AlerteCOVID » pour ne pas lui faire porter de fausses promesses.
• Favoriser une seule application pour la France, sous l’autorité du Ministère de la Santé.
• Encadrer l’application par un décret fixant les conditions de sa mise en œuvre, sa durée dans le temps et des garanties sur la protection des données.
• Clarifier les procédures à suivre en cas de réception d’une notification ou de test positif .
• Organiser des séances de questions-réponses entre les citoyens et les responsables politiques.
• Mobiliser les acteurs de terrain (collectivités, structures de médiations, associations) pour évaluer les besoins et accompagner les plus éloignés du numérique, voire participer à leur équipement.

Comme toutes les organisations mobilisées pour accompagner la décision collective dans cette période de crise sanitaire, le Conseil rappelle qu’il n’est qu’en mesure de fournir une lecture sous forme de « photographie », représentative de ses connaissances à la date de sa publication. Le développement de l'application et de toutes les briques qui la composent n'est pas terminé.

• Conseil national du numérique, Le Conseil est favorable au principe de StopCOVID, en tant que brique d’une stratégie plus globale, Communiqué de presse, 24 avril 2020.
• Conseil national du numérique, StopCOVID-Avis du Conseil national du numérique.

Dans le cadre de l’état d’urgence sanitaire lié à l’épidémie de COVID-19, et plus particulièrement de la stratégie globale de « déconfinement », la Commission nationale informatique & libertés (CNIL) a été saisie d’une demande d’avis par le secrétaire d’État chargé du numérique. Celle-ci concerne l’éventuelle mise en œuvre de « StopCOVID », une application qui a pour objectif d’alerter les personnes l’ayant téléchargée du fait qu’elles ont été à proximité de personnes diagnostiquées positives au COVID-19 et disposant de la même application. Le téléchargement et l’utilisation de cette application de suivi de contacts reposeraient sur une démarche volontaire. Les membres du collège de la CNIL se sont prononcés le 24 avril 2020.

Dans le contexte exceptionnel de gestion de crise, la CNIL estime le dispositif conforme au Règlement général sur la protection des données (RGPD) si certaines conditions sont respectées. Elle relève qu’un certain nombre de garanties sont apportées par le projet du gouvernement, notamment l’utilisation de pseudonymes.  La CNIL appelle cependant à la vigilance et souligne que l’application ne peut être déployée que si son utilité est suffisamment avérée et si elle est intégrée dans une stratégie sanitaire globale. Elle demande certaines garanties supplémentaires. Elle insiste sur la nécessaire sécurité du dispositif, et fait des préconisations techniques.

Elle demande à pouvoir se prononcer à nouveau après la tenue du débat au Parlement, afin d’examiner les modalités définitives de mise en œuvre du dispositif, s’il était décidé d’y recourir.

• CNIL, Avis sur le projet d’application mobile « StopCovid », 26 avril 2020.
• CNIL, Délibération n° 2020-046 du 24 avril 2020 portant avis sur un projet d’application mobile dénommée « StopCovid » (demande d’avis n° 20006919), 24 avril 2020.

Dans sa recommandation concernant une boîte à outils commune au niveau de l’Union européenne en vue de l’utilisation des technologies et des données pour lutter contre la crise de la COVID-19, la Commission européenne convient que les technologies et données numériques ont un rôle précieux à jouer dans la lutte contre la crise de la COVID-19, puisque de nombreuses personnes en Europe sont connectées à l’Internet au moyen d’appareils mobiles. Ces technologies et données peuvent offrir un outil important pour informer le public et aider les autorités publiques concernées dans leurs efforts en vue d’endiguer la propagation du virus ou pour permettre aux organismes de soins de santé d’échanger des données de santé. Toutefois, une approche fragmentée et non coordonnée risque d’entraver l’efficacité des mesures visant à lutter contre la crise de la COVID-19, tout en causant un préjudice grave pour le marché unique et pour les droits et libertés fondamentaux.  D’où la nécessité d’élaborer une approche commune concernant l’utilisation des technologies et données numériques en réaction à la crise actuelle.

• Commission européenne, Recommandation (UE) 2020/518 de la Commission du 8 avril 2020 concernant une boîte à outils commune au niveau de l’Union en vue de l’utilisation des technologies et des données pour lutter contre la crise de la COVID-19 et sortir de cette crise, notamment en ce qui concerne les applications mobiles et l’utilisation de données de mobilité anonymisées, 14 avril 2020.

L'UNESCO a entrepris un processus de deux ans pour élaborer le premier instrument normatif mondial sur l'éthique de l'intelligence artificielle (IA), suite à la décision de la Conférence générale de l'UNESCO lors de sa 40e session en novembre 2019.

Ce processus inclusif et multidisciplinaire comprendra des consultations avec un large éventail de parties prenantes, notamment la communauté scientifique, des personnes d'origines culturelles et avec des perspectives éthiques différentes, des groupes minoritaires, la société civile, le gouvernement et le secteur privé.  Le processus s'appuiera sur l’étude préliminaire réalisée par la Commission mondiale d’éthique des connaissances scientifiques et des technologies (COMEST) de l’UNESCO.  Cette étude souligne qu'actuellement, aucun instrument mondial ne couvre tous les domaines qui guident le développement et l'application de l'IA dans une approche centrée sur l'être humain.

Le groupe d'experts internationaux de l'UNESCO produira un projet de l'instrument, sous la forme d'une Recommandation de l'UNESCO, en tenant dûment compte de diverses dimensions, notamment l'environnement et les besoins du Sud.

• UNESCO, « Le groupe d’experts internationaux de l’UNESCO commence son travail sur la rédaction de la première recommandation mondiale sur l’éthique de l’IA », Communiqué de presse, 27 avril 2020.

La Chambre des notaires a publié un Guide relatif à la numérisation des dossiers et de la comptabilité en fidéicommis des notaires. Ce guide du praticien se veut simple et convivial, afin d’assurer la transition d’une documentation papier vers une documentation numérique, et ce, en conformité avec la Loi concernant le cadre juridique des technologies de l’information.

• Lindsay LAMOTHE-LAFRENIÈRE, « L’acte notarié technologique bientôt possible au Québec? », Droitdunet.net, 24 novembre 2019.
• Chambre des notaires du Québec, Guide relatif à la numérisation des dossiers et de la comptabilité en fidéicommis des notaires, 2019.

Dans leur document de réflexion sur les enjeux éthiques de la crise, la Commission de l’éthique en science et technologie et le Comité d’éthique de santé publique expliquent que les activités de santé publique justifiées par la bienfaisance (vigie sanitaire et surveillance) soulèvent des enjeux quant au respect de la confidentialité. Par exemple, la disponibilité des données à l’échelle régionale ou de quartier peut aider à contenir la propagation, mais permet la réidentification des personnes dans les régions ou quartiers où le nombre de cas est limité et où la population est moindre. Le risque de stigmatisation étant très important dans ces cas, le souci de non-malfaisance nous invite alors veiller à ce que les personnes atteintes ne puissent être identifiées et qu’elles ne subissent pas de préjudices. L’équilibre entre ces valeurs doit éclairer nos choix en matière de moyens technologiques et législatifs : il s’agit de protéger les données personnelles, tout en demeurant efficaces dans l’objectif de contribuer à la bienfaisance, soit à la santé de la population. Une surveillance étroite des changements qui surviennent sur le plan de l’épidémiologie, mais aussi sur le plan de l’acceptabilité sociale des mesures préventives, est souhaitable afin que nous demeurions vigilants et que nous adaptions la communication à la population, dans une perspective de réduction des tensions entre les valeurs en présence.

• Commission de l’éthique en science et technologie, Comité d’éthique de santé publique, Cadre de réflexion sur les enjeux éthiques liés à la pandémie de COVID-19, 3 avril 2020.

Dans son document de réflexion concernant le recours à certaines technologies (ex. : traçage de contacts, bracelets connectés, utilisation de données de géolocalisation), la CAI invite à s’interroger sur l’objectif de la technologie proposée. Bien entendu toutes celles envisagées visent à contribuer à enrayer la COVID-19, à limiter la propagation du virus. Mais il importe d’être plus précis et de répondre à la question : Comment cette application ou cet outil technologique est-il susceptible de le faire? Que vise-t-il spécifiquement à faire dans le contexte de cette lutte? Par exemple, est-ce qu’on vise à : aider les autorités de santé publique à effectuer les enquêtes épidémiologiques et à retracer les contacts ou à avoir un portrait plus global de la prévalence au sein de la population? Assurer le respect de mesures d’isolement par les personnes porteuses du virus? Identifier les personnes susceptibles d’avoir été en contact avec des personnes infectées et si oui, dans quel but (dépistage, recommandations de consignes sanitaires, portrait d’une situation, etc.)? Prodiguer des conseils aux personnes selon leur « niveau de risque » d’avoir été en contact avec une personne infectée ou leurs symptômes?

Les concepteurs de ces solutions ou les autorités gouvernementales qui adoptent de tels dispositifs ou en font la promotion doivent démontrer qu’il s’agit d’un moyen raisonnable et que sa justification peut se démontrer, i.e. que l’intrusion dans la vie privée qu’implique la solution proposée est proportionnelle à l’objectif poursuivi ou à la situation que l’on souhaite contrer.

Il est nécessaire entre autres de s’interroger sur la portée de la solution envisagée et de se demander si d’autres moyens, moins intrusifs, ne pourraient pas apporter une solution efficace ou permettre d’atteindre l’objectif poursuivi. Se demander par exemple : est-ce que l’objectif peut être atteint autrement, sans porter atteinte à la vie privée des individus, sans recueillir ou utiliser des renseignements personnels? Quels moyens permettent de limiter l’atteinte à ce droit au strict minimum? Est-ce que ce genre d’outil devrait être encadré de manière spécifique dans le contexte actuel et compte tenu des enjeux importants de vie privée qu’il soulève? Si oui, comment?

Il faut s’assurer d’une balance des avantages et des inconvénients concrets d’avoir recours à la solution technologique envisagée. Quels sont-ils? Est-ce que le ou les avantage(s) pour le bien collectif surpasse(nt) l’atteinte aux droits individuels? Il est pertinent de considérer toutes les conséquences concrètes susceptibles de se réaliser. Par exemple, est-ce que la mesure envisagée est susceptible d’entraîner une atteinte à d’autres droits, comme la dignité ou la sauvegarde de sa réputation, d’entraîner de la discrimination, de stigmatiser certains individus? Est-elle susceptible d’avoir un impact, positif ou négatif, sur les mesures adoptées par les autorités pour lutter contre la pandémie? Quels sont les enjeux selon que les renseignements sont recueillis et utilisés par les autorités publiques ou une entreprise privée? Si cette application est disponible sur une base volontaire, quels sont les avantages et les inconvénients de cette approche?

Si cette évaluation permet de conclure que la solution envisagée est une mesure justifiée et nécessaire dans le contexte actuel et que l’intrusion dans la vie privée qu’elle constitue est proportionnelle et permet d’assurer un équilibre et une pondération entre les besoins de la société et les droits des individus, il convient alors d’évaluer les modalités d’application afin de s’assurer qu’elles respectent les principes et les meilleures pratiques en matière de protection des renseignements personnels.  Il s’agit d’un ensemble de principes et de bonnes pratiques visant à encadrer et à minimiser la collecte, l’utilisation, la communication et la conservation des renseignements personnels (tels la prévention, limiter la collecte aux seuls renseignements nécessaires, faire preuve de transparence, limiter l’utilisation et la communication des renseignements, obtenir le consentement, évaluer les impacts du recours à un système d’intelligence artificielle, respecter les règles spécifiques applicables aux renseignements biométriques et aux données de géolocalisation, détruire les renseignements personnels, permettre l’exercice de ses droits par la personne concernée et encadrement, reddition de compte, contrôle externe indépendant et réévaluation).

En particulier, la transparence quant à l’ensemble des mesures prises par l’organisme public ou l’entreprise privée pour assurer la protection des renseignements personnels est essentielle pour démontrer la responsabilité de l’organisation.

• Commission d’accès à l’information du Québec, Pandémie, vie privée et protection des renseignements personnels-Éléments de réflexion concernant le recours à certaines technologies (ex. : traçage de contacts, bracelets connectés, utilisation de données de géolocalisation), 14 avril 2020, mis à jour le 4 mai 2020.

Dans son document intitulé Cadre pour l’évaluation par le gouvernement du Canada des initiatives en réponse à la COVID-19 ayant une incidence importante sur la vie privée, le Commissaire à la vie privée du Canada expose qu’en situation de crise sanitaire, les lois sur la protection des renseignements personnels et autres mesures de protection sont toujours en vigueur sans faire obstacle à une collecte, une utilisation et une communication de renseignements appropriée. Les lois sur la protection des renseignements personnels, les normes et les pratiques exemplaires actuelles en matière de collecte, d’utilisation et de communication de données, lorsqu’on les interprète de façon raisonnable et en tenant compte du contexte, assurent une utilisation et une communication responsables à l’appui de la santé publique. En outre, elles favorisent le maintien de la confiance dans notre système de santé et envers le gouvernement de façon générale.

Toutes les organisations doivent continuer de se conformer à la loi et agir de façon responsable, en particulier pour ce qui est du traitement des renseignements personnels sur la santé et les déplacements des individus ou sur les liens qu’ils entretiennent – tous des renseignements généralement considérés comme sensibles. Dans les initiatives qui font appel à des partenariats public-privé, où l’autorisation légale de recueillir des données repose sur le consentement accordé par les individus à un partenaire du secteur privé, les organisations du secteur public devraient aborder leur propre collecte des renseignements en s’assurant que les règles régissant le secteur privé sont respectées, dont l’obtention d’un consentement valable.

La protection de la vie privée ne se limite pas à une série de règles techniques et de règlements. Elle représente plutôt un impératif constant de préserver les droits fondamentaux de la personne et les valeurs démocratiques, même dans les situations exceptionnelles.

Le Commissaire rappelle l’impératif de conformité à la loi qui s’impose à tous les organismes assujettis tout en convenant que des règles particulières pourraient être adoptées en vertu des lois d’urgence et s’appliquer à tous les secteurs. Les lois sur la protection des renseignements personnels s’appliquent à tout renseignement concernant un individu identifiable. C’est le cas même lorsque ces renseignements sont tirés de sources « ouvertes » ou publiques comme les médias sociaux, quoique l’attente raisonnable en matière de vie privée soit moins élevée pour ce type de sources.

Les mesures envisagées de lutte contre la COVID-19 par une institution fédérale doivent être nécessaires et proportionnelles. Le Commissariat reconnaît que la crise liée à la COVID-19 évolue rapidement et qu’elle requiert des interventions rapides et efficaces pour répondre à des besoins en santé publique hors du commun. Le droit à la vie privée n’est pas absolu. Toutefois, même en ces temps difficiles, les institutions fédérales devraient continuer de s’assurer que leurs mesures sont nécessaires et proportionnelles, c’est-à-dire qu’elles sont essentiellement fondées sur des données probantes, qu’elles sont nécessaires pour la fin particulière déterminée et qu’elles n’ont pas une portée excessive.  La démonstration de son efficacité doit toutefois être évaluée en fonction du contexte. En outre, la nécessité ne doit pas forcément être « absolue ».

Au nom du principe de finalité, dont l’importance doit être réitérée, les renseignements personnels recueillis en situation d’urgence devraient être détruits à la fin de la crise, sauf pour servir à des fins limitées, par exemple afin de faire de la recherche ou de rendre compte des décisions prises au cours de la crise, particulièrement en ce qui concerne les décisions prises au sujet d’individus. Dans la mesure du possible, il faut utiliser des données désidentifiées ou agrégées et tenir compte des répercussions qui sont propres aux groupes vulnérables. La transparence est la pierre angulaire de la gouvernance démocratique et de nos lois sur la protection des renseignements personnels.

• Commissariat à la vie privée du Canada, Cadre pour l’évaluation par le gouvernement du Canada des initiatives en réponse à la COVID-19 ayant une incidence importante sur la vie privée, avril 2020.