Dimanche 5 avril, Castaner, invité du 20h de France 2, confirmait sur l’un des médias principaux du pays la piste du gouvernement sur le déploiement d’une application de backtracing basée sur le modèle de Singapour. Un travail commencé en amont avec la formation du C.A.R.E. (Comité analyse recherche et expertise), avec d’autres initiatives au niveau européen, et avec la médiatisation dune étude servie par l’Université d’Oxford.¹

TraceTogether : un bide à Singapour

L’application TraceTogether utilisée à Singapour est Présentée comme le modèle à suivre et comme l’un des facteurs clés de la limitation de propagation du coronavirus à Singapour. Cette cité-État est entrée en confinement la semaine passée, et force est de constater que la popularité de l’application s’avère être un mythe. Promue par une propagande soutenue de l’État de Singapour,territoire dense et bien équipé, l’application n’a trouvé place que sur 17 % des mobiles, alors que l’efficacité d’un tel dispositif demanderait d’avoir les 3/4 des smartphones équipés. Alors qu’en Europe on planchait déjà sur un modèle similaire d’application, et à 3 jours de l’annonce publique de Castaner, les médias singapouriens relançaient une campagne pour l’adoption de cette application².

En fait, l’application TraceTogether ne fut qu’un élément de l’armada des autorités singapouriennes pour localiser et tracer les chaînes de contamination. Tout comme en France, les premiers cas ont été isolés, interrogés, leurs déplacements ont retracés, et les personnes rencontrées contactées et testées. La proximité de Singapour avec la Chine rendait les possibilités de propagation bien plus faciles qu’en France. L’application devait simplement venir compléter ce que la technique policière ³ n’était pas en mesure d’obtenir malgré une technologie de vidéo-surveillance et de reconnaissance faciale déployées aux quatre coins de la Cité.

Cette application est pourtant tout ce qui a été retenu en occident. Pourquoi ? Parce qu’en urgence, elle est la plus simple et la plus compatible avec les droits européens (vis–à–vis du RGPD). Avant que les gouvernements européens n’arrivent à se mettre d’accord et à imposer aux populations des mesures d’exceptions, c’est la solution par défaut, facile.

Singapour a aussi été pris en exemple car, sur la première quinzaine de mars, une expérience mettait en évidence que le nombre de cas déclarés était bien inférieur aux cas réels en raison de symptômes insuffisamment ou pas du tout manifestés chez certain·e·s individu·e·s.⁴ Cette étude, ainsi que les dépistages massifs mis en places à Singapour et la proposition technologique TraceToogether inédite ont été vus comme un cocktail de réussite de Singapour (cocktail qui donne sans doute des maux d’estomac à l’aune de la situation actuelle).

StopCovid : rien dans le ventre !

En France, l’application d’édition d’attestation de sortie a été soupçonnée de représenter le point de départ d’une surveillance de masse. Une première analyse montrait qu’aucune donnée n’était remise aux serveurs du gouvernement, gouvernement qui publia ensuite le code de l’application confirmant la première analyse⁵.

Le nom que porterait l’application française est désormais connu : StopCovid⁶. Quel nom prétentieux : on suggère par là que l’application joue un rôle de barrière à la propagation, qu’elle va l’arrêter, donner une sécurité… mais on parle toujours de backtracing, donc d’une remontée d’infos a posteriori d’une déclaration d’infection… après que le mal soit fait donc. Plus important, des doutes s’élèvent sur sa pertinence technique. En effet l’application est sensée s’appuyer sur les puces bluetooth qui s’identifient les unes les autres en fonction de facteurs de distances et de temps. Si pour le temps la mesure est évidente, les puces bluetooth ne sont pas conçues pour estimer des distances entre elles⁷, sans compter des questions de compatibilités des puces entre elles⁸… Des doutes s’élèvent également sur la pertinence sociale de ce dispositif : non seulement il y a un aspect individuel à être déclaré (ou à se déclarer) infecté, entraînant ainsi des risques de faux positifs et de faux négatifs, mais il faut en plus que les 3/4 de la population l’adoptent. Or l’expérience réelle de Singapour n’est pas prête de causer l’émulation. Le sondage d’Oxford a eu le droit à ses gros titres de presse sur ces « 80 % de français.e.s » prêt.e.s à installer cette application modèle, mais aucun responsable politique sérieux ne reprend ce chiffre. Nous ne reviendrons pas sur la prétendue « représentativité » du sondage⁹. Même sans ce problème de représentativité, il existe des éléments matériels qui agissent déjà en tant qu’obstacle objectif : par exemple, un quart des mobiles utilisés en France ne supporteraient pas l’application. Devrions–nous parler du facteur subjectif ? La compétence des utilisateurs et utilisatrices – invisibilisée par le sondage d’Oxford car la compétence t était un préalable à la soumission du questionnaire – pourrait aussi faire défaut chez des personnes correctement équipées.¹⁰

Tout un ensemble de difficultés qu’une quinzaine de député.e.s de la majorité, plus intelligent.e.s que le reste sur ce point, ont identifié dans une tribune datée du 8 avril au Figaro, appelant à l’abandon de ce type de projet¹¹ par un slogan « Nous avons besoin d’un dépistage massif, pas d’un pistage massif ». Sans que l’on sache qui de l’œuf ou la poule était là le premier, ce mot d’ordre, sous des formes voisines, se répand également sur les réseaux sociaux. Mélenchon a annoncé un refus catégorique le même jour, sur Europe 1, moins axé sur la technique que sur les risques encourus en termes de respect de la vie privée, et avec pour argument l’échec à Singapour, entrée la veille en confinement¹².

Une digestion internationale compliquée

Sur le plan international, la gestion de l’urgence produit surtout des solutions locales, donc désorganisées ou non-coordonnées à des niveaux plus larges. C’est le cas aussi au sein de l’Union Européenne, instrument de coordination de la bourgeoisie, où le contact tracing est étudié au travers d’un projet regroupant 130 expert.e.s issu.e.s de 8 pays nommé PEPP-PT¹³ (Pan-European Privacy-Preserving Proximity Tracing) sensé à terme produire une application semblable à TraceTogether, compatible avec le RGPD. En effet dans des pays comme l’Autriche ou la Pologne, des solutions de tracing sont déjà exploitées, alors que dans d’autres comme l’Italie, l’Allemagne, ou la France, des comités nationaux d’expert.e.s ont été lancés (mais on imagine mal que devant respecter les mêmes règles, il n’y ait pas un tant soit peu d’échange, quitte à garder des noms et un design différents pour chaque appli). On peut trouver d’autres cas dans le monde d’initiatives dispersées, tantôt publiques, tantôt privées, non-mutualisées, voire contradictoires.¹⁴

Le débat public, surtout à travers la presse et les tribunes de nombre de responsables d’instances européennes ou françaises, met l’accent cette semaine sur le respect de la vie privée. Et souvent, ces mêmes responsables écrivent, au détour d’une phrase discrète, que si on veut aller plus loin, il faut une loi spéciale. Rappelons nous également que l’UE avait demandé aux huit opérateurs de télécommunications européens de travailler à une analyse de flux de déplacements des populations pour la mettre en corrélation avec la propagation du virus. Une géolocation « anonymisée » certes, mais les instances européennes n’ont pas manqué de poser la question : avez-vous les moyens de faire installer à distance, automatiquement, sur chaque mobile, une application de tracing ? La réponse, plutôt négative, a sans doute motivé le plan PEPP-PT.

Il n’y a techniquement pas de raison pour qu’un opérateur puisse installer une application à distance sur un smartphone. Ce qui n’est pas tout à fait le cas de l’éditeur des systèmes d’exploitations qui assurent les mises à jours logiciels… Et assez étonnamment on n’a pas vu d’interpellation auprès d’Apple ou de Google (un effet des tensions commerciales attisées par Trump?). Le marché du smartphone n’est fondamentalement, sur le plan logiciel, qu’occupé par leur deux systèmes (iOS pour le premier, Android pour le second). Personne ne semble leur avoir demandé quoique ce soit, mais vendredi, des annonces ont été faites sur leur collaboration dans la programmation d’une application¹⁵, elle aussi, approchant le principe de TraceTogether (quitte à diffuser un truc en masse, autant qu’aucune entité politique n’y ait à redire juridiquement). Répondant ainsi à l’une des faiblesses pointée : des possibles problèmes d’interopérabilités et d’incompatibilités. Une application mais aussi une API¹⁶ (des briques logicielles, des fonctions pré-établies, qui facilitent la programmation) réutilisables pour créer d’autres applications de contact tracing en fonction des différentes approches possibles ou sélectionnées par les États. Si pour Apple, la maîtrise matérielle et logicielle de sa gamme simplifie pas mal de chose en termes de déploiement,pour Google en revanche, ce n’est pas la même affaire. L’éco-système Android est en effet dit « fragmenté ». Il est adapté par chaque constructeur de smartphone d’une part d’autre part les smartphones ont un profil spécifique pour chaque modèle. Contrairement à un PC classique ce n’est pas un système d’exploitation générique qui tourne dessus, c’est un système qui « colle » au matériel. Donc à chaque modèle son système d’exploitation . Même si le matériel Apple fonctionne selon les mêmes limitations, la question n’est pas la même : on a constructeur unique qui maîtrise sa chaîne matérielle et logicielle, avec des générations et des gammes restreintes et identifiables. Pas un machin bordélique avec on-ne-sait-combien de constructeurs, contenant on-ne-sait-combien de générations, dans des gammes et sous gammes multiples. L’objectif de sortie de l’appli est pour mai et l’intégration dans les systèmes d’exploitations d’ici l’été.

Vers une politique sécuritaire qui sort des tripes ?

Outre le défaut de l’échec réel de TraceTogether, c’est le contexte dans lequel on l’applique qui diffère et ne correspond pas forcément au besoin. Le problème est simple : un outil pensé pour retarder ou empêcher le choix politique du confinement est-il adapté pour une politique de déconfinement ? Une telle application automatise une tâche, parfois laborieuse et incomplète, effectuée lors des premières contaminations du virus sur notre territoire. En retraçant numériquement les contacts sur les jours précédents, on peut trouver, isoler, tester et contenir les cas. Cela relève finalement des stades dit de « stratégie d’endiguement » (stades 1 et 2) de l’épidémie, empêcher sa libre circulation. Or le virus s’est bien répandu, par ailleurs, le confinement (incomplet) n’a servi qu’à éviter un KO sismique hospitalier (c’est la donnée essentielle de l’allocution quotidienne de Salomon, même si dans la forme il noie ça au milieu de statistiques mortuaires et de remerciements pour les soignant.e.s). Les choix politico-économiques des ploutocrates ont été faits. Les productions non-essentielles n’ont pas été arrêtées. Certaines entreprises annoncent déjà la reprise de leurs productions. On s’achemine vers un contexte de déconfinement sans arrêt de propagation du virus. Pour prévenir les risques, il est évident que le gouvernement ne pourra pas s’appuyer sur un outil qui a été en échec dans une phase pré-pandémique. Il ne pourra en sortir qu’un contrôle plus stricte.

Du côté des Républicains, on a déjà enregistré une proposition de loi allant plus loin que les projets actuels français ou européens en ce qui concerne les applications de traçage. En effet la « proposition de loi visant à la création d’une application permettant d’établir et d’informer quant aux déplacements d’une personne contaminée lors d’une crise épidémique majeure »¹⁸ s’appuie explicitement sur des données de géolocalisation GPS et se destine au suivi des personnes infectées. Une loi à placer dans un contexte de déconfinement. Reste que, si cette application n’aura rien d’obligatoire, rien n’indique qu’elle ne sera pas posée comme un deal : vous êtes infecté.e.s, vous restez libres d’installer l’application. Cependant la condition pour que vous vous promeniez est de pouvoir disposer de l’application. C’est une hypothèse. La Chine était allée beaucoup plus loin dans le contrôle dans sa stratégie de déconfinement¹⁹.

Du côté de la CNIL, on n’ignore pas dans le débat public actuel les problématiques du déconfinement ni de certaines hypothèses sur le caractère obligatoire, plus ou moins intrusif du traçage. On se contente de relever les difficultés et contradictions avec le droit juridique actuel. Auditionnée dans le cadre de la Commission des Lois, la présidente²⁰, Marie-Laure Denis, est revenue plus en détail sur tous les éléments que nous avons évoqués précédemment pour éclairer les parlementaires sur l’état du possible juridiquement et techniquement. Et dans l’absolu, le Contact Tracing tel qu’esquissé au niveau européen, à Singapour ou par l’application française StopCovid ne pose pas de problème. C’est davantage le contexte, ou l’environnement juridique accompagnant le (dé)confinement qui peut poser plus de questions. Et donc, sur la perspective d’aller plus loin dans le traçage que les jolies esquisses évoquées, la CNIL répond que les textes européens tout comme la constitution française permettent des dispositifs exceptionnel en termes de santé publique, à condition d’avoir une loi dédiée. Concernant l’usage obligatoire d’une application « J’observe qu’à ce jour, les pouvoirs publics ont exclu le recours à un tel dispositif. » On remarquera qu’en termes de communication de l’exécutif, les changements s’opèrent d’une semaine à l’autre (le 1er avril il n’était pas question d’application de traçage… le 8 Castaner annonçait les travaux en cours sur le sujet), voire d’une matinée à une soirée (le jeudi 12 au matin, Blanquer indiquait que les écoles ne fermeraient pas… et le soir en allocution à toute la nation à 20h, Macron annonçait leur fermeture complète). Au delà du bluetooth, la géolocalisation, ou autre, pourront donc être envisagés.

Et quid des libertés et d’un consentement réels ? (L’usage des applications de tracing est pensé dans le cadre d’un volontariat sans – a priori – aucune contre-partie, alors que dans le déconfinement, il pourrait y avoir contre-partie .   « À défaut de réel consentement, une loi comportant d’importantes garanties serait nécessaire. » La CNIL dont deux des missions sont de « préserver les libertés individuelles » et « protéger les données personnelles » est prête à s’asseoir sur le principe du consentement pour permettre le flicage de la population. L’engrenage et le doigt qu’on fout dedans ! Comme la loi Surveillance de 2015 : l’intégration d’un état d’exception dans le droit commun et la création d’une commission spéciale pour surveiller son application, moyen propre pour éviter à la CNIL de foutre son nez dedans !

Notre déconfinement ne passera pas par des applications de tracing ou des contrôles numériques ! Nous voulons des mesures sanitaires, de protection et de dépistage ! Un arrêt total des productions non-essentielles sur la durée du confinement pour atrophier la propagation du virus.

Notes