Application StopCovid : ce que les dispositifs de surveillance mis en place à l'étranger nous apprennent sur le projet français

Le vent tourne vite en période d'épidémie. Le 26 mars, Christophe Castaner balayait sur France 2 l'idée d'un recours, en France, à un outil numérique de traçage pour enrayer l'épidémie de coronavirus. "Ce n'est pas la culture française", lâchait-il alors. Deux semaines plus tard, pourtant, le secrétaire d'Etat chargé du Numérique, Cédric O, et le ministre de la Santé, Olivier Véran, ont levé le voile sur un projet... d'application retraçant les contacts des malades et baptisé StopCovid. Le 5 avril, le ministre de l'Intérieur s'est dit "convaincu (...) que c'est un outil qui sera retenu et soutenu par l'ensemble des Français", tant qu'il apporte des garanties d'efficacité et de respect des libertés.

>> Suivez les dernières infos liées à l'épidémie de coronavirus en direct

Peut-être ébranlée par la pandémie, la "culture française" ne serait donc pas si différente de celle de nombreux autres pays qui ont déjà recours à des dispositifs d'exception, qui reposent sur le numérique et la collecte de données. Certains d'entre eux permettent de préfigurer à quoi pourrait ressembler le dispositif français, s'il finit par voir le jour au moment de la sortie du confinement. Mais ils montrent aussi quelles voies la France a choisi de ne pas emprunter.

Selfies et géolocalisation

En Chine, les déplacements sont désormais contrôlés à l'aide d'une application qui attribue aux utilisateurs un QR code associé à une couleur, en fonction de leur risque de contagiosité. Le mode de calcul est opaque, mais prend en compte les données de géolocalisation pour déterminer si l'utilisateur a côtoyé des cas dépistés ou voyagé dans des zones à risque. Si le code est vert, l'accès est autorisé. S'il est orange ou rouge en revanche, impossible d'entrer dans le métro, les magasins ou même certaines résidences.

Ailleurs, les téléphones sont utilisés pour contrôler le respect du confinement. Comme à Taïwan, où le signal téléphonique est scruté pour s'assurer que l'appareil ne quitte pas le domicile, mais aussi qu'il n'est jamais éteint. Les autorités promettent une intervention de la police dans le quart d'heure en cas d'alerte, rapporte Reuters. Et elles appellent aussi deux fois par jour, pour s'assurer que les habitants ne sont pas sortis sans leur portable. Ce principe est aussi utilisé en Pologne : les personnes confinées peuvent télécharger une application qui leur demandera régulièrement, de façon inopinée, de prendre un selfie prouvant qu'elles sont bien chez elles. Ce dispositif n'est pas obligatoire. Mais l'alternative – la visite régulière de la police – ne laisse guère de place à l'hésitation.

D'autres pays, enfin, retracent les contacts des personnes dépistées pour les mettre en quarantaine, par d'autres moyens que ceux envisagés en France. La Corée du Sud, souvent citée en exemple pour sa gestion de l'épidémie, retrace les mouvements en utilisant la localisation du téléphone, et rend publics les noms des lieux fréquentés par les malades, leurs heures de passage, ainsi que leur genre et leur âge. En Israël, le principe est le même mais les moyens utilisés sont plus opaques. Les Israéliens peuvent recevoir des SMS leur enjoignant de se placer en quarantaine sans même avoir consenti à partager leur localisation. Mi-mars, le Premier ministre, Benyamin Nétanyahou, a autorisé les services de renseignement à utiliser, à cette fin, les moyens habituellement employés pour traquer les terroristes.

Un projet européen proche de celui de Singapour

En France, le gouvernement affirme n'étudier aucune de ces options. Et propose une autre voie : une application "installée volontairement" qui "enregistre les références" de la personne croisée via "le Bluetooth", a expliqué Cédric O mercredi 8 avril dans une interview au Monde. "L'application ne géolocalisera pas les personnes", assure-t-il. Si le secrétaire d'Etat évoque la mise en place d'une "task force française" pilotée par l'Institut national de recherche en informatique et en automatique (Inria), elle se base sur un système développé par un regroupement de chercheurs et développeurs du public et du privé au niveau européen. Baptisé Pepp-PT (Pan european privacy preserving-Proximity tracing), il regroupe des participants de huit pays (dont l'Inria et plusieurs institutions allemandes et suisses) qui travaillent depuis début mars sur une application commune, que les différents pays pourront ensuite décliner.

Apple et Google ont annoncé vendredi qu'ils travaillaient sur un principe similaire. Mais il n'est pour l'instant appliqué que dans un seul pays : Singapour. Le 20 mars, le ministère de la Santé y a lancé l'application TraceTogether. Rapidement résumé, le principe est le suivant : le téléphone de l'utilisateur se connecte, en Bluetooth, aux appareils des autres utilisateurs à proximité et enregistre l'identifiant qui leur correspond. La liste des identifiants rencontrés ne sert que si l'utilisateur est testé positif au Covid-19. Elle est alors transmise aux équipes de "contact tracing" du ministère de la Santé, qui se chargent de contacter les personnes croisées lors des 14 jours précédents et leur imposent une quarantaine.

"La seule information demandée à l'installation est un numéro de téléphone local", détaille Sébastien, un Français expatrié dans la cité-Etat. C'est par ce biais que les contacts du malade sont prévenus. Simple d'utilisation et fonctionnelle même sans réseau téléphonique, "l'application est censée rester active en permanence" – celui qui désactive sa connexion Bluetooth recevra des notifications l'invitant à la rétablir. Mais son installation n'est ni obligatoire ni nécessaire pour se déplacer.

A Singapour, ce dispositif ne semble inquiéter personne, assurent la quinzaine d'expatriés français qui ont répondu à franceinfo. "Dans mon réseau, plus singapourien que français, tout le monde l'utilise", affirme par exemple Vincent. "Personne ne trouve cela bizarre. Simplement normal de faire ce qu'il faut pour la communauté". "C'est très largement accepté", reconnaît aussi Marie, qui refuse d'installer cette application et assure ne pas être la seule, y compris parmi ses connaissances singapouriennes. Mais elle sait que sa position est minoritaire : "Je pense que quand on accepte de vivre ici, on accepte de vivre dans un Etat policier. Et les Singapouriens sont formatés comme ça depuis l'école."

Un "moindre mal", selon les détracteurs de la surveillance numérique

Même des voix critiques au sujet de ce type de dispositifs sont moins sévères avec le principe de TraceTogether. L'application "ne garde que les données dont elle a besoin pour le temps où elle en a besoin", explique à franceinfo Simon Chesterman, doyen de la faculté de droit de la National University of Singapore, souvent critique sur la surveillance imposée par l'Etat. Dans une tribune publiée avant l'annonce d'un projet similaire en France, l'un des juristes de l'association La Quadrature du Net trouvait au modèle singapourien de nombreux défauts (à nouveau détaillés dans un communiqué le 8 avril) mais aussi la vertu de reposer sur la "coopération volontaire entre individus".

Dans l'hypothèse où le gouvernement prendrait cette voie, on pourrait déjà se réjouir qu'il n'ait pas pris celle (...) visant à se passer entièrement de notre consentement.

Arthur, juriste membre de La Quadrature du Net

dans une tribune publiée avant l'annonce du projet StopCovid

Une position partagée par Eliot Bendinelli, expert au sein de l'ONG Privacy International : "Ce n'est pas sans risques, mais c'est probablement un moindre mal par rapport à une application qui suivrait votre géolocalisation", résume-t-il à franceinfo.

Ce qui ne l'empêche pas d'émettre des réserves. La liste des contacts enregistrés par l'application, à défaut de dévoiler vos déplacements, "peut révéler les personnes que vous fréquentez", rappelle Eliot Bendinelli. A Singapour, les autorités peuvent relier les identifiants anonymes aux numéros de téléphone de leurs propriétaires. Les initiateurs du projet Pepp-PT assurent que leur application ne demandera pas de contact téléphonique. Lors d'une conférence de presse, le 1er avril, ils ont également promis que le code identifiant l'utilisateur changerait "toutes les demi-heures", et que l'application détecterait les émissions Bluetooth sans connecter les téléphones, pour écarter le risque de piratage. "Nous avons aussi invité des activistes de la cybersécurité" à examiner le projet "et pour l'instant leurs remarques sont positives", ont-ils assuré.

Une efficacité encore inconnue

Dans son entretien au Monde, Cédric O exprime quant à lui une réserve sur un point technique : "Le Bluetooth n'a pas été prévu pour mesurer des distances entre les personnes". Est-on alors certain de pouvoir distinguer si un contact est proche ou non ? De cette précision dépend le risque de placer des utilisateurs en quarantaine inutilement. Le 1er avril, les porte-parole du projet Pepp-PT se montraient confiants, assurant que les mesures étaient plus précises pour ce qui est des contacts prolongés, les seuls qui seront théoriquement retenus. Des "tests de terrain" sont en cours pour s'assurer de leur fiabilité, l'armée allemande ayant mis des soldats à disposition pour "simuler des situations" de rencontres avec des usagers. On ignore pour l'instant la durée et la distance qui seront retenues pour qu'un contact soit considéré comme à risque : à Singapour, elles ne sont pas clairement annoncées, mais "se croiser dans un couloir ou être dans le même moyen de transport public" n'est pas suffisant, assure le ministère de la Santé local.

Si ces obstacles étaient levés, resterait une question centrale : est-ce un moyen efficace de combattre l'épidémie ? "Pourquoi mettre en place une solution technologique alors que les possibilités qu'elle ait une utilité réelle sont très faibles ?", interroge Sylvain, enseignant en droit et membre de La Quadrature du Net. Eliot Bendinelli, de Privacy International, abonde dans ce sens.

Si vous demandez à la population d'installer une application de traçage, il faut que la proportionnalité entre le moyen et le résultat soit clairement démontrée. Qu'on nous prouve de façon solide que c'est une mesure plus utile que les autres alternatives.

Eliot Bendinelli, expert des technologies au sein de l'ONG Privacy International

à franceinfo

Le "contact tracing", qui consiste à retrouver et confiner les personnes ayant été en contact avec des malades, est "une stratégie éprouvée", assure à franceinfo Marie-Paule Kieny. La virologue, directrice de recherche à l'Inserm, est membre du Comité analyse recherche et expertise (Care) mis en place fin mars pour conseiller l'Elysée. "Ce procédé a été utilisé avec le succès qu'on connaît pour le Covid-19 en Chine" et "par la Corée du Sud", et a permis de stopper les épidémies d'Ebola, rappelle-t-elle. En revanche, elle reconnaît "manquer de connaissance des preuves" sur l'apport d'une application dans cette tâche.

Epidémiologiste en chef du projet Pepp-PT, le Suisse Marcel Salathé explique, en conférence de presse, s'appuyer sur une étude de chercheurs de l'université d'Oxford. Lesquels ont modélisé l'efficacité du "contact tracing" en fonction de la rapidité avec laquelle les contacts du malade sont avertis. Alerter en quelques heures plutôt que quelques jours change radicalement les chances de contrôler l'épidémie, concluent-ils. "Le choix réside entre le confinement et ce suivi de contact par téléphone", résume l'un des chercheurs auprès du Monde. Mais outre cette étude, publiée par la prestigieuse revue Science, la littérature scientifique manque, de même que les expériences de terrain. A Singapour, l'application TraceTogether a moins de trois semaines d'existence, durant lesquelles le nombre de contaminations a flambé, poussant les autorités à prendre les mesures les plus strictes depuis le début de l'épidémie. Par ailleurs, la situation n'est pas comparable à la France : le nombre de cas est nettement moins important et le pays ne prépare pas son déconfinement. Difficile, donc, de tirer des leçons sur l'efficacité du dispositif.

Le taux d'installation devra être conséquent

Pour que l'application soit utile, mieux vaut qu'elle soit installée par beaucoup de monde, pointe également l'étude de Science. "Nous estimons que près de 60% de la population aurait besoin d'utiliser l'application pour qu'elle ait un impact significatif", détaille à franceinfo Christophe Fraser, co-auteur de l'étude. Marcel Salathé, lui, expliquait en conférence de presse qu'une adoption moindre aurait déjà "un effet important". Quoi qu'il en soit, la tâche s'annonce ardue. A Singapour, même si les expatriés interrogés assurent que la démarche est bien vue, TraceTogether revendique un million d'utilisateurs, un chiffre conséquent mais qui représente moins de 20% de la population (5,6 millions). "Les personnes âgées, comme le père singapourien de ma femme, ne savent pas l'installer", explique par exemple Vincent. Elles sont pourtant les plus vulnérables face au virus.

Le même problème risque de se présenter en France, où le baromètre du numérique 2019 du Crédoc estime que 23% de la population n'est pas équipée d'un smartphone. "Nous travaillons sur diverses possibilités d'aide à l'équipement, ou à des alternatives aux smartphones pour ceux qui n'en disposent pas", explique Cédric O au Monde. Les initiateurs du projet Pepp-PT disent par exemple s'être penchés sur l'hypothèse de bracelets émettant en Bluetooth. Il y aura aussi les personnes qui ne voudront pas de l'application. Les chercheurs d'Oxford ont également sondé 1 000 Français : 79% d'entre eux leur ont affirmé qu'ils installeraient "sans aucun doute" ou "probablement" une application de ce type. Mais "le taux d'installation pourrait être beaucoup plus faible en réalité", reconnaissent les auteurs. Sylvain, de La Quadrature du Net, craint "la pression sociale" qui pourrait s'abattre sur les récalcitrants s'il fallait à tout prix atteindre un certain taux d'utilisation en France. Ce qui brouillerait le caractère volontaire du dispositif.

Quoi qu'il arrive, StopCovid ne serait jamais qu'un maillon de la chaîne. Pour informer les personnes en contact avec des malades, "vous avez évidemment besoin de savoir qui est positif", rappelle Marcel Salathé. Si Singapour teste toutes les personnes qui présentent des symptômes, la France n'en a pas les capacités. Des bémols qui permettent de comprendre que Cédric O lui-même prenne des pincettes sur l'avenir du projet StopCovid : "Il faut se garder d'un fantasme (...), celui de l'application magique qui permettrait de tout résoudre. Il y a une incertitude technologique, et ce n'est qu'une brique optionnelle dans une stratégie globale de déconfinement."