Pour protéger la vie privée, l’EDPS plaide pour l’instauration d’une application commune à tous les Etats membres, voire une collaboration avec l’OMS.

Oui au tracing… si l’application est paneuropéenne. Tel est le point de vue de Wojciech Wiewiórowski, European Data Protection Supervisor, EDPS. «Nous ne serons pas capables de résoudre cette crise avec des outils nationaux. Plus notre réponse sera européenne, meilleurs seront les résultats !» 

L’intérêt ? Éviter un morcellement des approches alors que des États ont développé ou sont en train de développer des applications mobiles chacun dans leur coin. Pour le Contrôleur européen de la protection des données, la multiplication d’outils dans divers pays membres risque de provoquer une violation de la vie privée. Aujourd’hui, deux Etats membres de l’UE utilisent des applications de traçage numérique. Le ministère de la Santé polonais a mis en place Home Quarantine. L’application exige la prise de selfies tout au long de la journée pour prouver son confinement. De son côté, l’Irlande a instauré une application mobile de suivi reposant sur le consentement de l’utilisateur.

130 chercheurs, dont la KU Leuven

Sans émettre de jugement sur le bien-fondé de ces mesures de traçage numérique, l’organisation estime qu’une centralisation permettrait un respect total des obligations du GPDR. «Dans l’idéal, une coordination avec l’OMS devrait également avoir lieu. Elle pourrait garantir la protection des données dans le monde entier dès la conception», relève encore Wojciech Wiewiorowski. Pour l’instant, l’OMS n’a pas communiqué à ce sujet.

Wojciech Wiewiórowski, European Data Protection Supervisor : «Nous ne serons pas capables de résoudre cette crise avec des outils nationaux… »

«Tiers de confiance»

Le 7 avril, un groupe composé de 130 chercheurs de huit pays, dont la Belgique à travers la KU Leuven, a lancé une plate-forme baptisée PEPP-PT (Pan-European Privacy Preserving Proximity Tracing). Elle permettra de concevoir des applications ayant recours au «contact tracing».

Et de promettre le plein respect du GDPR. La plate-forme PEPP-PT utilisera la technologie Bluetooth des téléphones mobiles dans un cadre anonyme et sur la base du volontariat. Elle stockera via un cryptage renforcé l’historique des connexions entre les appareils dans le smartphone et non sur serveur central pendant une durée de deux semaines. Seules les autorités sanitaires locales, considérées comme des «tiers de confiance», seront autorisées à télécharger les données. Elles se contenteront d’informer les personnes susceptibles de contracter la maladie et leur recommander de se placer en isolement.

Tracing et GDPR ne sont pas antinomiques

Si le GDPR protège le droit à la vie privée, il n’empêche pas le traitement de données personnelles de santé s’il s’agit de lutter contre une épidémie. Tel est l’avis que défend lEDPS .

Pour le contrôleur européen de la protection des données, le droit à la protection des données personnelles n’est pas un droit absolu. Ce droit doit être mis en balance d’autres droits fondamentaux. «Je ne suis pas en train d’inventer ou d’interpréter de manière innovante, je cite le texte officiel. Cela comprend la protection contre des menaces transfrontières sérieuses sur la santé», déclare Wojciech Wiewiórowski, European Data Protection Supervisor, EDPS.

Le traitement des données de santé personnelles est légal quand le traitement est nécessaire pour un intérêt public substantiel, insiste le EDPS.

«Même lorsque nous reconnaissons qu’un mode de traitement inhabituel entraverait le droit à la vie privée et à la protection des données, ce mode de traitement peut encore être nécessaire dans les circonstances que nous vivons», déclare l’organisme européen.