Intervention de Marie-Laure Denis

Monsieur Wattebled, aujourd'hui, les personnes testées positives sont contactées manuellement. On leur demande avec qui elles ont été en contact ; mais un délai de deux ou trois jours peut être nécessaire, et l'on n'est pas à l'abri des imprécisions de la mémoire. Ce travail peut effectivement être mené de manière automatisée, et donc plus rapide. Cette démarche s'inscrit dans une stratégie plus globale, avec des tests réalisés de manière massive. Mais, étant donné les garanties et la confiance qu'il apporte, le facteur incitatif peut être tout à fait important.

Monsieur Hervé, les autorités de santé doivent continuer à jouer tout leur rôle, y compris dans le cadre d'une application comme celle-ci. Le Bluetooth est une technologie de proximité. Il permet de connecter des équipements proches - les oreillettes avec le téléphone, la souris avec l'ordinateur. Au titre de la protection des données, il présente un aspect positif : les données sont chiffrées. L'application crée un identifiant de manière aléatoire, chiffré et - autre garantie de sécurité - stocké sur le téléphone. C'est seulement quand une personne a été testée positive et entre sur l'application que l'autorité de santé lui demande de lui adresser l'historique de ses contacts. En tout cas, c'est ainsi qu'a procédé le ministère de la santé à Singapour.

En France, l'autorité de santé désignée ferait le lien entre l'identifiant, qui n'est pas nominatif, et le numéro de téléphone, qui n'est pas associé à une personne. Ensuite, quel serait son rôle ? Apprécierait-elle la réalité de l'interaction entre les individus, ce qui supposerait bel et bien une infrastructure extrêmement importante, ou se contenterait-elle d'émettre une information ? Je ne suis pas en mesure de répondre à cette question.

M. Le Grand reviendra plus précisément sur les mérites comparés du Bluetooth et de la géolocalisation. Cette dernière technique permet de retracer beaucoup plus précisément le parcours des uns et des autres. Dans certains pays, les titulaires de l'application peuvent être informés que, dans tel immeuble ou dans tel centre commercial, se trouve une personne infectée. Mais ce n'est pas ce qu'envisage la France.

Je sais combien le Sénat est attaché à la souveraineté. J'ai d'ailleurs été auditionnée il y a quelque temps par la commission d'enquête sénatoriale consacrée à la souveraineté numérique. La CNIL est très engagée en matière de cybersécurité ; le RGPD lui donne, à ce titre, des compétences qui ne sont pas suffisamment connues. La CNIL reçoit les notifications de violation des données par les entreprises. Elle joue un rôle d'accompagnement et de contrôle fort, impliquant des analyses d'impact.

Pour ce qui concerne l'hébergement des données, différentes solutions peuvent être envisagées. Le RGPD prévoit le cas de transfert de données ; nous avons les moyens de nous assurer nous-mêmes de ce qui se passe concrètement, tant que c'est en France ou en Europe. Nous pouvons également contrôler physiquement la suppression des données sur un serveur central, soit en France, soit en Europe, avec l'aide de nos homologues. Ce qui compte, c'est que l'on maîtrise l'architecture technique d'un tel dispositif.

Vous avez évoqué les annonces récentes de Google et d'Apple. On peut y voir un point très positif : ces deux entreprises, disposant d'un quasi-monopole des ordiphones - iphones et smartphones sous Android -, se parlent et cherchent à faire dialoguer leurs téléphones respectifs dans l'hypothèse d'un suivi des personnes. Mais les pouvoirs publics doivent suivre ces questions de très près, en plaçant d'emblée la protection des données au premier rang des préoccupations. À ce stade, je me garderai bien de dire si ce qui est envisagé est conforme ou non au RGPD. Quelles seront les données collectées ? Quelles seront celles qui remonteront vers un serveur central, même pseudonymisées ?