Intervention de Marie-Laure Denis

Monsieur Leconte, si cette application est fondée sur le Bluetooth, il ne s'agit pas de géolocalisation. Certains pays proposent un « mix » entre différentes technologies ; mais, en France, ce n'est pas du tout ce que les annonces esquissent.

La CNIL a bien l'expérience de traitements de données de ce type : ainsi, pour la gestion de files d'attente dans les aéroports ou de panneaux publicitaires - il s'agit, dans le second cas, de mesurer l'audience sans pour autant identifier les personnes qui sont passées devant ces panneaux. Le traitement des données échangées par Bluetooth ne nous est donc pas inconnu.

Ce n'est pas la CNIL qui décide de la mise en oeuvre de ce dispositif. En tant que gardienne numérique indépendante de la vie privée des Français, elle est là pour s'assurer que la protection des données personnelles est garantie de la meilleure manière possible.

Madame Benbassa, l'agrégation des données peut être telle que ces dernières finissent par être anonymisées - ainsi du service « Flux Vision » proposé par Orange ou par SFR, qui a pour objet de cartographier l'épidémie en vue d'une réponse sanitaire.

Lorsque l'application serait téléchargée, un pseudonyme serait créé. En outre, la ré-identification de la personne ne serait pas possible - c'est un point essentiel. L'application conçue à Singapour ne permet pas à celui qui effectue la mise en relation de savoir à qui appartient le numéro de téléphone.

Monsieur Collombat, le débat sur le concept même de traçage et sur sa mise en oeuvre témoigne de la vigueur de l'attachement des Français pour les libertés ; il n'en est pas forcément de même dans tous les pays.

Les autorités compétentes se coordonnent, chacune étant dans son rôle. Nous avons ainsi un partenariat de longue date avec l'Inria, qui coordonne les initiatives dans ce domaine en liaison avec nos partenaires européens, notamment suisses et allemands. Notre seul prisme, c'est de privilégier les solutions les plus protectrices de la vie privée. Nous sommes également en liaison avec le secrétariat d'État au numérique. Bien sûr, le Parlement a lui aussi un grand rôle à jouer.

Si cette application voit le jour, toutes les autorités concernées devront être associées au travail de contrôle, à commencer par la CNIL : c'est sa mission même. Je pense aussi à l'Agence nationale de la sécurité des systèmes d'information (Anssi) et je n'oublie pas le contrôle parlementaire. En la matière, la coordination devra être particulièrement forte.

Madame Mercier, cette application doit effectivement rester temporaire. C'est précisément pourquoi elle doit pouvoir être désinstallée. Le consentement en dépend également. Des dispositifs exceptionnels, mis en oeuvre dans des circonstances exceptionnelles, ne sauraient perdurer. Or, par le passé, on a bel et bien observé une tendance à prolonger les mesures d'urgence, voire à les introduire dans le droit commun : il faut être extrêmement vigilant et éviter la banalisation de ces technologies aux yeux de leurs utilisateurs. Une application de ce type doit être limitée au temps strictement nécessaire pour juguler la crise. La CNIL a l'habitude de s'assurer que des données ont été effectivement supprimées au moment où elles doivent l'être, en particulier par des contrôles effectués sur les fichiers in situ.