Intervention de Jérôme Durain

Monsieur le secrétaire d’État, le groupe socialiste a suivi avec intérêt vos prises de parole, que ce soit au Parlement, dans la presse ou à travers les différents documents transmis aux parlementaires. Nous vous en remercions et nous pouvons d’ores et déjà noter que le débat sur cette question sensible se déroule, du moins dans cette assemblée, dans un climat plutôt apaisé.

Depuis le début de l’épidémie de Covid-19, nous avons eu de nombreux débats moins sereins. Aussi, je tâcherai, pour éviter ces écueils, de ne pas exprimer de position trop dogmatique concernant le destin de l’application StopCovid que vous êtes chargé de nous vanter.

La solution que vous nous proposez poursuit des objectifs utiles, et il faudrait être de mauvaise foi pour affirmer que rien n’est fait pour résoudre les différentes problématiques auxquelles elle est confrontée. J’aborderai toutefois plusieurs des dilemmes qui se sont présentés à vous, car vous avez fait des choix techniques discutables qui ne peuvent pas tous être balayés d’un revers de la main.

Fallait-il, par exemple, opter pour une architecture centralisée ou pour des données décentralisées sur les téléphones des utilisateurs ? Je ne suis pas spécialiste de sécurité informatique, mais on peut comprendre que ces deux solutions ont des arguments en leur faveur.

Vous avez retenu une ossature centralisée, suffisamment sécurisée d’après vous. Nous pouvons l’entendre, même s’il subsiste des doutes sérieux sur l’inviolabilité du fichier centralisé. Par ailleurs, la solution décentralisée permet souvent de créer plus de confiance chez les utilisateurs.

Le choix de cette solution vous a fait perdre la participation – loin d’être anecdotique –, de nos voisins allemands – ce n’est pas à vous que j’apprendrai leur exigence en matière de protection des données. Si le protocole Robert était un embryon de coopération européenne, nous regrettons vivement que la France se retrouve de facto isolée, parce qu’elle a retenu une solution peu populaire chez ses voisins. Cela a des implications pour nos compatriotes qui souhaiteraient utiliser le dispositif lors de déplacements à l’étranger.

Deuxième exemple : fallait-il choisir le GPS ou le Bluetooth ? Le choix du Bluetooth peut se justifier, du point de vue notamment de la géolocalisation des personnes, mais tous ceux qui utilisent du matériel Bluetooth, par exemple dans leur voiture, savent à quel point la mise en route de cette technologie peut être aléatoire et faillible.

Concernant la sécurité des données centralisées, je veux bien entendre que d’autres fichiers seraient moins bien protégés, mais je ne sais pas si cela suffit à me rassurer. Je tiens toutefois à saluer la démarche, que vous avez engagée, de soumettre votre solution à Bug Bounty, via l’Anssi.

Revenons sur la question centrale des libertés fondamentales. Nous sommes peut-être à un tournant de la société : avec la vidéo surveillance, les écoutes téléphoniques et le tracking, notre monde est aujourd’hui fondé sur une méfiance généralisée entre les individus. Nous avons aujourd’hui le sentiment d’aller encore plus loin, si ce n’est trop loin : une application dont on ne sait pas si elle sera utile, des drones qui volent sans y être autorisés, des attestations de sortie…

Je connais le contexte sanitaire, mes chers collègues, mais il faut savoir dire stop, et je crains que, avec les collègues de mon groupe, nous ne soyons obligés de dire stop à StopCovid.

Certes, l’avis rendu par la CNIL n’a pas été aussi tranché que certains opposants à votre projet l’attendaient. Vous l’utilisez habilement dans vos démonstrations.

Pour autant, la CNIL ne vous donne pas de blanc-seing. Elle note que l’application utilisera un service de captcha qui permet de vérifier, lors de l’installation, que l’application est utilisée par un être humain, et que ce service sera dans un premier temps fourni par « un service tiers », susceptible « d’entraîner la collecte de données personnelles non prévues dans le décret » ou « des transferts de données hors de l’Union européenne ».

La CNIL recommande donc des développements ultérieurs de l’application qui permettent rapidement l’utilisation d’une technologie alternative. En effet, il a été découvert, dans le code source que vous avez continué de rendre public, que c’est bien Google qui fournit l’outil captcha. Je reviendrai sur l’avis de la CNIL.

Je souhaiterais maintenant évoquer quelques éléments de comparaison internationale.

Je comprends que les choix du Gouvernement soient différents de ceux de la Corée du Sud, par exemple. Toutefois, je veux revenir sur la situation de ce pays, car il nous instruit sur l’utilisation imprévue que l’on peut faire des applications. J’imagine que personne n’avait envisagé en Corée du Sud qu’une personne soit scrutée à l’aune de l’orientation sexuelle des individus qu’elle fréquente. Nous ne pouvons pas savoir si certaines personnes voudront faire fuiter telle ou telle concentration de contacts Bluetooth dans quelques mois.

Autre exemple asiatique : à Singapour, pays pourtant discipliné, seuls 20 % des habitants ont téléchargé l’application. Je citerai aussi un exemple européen, l’Autriche, pays de 8, 8 millions d’habitants, où une application a été développée, mais n’a été téléchargée que 500 000 fois. Les Autrichiens nous disent que cet outil ne sert finalement à rien et qu’ils se débrouillent très bien avec leurs brigades humaines.