Intervention de Jean Bizet

Monsieur le Contrôleur, merci d'avoir accepté cette audition par visioconférence avec la commission des affaires européennes du Sénat français.

Vous êtes chargé de veiller dans l'Union européenne au respect du droit des citoyens à la protection de leur vie privée lors du traitement de données à caractère personnel. Vous avez donc un rôle éminent à jouer dans les circonstances actuelles, puisque la levée du confinement imposé par la pandémie de Covid-19 devrait s'accompagner d'un suivi de la population par le biais d'applications numériques susceptibles de traiter des données personnelles relatives à l'état de santé, aux relations ou aux déplacements de chacun.

La Commission européenne a publié, le 16 avril, une « boîte à outils » qui recommande notamment l'installation d'applications nationales de traçage sur une base volontaire. Ce volontariat est à distinguer du consentement, dont la mise en oeuvre dans les conditions prévues par le règlement européen général sur la protection des données (RGPD) peut être difficile. Nous souhaiterions que vous nous éclairiez sur cette distinction entre volontariat et consentement.

Dans la foulée de la Commission, le Comité européen de la protection des données (CEPD) a publié, le 21 avril dernier, des lignes directrices sur l'utilisation de la géolocalisation et des outils de traçage des contacts dans le contexte de l'épidémie de Covid-19. Le Comité préconise que l'usage de ces outils, qui doivent être intégrés dans une stratégie sanitaire globale, soit strictement limité à ce qui est nécessaire et proportionnel. Il recommande de publier les codes sources des applications et de préférer le tracing au tracking, ce dernier impliquant la géolocalisation, et insiste sur la nécessité d'anonymiser les données de géolocalisation utilisées pour modéliser la diffusion de l'épidémie et évaluer l'efficacité des mesures de confinement.

Des applications sont déjà mises en oeuvre dans les premiers pays qui sortent du confinement : Norvège, République tchèque, Italie. Elles ne respectent pas toutes vos préconisations, la Norvège ayant par exemple recours à la géolocalisation. Vous ont-elles été soumises pour consultation avant leur mise en oeuvre ? Le comité que vous présidez avait plaidé pour qu'une étude d'impact concernant la protection des données soit menée avant de mettre en oeuvre ces applications : cela a-t-il été fait chaque fois ?

Ces initiatives nationales semblent désordonnées et soulèvent la question de l'interopérabilité de ces diverses applications. Croyez-vous possible qu'émerge une solution européenne ? Au moins sept pays européens, dont la France, soutiennent l'initiative Pan-European Privacy-Preserving Proximity Tracing (PEPP-PT) ; mais l'Espagne et la Suisse soutiennent désormais un autre projet, Decentralized Privacy-Preserving Proximity Tracing (DP-3T), qui privilégie le stockage décentralisé des données... L'architecture centralisée de stockage des données privilégiée par PEPP-PT vous semble-t-elle effectivement de nature à permettre une collecte excessive d'informations sensibles sur la population ?

Je vous laisse d'abord la parole pour répondre à ces premières questions. Mes collègues vous en poseront certainement d'autres ensuite.