Application concernant la Covid-19

Certains pays utilisent le suivi de localisation basé sur le réseau, éliminant le besoin de télécharger une application et la possibilité technique d'éviter le suivi. En Israël, le suivi basé sur le réseau a été approuvé^[2]. Les solutions basées sur le réseau ont accès aux données brutes de localisation et sont critiquées pour leurs atteintes à la vie privée^[3]. Cependant, tous les systèmes utilisant des serveurs centraux ne nécessitent pas l'accès aux données personnelles de localisation; un certain nombre de systèmes visant à préserver la vie privée n'utilisent des serveurs centraux que pour de la communication (voir la section ci-dessous).

En Corée du Sud, la recherche numérique des contacts ne s'appuie pas sur une application ni sur un système de suivi des contacts, mais sur la collecte a posteriori d'informations de différentes sources, notamment les données de suivi des appareils mobiles, les données de transaction par carte et les données de vidéosurveillance. Ces informations sont ensuite combinées pour générer des notifications via des SMS aux personnes potentiellement infectées^[4],[5],[6]. Par ailleurs, le gouvernement rend accessible au public les informations recueillies sur les déplacements des personnes testées positives, ce qui est autorisé depuis l'épidémie (en) à coronavirus MERS de 2015 dans le pays, qui a mené à des modifications profondes des lois sur la confidentialité en matière de santé publique. Ces informations sont accessibles via certaines d'applications et sites Web^[7].

Le traçage des contacts préservant la confidentialité est un concept bien établi, avec un corpus substantiel de documents de recherche datant d'au moins 2013 ^[8],[9],[10].

Au 7 avril 2020, plus d'une douzaine de groupes d'experts travaillent sur des solutions visant à respecter au maximum la vie privée, telles que l'utilisation de Bluetooth à basse consommation (BLE) pour enregistrer la proximité d'un utilisateur avec d'autres téléphones portables. Les utilisateurs reçoivent un message s'ils ont été en contact proche avec quelqu'un qui a été testé positif à la Covid-19^[11].

Un groupe de chercheurs européens, notamment du Fraunhofer Heinrich Hertz Institute et de l'École Polytechnique Fédérale de Lausanne (EPFL), qui sont sous l'égide du projet Pan-European Privacy-Preserving Proximity Tracing (en)(PEPP-PT) ^[12], développent une application sur le BLE conçue pour éviter une surveillance intrusive de l'État^{[13],[14],[15]}. Cependant, le PEPP-PT est un effort de coordination qui comporte à la fois des approches centralisées et décentralisées ^[16]. Le 17 avril 2020, l'EPFL et l'ETH Zurich se retirent du projet, critiquant le PEPP-PT pour son manque de transparence et d'ouverture, et pour ne pas respecter suffisamment la vie privée^[17]. Ensuite, le KU Leuven, le CISPA Helmholz Center for Information Security, le Laboratoire européen pour l'apprentissage et les systèmes intelligents et l'université technique du Danemark se retirent également du projet^{[18],[19],[20]}. Le 25 avril, le gouvernement allemand change de position et annonce partir pour une solution décentralisée ^[21],[22].

Les protocoles décentralisés comprennent le Decentralized Privacy-Preserving Proximity Tracing (DP-PPT / DP-3T), qu'on peut traduire par traçage de proximité décentralisé préservant la confidentialité^[23],[24], le protocole TCN (en) ("Temporary Contact Numbers") de la coalition mondiale TCN^[25],[26] et SafePaths du MIT Media Lab^[27],[28]. L'objectif de la décentralisation est de réduire la perte de confidentialité, en échangeant des clés anonymes qui ne contiennent pas d'informations identifiables^[29].

Le 9 avril 2020, le gouvernement singapourien a annoncé qu'il publie en open source une implémentation de référence du protocole BlueTrace utilisé par son application gouvernementale officielle^[30].

Le 10 avril 2020, Google et Apple, les sociétés qui contrôlent les systèmes d'exploitation mobiles dominant le marché Android et iOS, annoncent une initiative conjointe pour le suivi des contacts, dénommée d'abord Privacy-Preserving Contact Tracing Project^[31] (« Projet de traçage de contact préservant la vie privée ») puis Exposure Notification^[32],[33] (« Notification d'exposition »). Elles favorisent une approche décentralisée basée sur le traçage de proximité faisant recours à la technologie Bluetooth à basse consommation (BLE) et la cryptographie, citant des avantages en matière de confidentialité^{[34],[35],[36]}. Les deux entreprises déclarent préparer dans un premier temps une interface de programmation pour permettre de simplifier et rendre plus efficace la création d'applications de suivi des contacts. Elles publient également les spécifications des technologies de base utilisées dans le système^[37],[38]. Selon Apple et Google, le système devrait être déployé en trois étapes^[39],[40] :

• spécification et publication de l'interface de programmation ;
• déploiement d'outils pour permettre aux gouvernements de créer des applications officielles de recherche des contacts préservant la confidentialité ;
• intégration de cette fonctionnalité directement dans iOS et Android.

L'Union américaine pour les libertés civiles déclare que l'approche de Google et d'Apple « semble atténuer les pires risques de confidentialité et de centralisation, mais qu'il y a encore place à amélioration » ^[41].

La volonté de certains gouvernements, notamment de la Grande-Bretagne, de France et d'Allemagne, de créer un système centralisé se heurte à l'opposition de Google et Apple. Apple refuse l'accès des applications centralisées à la technologie bluetooth en tâche de fond, ce qui les empêche de fonctionner quand elles ne sont pas actives^[42],[43]. Certains gouvernements décideront ensuite de changer d'approche pour créer des applications décentralisées, leur permettant d'utiliser les outils Google-Apple^[44],[43].

Le 4 mai 2020, citant le respect de la vie privée comme une priorité, Google et Apple décident de bloquer l'accès à leur outil aux applications utilisant le GPS. Certaines autorités publiques y faisant recours en conjonction avec le bluetooth affirment pouvoir néanmoins fournir des applications fonctionnelles en se passant de l'outil^[45],[46].

Le 21 mai 2020, Google et Apple mettent à disposition des autorités sanitaires leur outil intégré directement dans leurs systèmes d'exploitation mobiles^[47].

Répondant aux préoccupations concernant la propagation des applications « coronavirus » trompeuses ou nuisibles, Apple a fixé des limites quant aux types d'organisations pouvant ajouter des applications liées aux coronavirus à son magasin d'applications App Store, en les limitant aux seules organisations « officielles » ou autrement réputées^[48]. Google^[49] et Amazon ont mis en place des restrictions similaires.

Ross Anderson (en), professeur d'ingénierie de la sécurité à l'Université de Cambridge, énumère un certain nombre de problèmes pratiques potentiels induit par l'utilisation de logiciels, entre autres des faux positifs et le manque d'efficacité si l'application n'est utilisée que par une petite fraction de la population^[50]. La modélisation par des chercheurs de l'Université d'Oxford a estimé que 80% de tous les utilisateurs de smartphones dans une ville d'un million de personnes devraient utiliser un système de suivi pour arrêter l'épidémie^[51]. À Singapour, une personne sur six seulement avait téléchargé l'application TraceTogether en avril 2020; l'application a également été sous-utilisée car elle ne fonctionnait que si les utilisateurs la gardaient ouverte à tout moment^[52].

L'interface de programmation proposée par Google et Apple vise à réduire les problèmes de développement en incorporant le mécanisme de suivi des contacts aux systèmes d'exploitation de leurs appareils, diffusé par les mises à jour logicielles standard. Elle permettra notamment de faire fonctionner en arrière-plan le suivi de contacts par BLE. Dans une deuxième phase, le système d'exploitation serait en mesure de suivre l'exposition sans avoir à télécharger une application Covid-19 dédiée^[53],[54].

Des militants de la protection de la vie privée expriment leur inquiétude concernant les implications de la surveillance de la population à l'aide des applications de coronavirus, en particulier au sujet du démantèlement de l'infrastructure de surveillance créée pour faire face à la pandémie de coronavirus une fois la menace passée. Amnesty International et plus de 100 autres organisations ont publié une déclaration appelant à des limites à ce type de surveillance. Les organisations posent huit conditions aux projets gouvernementaux :

1. Les mesures de surveillance adoptées pour faire face à la pandémie doivent être légales, nécessaires et proportionnées.
2. Si les gouvernements étendent leurs pouvoirs de suivi et de surveillance, alors ces pouvoirs doivent être limités dans le temps et ne doivent pas se prolonger au-delà de la durée nécessaire pour lutter contre la Covid-19.
3. Les États doivent veiller à ce que la collecte, la rétention et l’agrégation des données personnelles, notamment des données relatives à la santé, servent uniquement les objectifs de lutte contre la Covid-19.
4. Les gouvernements doivent faire tout leur possible pour protéger les données des particuliers, en garantissant un niveau de sécurité suffisant pour toutes les données personnelles collectées et tous les appareils, applications, réseaux ou services qui participent à la collecte, à la transmission, au traitement et au stockage de ces données.
5. Le recours aux technologies de surveillance numérique pour faire face à la Covid-19, notamment aux systèmes de big data et d’intelligence artificielle, ne doit pas éluder le risque que ces outils facilitent la discrimination et d’autres atteintes aux droits humains à l’égard des minorités ethniques, des personnes vivant dans la pauvreté et d’autres populations marginalisées, dont les besoins et les réalités vécues peuvent être occultés ou dénaturés dans de grands ensembles de données.
6. Si les gouvernements concluent des accords de partage des données avec des organismes du secteur public ou privé, ces accords doivent se fonder sur la loi et leur existence ainsi que les informations nécessaires à l’évaluation de leur impact sur la vie privée et les droits humains doivent être rendus publics – par écrit, en précisant une clause d’extinction, une supervision publique et d’autres garanties par défaut.
7. Toutes les mesures doivent intégrer des protections et des garanties de responsabilisation contre les atteintes aux droits humains.
8. Les mesures prises en lien avec la Covid-19 qui englobent des activités de collecte de données doivent permettre la participation libre, active et significative des parties prenantes, en particulier d’experts du secteur de la santé publique et des groupes de population les plus marginalisés^[55].

De même en Allemagne, le Chaos Computer Club (CCC) ^[56] et Reporters sans frontières (RSF) ^[57] publient des listes de conditions.

Le 20 avril 2020, plus de 300 universitaires signent une déclaration en faveur des applications de traçage de proximité décentralisées par rapport aux modèles centralisés, étant donné la difficulté d'empêcher leur utilisation « pour permettre une discrimination et une surveillance injustifiées »^[58],[59].

Le 25 avril 2020, une tribune coécrite par le sociologue Antonio Casilli, le mathématicien expert en protection des données Paul-Olivier Dehaye et l'avocat Jean-Baptiste Soufron est publiée dans le journal Le Monde. Elle porte sur les risques et les enjeux de l'application française de recherche de contact StopCovid, que le gouvernement français souhaite développer et dans laquelle les auteurs dénoncent le manque de garantie des finalités exactes de la collecte et du traitement des données recueillies^[60].

La solution proposée par Google et Apple propose de supprimer le mécanisme de suivi de leurs systèmes d'exploitation une fois qu'il ne sera plus nécessaire^[61].

Certaines de ces applications présenteraient des problèmes de sécurité^[62]. En mai 2020, l’entreprise privée Pradeo, spécialisée dans le domaine de la cybersécurité, annonce que toutes les applications de suivi de la Covid-19 présentent des failles de sécurité^[63]. Leur étude arrive à la conclusion que « 3 de ces applications [celles du gouvernement turc (Korona Önlem), du King’s College de Londres (COVID Symptom Study, développée par Zoe Global Limited) et l’application américaine How We Feel^[64]] sont clairement problématiques […] plus de la moitié des applications portent atteinte à la vie privée [et] toutes les applis présentent des failles de sécurité plus ou moins critiques^[65] ». Pradeo a ensuite conduit une analyse de sécurité de l’application StopCovid, l’application gouvernementale française, qui place finalement celle-ci ex-aequo avec l’application allemande Corona-Datenspende comme meilleures applications nationales du point de vue de la sécurité^[66]. La société YesWeHack a par ailleurs mené un test de piratage sur l’application française, invitant des « hackers éthiques » à trouver des failles contre des primes aux bogues pouvant atteindre 2 000 euros^[67].

L’entreprise Guardsquare, elle aussi spécialisée dans la protection des applications pour téléphones intelligents, arrive à une conclusion similaire : la plupart des applications gouvernementales de traçage pour la Covid-19 ne sont pas sécuritaires et sont à risque de compromettre les données des utilisateurs^[68]. L’étude conclut que la majorité de ces applications n’étaient pas protégées adéquatement contre l’exploitation malveillante et la rétro-ingénierie et très peu avaient renforcé suffisamment leur sécurité^[69].

Amnesty International expose au même moment une faille majeure dans l’application de traçage du Qatar, Ehteraz, rendue obligatoire le 22 mai 2020 (les citoyens ne l’utilisant pas faisaient face à une peine de prison et une amende). La faille donnait accès aux données personnelles (nom, numéro de carte d’identité, localisation et statut médical) de plus d’un million d’usagers. La faille a toutefois été corrigée par les autorités qatariennes le lendemain de son signalement par Amnesty International^[70].

Certaines applications, comme celle du Canada, fonctionnent grâce à la technologie Bluetooth, ce qui permet notamment de stocker les données de localisation sur les appareils mobiles seulement, plutôt que dans des serveurs externes, ce qui diminuerait les risques de faille de confidentialité^[71]. Certaines applications, notamment coEpi (États-Unis), SwissCovid (Suisse), Alerte COVID (Québec), Corona-Warn-App (Allemagne) et TraceTogether (Singapour), ont par ailleurs été développées avec un logiciel libre (open source), ce qui permet à la communauté internationale de consulter leur fonctionnement et de les rendre plus sécuritaires.

La prépondérance d'applications nationales fait courir un risque d'absence d'interopérabilité. Pour prévenir ce risque, la Commission européenne engage les pays de l'Union européenne qui développent des applications d'aide à la recherche des contacts à ce que celle-ci soient interopérables^[72].

Cette section est vide, insuffisamment détaillée ou incomplète. Votre aide est la bienvenue pour Mettre à jour, ajouter des applications (voir tableau) !

Canada

Alerte COVID, l'application de notification d'exposition du Canada, a été lancée à la fin juillet, d'abord en Ontario. Les craintes du Québec concernant la cybersécurité ont retardé son lancement qui était prévu le 1^er juillet^[73],[74]. En date du 23 septembre, elle aurait été téléchargée 2,3 millions de fois, ce qui représente 6,6% de la population canadienne^[75]. Le 29 septembre, le Québec a annoncé qu'il autoriserait le déploiement de l'application dans la province^[76] . Le 5 octobre, le premier ministre François Legault a demandé à tous les Québécois de télécharger l'application^[77].

Chine

Le gouvernement chinois, en collaboration avec Alipay, a déployé une application qui permet aux citoyens de vérifier s'ils ont été en contact avec des personnes atteintes de la Covid-19. Il est utilisé dans plus de 200 villes chinoises^[78].

Colombie

Le gouvernement a créé CoronApp, disponible sur Android, iOS et Huawei (AppGallery). Téléchargée par plus de 1,2 million d'utilisateurs, l'application ne consomme pas de données et aide à détecter les zones touchées et les personnes à proximité avec un diagnostic positif à la Covid-19. CoronApp facilite la surveillance en temps réel des données collectées au Centre des opérations d'urgence de l'Instituto Nacional de Salud (Institut national de la santé, INS). Elle intègre des technologies telles que celles développées par les gouvernements de Singapour et de la Corée du Sud, ainsi qu'Apple^[79]. La confidentialité, la principale préoccupation de ces applications d'organisations du monde entier, n'a pas été l'exception pour la Colombie: la Fundación Karisma souligne certaines vulnérabilités de CoronApp^[80]. Pour encourager l'utilisation de l'application, le gouvernement colombien financera 1 gigaoctet par mois et 100 minutes pour les utilisateurs de lignes prépayées qui l'installent^[81].

France

Le 2 juin, le gouvernement a lancé l'application StopCovid.

Ghana

Le gouvernement a lancé « GH Covid-19 Tracker App », une application Android et iOS équipée d'une technologie de suivi de localisation pour fournir des informations détaillées sur les personnes qui ont participé au même événement, lieu, pays ou d'autres lieux afin de fournir aux autorités de santé des informations précises pour savoir qui contrôler et à qui fournir de l'aide. L'application a été développée par le ministère de la Communication et de la Technologie et le ministère de la Santé^[82]. À la date du 14 avril 2020, l'application attendait l'approbation du Google Play Store et de l'App Store d'Apple^[83].

Israël

Le ministère de la Santé lance l'application d'aide à la recherche des contacts Hamagen pour iOS et Android, le 22 mars 2020^[84]. Hamagen suit la localisation d'un utilisateur à l'aide d'une interface de programmation (API) de localisation standard, puis les compare aux mouvements connus des personnes diagnostiquées avec la Covid-19, afin de vérifier si des chemins se sont croisés au cours des 14 derniers jours. L'application a été conçue pour privilégier la confidentialité, car les données de géolocalisation générées sont gardées sur l'appareil de l'utilisateur et ne sont pas transmises à un serveur, sauf si l'utilisateur le décide^[85].

Macédoine du Nord

Avec StopKorona! lancé le 13 avril 2020, le pays est le premier des Balkans occidentaux à lancer une application de traçage Covid-19. L'application basée sur le Bluetooth retrace l'exposition des personnes potentiellement infectées et aide les autorités sanitaires à fournir une réponse rapide. L'application a été développée et donnée par Nextsense, une société de logiciels basée à Skopje. En ce qui concerne les lois sur la protection des données, l'application n'utilise pas les emplacements des utilisateurs ni les informations personnelles. Les numéros mobiles des utilisateurs sont les seules données liées à l'utilisateur, stockées sur des serveurs gérés par le ministère de la Santé^{[86],[87],[88]}.

Norvège

L'application Smittestopp développée par le gouvernement norvégien utilise le Bluetooth et le GPS^[89].

République tchèque

Le gouvernement propose une application de traçage inspirée de celle de Singapour appelée eRouška (eMasque). L'application est développée par la communauté informatique locale, publiée en open source et sera remise au gouvernement^[90].

Singapour

L'application TraceTogether est lancée à la mi-mars 2020^[91]. Elle repose sur un protocole de traçage de proximité développé pour l'occasion, BlueTrace (en), avec une implémentation de référence open source, OpenTrace^[92],[93].

Slovénie

ZVem est une plateforme administrative en ligne de santé publique développée par l'Institut national de la santé publique et le ministère de la santé en République de Slovénie. Les citoyens peuvent accéder à cette plateforme web et à l'application mobile associée via SI-PASS, un logiciel d'autorisation sécurisé développé spécialement pour les plateformes publiques. Les utilisateurs du service peuvent ainsi prendre un rendez-vous chez un médecin en quelques clics, consulter leurs ordonnances et leurs e-documents ou encore accéder à leurs informations relatives à leur assurance maladie. Par exemple, durant la pandémie de Covid-19, les e-documents servaient à présenter les certificats de vaccination contre le Covid-19^[94].

Turquie

Hayat Eve Sigar (HES) est une application développée durant l’épidémie de Covid-19 dans le but de limiter la propagation du virus. Elle permet notamment d’informer l’état « positif » d’une personne infectée à son entourage afin de prendre les précautions nécessaires. L’application permet aussi d’autoriser l’entrée d’une personne dans un espace clos en vérifiant ses codes HES témoignant son état « négatif ». Il est de plus possible de consulter le nombre de cas contacts, de contrôler l'état de santé de son environnement proche (mère, père, frère ou sœur) mais aussi de classifier sous plusieurs états dont celui de « malade » une personne afin de la maintenir 14 jours en quarantaine.

L'administration fédérale lance un test de l'application SwissCovid sur Android et iOS le 25 mai 2020, ouvert aux membres des administrations publiques, des hôpitaux et de l'armée^[95]. L'application est basée sur le traçage de proximité à l'aide du bluetooth à basse consommation en suivant le protocole Decentralized Privacy-Preserving Proximity Tracing (DP-3T) développé en bonne partie par des chercheurs des écoles polytechniques fédérales de Lausanne et Zurich au sein d'un groupe international. Le code source de l'application est publié le 28 mai 2020^[96], et son architecture de données est décentralisée, les données sur les contacts étant enregistrées sur les téléphones mobiles des utilisateurs et ne transitant pas par un serveur central^[97]. L'application est réalisée par le développeur Ubique qui a déjà réalisé plusieurs applications pour le secteur public suisse^[98], et se revendique être la première au monde basée sur les systèmes de Google et Apple, qui sont par ailleurs en partie inspirés de l'approche décentralisée du protocole DP-3T^{[99],[100],[101]}.

L'Irlande annonce une application fin mars^[102].

En Allemagne, le gouvernement fédéral, qui veut une application de suivi des contacts, suit d'abord le projet PEPP-PT, qui développe un traçage de proximité recueillant les données sur un serveur centralisé. Il change ensuite d'orientation et se décide en faveur d'une approche décentralisée^[103], et demande aux entreprises allemandes SAP et T-Systems de mener le projet, qui est réalisé en open source et qui utilisera l'interface de programmation de Google / Apple^[104].

L'Australie et la Nouvelle-Zélande envisagent des applications basées sur l'application TraceTogether de Singapour et le protocole BlueTrace (en)^[105].

L'Autriche a annoncé une application nationale basée sur le protocole Decentralized Privacy-Preserving Proximity Tracing^[106].

Au Maroc, le Gouvernement annonce début mai qu'il va développer une application basée sur TraceTogether^[107].

Au Royaume-Uni, Matthew Gould, directeur général du NHSX, l'organisme gouvernemental responsable de la politique technologique pour le NHS, déclare fin mars 2020 que l'organisation envisage sérieusement une application qui alerterait les gens s'ils avaient récemment été en contact avec une personne testée positive au virus après que des scientifiques aient suggéré au gouvernement que cela « pourrait jouer un rôle critique » pour réduire le confinement^[108]. Le 12 avril, le gouvernement a déclaré que l'application de recherche des contacts était à un stade avancé de développement et serait disponible pour un déploiement dans quelques semaines^[109].

En Russie, la ville de Moscou a l'intention de déployer une application de géolocalisation pour s'assurer que les patients diagnostiqués à la Covid-19 ne quittent pas leur domicile^[110].

L'implication de Palantir dans l'application européenne^{[Laquelle ?]} de traçage des contacts des personnes infectées par le coronavirus est critiquée^[192].

Traçage des données mobiles dans la lutte contre le Covid-19 - Analyse des potentiels et des limites - Référencement des méthodes et des exemples étrangers [à la France] - Note parlementaire - Mounir Mahjoubi - 44 pp. (6 avril 2020) [PDF]

• (en) Cet article est partiellement ou en totalité issu de l’article de Wikipédia en anglais intitulé « COVID-19 apps » (voir la liste des auteurs).