L’Union européenne et de nombreux États membres ont progressé vers la mise en place d’applications de localisation dans le cadre de la stratégie de sortie du Covid-19, mais l'efficacité des mesures peut être entravée par une approche fragmentée et non coordonnée.
À ce stade de la pandémie, il est clair que l'un des principaux problèmes auxquels nous avons été confrontés a été le débordement des systèmes de santé. C'est pour cela qu'en attendant des traitements efficaces ou un vaccin contre le virus, la technologie reste le meilleur outil dont nous disposons pour permettre aux sociétés de revenir progressivement à une – relative – normalité économique et sociale, tout en continuant à travailler à la prévention de nouvelles infections par le Covid-19.
Nous pensons en particulier aux applications mobiles de localisation, qui sont déjà utilisées dans certains pays asiatiques et seront bientôt disponibles en Europe.
À cet égard, de sérieuses préoccupations ont été soulevées, par exemple en ce qui concerne les limites de la vie privée ou les méthodes d’exécution (centralisée ou décentralisée) de ces technologies. Ce n'est pas une question mineure : ces critères détermineront si les applications sont efficaces pour surmonter la crise ou si elles constituent un échec collectif.
De nombreuses décisions doivent être prises, mais, à ce stade, le dilemme auquel la plupart des gouvernements européens sont confrontés est de savoir s'il faut utiliser le modèle centralisé (PEPP-PT) ou décentralisé (DP3T).
Le succès ou l'échec de cette technologie de géolocalisation du virus dépendra dans une large mesure de la capacité des gouvernements et des autorités publiques à transmettre de la confiance à leurs citoyens. Il est clair que, dans la course pour développer des applications de traçage mobile, les deux modèles doivent non seulement être pleinement conformes au règlement général sur la protection des données (RGPD), mais ils doivent aussi aller au-delà, si nous voulons avoir une solution digne de confiance.
Les applications de localisation devraient également être interopérables avec d'autres applications nationales, permettant la mobilité des citoyens entre États et, ainsi, fournissant une injection d'oxygène dans l'industrie languissante du tourisme. Les données doivent être utilisées sur une base strictement temporaire pendant la durée de la pandémie. Elles doivent par ailleurs s'appuyer sur des technologies les moins intrusives possible afin de gagner le soutien du public. Par exemple, en matière de traçabilité, un cryptage de bout en bout entre les dispositifs avec Bluetooth serait préférable à une surveillance permanente par géolocalisation.
Le modèle centralisé ou PEPP-PT (Pan-European Privacy-Preserving Proximity Tracing) est un projet paneuropéen auquel ont adhéré des pays comme l'Espagne, l'Italie et la France. Avec les informations actuellement disponibles, les codes cryptés que nos téléphones mobiles échangent sont stockés sur un serveur central géré par les autorités sanitaires (nationales ou régionales, selon les cas).
Le système décentralisé ou DP3T (Decentralized Privacy-Preserving Proximity Tracing) est un protocole conçu par des universités et des centres de recherche de différents pays, auquel l'Allemagne et les Pays-Bas, entre autres, ont adhéré. Il est décentralisé, car, tout au long de la journée, chaque téléphone stocke les codes cryptés échangés avec les autres téléphones qui ont la même application. Si, et seulement si, un utilisateur inscrit dans l'application a été testé positif au Covid-19, une alerte est envoyée par un serveur central à ceux qui ont pu se retrouver à proximité de ce cas confirmé.
Les défenseurs du premier modèle estiment qu'il apporte une plus grande sécurité contre les cyberattaques : les données sont conservées dans une base de données gouvernementale, et non dans l'appareil téléphonique, et les autorités sanitaires peuvent s'appuyer sur des informations pertinentes pour définir leur stratégie épidémiologique. Les défenseurs du second modèle affirment que l'approche décentralisée offre aux utilisateurs un degré de confidentialité plus élevé, les protégeant des pirates informatiques ou de l'État lui-même révélant leurs contacts sociaux.
Dans ce contexte, Google et Apple travaillent sur l'élaboration d'un protocole commun qui permettra aux autorités sanitaires de chaque pays de développer des applications compatibles entre les systèmes d'exploitation respectifs (Android et iOS). Pour l'instant, tout indique que ce protocole suivra la voie du modèle décentralisé, mais il n'est pas encore clair s'il sera compatible avec le modèle centralisé. Or, c'est un élément critique pour le fonctionnement conjoint de chaque modèle utilisé au niveau européen.
Chaque option a ses avantages et ses inconvénients, qui sont tous légitimes et défendables. Mais une seule nous permettra de regagner la liberté de circulation nécessaire : celle qui garantira l'interopérabilité tout en protégeant la vie privée des utilisateurs.
Sinon, nous pourrions trouver des situations dans lesquelles un téléphone espagnol équipé de l'application pourrait échanger des données pour détecter des cas de Covid-19 avec un dispositif français, mais pas avec des appareils danois ou néerlandais. L'interopérabilité des applications est une garantie sanitaire de base et la version technologique d'une Europe sans frontières. Sans elle, nous sommes condamnés à un démantèlement pratique de l'espace Schengen et à un retour aux frontières.
Il est donc impératif de réclamer un effort collectif de coordination européenne et d'insister sur la détermination de l'Union européenne. La crise nous apprend que, lorsque nous en avons le plus besoin, l'Europe n'a pas d'autre choix que de dépendre technologiquement des entreprises américaines et qu’elle n'a pas la capacité suffisante pour déployer rapidement et efficacement ses propres applications de traçabilité.
L'avenir de l'Europe passe donc par un plan d'investissement ambitieux et un engagement en faveur de l'innovation technologique. Il repose sur la promotion active de la technologie des grandes entreprises européennes en matière de 5G, d'intelligence artificielle ou de Big Data. Une action urgente est nécessaire et le temps d'agir est maintenant, sans délai. L'Europe ne peut pas se permettre de perdre cette occasion.
Adrián Vázquez Lázara,
Président de la commission des affaires juridiques du Parlement européen.