Prudence avec les applications de traçage, avertit le CICR

Ce lundi, le Conseil national doit approuver le projet de loi autorisant le lancement officiel de l’application de traçage des contacts SwissCovid. D’ici quelques jours, l’app sera ainsi disponible pour des millions de Suisses, qui pourront, comme les Français, les Singapouriens, les Autrichiens ou encore les Islandais, utiliser un tel programme. Alors qu’un vif débat sur l’utilité de ce type d’app, mais aussi sa sécurité, demeure, un nouvel acteur prend la parole: le Comité international de la Croix-Rouge. La semaine passée, le CICR organisait une conférence en ligne à ce sujet, quelques jours après avoir lancé un appel à la «vigilance numérique».

Si l’organisation focalise ses recommandations sur les crises humanitaires, elles correspondent totalement à ce qui a été fait jusqu’à présent en Suisse. Selon le CICR, «le risque que les données récoltées pour le traçage des contacts soient utilisées à d’autres fins – ou reliées à d’autres données pour identifier et éventuellement profiler davantage les personnes – est une préoccupation centrale», comme l’écrivaient mi-mai deux responsables du Mouvement international de la Croix-Rouge et du Croissant-Rouge, Balthasar Staehelin et Cécile Aptel. Selon ces experts en données, «cette dérive pourrait conduire à une surveillance intrusive ou à une utilisation commerciale non sollicitée». Avec des conséquences dramatiques notamment dans des contextes de conflit armé, de violence ou de catastrophe.

Lire aussi: Application de traçage: le débat passionné ne fait que débuter

Minimiser les risques

Le CICR avertit aussi que ces applications «ne sont pas à l’abri des cyberattaques et des fuites de données qui pourraient mettre en péril la vie privée et la sécurité de leurs utilisateurs». Et «même lorsqu’il y a un taux d’utilisation élevé des smartphones, le risque d’exclure ou de marginaliser les parties les moins connectées de la population existe, laissant de côté les plus vulnérables».

Que faire pour minimiser une partie de ces risques? Le CICR milite pour appliquer le principe du «data protection by design», c’est-à-dire de se focaliser sur la protection des données dès la conception de l’app. Mais aussi de créer une architecture décentralisée destinée à «conserver un maximum de données sensibles sur le téléphone». Le CICR ne se prononce pas directement sur l’application helvétique, mais ses recommandations rejoignent ce qui a été fait jusqu’à présent en Suisse. A noter que pour l’organisation, les apps ne sont qu’un complément et un système physique de traçage assurera le succès de l’utilisation d’une app.

Expérience en Autriche

De manière intéressante, des Croix-Rouge se sont aussi impliquées dans la création d’apps similaires, notamment aux Philippines et en Autriche. Responsable des relations internationales au sein de la Croix-Rouge autrichienne, Gabriela Poller-Hartig a partagé la semaine passée son expérience. «Nous avons très vite été confronté à de nombreuses critiques et questions sur la protection des données ou sur les risques de surveillance. La Croix-Rouge a beau être la deuxième marque en laquelle les gens ont le plus confiance en Autriche, nous avons été surpris par ces polémiques», a raconté la responsable. Pour elle, «se baser sur des experts, communiquer de manière totalement transparente, ne jamais rendre l’application obligatoire et publier son code source» ont été des éléments déterminants.

Mais la partie n’est pas encore gagnée en Autriche. Ainsi, environ 600 000 personnes ont téléchargé l’application de traçage des contacts, sur une population totale d’environ 9 millions. «Nous aimerions atteindre les 4 millions d’utilisateurs et nous allons lancer ce mois une vaste campagne d’information pour augmenter son taux d’adoption», a poursuivi Gabriela Poller-Hartig.

Plusieurs critiques

Mais rien ne garantit son succès. Présent mercredi dernier à la même conférence organisée par le CICR, Sean Martin McDonald, directeur de la société américaine Frontline SMS, s’est montré très critique envers les applications de traçage des contacts. «Il faut se poser des questions sur l’impact réel de ces applications. Pour l’heure, aucune n’a vraiment prouvé son utilité, même à Singapour», a affirmé le responsable. Sean Martin McDonald a pointé du doigt un autre problème, aussi relevé par le CICR: «Il faut aussi se poser des questions sur le nombre réel de personnes qui peuvent télécharger ces apps: le taux d’adoption des smartphones n’est pas toujours élevé, même dans les pays occidentaux, et tout le monde ne sait pas télécharger une application.»

Sean Martin McDonald a aussi évoqué le cas d’Israël, qui utilise des méthodes très intrusives pour suivre les malades atteints du virus. Ou encore cette entreprise américaine qui propose de vendre des données issues d’une app de traçage du virus à des fins publicitaires… Les risques de dérives, dans le cas de systèmes centralisés, sont ainsi nombreux.