Pass sanitaire, QR codes, TousAntiCovid : nos données de santé en danger

Publié le 19 avril 2021-A+

Par Bernard Perbal.

La protection des données de santé constitue depuis plusieurs années le terrain d’enjeux dont les tenants et aboutissants sont loin d’être connus du grand public. Certains nous diront que la masse qui n’est pas assez intelligente pour comprendre les décisions prises au sommet n’a pas à réfléchir.

Les politiques et hauts fonctionnaires qui grouillent à tous les niveaux du millefeuilles de la pyramide du pouvoir sont là pour imposer subrepticement les fruits irréfragables de leur savoir et de leur capacité à gouverner en dépit de l’immense incompétence de ceux qui, dans les domaines les plus variés de notre société, sont arrivés à des postes clefs par le jeu de chaises musicales attribuant aux ratés en tout genre une promotion dorée vers les cieux des irresponsables intouchables et immuables.

On notera au passage que selon le Wall Street Journal, la commission de l’OMS chargée d’enquêter sur les sources possibles du Covid-19, ne publiera pas ses conclusions provisoires.

Incohérence du discours politique

Depuis que nos dirigeants ont été contraints de reconnaître les risques sanitaires graves associés à la propagation galopante de la pandémie de Corona Virus Disease 19 (Covid-19) induite par le virus éponyme, force est de constater que l’incohérence des discours politiques et scientifiques restera un marqueur indélébile du quinquennat en cours.

En janvier 2020, la négation du risque d’importation du virus de Chine par Agnès Buzyn :

Suivie par ses regrets qui, en quittant le ministère de la Santé, savait « que la vague du tsunami était devant nous. »

Les atermoiements du gouvernement sur le port du masque faisant dire en mars 2020 au ministre de la Santé Olivier Véran :

Le Premier ministre Édouard Philippe se retranchant derrière les multiples revirements de certains scientifiques, les mensonges concernant la disponibilité des masques dont le port deviendra finalement obligatoire à Paris à la fin de l’été et trois mois après le premier déconfinement, dans les entreprises, les lycées et les collèges.

Autant d’exemples qui ont altéré la confiance des citoyens envers leur gouvernement.

La série des affirmations dénuées de fondement scientifique prendra un nouveau visage avec, entre autres, les promesses irréalistes de l’application StopCovid et d’une vaccination de masse qui devait être menée rondement, pour finalement nous hisser, avec 2,8 vaccinations pour 100 personnes, à la vingt-et-unième place des 27 pays de l’Union européenne ayant procédé à une vaccination en date du 5 février 2021 !

Le 29 janvier 2021, la déclaration par le Président devant la presse étrangère, de la quasi inefficacité du vaccin Oxford AstraZeneca, pour les personnes âgées de plus de 65 ans n’a pas été un facteur positif.

Plusieurs autres pays européens adoptaient à sa suite une position similaire, alors que l’Agence de réglementation des médicaments et des produits de santé du Royaume-Uni (MHRA) maintenait :

La décision de la haute autorité de Santé (HAS) du 2 février déconseillant son utilisation au-delà de 65 ans mais invitant les soignants de moins de 65 ans à se faire vacciner a généré une réticence supplémentaire des personnels visés.

Le 25 février Alain Fisher déclarait :

Cette mise au point et le fait que le vaccin AstraZeneca soit très efficace pour lutter contre le variant anglais du virus, auraient semble-t-il remis les vaccinations en route malgré le mal qui avait été fait par des assertions dénuées de fondement.

Ce bref rappel illustre la place centrale des péripéties vaccinales dans un univers soumis à de hautes pressions d’engagements et d’intérêts financiers ne représentant que la pointe de l’iceberg des négociations qui président aux efforts d’éradication du Covid-19 menés par les différentes parties prenantes.

Conjointement à ces considérations, sont apparues des initiatives visant à convaincre de l’intérêt considérable, vanté par des discours politiques plus ou moins cohérents, des outils numériques de traçage du virus et de gestion des données médicales dans le contexte de la pandémie.

Données de santé : identification et traçage des personnes atteintes par le Covid-19

La vitesse à laquelle s’est propagé le virus a vite dépassé la capacité des agences de santé publique historiquement dédiées au suivi manuel des contacts, tel qu’il avait été mené pour réduire la propagation d’épidémies comme celles qui furent causées par le virus du syndrome respiratoire aigu sévère (SRAS) ou par le virus Ebola.

Outre les ressources humaines et le temps qu’elle requiert, cette approche est pénalisée par l’imprécision des souvenirs, qui plus est lorsque les individus concernés se retrouvant dans les lieux publics très fréquentés où la brièveté des contacts affecte la mémoire et l’identification des individus rencontrés.

La recherche numérique des contacts peut reposer sur différentes technologies de l’information, plus ou moins intrusives vis-à-vis des différents aspects de la vie privée.

Par exemple, la Chine et la Corée du Sud ont imposé à leurs populations des collectes de données reposant sur des techniques de reconnaissance faciale et de transmission de données relatives à la géolocalisation des téléphones cellulaires, telles que les signaux GPS ou les caméras de reconnaissance situées dans les lieux publics.

L’utilisation de telles techniques sans que les participants aient donné leur consentement à l’utilisation et à la conservation de leurs données ne serait pas conforme avec les exigences fixées par le Règlement Général sur la Protection des Données (RGPD) qui impose que :

Les systèmes d’identification numérique reposant sur une base de volontariat en Europe et aux USA, ils font appel à des applications que l’utilisateur télécharge lui-même.

Il a été fait le choix de ne pas utiliser de technologies intrusives pour la vie privée reposant sur la géolocalisation de type GPS ou WIFI.

Dans le cadre des protocoles numériques utilisés en France la distance séparant deux smartphones portés par des personnes qui se côtoient est estimée sur la base de l’intensité de signaux Bluetooth émis et reçus par les téléphones paramétrés de manière à pouvoir communiquer. En termes simples, plus la force du signal reçu est grande, plus les appareils sont proches l’un de l’autre.

Les choix technologiques de la France pour développer les applications StopCovid et TousAntiCovid en font un cavalier isolé en Europe, les autres pays ayant fait le choix des applications développées par Google et Apple.

Google et Apple ont retenu une solution reposant sur le stockage des données uniquement dans les smartphones des utilisateurs, permettant de les identifier tout en garantissant leur anonymat, afin d’éviter le stockage centralisé des données et en assurer une sécurité plus grande.

Pass sanitaire, QR codes, TousAntiCovid : nos données de santé en danger

Les applications françaises StopCovid et TousAntiCovid utilisent un modèle centralisé qui stocke les données non nominatives, anonymisées, sur des serveurs centraux contrôlés par les autorités sanitaires.

Ce choix ne permet pas l’inter-opérabilité européenne sur laquelle la Commission a travaillé. L’Europe, par la voix de Margrethe Vestager, Commissaire en charge du Numérique et de la Concurrence, regrette la position prise par la France, qui malgré ses nombreuses déclarations, a opté paradoxalement pour une solution moins protectrice des données allant à contrecourant de la position adoptée par les autres pays de l’Union européenne.

Si certains ne trouvent pas l’inter-opérabilité souhaitable, ses défenseurs plaident pour la compatibilité des applications de traçage de tous les autres pays européens pour des questions de sécurité, en dépit du fait que d’un pays à l’autre ces applications ont rencontré un succès très différent.

Indépendamment du fait qu’elle ait pu souffrir d’un manque de compatibilité avec ses homologues européens, l’application StopCovid n’a pas rencontré le succès escompté, malgré un coût d’hébergement et de maintenance facturé jusqu’à 300 000 euros par mois.

Avec 2,3 millions de téléchargements et 72 notifications envoyées en trois mois, StopCovid, lancée le juin 2020, a été un cuisant échec selon le Premier ministre Jean Castex et le projet d’adjonction d’objets connectés à ce type d’application a été suspendu pour l’instant.

L’application TousAntiCovid a donc pris la suite de la précédente.

Son principe est inchangé. Le but étant d’avertir l’utilisateur s’il a été en contact avec un individu testé positif au Covid-19.

L’application prend en compte les contacts situés à moins d’un mètre pendant au moins 15 minutes à condition que les smartphones comportant TousAntiCovid aient été en fonctionnement au moment de leur rencontre.

Ce système nécessite qu’une personne testée positive se déclare comme telle via l’application qui préviendra alors les individus-contacts pendant la période qualifiée de contagieuse.

Pour les personnes positives symptomatiques, cette période débute 48 heures avant l’apparition des premiers symptômes. Si la personne testée positive est asymptomatique, la période de contagiosité débute sept jours avant son test positif.

Pour que ce système soit efficace, il requiert une forte adoption de l’application TousAntiCovid, estimée à 20 millions d’utilisateurs.

Selon Cédric O, le secrétaire d’État chargé de la transition numérique, le nombre de téléchargement de TousAntiCovid à la mi-janvier serait de 12,3 millions avec un total de 50 000 personnes notifiées.

Cependant, selon une mise à jour du 9 février relevée le 9 mars :

Le manque d’enthousiasme de la population à l’égard des applications StopCovid et TousAnticovid résulte très certainement d’une perte de confiance instillée par les discours contradictoires de nos gouvernants.

N’aurait-il pas été plus simple de veiller à l’application stricte des gestes barrière ?

L’espoir du secrétaire d’État est de voir le nombre d’utilisateurs croître avec l’ajout de fonctionnalités pratiques et l’entrée en vigueur des QR codes dont la mise en fonction est prévue prochainement.

Cédric O rappelle à ce sujet que l’obligation d’utiliser un QR code pour accéder aux pubs en Grande Bretagne a fait monter à 20 millions le nombre d’utilisateurs de l’application de traçage.

Que penser de ce cette évolution souhaitée ?

En premier lieu, on peut regretter que la solution retenue par le gouvernement fasse appel à un stockage externe centralisé, qui représentera une proie tentante et bien plus fournie en données qu’un smartphone pour les hackers avides de grosses opérations.

Le domaine de la santé publique a subi des violations de données très conséquentes au cours des dernières années avec des dommages financiers estimés à des millions de dollars. Les cyberattaques dirigées vers les centres hébergeant des données médicales sont en très nette augmentation.

À titre d’exemple, l’intrusion dans la base de données médicales d’un centre régional de santé en Norvège en 2018 s’était soldée par la corruption de plus de trois millions de données médicales sensibles.

De même LifeLabs, l’un des plus grands groupes de laboratoires d’analyses médicales du Canada, a été victime au début de novembre 2019, d’une cyber-attaque avec demande de rançon, concernant les données de 15 millions de patients.

On retiendra enfin le pillage récent des données de santé concernant 500 000 patients ayant fréquenté plusieurs laboratoires d’analyses utilisant le même logiciel de traitement.

La centralisation des données est immanquablement plus risquée que leur fragmentation sur des supports indépendants.

Quelle qu’en soit la technologie de base, l’utilisation de ces applications nécessite d’une part que le smartphone concerné soit constamment allumé pour permettre sa détection par Bluetooth, et d’autre part que son utilisateur contact soit assez isolé dans une foule potentiellement fournie en contacts, pour être détecté de manière fiable. Ce dernier point ne devrait pas constituer un obstacle insurmontable.

Il est regrettable que le système français rigoureusement incompatible avec celui de la majorité des autres pays ne puisse bénéficier des expériences et améliorations qui pourront émerger d’une approche de groupe.

Le cas des personnes contagieuses, asymptomatiques non identifiées comme vecteurs pose un problème insoluble par l’emploi de ces techniques d’identification de contacts.

Le rapprochement des données de santé collectées par les applications de type TousAntiCovid, avec celles fournies par l’utilisation de codes QR constituera une mine d’or pour les agrégateurs de données.

Le QR code, danger potentiel pour la protection des données de santé etpersonnelles

Selon le professeur Graham Greenleaf, la situation peut être schématisée comme suit.

Deux entités génératrices de données de santé vont coexister :

D’un côté une application d’identification des cas contacts, que l’on peut espérer être respectueuse des principes de respect et protection qui leur sont généralement attachées par les règlementations en vigueur (RGPD en Europe par exemple).

L’utilisation pendant une durée de six mois d’une application anti Covid pour combattre la propagation du virus en Australie a permis d’identifier 17 cas qui auraient échappé à la surveillance humaine telle que celle qui est évoquée plus haut.

De l’autre côté des QR codes devenus quasi-obligatoires, qui ne sont soumis à aucune réglementation efficace de respect de la vie privée et qui vont prendre de plus en plus d’importance avec le temps.

Les règles strictes d’encadrement de la collecte des données médicales au travers des applications de suivi actuellement en cours, contrastent très fortement avec la négligence de type laissez-faire dont bénéficie l’industrie des QR codes.

Par exemple, les QR codes sont de plus en plus largement utilisés au Royaume-Uni dans les secteurs bancaires mais aussi pour aider au suivi des personnes infectées et de leurs contacts.

Alors que la technologie des QR codes existait déjà dans les années 1990 elle n’avait pas trouvé l’infrastructure nécessaire à son adoption.

Aujourd’hui, le manque d’encadrement juridique relatif au développement fulgurant de ce type d’identification par QR code sous l’influence de la pandémie, pose des sérieux problèmes concernant la collecte et l’utilisation des données sous-traitées par un vaste panel de fournisseurs de codes. Il n’existe aucune régulation de contrôle de qualité et de protection de la vie privée applicable aux fournisseurs de QR codes.

Il est essentiel que les gouvernements encadrent très strictement le devenir des données personnelles collectées par les organisateurs de réunions festives, les restaurateurs, les bars et autres enseignes commerciales qui ne demandent qu’à reprendre leur activité pour compenser les pertes considérables subies.

Les données personnelles identifiantes, telles que les nom, e-mail, numéro de téléphone et autres données sensibles, récoltées par ces fournisseurs de QR codes ont une grande valeur marchande de nos jours.

Enfin, il ne faut pas négliger les risques informatiques qui viennent avec l’utilisation grandissante des QR codes, tant prisés par les cybercriminels pour pénétrer les données les plus intimes auxquelles ces codes finissent par donner accès.

L’objectif avoué du gouvernement français aujourd’hui est de pouvoir enregistrer en temps réel les faits et gestes des consommateurs afin de pouvoir alerter les individus ayant été en contact avec des malades.

Si l’objectif peut paraître louable à première vue, il met en jeu une utilisationdes données personnelles qui s’apparente à une violation de la vie privée telle qu’elle est définie et protégée par le RGPD.

La limitation d’accès à certaines activités sportives, culturelles, culinaires, ou de loisir, fondée sur la lecture de QR codes constitue une discrimination incompatible avec les libertés fondamentales qui nous ont été octroyées par les droits de l’homme et du citoyen.

Le pass sanitaire et le fichage de la population

La collecte des données de santé au travers de plateformes ou de pass sanitaires rappelant les moments les plus horribles d’un passé encore présent dans tous les esprits, a constitué une marotte récurrente des gouvernements avides de fichages en tout genre.

Le fichage numérique des individus : quelques rappels

En avril 1946, le Service national des Statistiques devient l’INSEE à qui est confiée la gestion du NIR, utilisé pour la vérification des listes électorales. Le NIR est notifié à la Sécurité sociale par l’INSEE et son utilisation a été étendue aux ministères de l’Intérieur, du Travail, de l’Agriculture et de l’Éducation nationale.

Dans le tourbillon du développement de l’informatique, l’INSEE a décidé d’une part de centraliser en 1971 les répertoires d’identification à Nantes dans le cadre de la mise en place d’un Système Automatisé pour les Fichiers Administratifs et le Répertoire des Individus (projet SAFARI) et d’autre part de fusionner ces données en février 1972, avec le fichier national des assurés de la Caisse nationale d’assurance vieillesse qui comprenait les adresses de toutes les personnes répertoriées.

C’était la porte ouverte à l’interconnexion des bases de données contenues dans les fichiers électroniques des services publics et associés. La manipulation centralisée des données personnelles collectées devait aboutir au fichage des Français !

Ce projet a été révélé dans un article du journal Le Monde en 1974 et a suscité dans la population un sentiment d’inacceptable surveillance étatique.

Ces vives réactions ont conduit à la promulgation en 1978 de la loi relative à l’informatique, aux fichiers et aux libertés, qui est restée un modèle législatif garantissant la protection des données personnelles individuelles.

Depuis SAFARI, plusieurs autres fichiers mettant en œuvre des traitements automatisés de données à caractère personnel de la population française ont vu le jour, avec plus ou moins de difficultés et de remarques de la CNIL.

On retiendra par exemple :

Avec trois nouveaux décrets publiés le 4 décembre 2020 et créant les fichiers PASP, GIPASP et EASP, les possibilités de fichage politique sont renforcées. Un décret publié en 2021 parachève pour une durée de trois ans les modalités de surveillance par le fisc du contenu des réseaux sociaux afin de traquer d’éventuelles fraudes fiscales.

Les données de santé

Avant d’aborder brièvement les atteintes au respect des libertés individuelles et de la vie privée des personnes que constituent les fichages fondés sur les données de santé, il est utile de définir brièvement ce qu’elles sont et quels sont les moyens mis en œuvre pour leur collecte et leur exploitation.

Les données de santé sont définies de manière très large au paragraphe 15 de l’article 4 du RGPD :

Ces informations peuvent concerner l’état de santé présent ou futur de la personne concernée.

Les données de santé peuvent prendre la forme de documents écrits (ordonnances, certificats médicaux…), oraux (enregistrements de compte rendus opératoires, de visites médicales, …), ou informatisés à la suite de la dématérialisation grandissante des informations manipulées par les praticiens et les services et de santé.

La définition des données de santé, qui n’apparaît pas assez rigoureuse, constitue un frein au développement des innovations faisant appel à l’exploitation de caractéristiques phénotypiques résultant de l’expression du génome.

Le regroupement de toutes ces caractéristiques sous une même qualification juridique contraignant leurs utilisateurs à une analyse de risques concernant la protection de la vie privée, semble totalement inapproprié.

Le principe de précaution excessif ayant guidé les législateurs n’est pas raisonnable et trouve ses racines en France dans l’absence de responsabilité individuelle d’une population à qui l’on pourrait expliquer les risques, mais qui se réfugie à tout moment derrière la responsabilisation gouvernementale.

Selon un tel principe, la mise au point des automobiles ou de tout autre moyen de transport moderne aurait été interdite au motif qu’ils auraient été potentiellement mortels…

Le Système National des Données de Santé (SNDS) créé par la loi du 26 janvier 2016, fut remplacé par le Health Data Hub (HDH), officialisé par arrêté du 30 novembre 2019, en dépit des inquiétudes qu’a déclenché le choix du Cloud Microsoft pour son hébergement.

La CNIL a d’ailleurs rendu un avis très sévère sur le HDH en s’inquiétant des modalités de recours offertes aux citoyens dont les données de santé seront incluses dans le HDH, et des conditions de mise en œuvre de l’information du public.

Le HDH contiendra les données de l’assurance maladie, des facturations hospitalières, des causes médicales de décès, des données médico-sociales des personnes handicapées potentiellement intéressantes pour des acteurs privés qui y auraient accès.

Toutes les données de santé, collectées dans le cadre d’un acte remboursé par l’assurance maladie, seront centralisées dans le Health Data Hub et constitueront des sources de développement d’algorithmes d’apprentissage automatique à usage médical.

Le fichage des données médicales restructuré par la création du HDH est sur la voie d’être renforcé par la mise en place d’un pass sanitaire.

Bien que l’invalidation du Privacy Shield par la Cour de Justice de l’Union européenne n’autorise pas les échanges de données personnelles du HDH stockées par Microsoft, dans certains cas, le Cloud Act pourrait cependant permettre de contourner cette interdiction de transfert.

Plus récemment, une critique du même type a été soulevée à l’encontre de la plateforme de prise de rendez-vous médicaux Doctolib, par un collectif de médecins et de patients ayant déposé un référé auprès du Conseil d’État sollicitant « l’annulation du contrat liant Doctolib et l’État dans le cadre des prises de rendez-vous pour la vaccination contre le COVID-19 ».

En effet, ce partenariat loué par ailleurs par Cédric O, brasse une quantité importante d’informations de santé dans des conditions qui ne seraient pas conformes au RGPD. Effectivement, l’hébergement des données de santé collectées par Doctolib, victime d’un récent piratage de données ayant révélé les informations de santé relatives à 6128 rendez-vous, reposerait sur le choix de Amazon Web Services (AWS).

Le pass sanitaire

Compte tenu de l’ignorance relative du monde de la recherche médicale à propos des subtilités de la biologie du Covid-19, il est légitime de se poser quelques questions pertinentes relatives à la nature des critères qui permettront aux « heureux élus » de bénéficier d’un pass sanitaire leur ouvrant les portes à des activités quasi-normales dans une société amputée de plusieurs libertés fondamentales.

Lors d’une visioconférence avec les chefs d’État de l’Union européenne, le président Macron aurait dessiné les contours de ce pass qui « ne sera pas un passeport vaccinal », mais qui permettra d’envisager la réouverture des lieux culturels et des restaurants fermés à cause de la pandémie. Quid des autres commerces ?

Monsieur Macron a déclaré :

Insistant sur le fait que ce pass ne serait pas un passeport lié uniquement à la vaccination, le Président aurait précisé que « nous ne saurions conditionner l’accès » des lieux qui pourraient être rouverts « à une vaccination, alors même que nous n’aurions pas ouvert la vaccination aux plus jeunes. »

Le faible pourcentage des personnes vaccinées à ce jour donnerait sans aucun doute un arrière-goût de discrimination sanitaire à une distribution sélective des permissions de profiter pleinement des plaisirs de la vie…

Sur quelle base serait donc attribué ce pass sanitaire ?

Existerait-il des indices de prédisposition médicale d’une susceptibilité au Covid sur laquelle s’appuierait une sélection ?

Cette parodie ne serait-elle qu’un discours incohérent mêlant l’illusion politicienne à la dure réalité de la vie pour les personnes touchées ?

Quoiqu’il en soit, la terrible réalité est aussi celle que tendent à imposer les pays ne voyant dans la création d’un passeport sanitaire qu’un outil économique dont la mise en place balaierait d’un revers de main tous les efforts déployés depuis des décennies pour maintenir et protéger le respect de la personne humaine.

Serait-ce un nouveau symptôme attribuable au neurotropisme avéré des coronavirus ?

Cet article a été publié le 10/03/21 et mis à jour le 10/03/21 à 11h47

Articles Liés

  • Codeco du 3 décembre 2021: les nouvelles mesures ciblent l’école, le masque, les événements, mais pas l’horeca

    Codeco du 3 décembre 2021: les nouvelles mesures ciblent l’école, le masque, les événements, mais pas l’horeca

    GO

  • Coup de soleil : comment rattraper les dégâts ? - Madmoizelle

    Coup de soleil : comment rattraper les dégâts ? - Madmoizelle

    GO

  • Comment obtenir des masques N95 gratuits du gouvernement américain

    Comment obtenir des masques N95 gratuits du gouvernement américain

    GO

  • Coaching beauté : puis-je mettre de l’huile si j’ai une peau grasse ?

    Coaching beauté : puis-je mettre de l’huile si j’ai une peau grasse ?

    GO