allez je refais une petite lecture commentée de l'avis @CNIL #StopCovid
pour rappel, le précédent avis portait sur les principes et le protocole ( #protocoleROBERT), celui-ci porte sur l'app et le décret accompagné d'une analyse d'impact (#AIPD #PIA #DPIA)
Rappel d'abord que "l’objectif à valeur constitutionnelle de protection de la santé constitue un impératif majeur de nature à justifier dans certaines conditions, des atteintes transitoires au droit à la protection de la vie privée et des données à caractère personnel".
ça énerve certain-e-s mais cœur du rôle d'un régulateur: la proportionnalité. Résumer ce genre de débats par conflits de 2 extrêmes ou parler seulement des risques d'engrenage, c'est changer de registre. Ça sera peut-être le choix des parlementaires, pas celui d'un régulateur
MAIS ces atteintes doivent être
1/ justifiées par un motif d’intérêt général ("c'est le cas" dit la CNIL)
+ 2/ nécessaires et proportionnées à la réalisation de cet objectif
et là la CNIL ne précise pas d'emblée que c'est le cas.
1/ justifiées par un motif d’intérêt général ("c'est le cas" dit la CNIL)
+ 2/ nécessaires et proportionnées à la réalisation de cet objectif
et là la CNIL ne précise pas d'emblée que c'est le cas.
Elle explore ce sujet en reliant #stopCOVID à la politique sanitaire globale et en particulier les traitements #ContactCovid #SI_DEP. Intéressant car finalement ces traitements sensibles se renforcent plutôt qu'ils ne s’affaiblissent du point de vue CNIL. 
ça peut paraître contre-intuitif : le régulateur pourrait préférer moins de dispositifs. Mais finalement, c'est cohérent : la CNIL constate qu'il y a une politique globale, dont #stopCOVID n'est qu'un pan... et peut-être pas le plus sensible d'ailleurs...
ensuite, la CNIL tient compte de l'incertitude. Donc, quand elle dit "je veux savoir si c'est utile / efficace", elle ne dit pas "prouvez le parfaitement" mais "expliquez vos raisons de le croire et sourcez". Elle ne se substitue pas aux responsabilités des décideurs publics.
J'insiste sur ce point qui j'en suis certain va faire grincer des dents (ping @soufron ;). Lorsque le régulateur demande à être convaincu de l'efficacité d'un traitement, il reste dans son rôle et ne tombe pas dans l'évaluation de l'opportunité qui incombe au responsable
en revanche, le régulateur demande à ce que ce suivi soit permanent et régulier pendant la durée du traitement et que les rapports de suivi lui "soient communiqués au fur et à mesure de leur établissement." D'expérience, c'est rarement le cas : ça sera intéressant à suivre !
concernant la proportionnalité du traitement, la @CNIL regarde les garanties, qualifiées de nombreuses et substantielles. La CNIL met dans la colonne + la centralisation de personnes exposées et non contaminées. C'est un point important du faux débat "décentralisé/centralisé"
autres garanties : le bluetooth et pas la géolocalisatio, le volontaria et la pseudonymisation. Dois je encore insister sur l'absence ici des mots "consentement" et "anonymat"?
le responsable de traitement est le ministère @MinSoliSante et le traitement est prévu pour 6 mois seulement comme @contactcovid et @SI_DEP. D'autres demandes CNIL sont satisfaites depuis le 24 avril, globalement c'est un satisfecit du régulateur donné aux porteurs du projet.
concernant la base légale, le décret en conseil d'Etat de la saisine renvoi comme prévu aux articles 6.1.e (traitement nécessaire à exercice autorité publique) et 9.2.i (motif d'intérêt public dans la santé pour données sensibles) du #RGPD
la CNIL détaille les finalités :
- information de proximité d'un cas
- sensibilisation sur symptômes et conduite à adopter
- orientation vers acteurs santé pour dépistage
- "l’amélioration de l’efficacité du modèle utilisé par l’application" par données anonymes
- information de proximité d'un cas
- sensibilisation sur symptômes et conduite à adopter
- orientation vers acteurs santé pour dépistage
- "l’amélioration de l’efficacité du modèle utilisé par l’application" par données anonymes
sont donc expressément exclues : recensement des personnes infectées, identification de leurs déplacements, les contacter ou surveiller leur isolement.
parlons maintenant du volontariat qui se matérialise par
- installation/ désinstallation app
- activation bluetooth
- contact avec un pro de santé et dépistage
- notification diagnostic positif
notons que ces critères ne seraient pas valides pour un consentement #RGPD non?
- installation/ désinstallation app
- activation bluetooth
- contact avec un pro de santé et dépistage
- notification diagnostic positif
notons que ces critères ne seraient pas valides pour un consentement #RGPD non?
il y a ensuite des détails techniques intéressants sur ce qui reste en développement : le calcul de la distance selon la puissance, usage des horodatages pour mesurer la durée des interactions, calibration, ...
on n'a pas fini de gloser sur twitter sur ces sujets on dirait ;)
on n'a pas fini de gloser sur twitter sur ces sujets on dirait ;)
la CNIL relève un point ultra intéressant : l'app ne permet pas d'adapter au contexte, par exemple des professionnels de santé, qui risquent d'avoir des faux positifs en pagaille, il faudrait intégrer des plages horaires/bouton de désactivation. ça me parait une excellente reco
enfin sur information/loyauté : classiquement lors de l'installation et sur le site web + "infographies permettant de vulgariser les concepts technologiques". Bon, j'ai passé 7 ans à me battre pour que juristes et experts CNIL n'utilisent pas le mot "vulgarisé" donc défaite perso
la CNIL insiste sur l'effort à faire sur ce sujet. Je suis aussi inquiet. Les porteurs de ce projet ont (comme tout le monde) d'importantes marges de progression sur ces sujets d'information et design de la loyauté. S'ils appliquent dans l'urgence les recettes tradi, cata assurée
d'ailleurs quand je lis le point 57... bon il faut publier tout ça l'équipe #stopCOVID, que la communauté #LegalDesign puisse contribuer parce que "des inforgraphies de vulgarisation" ça ne remplace pas une conception innovante!!! cf. design.cnil.fr
ensuite, très étonnant de voir que le gouvernement a voulu s'abstraire des droits d'opposition et à l'effacement.. C'était une mauvaise idée, et la CNIL s'y oppose. Le ministère a pris l'engagement de revenir la dessus.
sur la sécurité, on dirait que le combo reco CNIL + ANSSI dans l'équipe projet #stopCOVID avec @Inria a porté ses fruits, les mesures semblent solides mais ce n'est pas ma spécialité, là aussi je laisse les experts s'entre-tuer si besoin...
je note quand même le sujet captcha. On dirait bien que les concepteurs avaient opté pour un service captcha tiers, je parie sur recaptcha de @google. c'est une très mauvaise idée, car google collecte de la donnée par cet outil. Franchement, c'est non. Alternatives anyone?
