L'app de tracing Coronalert arrive bientôt : comment va-t-elle fonctionner ? Y a-t-il des risques pour la vie privée ?

Coronalert : tout savoir sur la future application
Coronalert : tout savoir sur la future application - © Sergio Monti / EyeEm - Getty Images/EyeEm

L’application de traçage sur téléphone, Coronalert, devrait être disponible au téléchargement pour nos téléphones dans la semaine du 20 septembre. D’ici là, des tests sont encore effectués auprès de nombreux utilisateurs et des avis sont donnés par des experts.


►►► À lire aussi : "Coronalert", l’application de traçage belge devrait être disponible dès ce mois de septembre


Rappelons que le dispositif, lorsque vous l’aurez téléchargé, a pour but de vous alerter lorsque vous aurez eu un contact pendant plus de 15 minutes à une distance critique, moins d’un mètre 50, avec une personne testée positive (qui elle aussi a installé l’application sur son téléphone). Pour cela, l’application utilise la technologie Bluetooth qui permet une communication entre les téléphones. Les concepteurs nous l’assurent, tout cela fonctionne de façon totalement anonyme et donc en respectant la vie privée de chacun.

Comment cela va-t-il fonctionner ?

Tout d’abord, vous avez installé l’application Coronalert. Un jour vous êtes malade, vous avez les symptômes du coronavirus, vous irez faire un test. Pour accompagner votre test, votre téléphone va générer un numéro aléatoire de 17 chiffres qui va remplacer votre nom, prénom, adresse et numéro de téléphone. Ce numéro aléatoire va devenir votre identité. Ce numéro n’a rien à voir avec le registre national ou toute autre identification. Ensuite, le résultat du test sera disponible pendant un temps limité (jamais plus de 14 jours) dans un fichier informatique reprenant uniquement des numéros de 17 chiffres. Rien d’autre. Pas de noms ou de numéro de téléphone, etc., nous dit l’un des concepteurs de l’application.

Votre application va régulièrement aller lire ce fichier qui se trouve sur un serveur informatique et vérifier le résultat du test. S’il est négatif, vous n’aurez rien à faire. S’il est positif, vous aurez la possibilité d’informer de façon anonyme, et seulement si vous êtes d’accord, les personnes qui se sont trouvées à moins d’un mètre cinquante de vous pendant plus de 15 minutes.

Si vous acceptez d’informer les autres personnes, un journal reprenant les numéros aléatoires générés par les téléphones des personnes que vous avez côtoyés pendant plus de 15 minutes à moins d’un mètre cinquante est généré par votre téléphone et envoyé dans une autre base de données. L’application Coronalert se connecte régulièrement à cette base de données. Les utilisateurs de l’application ayant été en contact avec vous seront prévenus du risque et pourront donc agir en conséquence. À aucun moment, elles ne sauront pas qui vous êtes et où a eu lieu une éventuelle contamination. Elles pourront à leur tour décider d’aller faire un test.

Le protocole utilisé dans cette application est l’un des plus testés au monde

Comment convaincre les plus méfiants d’entre nous de télécharger l’application sur nos téléphones ? C’est la question que nous avons posée à Axel Legay, professeur en cybersécurité à l’UCLouvain et membre l’IFC (le comité interfédéral de suivi de contact, ndlr) et chargé de la mise au point de l’application de traçage. Devside, une société bruxelloise, étant chargé de développer l’application.

D’emblée ce spécialiste dit comprendre cette méfiance envers les applications en général. Ces dernières années il y a eu de nombreux problèmes de fuite de données et de perte de vie privée. L’homme est aussi conscient qu’il y a une confusion entre les applications de suivi de contacts et celles de tracking où là : "On brise carrément le miroir de la vie privée ".


►►► Notre dossier sur le coronavirus


Cet expert veut dès lors rassurer : "Cette application n’est là que pour faire du suivi de contacts, elle n’est en quelque sorte qu’un agenda qui va prendre contact avec les personnes autour de vous, quand vous vous ne pourrez pas le faire ". L’exemple est celui de personnes se trouvant dans une file et qui ne se connaissent pas. Les téléphones communiqueront entre eux et cela de façon anonyme. Le protocole utilisé a déjà été testé par des experts en cryptographie dans 11 pays et 7 autres devraient rejoindre prochainement le groupe. "Le protocole utilisé dans cette application est l’un des plus testé au monde", souligne le professeur en cybersécurité.

Un système décentralisé

Le système est totalement décentralisé. "C’est votre téléphone qui est en charge de votre anonymat, ce n’est pas l’État", insiste Axel Legay. Le système est donc différent de ce qui est fait en France où c’est l’État qui est chargé d’anonymiser les données. "En Belgique, il n’y a pas de possibilité pour l’État de retrouver vos données".

Apple et Google

Apple et Google fournissent l’API (l’interface de programmation). Le nom de ces deux géants de l’informatique ne rassure peut-être pas tout le monde et pourtant : "Ces sociétés ont été pour nous de véritables emmerdeurs" en matière de protection de la vie privée, explique Axel Legay et de poursuivre : "Jamais des compagnies ne m’ont autant surveillé et demandé de prouver que l’application respectait bien la vie privée des gens". Les 2 fournisseurs de l’API ont pour cela épluché le code informatique de l’application. Pour notre expert, ces 2 sociétés veulent faire avec ce dispositif un exemple du fait qu’ils peuvent aussi protéger la vie privée.

Et la sécurité ?

Les tests se suivent pour évaluer la sécurité du système. Par exemple, évaluer la possibilité de se faire passer pour un faux malade et ainsi faire croire à votre entourage qu’il a encouru un risque. Tous ces tests réalisés par une autre société sont concluants, nous dit-on. Tout cela sera décrit dans un rapport accessible au public dès la semaine prochaine, ainsi qu’un accès au code de l’application.

Qu’en pense l’Autorité de protection des données ?

L’APD, l’Autorité de protection des données, doit d’ici peu remettre un avis en matière de protection des données, mais aussi dans les jours qui viennent, un avis plus technique en matière de sécurité informatique. Alexandra Jaspar, directrice du Centre de connaissance de l’Autorité de protection des données nous livre cependant un avant-goût du premier avis.

Concernant l’application en soi, pour l’APD, elle ne traite que des informations anonymes. Le stockage des données est bien décentralisé. Aucune donnée de localisation n’est enregistrée. Alexandra Jaspar n’a dès lors pas trop de craintes sur une éventuelle identification d’un utilisateur de l’application. Ce qui somme toute, représente le risque principal pour cette spécialiste. "L’application nous semble (sur base des textes et des explications reçues, ndlr) fiable. Elle a l’air de bien fonctionner et respecter la vie privée, notamment parce qu’elle exclut cette possibilité de réidentification. Le risque n’est jamais zéro, mais le risque a l’air fortement mitigé par l’application ". L’APD semble donc plutôt positive par rapport à l’application.

Si quelqu’un a un accès à toutes les bases de données de Sciensano utilisées dans le cadre du traçage, on peut faire tous les recoupements possibles et imaginables

Alexandra Jaspar nous explique ensuite qu’elle et son équipe continuent en ce moment l’analyse de tout le système sous-jacent. Outre l’application, explique-t-elle, "il y a tout le système qui tourne derrière et qui se trouve chez Sciensano. Cette administration gère aussi le traçage manuel et qui a accès au registre national, aux données relatives à la santé, votre dossier médical globalisé et à toutes vos coordonnées".

L’analyse se concentre donc sur cette partie du système afin de vérifier si ce n’est pas à cet endroit que l’on prend un risque. "À partir du moment où Sciensano est en possession de toutes ces données qu’elle a déjà dans ses bases de données et maintenant dans le cadre du développement de l’application Coronalert de données supplémentaires du type : qui est positif, depuis quelle date, etc.". Le risque pour cette experte est qu’"en combinant les informations dont dispose Sciensano dans plusieurs bases de données on arrive à un recoupement" et donc à une identification.

À ce stade rien de tel n’a été identifié, mais l’APD demande donc que toutes les précautions soient prises avec une nette séparation entre les bases de données et qu’une seule et même personne ne puisse accéder aux différentes bases de données. "Si quelqu’un a un accès à toutes les bases de données de Sciensano utilisées dans le cadre du traçage, on peut faire tous les recoupements possibles et imaginables. Ce n’est évidemment pas le but des personnes qui ont réalisé l’application de traçage, mais s’il y a des personnes malintentionnées, elles pourraient en théorie réussir à faire ce type de recoupement". Précisons que vu le temps disponible pour réaliser l’avis, l’APD n’a pas eu le temps d’obtenir toutes les réponses à ces questions. L’avis est essentiellement basé sur le texte qui lui a été fourni.

Dans son avis, l’APD demande également que la nécessité de cette application soit revue de temps en temps. L’Autorité de protection des données considère que le traitement à caractère personnel, intrusif dans ce cas-ci ne se justifiera plus si dans quelques mois la situation de l’épidémie évolue positivement. "Il faut réévaluer en d’autres termes cette nécessité et cette proportionnalité au fil du temps". Elle demande aussi que l’application soit soumise à un audit externe afin de repérer d’éventuelles failles et que le code source de l’application soit publié une semaine avant son déploiement pour que d’autres spécialistes puissent émettre des avis critiques ou des suggestions constructives. Elle souhaite également être rassurée sur la collaboration avec les deux géants de l’informatique.

La ligue des droits humains craint aussi des recoupements

La ligue de son côté exprime encore des doutes par rapport au texte de loi (l’arrêté royal). Ce qui s’y retrouve n’est pas clair, nous dit-on. Exemple donné par Franck Dumortier, chercheur Cyber and Data Security LAB à la VUB et membre de la Ligue des droits humains : " Entre les téléphones il n’y a pas de problème. Mais, ce qui est renvoyé à Sciensano n’est pas clair dans l’Arrêté royal. Si l’on s’en tient au texte explicite, clairement il y a des renvois de données et des croisements sont possibles". À nouveau la crainte d’un possible recoupement entre les bases de données de Sciensano inquiète cet expert. "En informatique ce n’est pas parce qu’il n’y a pas un nom ou un numéro unique que les recoupements ne sont pas possibles".

Pour Franck Dumortier, il faudrait aussi indiquer clairement quelles sont les obligations liées à cette application. Lorsque vous recevez un avis d’une éventuelle contamination : "Est-ce que le test est une recommandation ou une obligation. Doit-on se confiner ou pas ? L’Arrêté royal n’est pas clair à ce sujet". Selon cet expert, il y a trop d’incertitudes et lorsqu’on installe cette application le citoyen doit savoir à quoi il s’engage.

Obligation de posséder l’installation

Dernière inquiétude, celle d’une éventuelle obligation d’installer l’application. Quelle sanction pénale pour un lieu qui voudrait vous imposer l’installation de l’application ? À nouveau rien n’est défini dans l’Arrêté royal. Cela laisse une marge de manœuvre à l’obligation d’installer l’application, par exemple pour entrer dans un lieu tel qu’un café. En résumé et à ce stade, il est interdit d’obliger qui que ce soit d’installer l’application, mais celui qui le ferait ne serait pas puni. Pour cet expert, si l’on veut pousser les personnes à utiliser l’application, que cela soit clair et indiqué dans la Loi.

Newsletter info

Recevez chaque matin l’essentiel de l'actualité.

OK