[Brèves] Création d'une application mobile de suivi de contacts dénommée « StopCovid »

► Un décret, publié au Journal officiel du 30 mai 2020, crée un traitement de données à caractère personnel, nécessaire au fonctionnement de l'application mobile de suivi de contacts dénommée « StopCovid », qui permet à ses utilisateurs d'être informés lorsqu'ils ont été à proximité d'au moins un autre utilisateur diagnostiqué ou dépisté positif au virus du covid-19, grâce à la conservation de l'historique de proximité des pseudonymes émis via la technologie Bluetooth (décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé « StopCovid » (N° Lexbase : Z368819U) ;

Ce décret est complété par un arrêté, publié au Journal officiel du 31 mai 2020 (arrêté du 30 mai 2020 définissant les critères de distance et de durée du contact au regard du risque de contamination par le virus du covid-19 pour le fonctionnement du traitement de données dénommé « StopCovid » N° Lexbase : L2405LXD).

Création du traitement. Le traitement de données à caractère personnel dénommé « StopCovid », qui repose sur une application mobile et un serveur central, est mis en œuvre dans le cadre d'une mission d'intérêt public conformément au e du paragraphe 1 de l'article 6 du « RGPD » (Règlement n° 2016/679 du 27 avril 2016 N° Lexbase : L0189K8I), et pour les motifs d'intérêt public mentionnés au i du paragraphe 2 de l'article 9 de ce même Règlement.

Ce traitement a pour finalités :

• d'informer les personnes utilisatrices de l'application qu'il existe un risque qu'elles aient été contaminées par le covid-19 en raison du fait qu'elles se sont trouvées à proximité d'un autre utilisateur de cette application ayant été diagnostiqué positif à cette pathologie ;
• de sensibiliser les personnes utilisatrices de l'application, notamment celles identifiées comme contacts à risque de contamination, sur les symptômes de ce virus, les gestes barrières et la conduite à adopter pour lutter contre sa propagation ;
• de recommander aux contacts à risque de contamination de s'orienter vers les acteurs de santé compétents aux fins que ceux-ci les prennent en charge et leur prescrivent, le cas échéant, un examen de dépistage ;
• d'adapter, le cas échéant, la définition des paramètres de l'application permettant d'identifier les contacts à risque de contamination grâce à l'utilisation de données statistiques anonymes au niveau national.

L'application « StopCovid » est installée librement et gratuitement par les utilisateurs. En cas de diagnostic clinique positif au covid-19 ou de résultat positif à un examen de dépistage à ce virus, les utilisateurs de l'application sont libres de notifier ou non ce résultat dans l'application et de transmettre au serveur l'historique de proximité. L'application peut être désinstallée à tout moment.

Données traitées. L’article 2 détaille les données traitées pour la mise en œuvre du traitement :

• une clé d'authentification partagée entre l'application et le serveur central ;
• un identifiant unique associé à chaque application téléchargée par un utilisateur ;
• les codes pays, générés par le serveur central ;
• des pseudonymes aléatoires et temporaires, qui sont transmis chaque jour par le serveur central à l'application lorsqu'elle se connecte à ce dernier ;
• l'historique de proximité d'un utilisateur, constitué des pseudonymes aléatoires et temporaires émis via la technologie « Bluetooth » par les applications installées sur des téléphones mobiles d'autres utilisateurs qui se trouvent, pendant une durée déterminée, à une distance de son téléphone mobile telle qu'il existe un risque suffisamment significatif qu'un utilisateur qui serait positif au covid-19 contamine l'autre. L'arrêté du 30 mai 2020 précise que les critères de distance et de durée du contact permettant de considérer que deux téléphones mobiles se trouvent à une proximité suffisante l'un de l'autre sont un contact à moins d'un mètre pendant au moins 15 minutes entre les utilisateurs de l'application « StopCovid » ;
• l'historique de proximité des contacts à risque de contamination par le covid-19 ;
• les périodes d'exposition des utilisateurs à des personnes diagnostiquées ou dépistées positives au covid-19 ;
• les données renseignées dans l'application par les personnes diagnostiquées ou dépistées positives au covid-19 qui décident d'envoyer au serveur l'historique de proximité de leurs contacts à risque ;
• le statut « contacts à risque de contamination » de l'identifiant de l'application, qui est retenu dès lors qu'un utilisateur de l'application a été à proximité d'un autre utilisateur, ultérieurement dépisté ou diagnostiqué positif au covid-19 ;
• la date des dernières interrogations du serveur central.

Durée du traitement. L’article 3 précise que le traitement est mis en œuvre pour une durée ne pouvant excéder six mois après la cessation de l'état d'urgence sanitaire déclaré par l'article 4 de la loi n° 2020-290 du 23 mars 2020 (N° Lexbase : L5506LWT), soit le 10 janvier 2021.

Droits des utilisateurs. Conformément au « RGPD », l’article 4 prévoit que les droits d'accès, de rectification ainsi que le droit à la limitation ne peuvent s'exercer auprès du responsable de traitement.
Les personnes concernées sont informées des principales caractéristiques du traitement et de leurs droits au moment de l'installation de l'application. Elles sont en outre prévenues qu'en cas de partage de leur historique de proximité sur le serveur central, les personnes identifiées comme leurs contacts à risque de contamination seront informées qu'elles auront été à proximité d'au moins un autre utilisateur diagnostiqué ou dépisté positif au covid-19 au cours des quinze derniers jours et informées de la possibilité limitée d'identification indirecte, susceptible d'en résulter lorsque ces personnes ont eu un très faible nombre de contacts pendant cette période. Des mentions d'informations sont également publiées sur le site internet « www.stopcovid.gouv.fr ».

Entrée en vigueur. Le texte est entré en vigueur le 31 mai 2020.

© Reproduction interdite, sauf autorisation écrite préalable