L’examen d’applications liées au Covid-19 déployées en Afrique du Nord, en Europe et au Moyen-Orient conclut à de graves risques pour les droits humains.
Bahreïn, le Koweït et la Norvège ont déployé certaines des applications de traçage des contacts liées au Covid-19 les plus intrusives au monde, qui mettent en danger le droit au respect de la vie privée et la sécurité de centaines de milliers de personnes. C’est ce que révèle notre enquête.
Notre Security Lab a examiné des applications de traçage déployées en Afrique du Nord, en Europe et au Moyen-Orient. Il a analysé en détail 11 applications utilisées en Algérie, à Bahreïn, aux Émirats arabes unis, en France, en Islande, en Israël, au Koweït, au Liban, en Norvège, au Qatar, et en Tunisie.
Des outils de surveillance de masse
Certaines de ces applications ont été jugées mauvaises et d’autres dangereuses pour les droits humains. Les applications « BeAware Bahrain » à Bahreïn, « Shlonik » au Koweït et « Smittestopp » en Norvège sont les outils de surveillance de masse les plus inquiétants que nous avons examinés. Ces outils procèdent tous activement à la localisation en direct ou quasiment en direct des utilisateurs en envoyant fréquemment des coordonnées GPS à un serveur central. Un dispositif inutile et disproportionné dans le contexte d’une politique de santé publique. Les autorités dans tous ces pays peuvent facilement relier ces informations personnelles sensibles à une personne précise, car le Bahreïn et le Koweït demandent aux utilisateurs de s’enregistrer avec leur numéro d’identification national, et la Norvège demande de s’enregistrer avec un numéro de téléphone valide.
La Norvège fait marche arrière
Lundi, le gouvernement norvégien a annoncé qu’il allait faire une pause dans l’utilisation de son application de traçage des contacts. Cette décision est intervenue quelques heures seulement avant la publication des résultats de notre étude, et après que nous ayons fait part de nos conclusions aux autorités norvégiennes et à l’agence norvégienne de protection des données, le 2 juin. Nous avons également rencontré le 10 juin le responsable de la conception de l’application « Smittestopp ». L’application norvégienne était très invasive et la décision qui a été prise de revoir la copie est la bonne. Nous demandons aux gouvernements de Bahreïn et du Koweït de faire de même et de cesser immédiatement d’utiliser des applications très intrusives sous leur forme actuelle. Ces applications outrepassent largement les limites de ce qui est justifié pour lutter contre la pandémie de Covid-19.
Des applications dangereuses pour le droit au respect de la vie privée
D’autres applications examinées par notre Security Lab, comme l’application « E7mi » de la Tunisie, sont également basées sur un modèle centralisé, mais au lieu d’enregistrer les coordonnées GPS, elles utilisent le système de balayage de proximité Bluetooth pour surveiller les contacts entre utilisateurs en temps réel. Une grave vulnérabilité en matière de sécurité a été décelée dans l’application EHTERAZ du Qatar, qui met à découvert des informations personnelles et sensibles de plus d’un million de personnes
Lire aussi : L'application contre le Covid-19 au Qatar expose les données de millions d'utilisateurs
Les applications de traçage de pays tels que les Émirats arabes unis, la France et l’Islande utilisent un modèle centralisé, mais les informations sur les contacts entre les appareils ne sont téléchargées que lorsque les utilisateurs décident volontairement de se signaler comme étant symptomatiques, ou à la demande des autorités sanitaires. Cet envoi volontaire et consensuel des données réduit au moins le risque de surveillance de masse, car les informations ne sont pas automatiquement téléchargées. Mais l’absence de transparence en ce qui concerne la conservation des données de l’application de traçage StopCovid en France soulève des questions quant à la possibilité d’identifier les utilisateurs.
Les gouvernements partout dans le monde doivent marquer une pause dans le déploiement d’applications de traçage des contacts défectueuses ou excessivement intrusives qui ne protègent pas les droits humains. Pour que les applications de traçage des contacts puissent contribuer efficacement à la lutte contre la pandémie de Covid-19, il faut que les gens aient confiance en ce qui concerne la protection de leur vie privée.
Émission de télévision, bracelet électronique : ces nouvelles formes de surveillance
L’application de Bahreïn a même été couplée à une émission de télévision nationale intitulée « Êtes-vous chez vous ? », qui offrait des prix aux personnes restant chez elles pendant le ramadan. Les informations récupérées au moyen de cette application ont été utilisées pour tirer au sort, avec un programme informatique, chaque jour 10 numéros de téléphone, et ces numéros étaient appelés en direct pour vérifier si les utilisateurs de l’application étaient chez eux. Ceux qui se trouvaient chez eux gagnaient un prix. La participation au tirage au sort de l’émission de télévision a été obligatoire jusqu’à ce que l’Autorité de l’information et des services gouvernementaux en ligne de Bahreïn ajoute une option dans l’application BeAware Bahrain permettant aux utilisateurs de « refuser » de participer à cette émission. Les autorités bahreïnites ont également publié en ligne des informations personnelles et sensibles sur des cas suspects de Covid-19, notamment l’état de santé, la nationalité, l’âge, le genre et l’historique des déplacements d’une personne.
Les applications de Bahreïn et du Koweït peuvent s’appairer avec un bracelet Bluetooth utilisé pour s’assurer que l’utilisateur reste proche de son téléphone, afin de renforcer les mesures de confinement. L’application koweïtienne vérifie régulièrement la distance entre le bracelet Bluetooth et l’appareil, et transmet à un serveur central les données de localisation toutes les 10 minutes. Au Bahrain, ce bracelet est obligatoire et l’amende est lourde : trois mois d’emprisonnement minimum ou 1 000 à 10 000 BHD d’amende (environ 2 700 USD et 27 000 USD respectivement).
Respect de la vie privée et des droits humains dès la conception
Toute collecte de données doit se limiter au contrôle de la propagation du Covid-19 et ne doit pas servir à d’autres fins, comme l’application des lois, la sécurité nationale ou le contrôle de l’immigration. En outre, ces données ne doivent pas être mises à disposition d’un tiers ni utilisées à des fins commerciales. Toute décision individuelle concernant le téléchargement et l’utilisation d’applications de traçage des contacts doit être prise sur une base entièrement volontaire. Toutes les données récupérées doivent rester anonymes, y compris quand elles sont associées à d’autres ensembles de données. Les gouvernements qui déploient des applications de traçage des contacts centralisées avec un pistage en temps réel doivent revoir leur copie. Un meilleur équilibre doit être trouver entre la nécessité de pister la propagation de la maladie et celle de protéger les droits de la population.
