Recherche de contacts : Poser les bases d'un suivi social en temps réel

De nombreux universitaires, chefs d'entreprise et gouvernements affirment que la technologie est un élément essentiel de la lutte contre la pandémie de COVID-19. En utilisant les capacités de surveillance des systèmes modernes d'acquisition de données, on pense pouvoir fournir aux citoyens des outils qui leur permettront de voir s'ils sont entrés en contact avec une personne infectée par le virus.

Applications de recherche de contacts

Deux modèles sont proposés pour les applications de suivi des contacts de ce type. Le premier modèle propose que les données de localisation des citoyens soient collectées et traitées de manière centralisée par les gouvernements. Ce type de collecte de données a été - et c'est compréhensible -largement critiqué par les groupes de défense des consommateurs et de la vie privée, en raison du niveau de surveillance sans précédent qu'il représenterait. Étant donné que les entreprises technologiques déploient déjà ce pouvoir au service de leurs gouvernements - YouTube bloquant les contenus qui contredisent l'OMS, par exemple - ces craintes semblent tout à fait justifiées.

Un autre modèle proposé consiste à collecter et à stocker les données de localisation et de contact sur les appareils des citoyens. Cette forme distribuée de collecte de données a reçu un large soutien académique, car on prétend qu'elle permet d'effectuer un suivi des contacts sans donner aux entreprises technologiques et aux gouvernements l'accès aux données en temps réel sur les mouvements et les habitudes de leurs citoyens.

Ce modèle de collecte de données distribuées soulève toutefois des questions fondamentales en matière de protection de la vie privée. Même si un cadre juridique est en place pour protéger les données des citoyens - ce qui n'est pas le cas actuellement - le niveau de sensibilisation du grand public à la protection de la vie privée rend ces applications extrêmement dangereuses.

Dans cet article, nous allons examiner la manière dont les applications de recherche de contacts sont conçues pour fonctionner, et pourquoi elles doivent être une source d'inquiétude.

Centralisation ou distribution

Il est évident que certaines des applications de recherche de contacts mises en place par les gouvernements en dehors des États-Unis et de l'Europe posent de sérieux problèmes. En Israël, le gouvernement a récemment adopté une loi autorisant les services de sécurité à accéder aux données de localisation de tous les citoyens et à les stocker de manière centralisée. La Corée du Sud et la Chine ont également suivi ce modèle.

Les dangers liés au fait de permettre aux gouvernements de collecter ce type de données sont évidents et ont été soulignés par de nombreux groupes de défense de la vie privée aux États-Unis et en Europe. Néanmoins, les gouvernements de ces pays proposent la mise en œuvre d'une forme d'application de suivi des contacts, notamment parce que ces gouvernements ont un très mauvais bilan en matière de suivi des contacts de leur propre chef.

Il est proposé que les applications de recherche de contacts soient construites sur la base d'un modèle distribué. Les smartphones individuels stockeraient les données relatives à l'exposition de leurs propriétaires au COVID-19 et n'utiliseraient ces informations que pour communiquer avec d'autres appareils discrets. Aucune donnée ne serait envoyée à des dispositifs centralisés de stockage dans le nuage, et même les entreprises technologiques qui ont développé ces applications n'auraient pas accès aux données individuelles sur le statut ou les mouvements des utilisateurs.

C'est le modèle qui a été récemment proposé par Apple et Google, et des propositions similaires ont été avancées par un effort associé au MIT appelé PACT ainsi que par de nombreux groupes européens. Dans la plupart des propositions, la technologie Bluetooth serait utilisée pour alerter les utilisateurs s'ils sont proches d'un autre utilisateur qui a été exposé au virus.

Le cadre juridique (manquant)

À première vue, les applications construites de cette manière décentralisée semblent répondre aux préoccupations en matière de protection de la vie privée liées à la surveillance des données de masse. Elles semblent s'appuyer sur des politiques qui délèguent la responsabilité aux citoyens, comme la politique suédoise de responsabilité individuelle qui a donné de bons résultats malgré l'absence d'ingérence du gouvernement dans la vie quotidienne des gens.

Les applications de recherche de contacts, même décentralisées, posent toutefois deux problèmes majeurs. Le premier est qu'il n'existe pas de cadre juridique pour protéger les utilisateurs de ces applications contre une surveillance non désirée. Le second est que, même si ce cadre juridique était en place, toutes les données stockées sur les smartphones peuvent potentiellement être volées par des pirates informatiques ou des agences de surveillance.

Abordons d'abord brièvement les implications juridiques. Dans notre article sur les questions juridiques liées aux applications de recherche de contacts, nous avons déjà souligné que la légalité de cette forme de surveillance de masse est pour le moins discutable. Compte tenu de l'ampleur croissante de la censure sur internet, il est également possible que les gouvernements utilisent les données produites par ces applications pour établir des profils, cibler et surveiller les utilisateurs.

Mais les problèmes soulevés par les applications de recherche de contacts - décentralisées ou non - vont bien au-delà. Au niveau le plus fondamental, il est loin d'être évident que ces applications seraient même efficaces pour remplir leur tâche principale. Pour qu'une telle application soit efficace, il faudrait que les citoyens soient légalement tenus de la télécharger et de l'utiliser. Dans le cas contraire, un utilisateur infecté pourrait simplement supprimer son application et compromettre l'efficacité de l'ensemble du système. Donner aux gouvernements le pouvoir d'obliger les citoyens à utiliser des applications particulières serait sans précédent et extrêmement dangereux.

Vie privée et sécurité

Même si un cadre juridique rigoureux était mis en place pour les applications de recherche de contacts, et même si ce cadre protégeait la vie privée des utilisateurs individuels, les applications de recherche de contacts resteraient dangereuses. En effet, comme le constatent de nombreuses entreprises qui tentent de renforcer la cybersécurité dans le cadre du travail à distance, le niveau d'expertise du grand public en matière de cybersécurité est extrêmement faible. Cela signifie que toutes les données collectées par les applications de recherche de contacts - même si elles sont stockées localement - sont vulnérables.

Ce point est connu depuis longtemps et la législation existante sur la confidentialité des données le reconnaît. Le GDPR européen - largement considéré comme la référence en matière de droits à la confidentialité des données - mentionne explicitement que la confidentialité des données ne peut être assurée sans la sécurité des données. L'approche adoptée pour résoudre ce problème est simple : elle impose aux entreprises de ne pas collecter de données dont elles n'ont pas besoin. En d'autres termes, le moyen le plus sûr d'empêcher le vol de données est de ne jamais les collecter.

Dans le contexte de la recherche des contacts, le problème est que même si les données de localisation et de contact sont stockées sur des smartphones individuels - plutôt que dans des systèmes centralisés - cela ne garantit pas qu'elles ne seront pas volées ou que les forces de l'ordre et les agences de surveillance gouvernementales n'y auront pas accès. La recherche indique également que même lorsque les utilisateurs se protègent, les outils qu'ils utilisent pour le faire peuvent finir par porter atteinte à leur vie privée.

On pourrait évidemment rétorquer qu'un grand nombre d'applications collectent déjà des données de géolocalisation sur les utilisateurs, et que les données collectées par les applications de recherche de contacts ne sont donc pas différentes des données déjà stockées sur les smartphones. Cependant, la différence cruciale avec ce type d'application est qu'elle permet aux agences de surveillance de voir avec qui les utilisateurs ont été en contact. Ces données pourraient alors être utilisées par les services répressifs pour obtenir des informations en temps réel sur les déplacements des citoyens.

L'avenir

Aucune de ces questions n'est nouvelle. Les groupes de défense de la vie privée s'interrogent depuis plus de dix ans sur la légalité de la surveillance de masse. Cependant, la pandémie a fourni aux gouvernements une excuse pour justifier la collecte massive de données de géolocalisation. Comme nous l'avons souligné, il n'existe actuellement aucun moyen de collecter ces données tout en respectant le droit fondamental des utilisateurs à la vie privée. Il n'existe pas de procédure légale permettant d'imposer l'utilisation d'applications de recherche de contacts ; même si c'était le cas, la faible sécurité mise en œuvre sur le smartphone moyen rend ces données très vulnérables au vol ou à l'extraction légale.

Il est important qu'en reconstruisant le monde après la pandémie, nous tirions les leçons du temps présent. Nous devrions, bien sûr, renverser la politique économique qui nous a rendus plus vulnérables au COVID-19, mais nous devrions également saisir l'occasion de réexaminer le niveau de surveillance que notre monde numérique a rendu possible, et de le remettre en question.

En fin de compte, nous devons faire en sorte que la technologie fonctionne pour ceux qui l'utilisent, et non comme un outil pour le type de"capitalisme de surveillance" qui envahit rapidement notre société. Et résister aux applications de recherche de contacts n'est que le début de ce combat.

Cet article a été publié à l'origine sur le site FEE.org et est reproduit avec l'accord de l'auteur.

À PROPOS DE L'AUTEUR :

Sia Mohajer

Sia Mohajer est un entrepreneur canadien d'origine iranienne et cofondateur de Next Ventures. Depuis 2012, il construit et investit dans des entreprises numériques. Sia est également un partisan et un défenseur de longue date de la protection de la vie privée dans les logiciels libres.

‍