L'application StopCovid en trois questions

L'application de traçage de contact StopCovid, soumise mercredi à l'avis des députés et sénateurs, doit aider à juguler toute nouvelle flambée de l'épidémie de coronavirus, mais elle est critiquée en raison des risques qu'elle comporte pour la vie privée des Français.

Comment fonctionne StopCovid?

L'application permet à un utilisateur qui se découvre contaminé au coronavirus de prévenir automatiquement tous les autres utilisateurs qu'il a croisés dans les deux semaines écoulées, pour qu'ils puissent prendre leurs précautions (auto-confinement, test de dépistage ...).

Pour fonctionner, l'application dote nos smartphones d'identifiants cryptés. Chaque smartphone conserve en mémoire les identifiants cryptés des smartphones croisés (à moins d'un mètre, et pendant plus de quinze minutes).

L'utilisateur qui découvre sa contamination par le coronavirus communique au système central de l'application la liste de tous les identifiants cryptés croisés sur les deux semaines écoulées.

Les smartphones des utilisateurs de l'application vérifient régulièrement sur le système central si leurs identifiants cryptés figurent sur ces listes. Si c'est le cas, ils affichent une alerte.

Qui a développé StopCovid?

Le gouvernement français a décidé de garder complètement la maîtrise de l'application, excluant de recourir à la plateforme proposée à tous les pays et autorités sanitaires qui le souhaitent par les géants américains Google et Apple, propriétaires des systèmes d'exploitation de nos smartphones (Android et iOS).

StopCovid a été conçue sous la direction de l'institut de recherche en informatique français Inria, avec le concours de grands acteurs numériques français comme Orange, Capgemini, Dassault Systèmes, de l'entreprise française Withings (objets connectés) et la startup française Lunabee studio.

Ces entreprises ont travaillé "pro bono", fournissant des développeurs pour travailler sur le projet, mais sans facturer la prestation.

Le gouvernement a choisi pour son projet une architecture qui n'est pas compatible avec la plateforme proposée par Apple et Google.

Sur cette dernière, l'application d'une personne contaminée n'envoie pas au serveur central les identifiants cryptés des personnes croisées, mais son propre identifiant crypté.

Les smartphones des utilisateurs téléchargent régulièrement ces listes, et vérifient s'ils ont croisé ces identifiants cryptés pendant les deux dernières semaines. Si c'est le cas, ils affichent une alerte.

Les mérites respectés des architectures "centralisée" choisie par le gouvernement français et "décentralisée" choisie par Apple/Google ont suscité des débats infinis chez les experts, avec probablement un avantage pour la solution Google/Apple chez les experts en cryptologie et en sécurité informatique.

Pourquoi StopCovid est-elle autant critiquée?

Une application de traçage de contacts comme StopCovid porte dans son principe même un risque évident pour la vie privée, puisqu'elle suppose d'enregistrer un identifiant de toutes les personnes que nous croisons et de faire des traitements automatisés sur ces identifiants.

Des spécialistes du numérique, des juristes voient dans cette application les prémices d'une société de la surveillance, ou des algorithmes savent tout de nous et nous envoient en permanence des instructions à suivre. StopCovid n'est-elle pas en train d'ouvrir une boîte de Pandore, profitant de l'état de choc provoqué par l'épidémie?

Ce risque est d'autant plus inacceptable que le bénéfice attendu de l'application reste incertain. Il n'existe pas pour l'instant de preuve incontestable de l'efficacité d'un tel dispositif.

Ainsi par exemple, l'application n'a d'effet que pour les personnes qui acceptent de la télécharger... au risque que la masse critique d'utilisateurs ne soit pas atteinte

Il faut également que l'application fonctionne correctement sur un plan technique. Or l'absence de coopération de Google et d'Apple a beaucoup compliqué la tâche des développeurs français.

Le gouvernement de son côté estime que le jeu en vaut la chandelle. Pour lui, l'application très peu coûteuse peut avoir un effet positif "dès les premiers téléchargement", en cassant des chaînes de contamination qui n'auraient pas été décelées sans elle, par exemple dans le métro ou dans une file d'attente de supermarché.

Pour lui, toutes les garanties nécessaires ont été apportées pour que les données recueillies sur nos rencontres ne puissent pas être exploitées, ni par lui-même, ni par des acteurs malveillants.

La Cnil, le gardien de la vie privée des Français, a d'ailleurs donné son feu vert à l'application, estimant qu'elle ne contrevenait pas aux dispositions législatives en vigueur.