Les libertés piégées

Ce coronavirus aura été le révélateur de toutes les transgressions possibles. Qui aurait pensé il y a seulement trois mois qu’un virus venu du bout du monde eût été capable d’enfermer la moitié de l’humanité, arrêter l’économie, vider les villes, les magasins, et faire pleuvoir —au mépris de tous les dogmes établis— des milliers de milliards pour colmater ce qui pouvait l’être ? Aujourd’hui, l’épidémie se tarit partout dans le monde mais, la peur mêlée à l’incapacité de répondre efficacement à la menace, oblige à des mesures de sécurité qui bousculent nos libertés. C’est le cas de ces opérations de « traçage » de la population présentées comme la panacée pour éviter la propagation de la maladie. Qu’en est-il réellement et comment laissons-nous le piège de la sécurité — en l’occurrence sanitaire — se refermer sur les libertés ?

Ce n’est pas un ponte, un de ces grands professeurs de médecine que l’on voit fréquemment, par ces temps de corona, parader sur les chaînes de télévision pour délivrer l’étendue de leur science comme de leur incertitude. Il n’est pas connu, c’est un médecin généraliste comme il y en a des milliers. Il a crié sa colère sur les réseaux sociaux dans une vidéo de deux minutes, vue des dizaines de milliers de fois. Le Dr Kharim Khelfaoui, médecin à Marseille, se révolte pour alerter contre la violation du secret médical « qu’est en train d’organiser sciemment le gouvernement ».  De quoi s’agit-il ?

Casser les chaînes de contamination

Le contexte est celui de la loi de prorogation de l’état d’urgence sanitaire, présentée en Conseil des ministres le 2 mai, et adoptée par l’Assemblée nationale ce 9 mai. L’article 6 de cette loi établit la création d’un « système d’information » destiné à « identifier des personnes infectées » et à « collecter des informations » sur le maximum de personnes en contact avec elles. Ces dernières seront visitées par des « brigades » d’agents, notamment de la Sécurité sociale, qui seront chargés de les interroger, les tester et, le cas échéant de les isoler.  

En substance, pour limiter la propagation de l’épidémie, la loi organise un système d’identification des cas porteurs du virus et des personnes qui auraient été en contact avec elles, les « cas contacts ». Le dispositif prend la forme de deux fichiers : l’un, le Sidep, identifiera tous les malades du Covid-19 ; le deuxième, Contact-Covid, recensera tous les cas contacts. L’objectif défendu par le ministre de la santé lors du débat à l’Assemblée est de « casser les chaînes de contamination ».

Sur le papier, cette mesure n’a rien de révoltant si on la resitue dans le contexte très particulier de lutte contre une maladie qui peut, dans certains cas, s’avérer mortelle et contre laquelle nous ne possédons aucun traitement encore validé. En revanche, les modalités d’application de cette mesure et la portée de ses conséquences posent question.

Violation du secret médical

Le médecin généraliste marseillais évoque la violation du secret médical, pierre angulaire de la relation de confiance entre un patient et son médecin. Le nouveau système demande en effet aux médecins de saisir dans un fichier l’identité des malades qui les consultent se révélant porteurs du Covid-19. Le gouvernement a insisté pour que cette saisie dans le fichier soit payée entre 2 et 4 euros au médecin. Les praticiens sont donc tenus de déclarer tous les cas qu’ils diagnostiquent et de faire remonter l’information vers les systèmes de santé publique. Ce faisant, et en acceptant rémunération, ils deviennent de facto des obligés de l’administration de santé publique.

Cette pratique n’est pas nouvelle dans son principe puisqu’elle est mise en œuvre pour déclarer toutes les maladies à risque épidémique. En revanche, ce qui est nouveau c’est que le travail du médecin ne s’arrête pas à la simple déclaration de ses patients contagieux. Il devra aussi interroger son patient sur tous les contacts que ce dernier aura eu pendant les 24 ou 48 heures précédant sa contamination. Le médecin devra saisir les noms et si possible coordonnées de ces personnes dans un fichier. Il faut préciser que cette introduction nominative s’opère non seulement sans le consentement mais aussi nécessairement à l’insu des personnes soupçonnées d’être des cas-contacts. Le médecin est donc ainsi appelé à rompre le secret médical pour rapporter des informations de nature intime relatives à son patient.  De surcroît, le médecin est appelé à constituer, sur la simple déclaration de son patient, une base de noms et adresses de personnes qui seront ensuite recherchées par les services de l’Assurance-maladie ; si celle-ci ne parvient pas à joindre ces cas-contacts, elle sollicitera l’aide des préfets et des services municipaux.  

L’inquiétude du médecin marseillais est partagée par l’Académie de médecine. Dans un communiqué du 6 mai, elle rappelle que le secret médical est « un élément fondamental de la relation de confiance médecin – malade ». Selon elle, une telle démarche n’est envisageable que si le malade a la possibilité de s’opposer à la transmission de données le concernant, « sans que ce choix n’ait de conséquence sur sa propre prise en charge médicale ».

L’Ordre des médecins a, lui aussi, publié un communiqué demandant que les informations transmises par les médecins restent strictement « limitées aux seules fins de lutter contre la propagation de l’épidémie de Covid-19 ». La Commission nationale de l’informatique et des libertés (Cnil) quant à elle, assure vouloir veiller « à limiter le nombre d’accès, à prévoir des règles d’habilitations très strictes » pour éviter des abus d’accès à ces fichiers sensibles.

Une armada pour récolter massivement les données de santé

Les médecins généralistes ne sont pas seuls à être appelés pour alimenter les bases de données de malades ou cas-contacts du Covid-19. Une armée de professionnels sera mise au service de ce recueil massif de données : le service de santé des armées, les communautés professionnelles territoriales de santé, les établissements de santé, sociaux et médico‑sociaux, les maisons de santé, les centres de santé, les services de santé au travail, les médecins prenant en charge les personnes concernées, les pharmaciens ainsi que les laboratoires et services autorisés à réaliser les examens de biologie ou d’imagerie médicale participent à la mise en œuvre de ces systèmes d’information précise le quotidien Le Monde.

De plus, toutes les personnes ayant subi un test de dépistage du Covid-19 entreront automatiquement et nominativement dans un des fichiers, en l’occurrence, le Sidep (Service intégré de dépistage et de prévention). Le gouvernement voit grand : chaque semaine seront réalisés 700 000 tests permettant de déceler le virus SARS-CoV-2 dans des prélèvements nasopharyngés.

Le processus consiste donc bien à collecter des données de santé de millions de Français. Les décrets d’application ne sont pas encore publiés mais des sources de presse font état d’un document qui détaille les informations figurant obligatoirement dans le fichier Sidep : nom, sexe, date de naissance, adresse, numéro de téléphone, mais aussi type de résidence et activité. D’autres données, comme la date d’apparition des premiers symptômes, l’adresse électronique ou le lieu de naissance, pourraient ne pas être versées au fichier.

Le nouveau socle des fichiers S sanitaires

Ces données, véritables « fichiers S » sanitaires, seront stockées dans les bases Sidep et Contact-Covid qui serviront de socle à un « nouveau système d’information » lié à la santé. Celui-ci a été inauguré par Agnès Buzyn alors ministre de la santé en décembre 2019, juste avant le démarrage de la pandémie et sans relation, à l’origine, avec celle-ci.

C’est une nouvelle plateforme, baptisée en anglais par le gouvernement français « Health Data Hub », qui a pour fonction de centraliser les données de santé des Français. La nouvelle plateforme remplace le Système national des données de santé (SNDS) et obéit à l’objectif de « favoriser l’utilisation et de multiplier les possibilités d’exploitation des données de santé, aussi bien en recherche clinique, qu’en termes de nouveaux usages, notamment ceux liés au développement des méthodes d’intelligence artificielle ».

Big data et technosciences au service de la santé ; cette plateforme s’inscrit dans l’inspiration libérale de la loi santé votée en juillet 2019. Elle a pour vocation de devenir un guichet unique à destination des acteurs, privés et publics, laboratoires de recherche, industries comme startups, et servir d’appui à la recherche en intelligence artificielle. Un outil fondamental dans la transformation numérique du système de santé, menée à marche forcée par le gouvernement.  

L’idée fondamentale de cette plateforme est d’élargir au maximum les données recueillies par l’Assurance maladie ; celles-ci sont déjà nombreuses, la France étant un des rares pays à centraliser l’ensemble des données du parcours de soins de 99 % de la population. Dans le projet initial, viendront s’y ajouter toutes les données présentes dans les CHU ainsi que celles récoltées par les médecins de ville et les pharmacies. Une mine d’informations conçue sans compter l’opportunité qu’allait représenter l’épidémie de Covid-19.

Un hébergement problématique des données

Ces milliards de données représentent une masse considérable d’informations qu’il faut héberger dans des serveurs puissants et gérer le plus efficacement possible. Officiellement « pour aller vite », le choix du gouvernement s’est porté sur les services de cloud de Microsoft, le géant américain de l’informatique. Un choix opéré en ayant recours à un appel d’offre limité procéduralement à un candidat. Ce choix d’un service américain pour gérer les données aussi personnelles de millions de Français ne manqua pas de susciter la polémique. La France a, par exemple, la chance de compter un opérateur de très haute qualité, OVH, qui aurait pu prétendre remplir le service aussi bien que Microsoft. Il n’en fut rien et certains, comme le professeur Israël Nisand n’hésita pas à qualifier cette décision de « haute trahison » lors du forum européen de bioéthique qui s’est tenu en février dernier.

Une polémique justifiée par des précédents. Google est l’opérateur des données de santé de millions d’Américains et de citoyens britanniques ; Facebook, n’est pas de reste et lorgne sur les données de santé de ses milliards d’utilisateurs. Avec l’épidémie de Covid-19, les GAFA ont senti le filon. Alphabet, la maison-mère de Google, a mis en place une interface pour faciliter l’éligibilité aux tests ; Amazon a proposé au gouvernement britannique sa logistique pour la mise en œuvre de tests à grande échelle ; Jack Dorsey, le patron de Tweeter a mis un milliard de dollars sur la table pour découvrir le premier traitement contre le coronavirus. Au-delà des GAFA « historiques », c’est Alibaba qui fournit les QR codes santé, indispensables aux Chinois pour circuler par temps de pandémie. C’est enfin Palantir, la société de traitement des données massives, créée par Peter Thiel, le fondateur de Paypal, qui propose à la France ses algorithmes pour analyser les bases de données de santé des Français, hébergées par Microsoft.

Une captation qui écorne la souveraineté d’un pays sur ses données sensibles, et fait peser un risque sur leur utilisation et leur marchandisation. Car, à travers Microsoft, toute entreprise certifiée hébergeur de santé démontrant un simple intérêt pour la recherche médicale pourrait réclamer un accès aux données de santé, qu’elles soient liées au Covid-19 ou pas ; c’est le cas d’ores et déjà d’Amazon ou de Google. La plateforme Microsoft pourrait ainsi être la porte d’entrée d’un circuit de données entre divers acteurs connectés dans le même cloud. Enfin, la société américaine est soumise au Cloud Act mis en place par l’administration Trump : elle oblige tous les hébergeurs de données américains de fournir à l’administration ou à la justice de leur pays toutes les données dont elles disposent. Cette règlementation permet un accès unilatéral de la part du gouvernement américain aux données d’un pays tiers, le tout sans avoir à fournir de précisions sur la nature du contenu récupéré.

Certes, les autorités françaises jurent que des garde-fous et des protections de la vie privée seront scrupuleusement respectés. Les données seront cryptées si ce n’est anonymisées, leur accès sera réservé de façon draconienne, promet-on. Afin de circonscrire toute inquiétude, le Sénat a obtenu la création d’un « Comité de contrôle et de liaison Covid-19 », pour évaluer la pertinence des dispositifs numériques mis en place. La commission des lois de l’Assemblée a, quant à elle, prévu qu’un rapport et un avis de la CNIL seront régulièrement transmis au Parlement. Il n’est pas certain que cela soit suffisant face aux appétits de nombreux acteurs en matière de données sensibles.

La peur et la liberté

Dans la lutte contre le coronavirus, face à l’imprévu, aux carences dans l’organisation des systèmes de soin face à un ennemi redoutable, les gouvernements ont dû agir dans l’urgence. Les premiers réflexes ont été de protéger en isolant le plus possible chaque individu des autres, afin qu’il ne soit pas contaminé. Cela impliquait d’adopter des mesures inédites en temps de paix de contrainte et de coercition. Les mesures de confinement ont ainsi été mises en place et adoptées assez aisément par la population car la menace du risque annoncé était immense.

La peur a permis des entorses que l’on n’aurait jamais imaginées aux libertés. Puis, les vagues épidémiques se tarissant, il fallait éviter une reprise de l’épidémie mais, en même temps, relancer l’activité économique mise en pause pendant cette période. Un nouveau discours est apparu fondé sur la prise de responsabilité de chacun : nous sommes un peu plus libres d’aller et venir mais il faut que chacun soit vigilant et prenne ses responsabilités.

L’épidémie nous dit-on est moins violente, mais elle existe toujours, elle est là, dans notre environnement immédiat, et pourrait circuler à bas bruit. Les mesures de « tracing » viennent ainsi s’ajouter à celles de distanciation sociale. Il faut connaître les circuits relationnels de chaque personne infectée pour éviter la propagation. Cela semble du bon sens. Mais une telle mesure ébrèche forcément la protection, que nous avons établie comme principe intangible, de nos données personnelles et de notre vie privée.

Cette situation exige des mesures limitées dans le temps et contrôlées dans les moindres détails pour éviter les dérapages et circonscrire leur utilisation à un champs très précis. Ces limites font partie des promesses que font les autorités. Mais les modalités de mises en œuvre, les choix techniques engagés, l’opportunité de certaines dispositions posent des questions et oblige chaque citoyen à  la plus grande vigilance.