Lors de son audition à l’Assemblée nationale, devant la mission d’information sur le Covid-19, Maris-Laure Denis l’a assuré une nouvelle fois : 

« Les textes qui protègent les données personnelles ne s’opposent pas à la mise en œuvre de solutions de suivi numérique, individualisé ou non, pour la protection de la santé publique ». 

Inutile en conséquence, sous l’aiguillon de l’urgence, de vouloir sortir du cadre. La présidente de la CNIL appelle néanmoins à la « vigilance contre la tentation du «solutionnisme technologique» ». 

Difficile, « d’évaluer les bénéfices effectifs qui pourraient être tirés de l’utilisation de tels dispositifs, d’autant plus que les usages peuvent varier tant au niveau des données collectées que des finalités poursuivies ».

Le traitement des données de localisation exige ou bien une anonymisation ou bien une loi spécifique, en vertu de la directive de 2002 dite ePrivacy. 

S’agissant du RGPD, qui s’appliquera dès lors que des données personnelles sont traitées plusieurs principes s’appliquent : exigence d’une base légale, encadrement des données de santé, respect de la finalité, de la proportionnalité, de la sécurité, etc.

« Si l’on met en place un tel traitement, on doit savoir exactement pourquoi on le fait ». Ainsi,  « il faudra garantir, si un dispositif était mis en œuvre que les données ne pourront pas être traitées ultérieurement à des fins sans rapport avec la gestion de la crise sanitaire ».

Au regard du principe d’adéquation, « il faut que l’instrument mis en place apparaisse réellement utile pour traiter la crise sanitaire ». Et pour le principe de nécessité, « l’utilisation de telles données ne doit pas être une solution de confort ». Il ne doit pas y avoir « d’alternatives efficaces ».

Pour la CNIL, « les autorités publiques devraient d'abord privilégier le traitement des données de localisation anonymisées, par rapport à un suivi individuel qui s’avère plus intrusif ». Le principe de proportionnalité exige aussi que les données soient conservées durant le temps strictement nécessaire.

« Il faut donc concevoir des dispositifs permettant d’assurer une maîtrise des personnes sur leurs données » et « privilégier le stockage des données en local, sur le terminal de l’utilisateur, lorsque cela est possible ».

« Si un suivi individualisé des personnes était mis en œuvre, il faudrait d’abord, à droit constant, qu’il soit basé sur le volontariat, avec un consentement réellement libre et éclairé- et le fait de refuser l’application n’aurait aucune conséquence préjudiciable »