Application concernant la Covid-19
Des applications mobiles, dites applications concernant la Covid-19, sont utilisées à diverses fins en réponse à la pandémie de Covid-19, particulièrement pour aider à la recherche des contacts, c'est-à-dire le processus d'identification des personnes (contacts) qui peuvent avoir été en contact avec une personne infectée. 

De nombreuses applications d'aide à la recherche des contacts basées sur le traçage numérique des contacts ont été développées ou proposées, avec le soutien officiel des gouvernements, basés sur divers protocoles développés pour l'occasion. Ces efforts, en particulier ceux basés sur le traçage de la localisation géographique des personnes (géolocalisation), reçoivent de nombreuses critiques pour les risques et problèmes qu'ils posent en matière de confidentialité et d'utilité. 

Pour pallier les critiques d'un recueil trop important de données personnelles comme dans le cas de la géolocalisation, et/ou du stockage des données dans des serveurs centralisés, des approches décentralisées faisant recours à un traçage dit de  et stockant les données recueillies sur le téléphone mobile ont été proposées. Celles-ci utilisent le plus souvent le Bluetooth à basse consommation (BLE) pour tracer uniquement la proximité du téléphone mobile d'un utilisateur avec d'autres téléphones mobiles, et non sa géolocalisation. Certaines applications, comme TraceTogether et son protocole réutilisé ailleurs  (Singapour) et TousAntiCovid (France) combinent un traçage de proximité utilisant le BLE avec un stockage des données partiellement centralisé. 

Google et Apple ont intégré directement dans leurs systèmes d'exploitation Android et iOS une interface de programmation pour prendre en charge les applications de suivi des contacts basées sur le Bluetooth, et y donnent accès aux applications qui remplissent un certain nombre de conditions, notamment de confidentialité et décentralisation. Cette politique suscite des conflits avec des États qui ont conçu ou cnçoivent des applications ne respectant pas ces conditions, et se voient donc refuser l'accès pour leurs applications à certaines fonctionnalités du système d'exploitation jugées utiles. La position de Google et Apple a contribué à ce que certains États passent à une approche décentralisée, comme l'Allemagne, ou considèrent cette possibilité, comme le Royaume-Uni.

Types d'application

Aide au diagnostic

Recherche des contacts

Aide au confinement

Approches générales

Suivi de localisation basé sur le réseau centralisé 

Certains pays utilisent le suivi de localisation basé sur le réseau, éliminant le besoin de télécharger une application et la possibilité technique d'éviter le suivi. En Israël, le suivi basé sur le réseau a été approuvé. Les solutions basées sur le réseau ont accès aux données brutes de localisation et sont critiquées pour leurs atteintes à la vie privée. Cependant, tous les systèmes utilisant des serveurs centraux ne nécessitent pas l'accès aux données personnelles de localisation; un certain nombre de systèmes visant à préserver la vie privée n'utilisent des serveurs centraux que pour de la communication (voir la section ci-dessous).

En Corée du Sud, la recherche numérique des contacts ne s'appuie pas sur une application ni sur un système de suivi des contacts, mais sur la collecte a posteriori d'informations de différentes sources, notamment les données de suivi des appareils mobiles, les données de transaction par carte et les données de vidéosurveillance. Ces informations sont ensuite combinées pour générer des notifications via des SMS aux personnes potentiellement infectées. Par ailleurs, le gouvernement rend accessible au public les informations recueillies sur les déplacements des personnes testées positives, ce qui est autorisé depuis l' à coronavirus MERS de 2015 dans le pays, qui a mené à des modifications profondes des lois sur la confidentialité en matière de santé publique. Ces informations sont accessibles via certaines d'applications et sites Web.

Suivi des contacts visant à préserver la vie privée 

Le traçage des contacts préservant la confidentialité est un concept bien établi, avec un corpus substantiel de documents de recherche datant d'au moins 2013 . 

Au 7 avril 2020, plus d'une douzaine de groupes d'experts travaillent sur des solutions visant à respecter au maximum la vie privée, telles que l'utilisation de Bluetooth à basse consommation (BLE) pour enregistrer la proximité d'un utilisateur avec d'autres téléphones portables. Les utilisateurs reçoivent un message s'ils ont été en contact proche avec quelqu'un qui a été testé positif à la Covid-19. 

Un groupe de chercheurs européens, notamment du Fraunhofer Heinrich Hertz Institute et de l'École Polytechnique Fédérale de Lausanne (EPFL), qui sont sous l'égide du projet (PEPP-PT) , développent une application sur le BLE conçue pour éviter une surveillance intrusive de l'État. Cependant, le PEPP-PT est un effort de coordination qui comporte à la fois des approches centralisées et décentralisées . Le 17 avril 2020, l'EPFL et l'ETH Zurich se retirent du projet, critiquant le PEPP-PT pour son manque de transparence et d'ouverture, et pour ne pas respecter suffisamment la vie privée. Ensuite, le KU Leuven, le CISPA Helmholz Center for Information Security, le Laboratoire européen pour l'apprentissage et les systèmes intelligents et l'université technique du Danemark se retirent également du projet. Le 25 avril, le gouvernement allemand change de position et annonce partir pour une solution décentralisée . 

Les protocoles décentralisés comprennent le Decentralized Privacy-Preserving Proximity Tracing (DP-PPT / DP-3T), qu'on peut traduire par traçage de proximité décentralisé préservant la confidentialité, le  ("Temporary Contact Numbers") de la coalition mondiale TCN et SafePaths du MIT Media Lab. L'objectif de la décentralisation est de réduire la perte de confidentialité, en échangeant des clés anonymes qui ne contiennent pas d'informations identifiables.

Le 9 avril 2020, le gouvernement singapourien a annoncé qu'il publie en open source une implémentation de référence du protocole BlueTrace utilisé par son application gouvernementale officielle.

Initiative conjointe de Google et Apple : Notification d'exposition 

Le 10 avril 2020, Google et Apple, les sociétés qui contrôlent les systèmes d'exploitation mobiles dominant le marché Android et iOS, annoncent une initiative conjointe pour le suivi des contacts, dénommée d'abord Privacy-Preserving Contact Tracing Project () puis Exposure Notification (). Elles favorisent une approche décentralisée basée sur le traçage de proximité faisant recours à la technologie Bluetooth à basse consommation (BLE) et la cryptographie, citant des avantages en matière de confidentialité. Les deux entreprises déclarent préparer dans un premier temps une interface de programmation pour permettre de simplifier et rendre plus efficace la création d'applications de suivi des contacts. Elles publient également les spécifications des technologies de base utilisées dans le système. Selon Apple et Google, le système devrait être déployé en trois étapes :

 spécification et publication de l'interface de programmation ;
 déploiement d'outils pour permettre aux gouvernements de créer des applications officielles de recherche des contacts préservant la confidentialité ;
 intégration de cette fonctionnalité directement dans iOS et Android.

L'Union américaine pour les libertés civiles déclare que l'approche de Google et d'Apple  .

La volonté de certains gouvernements, notamment de la Grande-Bretagne, de France et d'Allemagne, de créer un système centralisé se heurte à l'opposition de Google et Apple. Apple refuse l'accès des applications centralisées à la technologie bluetooth en tâche de fond, ce qui les empêche de fonctionner quand elles ne sont pas actives. Certains gouvernements décideront ensuite de changer d'approche pour créer des applications décentralisées, leur permettant d'utiliser les outils Google-Apple.

Le 4 mai 2020, citant le respect de la vie privée comme une priorité, Google et Apple décident de bloquer l'accès à leur outil aux applications utilisant le GPS. Certaines autorités publiques y faisant recours en conjonction avec le bluetooth affirment pouvoir néanmoins fournir des applications fonctionnelles en se passant de l'outil.

Le 21 mai 2020, Google et Apple mettent à disposition des autorités sanitaires leur outil intégré directement dans leurs systèmes d'exploitation mobiles.

Restrictions dans les magasins d'applications 
Répondant aux préoccupations concernant la propagation des applications « coronavirus » trompeuses ou nuisibles, Apple a fixé des limites quant aux types d'organisations pouvant ajouter des applications liées aux coronavirus à son magasin d'applications App Store, en les limitant aux seules organisations « officielles » ou autrement réputées. Google et Amazon ont mis en place des restrictions similaires.

Problèmes soulevés

Efficacité 
, professeur d'ingénierie de la sécurité à l'Université de Cambridge, énumère un certain nombre de problèmes pratiques potentiels induit par l'utilisation de logiciels, entre autres des faux positifs et le manque d'efficacité si l'application n'est utilisée que par une petite fraction de la population. La modélisation par des chercheurs de l'Université d'Oxford a estimé que 80% de tous les utilisateurs de smartphones dans une ville d'un million de personnes devraient utiliser un système de suivi pour arrêter l'épidémie. À Singapour, une personne sur six seulement avait téléchargé l'application TraceTogether en avril 2020; l'application a également été sous-utilisée car elle ne fonctionnait que si les utilisateurs la gardaient ouverte à tout moment.

L'interface de programmation proposée par Google et Apple vise à réduire les problèmes de développement en incorporant le mécanisme de suivi des contacts aux systèmes d'exploitation de leurs appareils, diffusé par les mises à jour logicielles standard. Elle permettra notamment de faire fonctionner en arrière-plan le suivi de contacts par BLE. Dans une deuxième phase, le système d'exploitation serait en mesure de suivre l'exposition sans avoir à télécharger une application Covid-19 dédiée.

Confidentialité, de discrimination et de marginalisation 
Des militants de la protection de la vie privée expriment leur inquiétude concernant les implications de la surveillance de la population à l'aide des applications de coronavirus, en particulier au sujet du démantèlement de l'infrastructure de surveillance créée pour faire face à la pandémie de coronavirus une fois la menace passée. Amnesty International et plus de 100 autres organisations ont publié une déclaration appelant à des limites à ce type de surveillance. Les organisations posent huit conditions aux projets gouvernementaux :

 Les mesures de surveillance adoptées pour faire face à la pandémie doivent être légales, nécessaires et proportionnées.
 Si les gouvernements étendent leurs pouvoirs de suivi et de surveillance, alors ces pouvoirs doivent être limités dans le temps et ne doivent pas se prolonger au-delà de la durée nécessaire pour lutter contre la Covid-19.
 Les États doivent veiller à ce que la collecte, la rétention et l’agrégation des données personnelles, notamment des données relatives à la santé, servent uniquement les objectifs de lutte contre la Covid-19.
 Les gouvernements doivent faire tout leur possible pour protéger les données des particuliers, en garantissant un niveau de sécurité suffisant pour toutes les données personnelles collectées et tous les appareils, applications, réseaux ou services qui participent à la collecte, à la transmission, au traitement et au stockage de ces données.
 Le recours aux technologies de surveillance numérique pour faire face à la Covid-19, notamment aux systèmes de big data et d’intelligence artificielle, ne doit pas éluder le risque que ces outils facilitent la discrimination et d’autres atteintes aux droits humains à l’égard des minorités ethniques, des personnes vivant dans la pauvreté et d’autres populations marginalisées, dont les besoins et les réalités vécues peuvent être occultés ou dénaturés dans de grands ensembles de données.
 Si les gouvernements concluent des accords de partage des données avec des organismes du secteur public ou privé, ces accords doivent se fonder sur la loi et leur existence ainsi que les informations nécessaires à l’évaluation de leur impact sur la vie privée et les droits humains doivent être rendus publics – par écrit, en précisant une clause d’extinction, une supervision publique et d’autres garanties par défaut.
 Toutes les mesures doivent intégrer des protections et des garanties de responsabilisation contre les atteintes aux droits humains.
 Les mesures prises en lien avec la Covid-19 qui englobent des activités de collecte de données doivent permettre la participation libre, active et significative des parties prenantes, en particulier d’experts du secteur de la santé publique et des groupes de population les plus marginalisés.

De même en Allemagne, le Chaos Computer Club (CCC)  et Reporters sans frontières (RSF)  publient des listes de conditions.

Le 20 avril 2020, plus de 300 universitaires signent une déclaration en faveur des applications de traçage de proximité décentralisées par rapport aux modèles centralisés, étant donné la difficulté d'empêcher leur utilisation .

Le 25 avril 2020, une tribune coécrite par le sociologue Antonio Casilli, le mathématicien expert en protection des données Paul-Olivier Dehaye et l'avocat Jean-Baptiste Soufron est publiée dans le journal Le Monde. Elle porte sur les risques et les enjeux de l'application française de recherche de contact StopCovid, que le gouvernement français souhaite développer et dans laquelle les auteurs dénoncent le manque de garantie des finalités exactes de la collecte et du traitement des données recueillies.

La solution proposée par Google et Apple propose de supprimer le mécanisme de suivi de leurs systèmes d'exploitation une fois qu'il ne sera plus nécessaire.

Sécurité 
Certaines de ces applications présenteraient des problèmes de sécurité. En mai 2020, l’entreprise privée Pradeo, spécialisée dans le domaine de la cybersécurité, annonce que toutes les applications de suivi de la Covid-19 présentent des failles de sécurité. Leur étude arrive à la conclusion que . Pradeo a ensuite conduit une analyse de sécurité de l’application StopCovid, l’application gouvernementale française, qui place finalement celle-ci ex-aequo avec l’application allemande Corona-Datenspende comme meilleures applications nationales du point de vue de la sécurité. La société YesWeHack a par ailleurs mené un test de piratage sur l’application française, invitant des « hackers éthiques » à trouver des failles contre des primes aux bogues pouvant atteindre . 

L’entreprise Guardsquare, elle aussi spécialisée dans la protection des applications pour téléphones intelligents, arrive à une conclusion similaire : la plupart des applications gouvernementales de traçage pour la Covid-19 ne sont pas sécuritaires et sont à risque de compromettre les données des utilisateurs. L’étude conclut que la majorité de ces applications n’étaient pas protégées adéquatement contre l’exploitation malveillante et la rétro-ingénierie et très peu avaient renforcé suffisamment leur sécurité. 

Amnesty International expose au même moment une faille majeure dans l’application de traçage du Qatar, Ehteraz, rendue obligatoire le 22 mai 2020 (les citoyens ne l’utilisant pas faisaient face à une peine de prison et une amende). La faille donnait accès aux données personnelles (nom, numéro de carte d’identité, localisation et statut médical) de plus d’un million d’usagers. La faille a toutefois été corrigée par les autorités qatariennes le lendemain de son signalement par Amnesty International.

Certaines applications, comme celle du Canada, fonctionnent grâce à la technologie Bluetooth, ce qui permet notamment de stocker les données de localisation sur les appareils mobiles seulement, plutôt que dans des serveurs externes, ce qui diminuerait les risques de faille de confidentialité. Certaines applications, notamment coEpi (États-Unis), SwissCovid (Suisse), Alerte COVID (Québec), Corona-Warn-App (Allemagne) et TraceTogether (Singapour), ont par ailleurs été développées avec un logiciel libre (open source), ce qui permet à la communauté internationale de consulter leur fonctionnement et de les rendre plus sécuritaires.

Interopérabilité 
La prépondérance d'applications nationales fait courir un risque d'absence d'interopérabilité. Pour prévenir ce risque, la Commission européenne engage les pays de l'Union européenne qui développent des applications d'aide à la recherche des contacts à ce que celle-ci soient interopérables.

Applications d'aide à la recherche des contacts

En utilisation 
Canada 
Alerte COVID, l'application de notification d'exposition du Canada, a été lancée à la fin juillet, d'abord en Ontario. Les craintes du Québec concernant la cybersécurité ont retardé son lancement qui était prévu le  juillet. En date du 23 septembre, elle aurait été téléchargée 2,3 millions de fois, ce qui représente 6,6% de la population canadienne. Le 29 septembre, le Québec a annoncé qu'il autoriserait le déploiement de l'application dans la province . Le 5 octobre, le premier ministre François Legault a demandé à tous les Québécois de télécharger l'application.

Chine
Le gouvernement chinois, en collaboration avec Alipay, a déployé une application qui permet aux citoyens de vérifier s'ils ont été en contact avec des personnes atteintes de la Covid-19. Il est utilisé dans plus de 200 villes chinoises.

Colombie Le gouvernement a créé CoronApp, disponible sur Android, iOS et Huawei (AppGallery). Téléchargée par plus de 1,2 million d'utilisateurs, l'application ne consomme pas de données et aide à détecter les zones touchées et les personnes à proximité avec un diagnostic positif à la Covid-19. CoronApp facilite la surveillance en temps réel des données collectées au Centre des opérations d'urgence de l'Instituto Nacional de Salud (Institut national de la santé, INS). Elle intègre des technologies telles que celles développées par les gouvernements de Singapour et de la Corée du Sud, ainsi qu'Apple. La confidentialité, la principale préoccupation de ces applications d'organisations du monde entier, n'a pas été l'exception pour la Colombie: la Fundación Karisma souligne certaines vulnérabilités de CoronApp. Pour encourager l'utilisation de l'application, le gouvernement colombien financera 1 gigaoctet par mois et 100 minutes pour les utilisateurs de lignes prépayées qui l'installent.

France Le 2 juin, le gouvernement a lancé l'application StopCovid.

GhanaLe gouvernement a lancé « GH Covid-19 Tracker App », une application Android et iOS équipée d'une technologie de suivi de localisation pour fournir des informations détaillées sur les personnes qui ont participé au même événement, lieu, pays ou d'autres lieux afin de fournir aux autorités de santé des informations précises pour savoir qui contrôler et à qui fournir de l'aide. L'application a été développée par le ministère de la Communication et de la Technologie et le ministère de la Santé. À la date du 14 avril 2020, l'application attendait l'approbation du Google Play Store et de l'App Store d'Apple.

IsraëlLe ministère de la Santé lance l'application d'aide à la recherche des contacts Hamagen pour iOS et Android, le 22 mars 2020. Hamagen suit la localisation d'un utilisateur à l'aide d'une interface de programmation (API) de localisation standard, puis les compare aux mouvements connus des personnes diagnostiquées avec la Covid-19, afin de vérifier si des chemins se sont croisés au cours des 14 derniers jours. L'application a été conçue pour privilégier la confidentialité, car les données de géolocalisation générées sont gardées sur l'appareil de l'utilisateur et ne sont pas transmises à un serveur, sauf si l'utilisateur le décide.

Macédoine du Nord Avec StopKorona! lancé le , le pays est le premier des Balkans occidentaux à lancer une application de traçage Covid-19. L'application basée sur le Bluetooth retrace l'exposition des personnes potentiellement infectées et aide les autorités sanitaires à fournir une réponse rapide. L'application a été développée et donnée par Nextsense, une société de logiciels basée à Skopje. En ce qui concerne les lois sur la protection des données, l'application n'utilise pas les emplacements des utilisateurs ni les informations personnelles. Les numéros mobiles des utilisateurs sont les seules données liées à l'utilisateur, stockées sur des serveurs gérés par le ministère de la Santé.

Norvège L'application Smittestopp développée par le gouvernement norvégien utilise le Bluetooth et le GPS.

République tchèque Le gouvernement propose une application de traçage inspirée de celle de Singapour appelée eRouška (eMasque). L'application est développée par la communauté informatique locale, publiée en open source et sera remise au gouvernement. 

Singapour L'application TraceTogether est lancée à la mi-mars 2020. Elle repose sur un protocole de traçage de proximité développé pour l'occasion, , avec une implémentation de référence open source, OpenTrace.

Slovénie ZVem est une plateforme administrative en ligne de santé publique développée par l'Institut national de la santé publique et le ministère de la santé en République de Slovénie. Les citoyens peuvent accéder à cette plateforme web et à l'application mobile associée via SI-PASS, un logiciel d'autorisation sécurisé développé spécialement pour les plateformes publiques. Les utilisateurs du service peuvent ainsi prendre un rendez-vous chez un médecin en quelques clics, consulter leurs ordonnances et leurs e-documents ou encore accéder à leurs informations relatives à leur assurance maladie. Par exemple, durant la pandémie de Covid-19, les e-documents servaient à présenter les certificats de vaccination contre le Covid-19.

Turquie Hayat Eve Sigar (HES) est une application développée durant l’épidémie de Covid-19 dans le but de limiter la propagation du virus. Elle permet notamment d’informer l’état « positif » d’une personne infectée à son entourage afin de prendre les précautions nécessaires. L’application permet aussi d’autoriser l’entrée d’une personne dans un espace clos en vérifiant ses codes HES témoignant son état « négatif ». Il est de plus possible de consulter le nombre de cas contacts, de contrôler l'état de santé de son environnement proche (mère, père, frère ou sœur) mais aussi de classifier sous plusieurs états dont celui de « malade » une personne afin de la maintenir 14 jours en quarantaine.

En phase de test

Suisse 
L'administration fédérale lance un test de l'application SwissCovid sur Android et iOS le , ouvert aux membres des administrations publiques, des hôpitaux et de l'armée. L'application est basée sur le traçage de proximité à l'aide du bluetooth à basse consommation en suivant le protocole Decentralized Privacy-Preserving Proximity Tracing (DP-3T) développé en bonne partie par des chercheurs des écoles polytechniques fédérales de Lausanne et Zurich au sein d'un groupe international. Le code source de l'application est publié le , et son architecture de données est décentralisée, les données sur les contacts étant enregistrées sur les téléphones mobiles des utilisateurs et ne transitant pas par un serveur central. L'application est réalisée par le développeur Ubique qui a déjà réalisé plusieurs applications pour le secteur public suisse, et se revendique être la première au monde basée sur les systèmes de Google et Apple, qui sont par ailleurs en partie inspirés de l'approche décentralisée du protocole DP-3T.

En développement 
L'Irlande annonce une application fin mars. 

En Allemagne, le gouvernement fédéral, qui veut une application de suivi des contacts, suit d'abord le projet PEPP-PT, qui développe un traçage de proximité recueillant les données sur un serveur centralisé. Il change ensuite d'orientation et se décide en faveur d'une approche décentralisée, et demande aux entreprises allemandes SAP et T-Systems de mener le projet, qui est réalisé en open source et qui utilisera l'interface de programmation de Google / Apple. 

L'Australie et la Nouvelle-Zélande envisagent des applications basées sur l'application TraceTogether de Singapour et le protocole . 

L'Autriche a annoncé une application nationale basée sur le protocole Decentralized Privacy-Preserving Proximity Tracing. 

Au Maroc, le Gouvernement annonce début mai qu'il va développer une application basée sur TraceTogether. 

Au Royaume-Uni, Matthew Gould, directeur général du NHSX, l'organisme gouvernemental responsable de la politique technologique pour le NHS, déclare fin mars 2020 que l'organisation envisage sérieusement une application qui alerterait les gens s'ils avaient récemment été en contact avec une personne testée positive au virus après que des scientifiques aient suggéré au gouvernement que cela « pourrait jouer un rôle critique » pour réduire le confinement. Le 12 avril, le gouvernement a déclaré que l'application de recherche des contacts était à un stade avancé de développement et serait disponible pour un déploiement dans quelques semaines. 

En Russie, la ville de Moscou a l'intention de déployer une application de géolocalisation pour s'assurer que les patients diagnostiqués à la Covid-19 ne quittent pas leur domicile.

Protocoles

Liste des applications par pays

Critique 
L'implication de Palantir dans  de traçage des contacts des personnes infectées par le coronavirus est critiquée.

Voir aussi

Liens externes 
Traçage des données mobiles dans la lutte contre le Covid-19 - Analyse des potentiels et des limites - Référencement des méthodes et des exemples étrangers [à la France] - Note parlementaire - Mounir Mahjoubi - 44 pp. (6 avril 2020)

Notes et références 

Logiciel de téléphonie mobile
Application mobile