L'État met-il en danger le respect de nos données personnelles?

Ce dont on parle

Cette tendance à faire du traitement de nos données un "mic-mac" illisible n'a pas attendu la pandémie pour se frayer un chemin à travers le mille-feuille administratif belge : "Depuis quinze ans, il y a une tendance à la centralisation", commente Elise Degrave, professeure de droit à l'UNamur et spécialiste de cet entre-deux juridico-numérique. À l'image de cette loi, dont une des dispositions stipule que "l'on peut injecter, et donc centraliser, de nouvelles données dans d'anciennes bases de données, ce qui veut donc dire que ce n'est pas provisoire comme dispositif". Voilà qui a de quoi crisper, d'autant que le contrôle démocratique n'est pas franchement assuré selon bon nombre de juristes : "L'idée était d'avoir une sorte de mode d'emploi qui soit décidé par le Parlement, sauf qu'on redélègue en termes d'application au Roi", relève pour sa part l'avocat Jean-François Henrotte, spécialiste de la protection des données et de la vie privée. "C'est une technique législative acceptable quand c'est du détail dans des lois, mais là on délègue de grandes décisions au Roi." Mais pouvait-il en être autrement dans un contexte de crise sanitaire aiguë ? "Cette loi est censé être une réponse avec du recul, mais cela reste une rédaction d'urgence", tranche l'avocat.

Finalité et durée

La controverse s'ajoute aux polémiques entourant les données relatives au tracing ou à la vaccination (lire ci-contre), qui ont jeté une lumière crue sur l'utilisation parfois peu claire des données privées des Belges, qu'il s'agisse de la durée de conservation ou de la finalité de cette conservation. Des questions cruciales selon Jean-François Henrotte : "Pour l'application (Coronalert NdlR) par exemple, on parlait de 14 jours de conservation des données. La finalité était qu'en gros, si vous n'êtes pas malade dans les 14 jours vous ne le serez plus une fois cette durée écoulée." "Or, ce qu'il s'est passé, rebondit Elise Degrave, c'est qu'on a pu réutiliser des informations parce que parmi les dispositions était stipulée, sur la question de la réutilisation des données, la mention 'entre autres'…"

Tout ce qui n'est pas interdit est permis

L'ambiguïté concernant la durée et la finalité de la conservation de données à caractère personnel ne s'arrête pas à la seule loi pandémie ou au tracing. C'est aussi le cas de l'accord de coopération censé baliser les données relatives à la vaccination : "Quand je vois dans l'accord de coopération que la finalité - article 4 - prévoit que les données puissent être transmises aux assureurs, j'ai beau retourner le problème dans tous les sens, on ne peut par exemple pas exclure qu'une banque refuse d'assurer des emprunts hypothécaires car un client n'est pas vacciné. Elle pourra dire : 'Si vous mourez du Covid pendant le remboursement, cela ne m'arrange pas'", explicite Elise Degrave qui nuance : "Certes, il n'est pas dit qu'on va le faire. Mais ce n'est pas dit non plus qu'on ne va pas le faire, parce que ce n'est pas bétonné dans la loi. En droit, ce qui n'est pas interdit est permis."

Trouver l'équilibre

Tout n'est pas noir cependant. "D'abord il faut encore permettre des choses dans notre société", tempère Jean-François Henrotte, auquel cas "on tire une balle dans le pied du progrès". "Il peut y avoir des services qui ont besoin de s'entraîner sur des données et il faut pouvoir le permettre, à condition qu'on prenne des précautions. Et ces précautions ça peut être l'anonymat."

D'autant que les questions relatives au traitement des données personnelles émergent à peine dans le débat public : "Le Covid-19 donne un coup de projecteur à cette question. Je pense que quand les gens ont dû dire à des centres de traçage qui ils avaient rencontré, cela a généré une prise de conscience. Puisque cela touche à de nombreux domaines de la vie privée : le droit d'aller et venir, de se rassembler, etc.", abonde Elise Degrave, qui conclut : "Les parlementaires sont peu formés mais depuis tout ce boum, je suis très sollicitée par les partis francophones."

Vigilance n'est pas complotisme

"Je ne pense pas qu'il y ait de projet diabolique derrière le flou qui entoure la gestion des données par l'État", souligne Elise Degrave, qui travaille depuis une quinzaine d'années sur ces questions.

"Mais il faut faire attention car cela devient la thèse préférée des complotistes, observe-t-elle. Je ne l'avais pas prévu et ce n'était pas du tout mon but. Il faut bien rappeler qu'il n'y a pas de projet machiavélique derrière, que c'est compliqué. D'autant que je pense même que ces personnes qui mettent en place ces bases de données n'ont pas un projet derrière : elles font du mieux qu'elles peuvent."

Link-vacc, le grand projet qui ne ravit pas l'Autorité de protection des données

Coupler des bases de données relatives à la vaccination, c'est en cours. Il s'agit du projet Link-vacc, porté par Sciensano, le fédéral et les Régions, qui vise à lier les données relatives à toutes les vaccinations Covid-19 à "d'autres bases de données contenant des informations pertinentes et détaillées". Le projet vise, en théorie, à surveiller la couverture vaccinale, à déterminer l'efficacité des vaccins et contribuer à la surveillance de sécurité des vaccins. Le tout au moyen de données "pseudonymisées", ce qui signifie que le projet nécessite que l'on puisse identifier des personnes grâce à des données concordantes - par exemple lors d'un travail statistique.

Pas de quoi crier au loup jusqu'ici, d'autant que le projet est permis par l'accord de coopération (lire ci-contre) censé baliser les données relatives à la vaccination. Et qu'il a reçu l'aval du Comité de sécurité de l'information (CSI), dont les membres sont nommés par le Parlement, qui n'y voit pour ainsi dire aucun problème.

Contraire au RGPD

Pourtant la raison invoquée pour cette utilisation de données pseudonymisées fait tiquer l'Autorité de protection des données (APD), qui, visiblement, n'a pas été consultée sur la question. En particulier le fait qu'il soit visiblement "nécessaire que la plate-forme eHealth conserve le lien entre le set de données pseudonymisées et l'identité des personnes jusqu'à 5 ans après la fin de la campagne de vaccination". Ceci au motif de "faisabilité de projets de recherche potentiels ainsi que pour des contrôles de qualité en cas d'obtention de résultats inattendus".

"Le problème ici, c'est l'article 89 du RGPD qui dit que pour faire des recherches, des statistiques, etc., on doit a priori travailler sur des données anonymisées", nous glisse-t-on en interne du côté de l'APD. "Anonymiser, cela veut dire qu'il n'y a plus jamais moyen de faire le lien avec la base de données - le lien est coupé. En gros, qu'il n'y a plus une base de données où on sait retrouver ce lien. Or, ici, la finalité serait bien de travailler avec des données pseudonymisées." Le verdict officiel de l'APD est à peine plus policé : "La raison pour laquelle des données anonymisées (c'est-à-dire non ré-identifiables) ne seraient pas suffisantes pour la finalité poursuivie dans le cas d'espèce n'est pas claire (contrairement aux prévisions de l'article 89 du RGPD prévoyant les garanties et dérogations applicables au traitement de données à des fins de recherche scientifique notamment)."

Un constat prudent qui exprime pourtant le malaise vis-à-vis du CSI, qui "n'est pas compétent pour autoriser l'utilisation de données ou le partage/échange/croisement de données", explique l'APD. Concrètement, "ce CSI n'est pas un organe qui peut émettre des autorisations - c'est un organe technique qui peut juste s'assurer que les modalités des transferts de données sont 'safe'", nous explicite-t-on. "En gros, que les données ne soient pas envoyées par email, qu'elles sont supprimées quand elles ne sont plus nécessaires, bref, la sécurité des processus. Or, ici, le CSI autorise et se place au-dessus du Parlement en validant le projet dans son entièreté."