Application "StopCovid": la Cnil fait le bilan de ses contrôles

Marie-Laure Denis, présidente de la Cnil, a décidé de diligenter des vérifications sur l'application StopCovid. Trois contrôles ont ainsi été organisés en juin afin de s'assurer que le fonctionnement de "StopCovid France" répond aux exigences de protection de la vie privée et des données personnelles de ses utilisateurs.

La Cnil estime que cette nouvelle version respecte pour l'essentiel le RGPD et la loi Informatique et libertés. Elle a cependant relevé plusieurs irrégularités et a mis le ministère des Solidarités et de la Santé en demeure d'y remédier. Elle a en particulier relevé certains manquements ponctuels relatifs à l'analyse d'impact, au recours au re-captcha Google, dans l'information fournie au public et dans les contrats de sous-traitance. "Si la première version de l'application faisait remonter l'ensemble de l'historique de contacts des utilisateurs au serveur central, et non les seuls contacts les plus susceptibles d'avoir été exposés au virus, la Cnil a constaté que ce problème était résolu sur la nouvelle version de l'application, déployée fin juin. Elle demande cependant à ce que cette nouvelle version soit généralisée à tous les utilisateurs de Stopcovid", indique la Cnil via un communiqué de presse.

Au regard des manquements constatés, le ministère des Solidarités et de la Santé devra donc mettre l'application Stopcovid en conformité dans le délai d'un mois. Cette mise en demeure a été rendu publique par le bureau de la Cnil, compte tenu du nombre particulièrement important de personnes concernées (près de 2 millions d'utilisateurs) et du caractère sensible des données personnelles issues de l'application "StopCovid France", qui portent sur l'état de santé des utilisateurs.

La Cnil rappelle que cette mise en demeure n'est pas une sanction. En effet, aucune suite ne sera donnée à cette procédure si le ministère des Solidarités et de la Santé se conforme au RGPD et à la loi Informatique et libertés dans le délai imparti. Dans ce cas, la clôture de la procédure sera également publique. Dans le cas contraire, la présidente pourra saisir la formation restreinte de la Cnil afin qu'une sanction soit prononcée.