Le projet StopCovid, une solution numérique pour contribuer à la lutte citoyenne contre l’épidémie de Covid-19

Sous la supervision du ministère de la Santé et des Solidarités et du secrétariat d’État au numérique, en lien avec le ministère de l’*Enseignement supérieur, de la Recherche et de l’Innovation, Inria pilote depuis le 7 avril 2020 le développement de l'application « StopCovid » auquel contribue à titre gracieux un ensemble d'acteurs publics et privés, au sein de l’équipe-projet StopCovid, qui rassemble ANSSI, Capgemini, Dassault Systèmes, INSERM, Lunabee, Orange, Santé Publique France et Withings, et que complète un écosystème de contributeurs. Ce projet contribue à la gestion de la crise sanitaire Covid-19 et au suivi épidémiologique par les autorités de santé.

En amont de toute décision politique, l’objectif du projet est de pouvoir rendre possible la mise à disposition d’une application permettant d'informer les usagers s'ils ont été en contact avec une personne ayant été testée positive au COVID-19, et de leur proposer des conduites à tenir, conformément aux préconisations du ministère de la Santé et des Solidarités. L’application participerait d’une lutte citoyenne contre la propagation du virus puisqu’elle s’appuie sur le volontariat.

Le projet repose sur l'implémentation d’un protocole, ROBERT, qui a donné lieu à un avis du Conseil national du numérique (rendu public le 24 avril 2020) et à une délibération de la CNIL (rendue publique le 26 avril 2020).

Cinq fondements guident les développements :

• L’inscription de l’application StopCovid dans la stratégie globale de gestion de la crise sanitaire et de suivi épidémiologique.
• Le strict respect du cadre de protection des données et de la vie privée au niveau national et européen, tel que défini notamment par la loi française et le RGPD ainsi que la boîte à outils récemment définie par la commission européenne sur les applications de suivi de proximité.
• La transparence, qui passe notamment par la diffusion, sous une licence open source, des travaux spécifiques menés dans le cadre du projet. L’objectif est d’apporter toutes les garanties : transparence des algorithmes, code ouvert à terme, interopérabilité, auditabilité, sécurité et réversibilité des solutions.
• Le respect des principes de souveraineté numérique du système de santé publique : maîtrise des choix de santé par la société française et européenne, protection et structuration du patrimoine des données de santé pour guider la réponse à l’épidémie et accélérer la recherche médicale.
• Le caractère temporaire du projet, dont la durée de vie correspondra, s’il est déployé, à la durée de gestion de l’épidémie de Covid-19.

Les étapes clés de l’application StopCovid

• 24 mars : un Comité d’Analyse, Recherche et Expertise (CARE), présidé par la virologue Françoise Barré-Sinoussi et regroupant douze médecins et chercheurs, est installé avec pour principale mission de proposer aux autorités françaises des solutions innovantes, scientifiques et technologiques pour répondre à la crise sanitaire. Parmi l’ensemble des solutions et doctrines étudiées, des tests aux essais cliniques, le comité CARE accompagne également la réflexion des autorités sur l’opportunité d’une stratégie numérique d’identification volontaire des personnes ayant été en contact avec des personnes infectées. Dès ses prémisses, le projet est alors déjà envisagé comme une solution totalement intégrée au processus sanitaire.
• 07 avril : Inria est chargé par le gouvernement de piloter l’équipe-projet StopCovid et l’écosystème des contributeurs qui se mobilisent pour développer une application mobile de contact tracing pour la France.
• 08 avril : les ministres en charge respectivement de la Santé et du Numérique, MM. Olivier Véran et Cédric O, annoncent qu’un travail est mené pour construire le prototype d’une application française, STOPCOVID, dans le cadre d’une stratégie globale de déconfinement. Le leadership du projet, qui associe acteurs publics et privés, est confié à Inria.
• 15 avril : finalisation de la feuille de route avec les partenaires et contributeurs de l’équipe-projet StopCovid sur le volet opérationnel pour délivrer une solution prenant en compte toutes les dimensions.
• 18 avril : publication de la version 1 du protocole de communication ROBERT par Inria (équipe de recherche Privatics) et Fraunhofer/AISEC, dans le cadre d’un projet franco-allemand, permettant de donner un cadre pour le fonctionnement global, d’exposer les aspects sécurité et respect de la vie privée, et de garantir une interopérabilité au niveau européen pour le déploiement d’une application. Sur la base de ce protocole, les développeurs membres de l’équipe-projet StopCovid travaillent sur l'implémentation des premières briques fonctionnelles de l’application et de son infrastructure, dans l’optique de proposer une application déployable opérationnellement en tant que de besoin, dans le cadre d’un calendrier fixé par le gouvernement.
• 18 avril : Bruno Sportisse publie une tribune pour expliquer l’engagement d’Inria dans la lutte contre la Covid-19 et apporter des éléments de compréhension sur le protocole Robert et l’application StopCovid.
• 21 avril : L’EDPB (European Data Protection Board, l’équivalent de la CNIL au niveau européen) publie des recommandations qui précisent que les deux types d’architectures centralisées et décentralisées peuvent permettre de s’inscrire dans le cadre européen de protection des données.
• 24 avril : le Conseil national du numérique émet un avis favorable au principe de StopCovid, en tant que brique d’une stratégie plus globale.
• 26 avril : la CNIL estime le dispositif conforme au Règlement général sur la protection des données (RGPD) si certaines conditions sont respectées. Elle relève qu’un certain nombre de garanties sont apportées par le projet du gouvernement, notamment l’utilisation de pseudonymes.
• 26 avril : publication de l’article de présentation de l’équipe-projet StopCovid et de ses contributeurs.
• 12 mai : début de la publication du code source et de la documentation de StopCovid sur Gitlab Inria. Les équipes de développeurs de l’ensemble des partenaires sont mobilisés.
• 12 mai : audition de Guillaume Poupard, président de l’ANSSI, à l’Assemblée nationale sur le volet sécurité de l’application StopCovid
• 18 au 22 mai : Après des tests techniques en laboratoire et la prise en compte des travaux menés par des chercheurs des secteurs public et privé français, en coopération avec leurs homologues allemands et britanniques, des tests de simulation de conditions réelles sont déployés afin de vérifier le fonctionnement de l’application StopCovid, et de mesurer les résultats de la détection de proximité, dans différentes situations. D’autres tests sur l’aspect fonctionnel/expérience utilisateur de l’application, pour évaluer les réactions à l’usage d’un panel représentatif d’utilisateurs, externes à l’équipe projet, sont prévus dans les jours qui suivent.
• 26 mai : la CNIL rend son avis sur les conditions de mise en œuvre de l’application StopCovid.
• 27 mai : l'Assemblée Nationale approuve la mise en place de l'application StopCovid (553 votants avec 338 votes pour et 215 votes contre).
• 27 mai : début de la phase de Bug Bounty privé piloté par YesWeHack.
• 27 mai : le Sénat s'est prononcé en faveur de la déclaration du gouvernement relative aux innovations numériques dans la lutte contre l'épidémie de Covid-19, en application de l'article 50-1 de la Constitution, par 187 voix contre 127.
• 01 juin : les documentations des fondamentaux scientifiques du projet sont accessibles sur GitLab
• 01 juin : la phase privée du Bug Bounty a été clôturée.
• 02 juin : l'application est proposée au téléchargement sur App Store et Play Store
• 02 juin : le Bug Bounty StopCovid public est lancé sur la plate-forme de YesWeHack