# Contact tracing et constitutions : les juridictions constitutionnelles face aux défis numériques de la pandémie

*Contact Tracing and Constitutions: Supreme and Constitutional Courts Facing the Digital Challenges of the Pandemic*

Eleonora Bottini

<figure><img src="image_1.png" /></figure>

OpenEdition
Journals

## Édition électronique

URL : https://journals.openedition.org/crdf/8834
DOI : 10.4000/crdf.8834
ISSN : 2264-1246

## Éditeur

Presses universitaires de Caen

## Édition imprimée

Date de publication : 17 novembre 2023
Pagination : 53-61
ISBN : 978-2-38185-211-9
ISSN : 1634-8842

## Référence électronique

Eleonora Bottini, « Contact tracing et constitutions : les juridictions constitutionnelles face aux défis numériques de la pandémie », *Cahiers de la recherche sur les droits fondamentaux* [En ligne], 21 | 2023, mis en ligne le 17 octobre 2023, consulté le 19 octobre 2025. URL : http://journals.openedition.org/crdf/8834 ; DOI : https://doi.org/10.4000/crdf.8834

<figure><img src="image_2.png" /></figure>
Contact tracing et constitutions :
les juridictions constitutionnelles
face aux défis numériques de la pandémie

Eleonora BOTTINI

Professeure de droit public à l'université de Caen Normandie

Codirectrice de l'Institut caennais de recherche juridique (ICREJ, UR 967)

I. La censure de l'insuffisance des garanties constitutionnelles

A. L'absence de consensus des intéressés

B. L'absence de protection suffisante des données personnelles

II. La censure de l'utilisation des données à des fins sécuritaires

Au Minnesota, lors des manifestations Black Lives Matter en 2020, les forces de l'ordre ont admis qu'elles utilise-raient le traçage des contacts mis en place dans le cadre de la pandémie de Covid-19 pour localiser les manifestants et poursuivre, le cas échéant, les auteurs d'infractions<fnref n="1" />. Cette annonce a été immédiatement perçue par les autorités sanitaires aux États-Unis comme présentant le risque grave que des personnes, inquiètes pour l'utilisation de leurs données personnelles à des fins sécuritaires, ne participent plus à l'effort collectif de traçage des cas contacts de coronavirus. En réaction à ces déclarations, l'État de New York a introduit une loi interdisant aux forces de l'ordre et aux services d'immigration d'accéder aux données confidentielles provenant du traçage des contacts<fnref n="2" />. Une loi similaire a été adoptée par l'État de Californie<fnref n="3" />. Ces exemples montrent que la frontière entre protection de l'ordre public et protection de la santé

publique devient poreuse lorsqu'il s'agit de l'utilisation des nouvelles technologies à des fins de surveillance des personnes. Cette frontière s'est particulièrement amincie dans le cadre de la pandémie de coronavirus qui a investi le monde entier en février 2020.

La pandémie de Covid-19 a eu des conséquences importantes sur divers aspects du droit public des États, et celles-ci ont été désormais largement étudiées<fnref n="4" />. Du triptyque classique composant l'ordre public, la salubrité publique a pris une place d'importance fondamentale, mettant au premier plan la notion d'ordre public sanitaire<fnref n="5" /> afin de justifier des mesures plus ou moins drastiques pour limiter la transmission de ce nouveau virus particulièrement contagieux. À côté d'outils traditionnels de police administrative (fermeture des lieux publics, contrôles de police afin de vérifier le respect des consignes sanitaires, couvre-feu et confinement de

<footnote n="1">1. Voir le communiqué de presse de l'American Civil Liberties Union du 23 juillet 2020, en ligne : https://www.aclu.org/press-releases/civil-rights-groups-health-advocates-and-public-defenders-celebrate-passage.</footnote>

<footnote n="2">2. Le New York's Stop Hacks and Improve Electronic Data Security Act (SHIELD Act) du 22 mai 2020.</footnote>

<footnote n="3">3. Le California Privacy Rights Act (CPRA) du 3 novembre 2020. Voir A. Fernando Ganno, « Reforming Privacy Law in America. A Comparative Analysis on Digital Contact Tracing Data and Its Implications in the Age of Covid-19 », 2021, en ligne : https://ssrn.com/abstract=3808918.</footnote>

<footnote n="4">4. Covid-19, approches de droit public et de science politique, G. Le Floch (dir.), Paris, Berger-Levrault, 2021.</footnote>

<footnote n="5">5. Pour une étude de cette notion, qui précède la récente pandémie, voir J.-M. de Forges, « L'ordre public sanitaire », in *Le droit de la santé*, J.-M. de Forges (dir.), 8e éd., Paris, Presses universitaires de France (Que sais-je?), 2012, p. 79-80.</footnote>
la population, etc.), les outils numériques ont permis de contribuer au traçage des cas contagieux et des chaînes de contamination.

En effet, en réponse à la crise de la Covid-19, les pouvoirs publics des États ont multiplié les solutions technologiques pour lutter contre la propagation du virus. Nombre de ces solutions reposent sur l'analyse de données personnelles, et ont soulevé des inquiétudes quant à la protection de la vie privée des individus car elles incluent des méthodes telles que le suivi par Bluetooth, la localisation des téléphones cellulaires et divers types de tests. En outre, les passeports sanitaires ou la certification de vaccination, le traçage des contacts, l'utilisation accrue de la télémédecine et de la télésanté, l'intelligence artificielle médicale et les robots de soins de santé ont largement été déployés. Les gouvernements ont même eu recours à des technologies de surveillance telles que la reconnaissance faciale et la télédétection de la chaleur. Ces mesures s'accompagnent de nouveaux risques et dangers pour les libertés civiles et la vie privée, en particulier pour les populations marginalisées ou vulnérables<fnref n="6" />.

La technique dite de *contact tracing*<fnref n="7" /> ou traçage des chaînes de contamination a particulièrement été développée dans le cadre de la lutte contre ce virus, qui se transmet par voie aérienne et est très contagieux. Dans ce contexte, le *contact tracing* fait référence à la pratique consistant à identifier les personnes ayant été en contact avec une personne positive à la Covid-19, dans le but d'arrêter la propagation du virus. Cette technique permet aux autorités d'identifier, d'évaluer, de gérer et de prévenir les personnes qui ont été exposées à une maladie, afin que les contacts de la personne infectée puissent prendre les mesures nécessaires pour prévenir la transmission ultérieure, notamment l'auto-isolement, le dépistage, la surveillance des symptômes et la mise en quarantaine. Le *contact tracing* n'est pas né avec la pandémie de Covid-19, mais est le résultat d'outils de contrôle des maladies développés depuis le XIXe siècle<fnref n="8" />. Le débat sur le caractère privé des informations des malades en relation avec le droit des contacts des personnes infectées d'être informées a déjà eu largement lieu au moment du pic de l'épidémie de sida aux États-Unis<fnref n="9" />. S'il y a eu des épidémies tout au long de l'histoire de l'humanité, néanmoins, aucune

n'avait encore eu lieu à l'ère des outils de suivi de haute technologie et du big data.

Le *contact tracing* s'est développé dans le monde entier dans les premiers mois de la pandémie de Covid-19. Si les objectifs de la recherche des contacts sont les mêmes pour tous les pays qui tentent de prévenir la transmission de la maladie, chaque État diffère dans ses méthodes d'identification des contacts et de suivi des contacts. Deux types de traçage des contacts ont été mis en place en réponse à la pandémie de coronavirus : humain et numérique.

Pour le premier, les opérations peuvent être effectuées par des personnes physiques à travers des entretiens individuels, ce qui est évidemment très coûteux et peu efficace lorsque les chiffres augmentent exponentiellement. Les nouvelles technologies ont donc apporté une aide précieuse aux autorités de santé. Des outils de traçage implémentés dans les smartphones ont rendu possible un suivi plus rapide et plus efficace tout en réduisant les coûts. Notamment, des applications téléchargeables par les individus ont été développées: Singapour a été le premier pays du monde à développer une application de traçage des cas contacts, appelée TraceTogether, qui a été téléchargée par environ 35 % de sa population<fnref n="10" />. Taïwan a fait la même chose peu après<fnref n="11" />. En France, l'application StopCovid<fnref n="12" /> a été lancée en 2020 et est devenue ensuite TousAntiCovid. La rapidité avec laquelle ces outils numériques se sont diffusés partout dans le monde, ainsi que le rôle du secteur privé dans ce développement, posent cependant question du point de vue de la protection des données personnelles collectées par ces moyens. Ainsi, la conformité de ces outils numériques avec les droits fondamentaux protégés par les constitutions a été questionnée et contestée en justice.

Le caractère global de la pandémie de Covid-19 a permis la multiplication d'études comparatives des solutions juridiques et des décisions de justice, en raison de la similitude des défis et des solutions adoptées dans les différents pays<fnref n="13" />. Cet article s'appuie sur ces études et adopte la même approche, en regardant tout particulièrement le rôle des juridictions constitutionnelles de différents pays<fnref n="14" /> dans le contrôle des applications de *contact tracing*. Différentes cours, suprêmes et constitutionnelles, ont eu à se poser des questions très similaires sur la compatibilité de ces applications avec les constitutions nationales et les

<footnote n="6">6. J. F. Witt, « Scrambling the New Sanitationist Synthesis: Civil Liberties and Public Health in the Age of Covid-19 », *University of Chicago Legal Forum*, 2021, article 10, p. 277-295, en ligne: https://chicagounbound.uchicago.edu/uclf/vol2021/iss1/10.</footnote>

<footnote n="7">7. Voir la définition de l'Organisation mondiale de la santé (OMS), qui divise ce processus en trois étapes fondamentales: l'identification des contacts, la liste des contacts, le suivi des contacts (https://www.who.int/news-room/q-a-detail/contact-tracing).</footnote>

<footnote n="8">8. A. M. Brandt, « The History of Contact Tracing and the Future of Public Health », *American Journal of Public Health*, vol. 112, n° 8, 2022, p. 1097-1099.</footnote>

<footnote n="9">9. Sur la difficile conciliation entre la perspective des droits humains et celle de la santé publique pendant l'épidémie de sida aux États-Unis, voir L. O. Gostin, *The AIDS Pandemic: Complacency, Injustice, and Unfulfilled Expectations*, Chapel Hill, University of North Carolina Press, 2004.</footnote>

<footnote n="10">10. G. Goggin, « Covid-19 Apps in Singapore and Australia: Reimagining Healthy Nations with Digital Technology », *Media International Australia*, vol. 177, n° 1, 2020, p. 63-64, en ligne: https://journals.sagepub.com/doi/epub/10.1177/1329878X20949770.</footnote>

<footnote n="11">11. À travers une application appelée Taiwan Social Distancing: K. Everington, « Taiwan's Contact Tracing App to Be Required in Some Venues », *Taiwan News*, 11 avril 2022, en ligne: https://www.taiwannews.com.tw/en/news/4503137.</footnote>

<footnote n="12">12. Décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé « StopCovid », *Journal officiel de la République française*, 30 mai 2020, texte n° 17.</footnote>

<footnote n="13">13. Voir par exemple le projet « Covid-19 Litigation. Open-Access Case Law Database » dirigé par l'université de Trento, en Italie (https://www.covid19litigation.org) ou encore la « Special Collection of Cases Related to Covid-19 » de la Commission de Venise (https://venice.coe.int/files/Bulletin/COVID-19-e.htm).</footnote>

<footnote n="14">14. Dans cet article, des sources en plusieurs langues ont été utilisées. Sauf indication contraire, toutes les traductions vers le français sont personnelles.</footnote>
droits fondamentaux qu'elles protègent, ce qui permet d'identifier des problématiques communes et de tirer des enseignements pour l'avenir.

La pandémie de Covid-19 n'a pas été généralement appréhendée par le droit ordinaire. Dans la plupart des pays du monde<fnref n="15" />, un état d'urgence sanitaire a été déclaré pour y faire face, sous différentes formes en fonction de la législation ou de la constitution en vigueur. Dans certains cas, l'état d'urgence a modifié aussi les règles du droit au respect de la vie privée dans le traitement des données sanitaires personnelles, par exemple en mettant en place un système d'exonération des sanctions et pénalités lors du partage des informations sanitaires de patients atteints de Covid-19 sans leur consentement préalable, comme cela a été le cas aux États-Unis<fnref n="16" />. Alors que les efforts de recherche de contacts s'étaient intensifiés pour limiter la propagation, les interrogations se sont multipliées sur les personnes ayant accès à ces données personnelles, la façon dont celles-ci seront utilisées à l'avenir, le but de la collecte et la durée pendant laquelle elles seront conservées.

Les inquiétudes relèvent d'un possible usage des données pour d'autres objectifs que ceux de la protection de l'ordre public sanitaire, par exemple par la police dans le cadre de recherche d'auteurs d'infractions, ou pour un usage commercial de ceux-ci. Aussi, des associations de défense des droits de l'homme ont anticipé le risque d'apparition de phénomènes de discrimination à l'emploi, à l'hébergement ou par des compagnies d'assurances, en cas de développement d'un passeport sanitaire dont les détenteurs auraient des avantages permanents sur les autres.

Plus d'une cinquantaine de pays ont développé des applications de traçage, en faisant de ces instruments une composante importante, bien que critiquée, de la protection de l'ordre public sanitaire<fnref n="17" />. La principale différence entre les pays réside dans l'endroit où les données sont décodées et analysées, soit sur les appareils des particuliers, soit dans un serveur géré par les autorités sanitaires.

En effet, les applications de *contact tracing* sont de deux types : décentralisées et centralisées. Les applications décentralisées utilisent une technologie Bluetooth pour identifier des contacts entre individus à un certain moment. Ainsi, quand une personne devient positive à la Covid-19, elle change son statut sur l'application et, lorsqu'elle est en contact avec d'autres utilisateurs de l'application, l'algorithme les notifie. Les applications centralisées en revanche utilisent la base de données d'une autorité centrale afin de tracer les contacts et le niveau

de protection des données dépend donc largement de l'autorité en question. La première forme d'application est sans doute plus protectrice de la vie privée des personnes car il y a moins de risque de collecte des données identifiantes. À ces questions, relatives au droit au respect de la vie privée, s'ajoute la considération de la confiance du public, nécessaire afin d'encourager une partie significative de la population à télécharger les applications de traçage, sans quoi l'utilité de celles-ci est incertaine au mieux<fnref n="18" />. Sans doute pour ces raisons entre autres, le succès de ces applications a finalement été très relatif<fnref n="19" /> pour combattre la pandémie de Covid-19 qui arrive désormais à son terme. Néanmoins, il est intéressant de se pencher sur les profils d'inconstitutionnalité de celles-ci car une nouvelle épidémie verra sans doute resurgir ces outils numériques dans le cadre de la protection de l'ordre public sanitaire.

Il ne fait pas de doutes que la constitutionnalité des mesures de *contact tracing* numérique pose des problèmes, et ce dans de nombreux pays. Dans plusieurs États, néanmoins, les juridictions constitutionnelles n'ont pas eu l'occasion (par l'absence de recours ou leur rejet) ou le temps (car les applications ont été abandonnées) de se pencher sur leur constitutionnalité. Dans d'autres cas plus rares, cependant, les juridictions constitutionnelles ont eu à se prononcer à la fois sur la constitutionnalité des applications de localisation et sur l'utilisation d'autres données (téléphoniques notamment) pour aider à la recherche de contacts. Certains juges ont censuré les mesures prévoyant la mise en place d'applications de traçage de contacts en raison de leur caractère inconstitutionnel. Une analyse des raisonnements employés dans ces décisions permet de mettre en lumière les principaux problèmes constitutionnels soulevés par ces applications et de comparer les solutions retenues pour y remédier. Notamment, ont été censurées la protection insuffisante des données à caractère personnel et leur utilisation sans le consentement des personnes concernées (I) et l'utilisation des données collectées à d'autres fins que la protection de la santé et la limitation de la diffusion du virus (II).

## I. La censure de l'insuffisance des garanties constitutionnelles

Quatre juridictions constitutionnelles se sont prononcées sur l'insuffisance des garanties constitutionnelles entourant l'utilisation des applications : une haute cour étatique

<footnote n="15">15. Le blog juridique *Verfassungsblog* a organisé au début de la pandémie un débat qui présente les états d'urgence dans la plupart des pays du monde intitulé « Covid-19 and States of Emergency » : https://verfassungsblog.de/category/debates/covid-19-and-states-of-emergency-debates.</footnote>

<footnote n="16">16. United States Department of Health and Human Services, « Covid-19 & HIPAA Bulletin: Limited Waiver of HIPAA Sanctions and Penalties during a Nationwide Public Health Emergency », mars 2020, en ligne : https://www.hhs.gov/sites/default/files/hipaa-and-covid-19-limited-hipaa-waiver-bulletin-508.pdf.</footnote>

<footnote n="17">17. Malgré des plateformes mises en place par Google et Apple fondées sur la technologie Bluetooth afin d'alerter les personnes de cas contact dans les parages, chaque État a fait un choix autonome, y compris à l'intérieur de l'Union européenne, rendant impossible ou presque le traçage à travers les frontières. Aux États-Unis, une petite minorité d'États a finalement choisi d'utiliser l'application développée par Google et Apple.</footnote>

<footnote n="18">18. L. Muscato, « Why People Don't Trust Contact Tracing Apps, and What to Do about It », *MIT Technology Review*, 12 novembre 2020, en ligne : https://www.technologyreview.com/2020/11/12/1012033/why-people-dont-trust-contact-tracing-apps-and-what-to-do-about-it.</footnote>

<footnote n="19">19. C. Kissick, E. Setzer, J. Schulz, « What Ever Happened to Digital Contact Tracing? », *Lawfare*, 21 juillet 2020, en ligne : https://www.lawfareblog.com/what-ever-happened-digital-contact-tracing.</footnote>
en Inde a considéré que rendre l'application de traçage obligatoire sans le consensus des citoyens était contraire à la Constitution, ainsi que la Cour constitutionnelle du Monténégro, qui a également centré son arrêt sur la question du consensus des intéressés (A); et la Cour constitutionnelle slovaque et le Tribunal fédéral suprême brésilien qui ont jugé que la protection des données personnelles était trop faible (B).

## A. L'absence de consensus des intéressés

Un exemple particulièrement éclatant de violation des droits des citoyens par une application anti-Covid est apparu en Inde avec l'application Aarogya Setu<fnref n="20" />. Cette application de *contact tracing* qui porte de nom de « pont pour la santé» en hindi a atteint en l'espace de deux mois en 2020 près de 100 millions d'utilisateurs. Le Premier ministre indien Narendra Modi a encouragé chacun des 1,3 milliard d'habitants du pays à la télécharger, ce qui lui a permis de devenir, deux semaines après son lancement, l'application ayant atteint le plus rapidement les 50 millions de téléchargements.

Alors que la politique officielle du gouvernement indien affirmait que le téléchargement de l'application était volontaire, les employés du secteur public ont été obligés de l'utiliser, et ensuite les principaux employeurs privés et les propriétaires des logements l'ont imposé également. La ville de Noida a mis en place des amendes et menacé d'arrestation toute personne n'ayant pas installé l'application sur son téléphone. Des cours de justice (Madhya Pradesh High Court et Jharkhand High Court) ont mis le téléchargement de l'application parmi les conditions pour une libération sous caution. Le Bureau des passeports de Mumbai a refusé l'accès aux citoyens qui n'avaient pas téléchargé l'application. Selon une base de données des applications mondiales de traçage des contacts du Massachusetts Institute of Technology (MIT)<fnref n="21" />, l'Inde a été le seul pays démocratique au monde à rendre son application de traçage du coronavirus obligatoire pour des millions de personnes. Aarogya Setu est également unique à bien d'autres égards. De nombreux pays développent des services limités qui utilisent le Bluetooth ou le GPS pour envoyer des « notifications d'exposition » aux personnes qui ont été en contact avec une personne porteuse du coronavirus. L'application indienne, en revanche, est un projet global de grande envergure qui dépasse de loin ce que la plupart des autres pays ont mis en place. En plus

du traçage *via* Bluetooth, elle donne également à chaque utilisateur un badge codé en couleur indiquant le risque d'infection. En outre, Aarogya Setu offre également un accès à la télémédecine, à une pharmacie en ligne et à des services de diagnostic. Elle est inscrite sur la liste blanche de toutes les sociétés de télécommunication indiennes, de sorte que son utilisation n'est pas prise en compte dans les limites de données mobiles. Mais c'est surtout ce qui manque à l'application qui la distingue des autres cas de figure: l'Inde n'a pas de loi nationale sur la protection des données, et l'identité des personnes ayant accès aux données de l'application et les situations permettant l'accès ne sont pas clairement définies. À ce stade, il n'y a pas de limites fortes et transparentes concernant l'accès ou l'utilisation des données. La liste des développeurs, composée en grande partie de bénévoles du secteur privé, n'a pas été rendue entièrement publique.

Cette situation exceptionnelle a suscité de vives critiques de la part de défenseurs des droits fondamentaux en Inde et dans le monde entier. Ainsi, des associations ont saisi une haute cour étatique<fnref n="22" />, celle du Karnataka, qui a considéré que l'usage obligatoire de l'application était contraire au droit au respect de la vie privée. L'existence même de ce droit dans la Constitution indienne n'allait pas de soi: après des années de débat, la Cour suprême indienne avait tranché en 2017, considérant que l'article 21 de la Constitution, qui garantit le droit à la vie et à la liberté personnelle, inclut également le droit au respect de la vie privée et à la protection des données personnelles<fnref n="23" />. En se basant sur cette interprétation de la Cour suprême, la Haute Cour du Karnataka a décidé le 25 janvier 2021²⁴ que, d'une part, le téléchargement de l'application ne saurait être considéré comme obligatoire par le gouvernement et qu'aucun service public ne devrait être refusé aux citoyens sous prétexte qu'ils ne l'ont pas téléchargée. D'autre part, la Haute Cour a observé que la collecte des données et le partage des données de réponse de l'application ne se faisaient pas avec le consentement éclairé de l'utilisateur. Ainsi, ce partage par les pouvoirs publics des données de réponse des citoyens sans leur consentement constitue une violation du droit à la vie privée en vertu de l'article 21 de la Constitution indienne. Pour parvenir à cette conclusion, la Haute Cour remarque le fait que les utilisateurs de l'application Aarogya Setu n'ont pas été informés du protocole sanitaire concernant le partage des données de l'application, et que le protocole n'a pas été intégré à la politique de confidentialité disponible sur l'application. En statuant sur la demande de mesures provisoires, la Haute

<footnote n="20">20. V. Bhandari, F. Rahman, « Constitutionalism during a Crisis: The Case of Aarogya Setu », in *Coronavirus Pandemic: Lessons and Policy Responses*, U. Kapila (dir.), New Delhi, Academic Foundation, 2020, prépublication disponible en ligne: https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3774716.</footnote>

<footnote n="21">21. P. Howell O'Neill, « India Is Forcing People to Use Its Covid App, Unlike Any Other Democracy », *MIT Technology Review*, 7 mai 2020, en ligne: https://www.technologyreview.com/2020/05/07/1001360/india-aarogya-setu-covid-app-mandatory.</footnote>

<footnote n="22">22. L'Inde est un État fédéral composé de 28 États et 8 territoires. Chacune des entités fédérées possède une haute cour, qui est la cour d'appel de plus haut niveau dans chaque territoire. Seule la Cour suprême fédérale leur est supérieure.</footnote>

<footnote n="23">23. Cour suprême indienne (formation civile), 24 août 2017, *Justice K. S. Puttaswamy (Retd.) and Anr. vs. Union of India and Ors.*, n° 000494/2012, commenté dans *Revue internationale de droit comparé*, vol. 69, n° 4, 2017, p. 1027-1028.</footnote>

<footnote n="24">24. Haute Cour du Karnataka, 25 janvier 2021, *Anivar A Aravind v. Ministry of Home Affairs*, writ petition no.7483 of 2020 (GM-RES-PIL), disponible en anglais à l'adresse suivante: https://www.livelaw.in/pdf_upload/arogya-setu-388168.pdf.</footnote>
Cour a interdit au gouvernement indien et aux autorités sanitaires sous son contrôle de partager les réponses collectées en appliquant les dispositions du protocole, à moins que le consentement éclairé des utilisateurs de l'application ne soit recueilli. À la suite de cet arrêt étatique, la Cour suprême n'a pas (encore ?) statué sur cette affaire. Il est possible que celle-ci refuse de s'en saisir, d'une part parce que la pandémie s'estompe désormais et avec elle l'utilisation de l'application de *contact tracing*, d'autre part parce que la Cour suprême indienne est actuellement largement inefficace en raison de l'accumulation des recours et des délais de traitement extrêmement longs<fnref n="25" />.

L'absence de consensus s'agissant du traitement des données personnelles a également été au cœur d'un arrêt de la Cour constitutionnelle du Monténégro. Celle-ci, dans un arrêt du 23 juillet 2020²⁶, s'est penchée sur la question de savoir si la décision de l'organe national de coordination pour les maladies transmissibles de publier les noms et adresses des personnes en auto-isolement en relation avec la Covid-19 sur le site Web du gouvernement sans le consentement des personnes concernées était conforme à la Constitution. Il s'agissait cette fois non d'une application de *contact tracing* mais de la publication des données identifiantes de personnes à risque de contact avec le coronavirus afin de s'assurer de leur respect de l'auto-isolement.

La Cour constitutionnelle a d'abord examiné la nature juridique de la décision de l'autorité sanitaire et a constaté que celle-ci avait produit un effet juridique pour un nombre indéfini de personnes en raison de sa durée d'application d'environ un mois.

En outre, la Cour constitutionnelle a estimé qu'il pouvait être déduit de l'objectif de la collecte de données sur les personnes en auto-isolement que, bien que ne révélant pas le statut de l'infection, les données indiquaient clairement que ces personnes avaient été exposées au risque d'infection par la Covid-19. Ainsi, le juge en a conclu que la publication de ces informations personnelles pouvait être considérée comme une divulgation de données personnelles sensibles en matière de santé.

En ce qui concerne la légalité et le but légitime de l'ingérence dans la vie privée, il est précisé dans l'arrêt que les bases juridiques de la décision de l'organe national de coordination pour les maladies transmissibles étaient fournies par la loi. Celle-ci poursuit l'objectif légitime de protection de la santé publique qui n'a pas été remis en question par la Cour, en raison de la gravité de la pandémie. Toutefois, en évaluant le principe de nécessité dans une société démocratique, la Cour constitutionnelle a considéré que la décision de publier ces données n'établissait pas un juste équilibre entre la nécessité de protéger

la santé et la vie des citoyens, d'une part, et le droit à la vie privée et à la protection des données personnelles, visé aux articles 40 et 43 de la Constitution, ainsi que le droit au respect de la vie privée et familiale, garanti par l'article 8.1 de la Convention européenne des droits de l'homme, des personnes en auto-isolement, d'autre part. Elle a constaté que, malgré le fait que l'isolement ait été fréquemment violé, ce qui a permis à la maladie de se propager rapidement, les données personnelles relatives à la santé ont été rendues publiquement accessibles à un nombre indéfini de personnes sur Internet. Cette diffusion des données a permis la mise en place d'une application calculant la distance entre l'utilisateur et l'adresse d'une personne en auto-isolement. En outre, la Cour a estimé que cette application aurait pu dissuader les personnes ayant besoin d'une assistance médicale de rechercher un traitement approprié, mettant ainsi en danger leur propre santé et, en fin de compte, la santé publique. Ainsi, la Cour constitutionnelle a fondé sa décision sur la notion de consentement afin de conclure que, les données relatives à la santé entrant dans la catégorie des données nécessitant une protection particulière, elles n'auraient pas dû être collectées ni surtout publiées sans le consentement des personnes concernées.

## B. L'absence de protection suffisante des données personnelles

Au printemps-été 2020, deux cours constitutionnelles ont été saisies car les autorités publiques avaient pris des décisions tendant à la récolte du plus grand nombre possible d'informations concernant la localisation de personnes testées positives à la Covid-19 ou ayant été en contact avec celles-ci notamment par le biais des compagnies de télécommunication. L'ingérence des autorités de santé, bien que pondérée par les juges par la gravité de la pandémie et l'objectif – constitutionnellement légitime – de la protection de l'ordre public sanitaire, a dépassé les limites du droit au respect de la vie privée des citoyens, en Slovaquie et au Brésil.

Le 13 mai 2020, la Cour constitutionnelle de la République slovaque a déclaré inconstitutionnelles certaines parties de la loi sur les télécommunications qui avait été récemment modifiée et qui permettait aux autorités publiques d'accéder aux données de télécommunications à des fins de suivi de contacts<fnref n="27" />. Le Parlement avait approuvé la législation en mars, mais la Cour a estimé que la nécessité de trouver des solutions rapides pendant la pandémie ne devait pas éroder involontairement l'État de droit. La Cour a donc considéré que les dispositions qu'elle a

<footnote n="25">25. T. Khaitan, « The Indian Supreme Court's Identity Crisis: A Constitutional Court or a Court of Appeals? », *Indian Law Review*, vol. 4, n° 1, 2020, p. 1-30.</footnote>

<footnote n="26">26. Cour constitutionnelle du Monténégro, 23 juillet 2020, n° U-II 22/20, dont le résumé est disponible en anglais à l'adresse suivante: https://www.covid19litigation.org/case-index/montenegro-constitutional-court-montenegro-u-ii-2220-2020-07-23.</footnote>

<footnote n="27">27. Cour constitutionnelle de la République slovaque, 13 mai 2020, n° PL. ÚS 13/2020, dont le résumé est disponible en anglais à l'adresse suivante: http://www.codices.coe.int/NXT/gateway.dll?f=templates&fn=default.htm.</footnote>
annulées n'étaient pas suffisamment claires et qu'elles ne comportaient pas de garanties suffisantes contre les abus.

Dans cette affaire, des membres du Conseil national de la République (le Parlement slovaque) avaient contesté la constitutionnalité des dispositions adoptées par le Conseil dans le cadre de la procédure législative accélérée relative à la propagation de la Covid-19²⁸. Parmi les actes juridiques modifiés figure la loi sur les communications électroniques. Les requérants ont soutenu que, conformément à la nouvelle loi, les fournisseurs de services de télécommunication traitaient les données de leurs utilisateurs et, sur demande, fournissaient ces données à l'autorité de santé publique, sans le consentement des utilisateurs, aux fins du suivi des cas de Covid-19. Ils ont ajouté que la formulation utilisée par le législateur était plutôt vague et permettait « une collecte et un traitement généralisés des données » sans préciser comment l'autorité de santé publique utiliserait les données. Ces dispositions mettaient donc, selon les requérants, les droits et libertés fondamentaux des personnes en danger en violant leur droit à la vie privée et leur droit à la protection de leurs données personnelles.

La Cour a limité son examen de la loi en question aux garanties juridiques contre l'utilisation abusive des données divulguées, ainsi qu'à sa clarté et à sa précision. Elle s'est référée aux articles 19 et 22 de la Constitution slovaque et a noté que le droit à la vie privée protège les individus contre la collecte inappropriée et l'utilisation abusive de données à caractère personnel par l'État. La collecte générale de données personnelles et de données de localisation et leur divulgation individualisée ultérieure constituent une ingérence dans le droit à la protection de la vie privée et des données personnelles. En même temps, la Cour a noté que ce droit n'est pas absolu et qu'il peut être limité proportionnellement aux circonstances. L'ingérence publique peut être justifiée par l'intérêt public à protéger la vie et la santé des personnes pendant la pandémie. La Cour a observé que les fournisseurs de télécommunication doivent protéger le secret des télécommunications en vertu de la directive européenne sur la vie privée et les communications électroniques<fnref n="29" />. La Cour a établi que la formulation relative à l'identification des utilisateurs était trop vague et donc « inacceptable dans une société démocratique », tandis que l'accès de l'autorité de santé publique aux données sensibles des utilisateurs des fournisseurs de télécommunication n'offrait pas de garanties juridiques suffisantes contre les abus. La Cour a déterminé que ces garanties doivent comprendre

[…] la subsidiarité de l'utilisation des données obtenues, la définition claire de la finalité de l'utilisation des données, le contrôle de qualité par un tribunal ou une autre autorité indépendante, la garantie de la protection et de la sécurité des données, l'obligation d'effacer les données après un certain temps et l'information des personnes concernées.

La Cour n'a pas jugé inconstitutionnelle la disposition obligeant les fournisseurs de télécommunication à collecter les données nécessaires à l'identification des personnes devant être informées des mesures spéciales adoptées par l'autorité de santé publique. Elle a en revanche suspendu les dispositions qui permettaient à l'autorité de santé publique, sur demande, d'avoir accès aux données sensibles, étant donné que cette notification pouvait être effectuée par les fournisseurs de télécommunication eux-mêmes sans donner accès aux données à l'autorité de santé publique.

Dans un recours similaire, au Brésil, le Conseil fédéral du barreau brésilien et des partis politiques ont remis en question, dans cinq actions directes en inconstitutionnalité décidées conjointement, la constitutionnalité du décret présidentiel provisoire 954/2020 qui oblige les sociétés de télécommunication à partager des données avec l'Institut brésilien de géographie et de statistique (IBGE, l'équivalent brésilien de l'Institut national de la statistique et des études économiques – INSEE) afin de soutenir la production de statistiques officielles concernant la pandémie de Covid-19 pendant l'état d'urgence sanitaire.

En bref, le décret oblige les entreprises de téléphonie fixe et mobile à divulguer la liste des noms, numéros de téléphone et adresses de leurs consommateurs, personnes physiques ou morales, à l'IBGE.

Pour les requérants, le décret viole les dispositions de la Constitution fédérale qui garantissent la dignité de la personne humaine, l'inviolabilité de la vie privée, de l'honneur et de la réputation, ainsi que la confidentialité des données. La juge-rapporteure Rosa Weber a accordé le 17 avril 2020 la mesure provisoire et a suspendu l'efficacité du décret 954/2020, en soulignant que le scénario d'urgence résultant de la crise sanitaire ou le besoin de données spécifiques pour formuler des politiques publiques pour y faire face n'ont pas été sous-estimés. Cependant, ils ne peuvent légitimer la violation des garanties fondamentales inscrites dans la Constitution.

Or l'article 2.1 est la seule disposition du décret 954/2020 qui traite de la finalité et de la méthode d'utilisation des données et cette disposition prévoit uniquement que les données seront exclusivement utilisées par l'IBGE pour produire des statistiques officielles en menant des entretiens non présentiels dans le cadre d'enquêtes sur les ménages. Le décret ne délimite pas l'objet des statistiques à produire, ni leur but spécifique ou leur ampleur. Il ne précise pas non plus la nécessité de rendre les données disponibles ni leur utilisation. De plus, le décret ne démontre pas l'intérêt public légitime qui justifie le partage des données personnelles des utilisateurs de services téléphoniques. Le pouvoir exécutif n'a pas examiné la nécessité, l'adéquation et la proportionnalité de la mesure, comme il était tenu de le faire lors de l'adoption du décret.

<footnote n="28">28. En vertu du projet de loi n° 62/2020 Z.z.</footnote>

<footnote n="29">29. Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques), *Journal officiel des Communautés européennes*, L 201, 31 juillet 2002, p. 37-47.</footnote>
Ainsi, bien que le décret mentionne que les données partagées resteront confidentielles, il ne présente pas de mécanisme technique ou administratif capable de protéger les données personnelles contre un accès non autorisé, une fuite accidentelle ou une utilisation inap-propriée pendant la transmission ou le traitement. Le décret se contente de déléguer au président de l'IBGE la responsabilité d'adopter un acte réglementant la procé-dure de partage des données, sans offrir une protection suffisante aux droits fondamentaux en jeu. La situation a été aggravée par le fait que la loi générale sur la protection des données à caractère personnel<fnref n="30" /> n'était pas encore en vigueur à l'époque de l'adoption du décret. Cette loi définit les critères de responsabilité des agents pour tout dommage pouvant survenir lors du traitement des données à caractère personnel.

Le 7 mai 2020, la formation plénière du Tribunal fédéral, par une décision majoritaire, a confirmé la mesure provisoire de suspension du décret présiden-tiel<fnref n="31" />. La Cour a estimé que le droit à la vie privée et les droits connexes à la vie privée, à l'honneur et à l'image découlent de la reconnaissance du fait que la personna-lité individuelle mérite d'être protégée dans toutes ses manifestations. Pour garantir ces droits, la Constitution fédérale prévoit, à l'article 5.XII, l'inviolabilité du secret de la correspondance et des communications télégraphiques, des données et des communications téléphoniques; les exceptions doivent être fondées sur une décision de justice et se dérouler conformément aux dispositions légales (en précisant les cas et la manière de procéder) aux fins d'une enquête ou d'une poursuite pénale. Pour la Cour, le décret présidentiel en question ne répond pas aux exigences constitutionnelles en matière de pro-tection effective des droits fondamentaux des Brésiliens car l'exécutif n'a pas démontré l'intérêt public légitime du partage des données personnelles. En somme, c'est l'absence de proportionnalité des mesures prises par rapport à la gravité de l'urgence qui a été ici sanction-née. La nécessité de protéger l'ordre public sanitaire ne peut être utilisée comme un prétexte pour affaiblir les droits fondamentaux et en supprimer les garanties.

Si la protection des données personnelles et l'importance du consensus informé des utilisateurs des applications de traçage et des compagnies de télécommunication ont été les principales revendications en matière de droits fondamentaux devant les juridictions constitutionnelles, l'utilisation de ces mêmes données à des fins autres que sanitaire a également éveillé les préoccupations et a été

sanctionnée par des juges. Cela montre que le respect de la vie privée n'est pas le seul droit qui doit être protégé dans le cadre de l'usage de la technologie numérique à des fins de limitation de la pandémie. Le risque de surveillance généralisée en fait également partie<fnref n="32" />.

## II. La censure de l'utilisation des données à des fins sécuritaires

À Singapour, où l'application TraceTogether a été télé-chargée par 80 % des habitants de l'île, la politique de partage des données a été modifiée en janvier 2021 afin d'y donner accès à la police dans le cadre de la recherche d'auteurs d'infractions<fnref n="33" />. Cela n'a fait que confirmer un risque ultérieur en matière de protection de la vie privée liée au *contact tracing* par des applications numériques: que ces programmes puissent permettre aux pouvoirs publics de collecter et d'utiliser des données dans le cadre d'une surveillance à grande échelle, avec peu de limites à ce que les gouvernements pourraient faire avec les données<fnref n="34" />. L'utilisation par la police à des fins sécuritaires de protection de l'ordre public est le cas de figure le plus fréquent, et le cas d'Israël a été particulièrement emblématique à cet égard.

Israël a choisi en effet une approche différente des autres pays mentionnés en utilisant son service de sécurité nationale pour assurer le traçage des contacts, ce qui est considéré comme une approche extrême par rapport aux autres nations démocratiques. Cette approche ouvre la voie au déploiement d'outils de surveillance intrusifs dans d'autres domaines que la santé publique, non seulement en raison de l'autorité choisie pour le *contact tracing*, mais aussi en raison de l'absence de règles entourant ces opérations.

Le Shin Bet est l'agence israélienne de sécurité inté-rieure qui est chargée de la protection d'Israël contre le terrorisme. L'agence a été intégrée dans l'action sanitaire du gouvernement dès le début de la pandémie faisant de la crise sanitaire un aspect de la sécurité publique israélienne, confortant encore plus qu'ailleurs l'idée que la protection de la santé est intégrée à la protection de l'ordre public. Ainsi, sans passer par la voie législative, le gouvernement a donné au Shin Bet le pouvoir de tracer les citoyens à travers les données de localisation des téléphones portables des personnes testées positives à la Covid ou suspectées de l'être sans leur consentement. La Cour suprême a été saisie, en tant que haute cour de justice (*high court of justice*),

<footnote n="30">30. Loi n° 13.709/2018 du 14 août 2018.</footnote>

<footnote n="31">31. Tribunal suprême fédéral du Brésil, 7 mai 2020, n° ADI 6387 MC-REF, dont le résumé est disponible en anglais à l'adresse suivante: https://www.covid19litigation.org/case-index/brazil-federal-supreme-court-adi-6387-mc-ref-2020-05-07.</footnote>

<footnote n="32">32. Voir C. Angiolini, « Case Law Survey on Data Protection – Covid-19 Litigation Project », *Legal Policy & Pandemics. The Journal of the Global Pandemic Network - LPP* , vol. 1, n° 1-2-3, 2021, p. 197-224.</footnote>

<footnote n="33">33. M. Sato, « Singapore's Police Now Have Access to Contact Tracing Data », *MIT Technology Review*, 5 janvier 2021, en ligne: https://www.technologyreview.com/2021/01/05/1015734/singapore-contact-tracing-police-data-covid.</footnote>

<footnote n="34">34. T. C. Li, « Privacy in Pandemic: Law, Technology, and Public Health in the Covid-19 Crisis », *Loyola University Chicago Law Review*, vol. 52, n° 3, p. 843; S. Landau, C. E. Lopez, L. Moy, « The Importance of Equity in Contact Tracing », *Lawfare*, 1er mai 2020, en ligne: https://www.lawfareblog.com/importance-equity-contact-tracing.</footnote>
de la constitutionnalité de cette opération et a répondu
dans un arrêt *Ben Meir* du 26 avril 2020³⁵.

Dans l'arrêt, la Cour suprême a considéré que l'usage
d'une technologie non transparente de surveillance des
citoyens était une violation grave du droit au respect de la
vie privée. La Cour a réfléchi du point de vue de l'urgence
sanitaire et a considéré que si les mesures d'urgence se
justifiaient par rapport aux toutes premières semaines
de la pandémie, par la suite la situation devait être régu-
larisée. Au-delà de quelques semaines, l'attribution de
pouvoir au Shin Bet pour des missions allant au-delà
de la sécurité nationale aurait dû faire l'objet d'une loi
spécifique. Ainsi, une autorisation législative a d'abord
autorisé le programme de traçage de contacts par le Shin
Bet pendant trois semaines, puis l'autorisation a été étendue
pour encore six mois, dans l'optique d'une réouverture
de l'économie israélienne<fnref n="36" />. Les arguments utilisés par le
gouvernement israélien pour justifier le recours aux ser-
vices secrets relèvent évidemment de l'urgence mais aussi
de la spécificité de la communauté ultra-ortodoxe, pour
laquelle la version facultative d'une application n'aurait pu
fonctionner : il s'agit d'un demi-million de personnes qui
ne possèdent pas de smartphone. Ainsi, le gouvernement
a choisi de se reposer sur les capacités technologiques du
Shin Bet et sur une collecte des données centralisée et obli-
gatoire pour tous les citoyens. L'efficacité de cette mesure
compense selon le gouvernement la violation inévitable
de la vie privée. Lorsqu'une personne est testée positive,
en effet, le ministère de la Santé fournit toutes les données
identifiantes (nom, numéro de sécurité sociale, numéro
de téléphone) permettant de vérifier toutes les personnes
avec qui elle est entrée en contact pendant au moins quinze
minutes dans un rayon de deux mètres dans les deux
semaines précédentes. Pour ce faire, le Shin Bet s'appuie sur
une base de données surnommée « The Tool » (« L'Outil »)
qui existe depuis longtemps à des fins de sécurité publique
et d'antiterrorisme et qui a été utilisée notamment comme
un moyen de traquer les militants palestiniens recherchés.
Elle collecte les données téléphoniques de toute personne
qui utilise les services de télécommunication en Israël. Avec
les informations fournies par le Shin Bet, le ministère de la
Santé envoie ensuite un message aux personnes identifiées
et les informe qu'elles doivent s'isoler et s'enregistrer dans

la base de données du ministère. Toutes ces opérations
sont effectuées sans contrôle externe, sans autorisation
judiciaire ni approbation, ni évidemment le consensus
des intéressés. Seuls le Premier ministre et le procureur
général sont prévenus par des rapports qui sont classés
secret-défense. Toutes les règles concernant les collectes des
données par l'agence de sécurité intérieure sont secrètes, et
l'existence même de « L'Outil » était secrète jusqu'à l'explo-
sion de la pandémie de Covid-19. Même si le ministère de
la Santé a ensuite développé une application décentralisée
à installer sur la base du volontariat, celle-ci n'a pas été
suffisamment efficace aux yeux du gouvernement pour
pouvoir se substituer à « L'Outil ».

La violation sans précédent du droit au respect de
la vie privée par les services secrets israéliens a suscité
des doutes quant à la possible future compatibilité des
règles israéliennes avec l'article 45 du Règlement général
sur la protection des données (RGPD)<fnref n="37" />, qui permet à
la Commission européenne de décider qu'un État tiers
garantit un niveau adéquat de protection des données pour
pouvoir partager les données à travers les frontières<fnref n="38" /> (ce
qui n'était pas le cas d'Israël même avant la pandémie).
Mais le partage des données au-delà des frontières euro-
péennes serait également possible en cas de dérogations
pour des situations spécifiques (article 49 du RGDP), dont
font partie le contrôle épidémique et le traçage de contacts
pour des maladies contagieuses<fnref n="39" />. Pour cette raison, il est
aujourd'hui impossible de ne pas se demander, dans le
contexte pas si hypothétique d'une future pandémie ou
d'une autre crise, quels seront les effets des usages d'instru-
ments de protection de la sécurité publique comme ceux
utilisés dans le cadre de la lutte anti-terroriste lorsqu'ils
sont mobilisés pour la protection de la santé publique.

Initialement, en 2020, la Cour a insisté sur le respect
de la procédure législative pour régulariser les mesures
sanitaires, adoptant une approche formaliste fondée sur
la séparation des pouvoirs. À partir de 2021, en revanche,
la Cour a démontré une plus grande volonté de censurer
des mesures pour des violations substantielles des droits
fondamentaux. La Cour suprême israélienne a ainsi rendu
un autre arrêt, le 1er mars 2021⁴⁰, cette fois pour interdire
le traçage des téléphones portables. Des associations pour
la défense des droits, dont l'Association pour les droits

<footnote n="35">35. Cour suprême d'Israël, 26 avril 2020, *Ben Meir v. Prime Minister*, n° 2109/20 PD 1, 13 (2020), dont le texte intégral en anglais est disponible à l'adresse suivante: https://versa.cardozo.yu.edu/opinions/ben-meir-v-prime-minister-o; pour un commentaire voir D. Or-Hof, R. Perelman-Farhi, « Striking the Right Balance: Government Contact Tracing Powers and the Right to Privacy », site Internet de l'International Association of Privacy Professionals, 1er mai 2020: https://iapp.org/news/a/striking-the-right-balance-government-contact-tracing-powers-and-the-right-to-privacy.</footnote>

<footnote n="36">36. T. Shwartz Altshuler, R. Aridor Hershkowitz, « How Israel Covid-19 Mass Surveillance Operation Works », site Internet de Brookings, 6 juillet 2020: https://www.brookings.edu/techstream/how-israels-covid-19-mass-surveillance-operation-works.</footnote>

<footnote n="37">37. Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation des données et abrogeant la directive 95/46/CE, *Journal officiel de l'Union européenne*, L 119, 4 mai 2016, p. 1-88.</footnote>

<footnote n="38">38. C. Docksey, C. Kuner, « The Coronavirus Crisis and EU Adequacy Decisions for Data Transfers », *European Law Blog*, 3 avril 2020, en ligne: https://europeanlawblog.eu/2020/04/03/the-coronavirus-crisis-and-eu-adequacy-decisions-for-data-transfers.</footnote>

<footnote n="39">39. C. Kuner, « Data Crossing Borders: Data Sharing and Protection in Times of Coronavirus », *Verfassungsblog*, 15 avril 2020, en ligne: https://verfassungsblog.de/data-crossing-borders.</footnote>

<footnote n="40">40. Cour suprême d'Israël, 1er mars 2021, *Association for Civil Rights in Israel v. Knesset*, n° 6732/20. Pour un commentaire, voir T. Hostovsky Brandes, « Tracking Citizens: Military Surveillance Tools in Israel and Privacy in a Pandemic », *Verfassungsblog*, 22 mars 2021, en ligne: https://verfassungsblog.de/tracking-citizens.</footnote>
civils en Israël, ont saisi la Cour au sujet du système de suivi par téléphone portable des personnes diagnostiquées positives à la Covid-19. L'agence antiterroriste du pays, le Shin Bet, a utilisé la technologie de surveillance pour repérer la localisation des porteurs du virus et la comparer avec celle d'autres téléphones portables situés à proximité afin de déterminer avec qui ils sont entrés en contact. Dans son arrêt, la Cour a indiqué qu'elle craignait que le suivi numérique, imposé à titre de mesure d'urgence temporaire, ne devienne peu à peu permanent. Elle a donné au gouvernement jusqu'au 14 mars 2021 pour mettre fin à l'utilisation indiscriminée de la surveillance et la limiter aux porteurs confirmés du coronavirus qui refusent d'être contactés par l'intermédiaire d'un service de *contact tracing* humain<fnref n="41" />.

Alors même que les technologies collectives de santé publique deviennent de plus en plus performantes, les revendications de droits deviennent de plus en plus fortes: « Le virus SARS-CoV-2 a suscité un nouveau mélange explosif de technologies concurrentes, d'impératifs publics et de droits individuels »<fnref n="42" />.

À la lumière de la comparaison entre des arrêts de différentes juridictions constitutionnelles face aux applications de traçage, et plus généralement aux mesures de *contact tracing*, deux questions sont apparues comme étant essentielles, et pourront servir de leçon pour les possibles besoins futurs. Tout d'abord, le caractère volontaire et explicite de l'acceptation de ces applications est fondamental, comme montré par les contre-exemples emblématiques d'Israël et de l'Inde. Deuxièmement, l'utilisation de ces moyens de collecte de données doit être circonscrite à la fois du point de vue temporel (les

exceptions aux règles de protection des données doivent se terminer avec l'urgence pandémique et ne doivent pas être pérennisées) et du point de vue téléologique (la finalité de la collecte de données doit être strictement limitée à la question sanitaire et celles-ci ne doivent en aucun cas être utilisées pour la recherche d'auteurs d'infractions pénales, y compris en lien avec la pandémie).

Si l'on effectue une macro-comparaison, comme celle qui a été produite par les travaux de la Commission de Venise et d'autres projets de recherche comparative déjà évoqués, il faut néanmoins remarquer que peu de juridictions constitutionnelles ont eu à se prononcer sur les applications de *contact tracing* numérique, par rapport au grand nombre de pays qui les ont mises en place en réaction à la pandémie. Comme pour d'autres aspects de l'urgence sanitaire, il convient de s'interroger sur l'efficacité des procédures de contrôle de constitutionnalité qui arrivent souvent trop tard et qui, comme dans le cas de la Cour suprême israélienne pourtant souvent activiste, défèrent au législateur et lui laissent une très grande marge de manœuvre, notamment en période d'urgence. Cependant, ces affaires portées devant les juridictions constitutionnelles ont eu comme conséquence d'attirer l'attention du public, national et international, sur des pratiques douteuses de la part de l'exécutif, comme cela a pu apparaître au Brésil et en Israël. Enfin, toutes les cours étudiées ont insisté sur le besoin d'équilibre entre les intérêts et la proportionnalité des mesures, y compris en période d'urgence sanitaire. La protection de l'ordre public sanitaire n'est pas un laissez-passer pour la violation du droit au respect de la vie privée lors de la collecte de données sensibles.

<footnote n="41">41. E. Albin, I. Bar-Siman-Tov, A. Gross, T. Hostovsky-Brandes, O. Aronson, A. Beinish, A. Cohen, N. Davidovitch, M. Gutman, A. Shinar et al., « Israel: Legal Response to Covid-19 », in *The Oxford Compendium of National Legal Responses to Covid-19*, J. King, O. L. M. Ferraz et al. (dir.), Oxford, Oxford University Press, 2021, DOI: 10.1093/law-occ19/e13.013.13.</footnote>

<footnote n="42">42. J. F. Witt, « Scrambling the New Sanitationist Synthesis... ».</footnote>