L’usine à gaz TousAntiCovid

«Stopcovid», puis son évolution pokemon «TousAntiCovid» ont été proposées par le gouvernement comme des outils essentiels de lutte contre l’épidémie. Outre son coût élevé, l’application s’avère être d’une conception plus que médiocre, avec une utilisation inadaptée du canal Bluetooth et un manque de diversité d’appareils pris en charge.

Un coût élevé incompréhensible et minimisé par les pouvoirs publics

Le gouvernement a estimé le coût de l’application à 2,5 millions d’euros. Ces frais n’ont pas été facturés à l’État, mais aux institutions et entreprises participantes. Or, selon un récent rapport parlementaire dévoilé par le JDD, les frais associés, sont plus élevés que ce qui avait été promis à l’origine.

S’il y a bien 2,5 millions d’euros à la charge du ministère pour Stopcovid, pour le coût total de développement de l’application, celle-ci a également généré des frais récurrents, détaillés dans le rapport :

«Les frais à la charge du ministère sont les suivants : exploitation, 1 128 000 euros TTC/an ; licences : 69 876 euros TTC/an ; support utilisateurs : 720 000 euros TTC/an ; animation du déploiement : 432 000 euros TTC/an ; hébergement : 576 000 euros TTC/an».

Les parlementaires ajoutent que 2 793 000 euros ont également été investis dans la campagne de communication au lancement de l’application.

StopCovid a été mis à disposition du public à partir du mois de juin et jusqu’au 22 octobre 2020. Selon le rapport, le coût total de l’opération s’élève à 6,5 millions d’euros.

Des chiffres volontairement flous

Pour StopCovid, le rapport stipule que «5 553 tests positifs ont été scannés dans l’application qui a émis 346 alertes, dont 296 ont été effectivement transmises», pour une application téléchargée 2,5 millions de fois et désinstallée un million de fois.

Le rapport est moins sévère pour TousAntiCovid : «Le 21 novembre 2020, l’application indiquait 9,3 millions d’enregistrements nets, téléchargements et activations, pour 13 106 notifications».

Mais le flou demeure sur les chiffres réels d’utilisation et sur l’efficacité de l’application. Le gouvernement ne dévoile ni le nombre d’utilisateurs actifs ni les désinstallations.

Aucune étude d’impact, pourtant demandée par la Cnil dès le printemps n’a été publiée, alors que seuls 3% des cas positifs se déclarent dans TousAntiCovid. Malgré ces chiffres peu encourageants, le gouvernement continue de faire de cette application un pilier de sa stratégie de lutte contre la propagation du virus.

Une usine à gaz bluetooth

L’application française TousAntiCovid utilise la technologie Bluetooth pour détecter la proximité entre deux possesseurs de smartphones. Quand l’application se lance, elle émet en permanence sa présence sur le canal Bluetooth ; cette émission a deux paramètres principaux, sa puissance et son mode d’émission.

La puissance a trois valeurs possibles, low, medium et high, TousAntiCovid utilise la valeur medium.

Le mode d’émission est en low latency (latence faible, pour de la détection rapide) qui est le mode le plus agressif et dont la documentation dit qu’il ne devrait pas être utilisé en permanence en tâche de fond.

C’est ce dernier point qui fait que l’application TousAntiCovid vide la batterie puis semble s’arrêter régulièrement ; les systèmes d’exploitation mobiles sont construits pour économiser la batterie, et quand une application en tâche de fond consomme beaucoup de ressources avec un niveau de batterie faible, ils ont tendance à couper purement et simplement l’application.

Pour son API (interface de programmation) maison, Google a développé des contournements de cette limitation qui ne sont pas accessibles aux autres applications, dont TousAntiCovid.

En parallèle, l’application recherche la présence d’un autre smartphone sur le canal Bluetooth ; quand elle détecte une connexion, elle reçoit une puissance du signal exprimée en dB et des résultats identifiants temporairement et anonymement le smartphone distant.

Cette puissance de réception dépend de nombreux facteurs :

– la distance entre les deux smartphones, qui est la grandeur recherchée ;

– l’environnement des smartphones ; dans un supermarché où on est entouré d’armoires métalliques, les émissions sont perturbées ; quand de nombreux dispositifs émettent en même temps, les émissions sont perturbées, etc… ;

– la puissance du signal émis.

Sur ce dernier point, la question du niveau «medium» est importante. Est-il le même sur un téléphone Samsung S9, un OnePlus 5T et un Huawei P20 ?

On trouve une première réponse chez Google, dans le cadre de leur API maison, que l’application TousAntiCovid n’utilise pas. Les développeurs Google expliquent avoir testé différents modèles de smartphones dans des conditions normalisées afin de déterminer la puissance du signal dans les divers modes d’émission. Ils en ont déduit une base de données de corrections à apporter à la puissance du signal reçu en fonction du modèle émetteur, intégrée à leur API.

En analysant le code source de TousAntiCovid, qui est ouvert (c’est un point très positif à souligner), nous avons trouvé un équivalent de la base en question. On y trouve principalement les iPhone, Google Pixel, Samsung, ce qui représente environ 40 % du marché français, avec des valeurs de correction qui vont de -5dB à -40dB, ce qui est une plage assez large ; la valeur par défaut, utilisée quand le modèle est inconnu, est de -30dB.

Quoi qu’il en soit, les tests sont effectués dans un environnement normalisé qui n’est pas représentatif de tous les lieux où sera utilisée l’application : les résultats varient dans une foule, entourée d’armoires métalliques, à travers un mur ou une vitre en plexiglas, etc…

Toutes ces sources d’imprécision sur la détection de la distance expliquent sans doute au moins en partie les taux relativement faibles de détection rapportés dans l’étude suisse (19 % de détection pour SwissCovid contre 38 % pour le traçage manuel ). SwissCovid utilise l’API Google avec son mode d’émission Bluetooth personnalisé et ne s’arrête donc pas de manière intempestive.

Vers une surveillance médicale globalisée ?

Pourquoi Google ferme autant son API ? Conserver un monopole sur ce type d’applications ne semble pas avoir énormément d’intérêt en terme de collecte de données, Google ayant déjà des données bien plus précises sur les utilisateurs avec la géolocalisation ; à moins qu’ils n’envisagent une pente glissante vers la surveillance médicale généralisée, et de vouloir se positionner à terme comme un acteur incontournable.

Singapour a été parmi les premiers pays à mettre en œuvre ce type d’application, mais l’a rapidement abandonné pour déployer des QR Codes dans tous les bâtiments, ce qui est évidemment infiniment plus intrusif, puisqu’on sait partout où vous passez.

Il est probable que le traçage numérique, pour être réellement efficace, se doive d’être intrusif. La société française y est-elle prête ? Quel prix accordons-nous au respect de la vie privée, y compris dans la folie sanitaire qui s’empare des sociétés européennes ?