Le contact tracing consiste à identifier les individus ayant été en contact avec des personnes atteintes d’une maladie transmissible. Les systèmes de contact tracing manuel et de contact tracing numérique mis en œuvre en France pour freiner la circulation du virus responsable du Covid-19 étaient soumis au respect du règlement général sur la protection des données et à celui des normes internes. Ils ont offert un certain nombre de garanties du point de vue de la protection des données. En particulier, les personnes contaminées n’ont aucune obligation de révéler l’identité de leurs cas contacts aux enquêteurs sanitaires intervenant dans le contact tracing manuel. De plus, le téléchargement de l’application nécessaire au contact tracing numérique est libre, et les données qui y sont traitées sont pseudonymisées, donc non nominatives. D’autre part, l’application de ces dispositifs est supposée être limitée dans le temps, même si le terme de leur mise en œuvre a sans cesse été repoussé. Ils posent aussi des questions concernant la confidentialité des données traitées. Les données des interrogatoires des sujets malades sont rassemblées dans un système d’information, nommé Contact Covid, qui frappe par l’ampleur des informations collectées, tant sur les personnes malades que sur les cas contacts, et par l’étendue des acteurs susceptibles d’y avoir accès. Il existe par ailleurs un risque d’identification des personnes contaminées par les utilisateurs de l’application de contact tracing numérique, et des risques liés à la nature centralisée du dispositif, dont un risque d’identification des cas contacts par les pouvoirs publics. Ces risques pourraient s’intégrer dans la recherche de proportionnalité entre protection de la vie privée et protection de la santé publique. Néanmoins, à ce jour, aucune preuve n’établit formellement l’efficacité du contact tracing dans la lutte contre le Covid-19.