Le décret sur le fichier biométrique serait passé inaperçu si NextINpact n’avait pas surveillé attentivement le Journal Officiel.

Le décret n° 2016-1460 du 28 octobre 2016 autorisant la création d'un traitement de données à caractère personnel relatif aux passeports et aux cartes nationales d'identité est paru le 30 octobre 2016 au Journal Officiel. Son objectif est de créer un fichier national autorisant le traitement de données à caractère personnel relatif aux passeports et aux cartes nationales d’identité sécurisés.

Ce fichier pose des problèmes juridiques mais également des problèmes techniques et financiers.

Les aspects purement juridiques

Le décret

Sur la forme, une telle disposition ne devrait pas prendre la forme d’un décret – donc pris par le corps exécutif – mais bien d’une loi – par le pouvoir législatif – car il s’agit non seulement d’une collecte touchant à des éléments relatifs à la vie privée mais également d’opérations en lien avec des activités de police, donc par ricochet avec la procédure pénale. Or, en vertu de l’article 34 de la Constitution de 1958, cela relève de la compétence du Parlement.

Au-delà du problème de la stricte compétence se pose le problème du défaut de consultation. En effet, en matière de fichier, la consultation de la CNIL est obligatoire. Or, la lecture du décret, dans la partie des visas, montre que l’avis de la CNIL sur la constitution d’un fichier n’a pas été pris *en compte* contrairement à ce que pose l'article 27 de la loi Informatique et Libertés. Bien que les visas n’aient pas une portée juridique propre et que leurs omissions n’aient pas de conséquence juridique sur la légalité de l’acte, il semble curieux que la principale autorité administrative indépendante gérant ce type de questions n’aient pas été consultées en amont.

On a donc un problème de compétence et éventuellement un problème de forme. Passons aux acteurs institutionnels qui auraient accès à ce fichier.

Les acteurs

Si on résume très grossièrement les articles 3, 4, 5 et 6, on comprend que toutes les personnes qui auraient un intérêt à consulter cette base de données peuvent le faire, avec certaines restrictions selon la personne qui consulte. En soit, il n’est pas choquant que des autorités de police aient accès aux fichiers d’identité, de même que les agents de l’état-civil puisque cela fait partie de leur cœur de métier. Mais ce qui est plus dérangeant, c’est l’étendue des informations auxquelles ils vont avoir accès.

Les informations

La majeure partie des informations énumérées dans l’article 2 de ce décret font déjà l’objet d’un traitement automatisé mais la nouveauté réside dans le croisement de ces informations déjà existantes avec des informations biométriques à savoir le visage de la personne et ses empreintes digitales. Donc, d’un système permettant d’identifier une personne, on passe à un système permettant d’authentifier une personne, ce qui n’est pas la même chose. En sécurité informatique, on différencie les deux notions et pour que vous compreniez la nuance, voici un exemple. Si j’ai les informations de connexions à sa boîte mail de Marc Rees, je m’identifie comme étant Marc Rees. Mais si pour accéder à cette même boîte mail, on me demande l’empreinte de son pouce ou un scanner rétinien, il est évident que le système va détecter que je ne suis pas Marc Rees. Dans l’authentification, on est un cran au-dessus, on veut s’assurer que la personne qui est en face de nous est bien celle qu’elle prétend être.

Arrivé à ce stade de la lecture, vous devez vous dire que c’est beaucoup de bruit pour rien. Mais pour comprendre les implications d’un tel fichier, nous devons abandonner temporairement le droit pour passer aux aspects purement techniques.

Les aspects purement techniques

La gestion du fichier

Qu’il soit clair dans votre esprit qu’un tel mastodonte sera géré informatiquement. De la même manière, gardez en tête qu’un tel système sera créé et administré au quotidien par un intervenant extérieur à l’Etat. En effet, en vertu de la Réforme Générale des Politiques Publiques (RGPP) et des diverses dispositions tendant à simplifier et à réduire les coûts de fonctionnement de l’administration, une grande partie des chantiers informatiques sont laissés au secteur privé, par le mécanisme des marchés publics. Il est donc vraisemblable qu’une entreprise comme Thalès, Steria ou autre gère un fichier contenant l’ensemble des éléments permettant de vous identifier.

Sans aller jusqu’à dire que tous les salariés de ces entreprises sont des incompétents, il a tout de même été démontré à plusieurs reprises qu’elles ne prenaient pas toujours en compte les questions liées à la sécurité. Ce ne sont donc pas des agents assermentés par l’Etat qui auront accès à vos informations mais bien des individus lambda.

Les interconnexions

Ce que l’on va appeler ici les interconnexions sont les liens entre les fichiers. Typiquement Paul Dupont est présent dans le fichier national des passeports avec son nom, son prénom, ses empreintes digitales et son adresse et grâce à une porosité entre les fichiers, on va également pouvoir avoir accès à des informations médicales car la date de naissance est la même que sur sa carte de sécurité sociale et son numéro de sécurité sociale va permettre d’avoir accès à ses fiches de paie via l’URSSAFF qui va ensuite donner accès à son historique fiscal et avec ce facteur supplémentaire qu’est l’authentification. On va donc pouvoir savoir que Paul Dupont est né le 10 juillet 1975, à Versailles, qu’il est commercial, qu’il gagne 45 000€ par an, qu’il a une vie sexuelle débridée, qu’il consomme parfois des stupéfiants récréatifs, etc. Au lieu d’avoir des informations parcellaires et éparpillées, elles vont pouvoir être toutes regroupées.

On pourrait objecter que nous laissons volontairement beaucoup d’informations permettant de procéder au même profilage sur le Web. A une différence : quand vous laissez des informations personnelles sur le Web, personne ne vous y oblige. Vous n’êtes pas obligé d’utiliser une application de rencontre, d’acheter une certaine marque de smartphone, de lire tel magazine, etc. La nuance est essentielle : dans le cas qui nous préoccupe, c’est obligatoire.

La sécurité des données

En sécurité informatique, la question n’est jamais « va-t-on être attaqué » mais « quand va-t-on être attaqué » et si vous vous figurez que l’Etat français est proactif en matière de sécurité informatique, vous vous trompez. A un moment, il y aura des attaques contre le système gérant ces informations, à un moment il y aura une intrusion et vos données permettant de savoir qui vous êtes, ce que vous faites, de qui vous êtes l’enfant, où vous vivez, avec qui vous couchez, combien vous gagnez, vont se retrouver dans la nature, revendu à prix d’or au marché noir de la donnée.

Cette revente illégale d’information aura pour conséquence des usurpations d’identités très difficiles à démontrer pour les victimes.

Cette intrusion peut tout à fait venir de l’intérieur et je vais vous faire un aveu : si j’avais eu l’occasion de consulter certains fichiers de police l’année dernière à la même époque pour mettre la main sur certaines personnes, je l’aurai fait tellement j’étais enragée. Qui nous garantit que seules des personnes vertueuses manipuleront ces informations, surtout quand on sait que ce qui compte, ce n’est pas si une personne peut être achetée mais combien il faut mettre sur la table ? D'autant que, ces données seront amenées à circuler dans l'Union Européenne, ce qui multiplie les risques de volatilité. 

Ainsi que l'a souligné Jef Mathiot, contrairement à un mot de passe que l'on peut réinitialiser, s'il y a une fuite de données biométriques, il n'y a pas de retour en arrière possible. Vous ne pouvez changer vos empreintes digitales, sauf à vous brûler les doigts et les mains, changer votre empreinte rétinienne ou votre profil ADN. Par ailleurs, ainsi que rappelé par l'équipe d'Isabelle Attard, ce n'est pas un cas d'école, c'est déjà arrivé. 

On va donc potentiellement mettre en danger l’identité des citoyens français pour des questions de sûreté de l’Etat – ce que je suis tout à fait capable de comprendre – mais sans aucune garantie pour les dits citoyens et avec une certaine légèreté budgétaire.

Le point qui fâche : le financement

Je m’excuse par avance d’énoncer une évidence qui semble avoir échappé à tout le monde mais : comment va-t-on financer un tel monstre informatique ? Nous retombons sur la question posée préalablement : si le Gouvernement a effectivement l’initiative de la présentation des lois de finances, tout ce qui demande un budget supplémentaire doit répondre à des règles strictes, parmi lesquelles, sa présentation au Parlement.

A ce jour, la plateforme d’interceptions des écoutes judiciaires, chantier colossal attribué à Thalès, n’a toujours pas vu le jour, faisant que le Ministère de la Justice paie à la fois le chantier externalisé mais aussi le chantier internalisé. La bonne gestion des deniers publics n’est pas une simple figure de style.

Le mot de la fin : on pourrait opposer le fait que certains Etats démocratiques comme la Suède font déjà ce genre d’exercice sans que cela ne soulève une grande indignation. La différence réside dans l’histoire. La France a déjà fait ce type de fichiers avec les conséquences que l’on connaît. A-t-on vraiment envie de franchir certaines limites au nom d’une pseudo-bonne gestion, sous-traitée à l’informatique, sur laquelle nous n’avons pas la maîtrise ?

Concluons cette tentative d'explication avec la curieuse amnésie de notre actuel Garde des Sceaux, soulignée par Numendil.