Les données biométriques contenues dans les cartes nationales d’identité et les passeports des citoyens français vont être centralisées dans un fichier numérique unique. En effet, c’est ce qu’annonce de manière inédite le décret n° 2016-1460, publié dans le journal officiel du 30 octobre 2016.
En quoi consiste ce fichier unique ?
Le traitement de données à caractère personnel dénommé Titres Electroniques Sécurisés (TES) a principalement deux objectifs. D’abord, celui de procéder à l’établissement, la délivrance, au renouvellement et à l’invalidation des cartes nationales d’identité et des passeports autrement dit de faciliter administrativement les questions relatives à ces deux documents d’identité (article 1 du décret n°2016-1460). Mais également de prévenir et détecter leur falsification et contrefaçon notamment l’usurpation d’identité (article 2 du décret n°2016-1460).
Le TES va regrouper au sein d’une base de données informatique unique deux fichiers informatiques qui existaient déjà : le fichier national de gestion (FNG) qui regroupait alors toutes les informations répertoriées lors de la création d’une carte nationale d’identité (décret n°55-1397 du 22 octobre 1995) et le fichier relatif à la délivrance des passeports (décret n°2005-1726 du 30 décembre 2005).
Cependant il faut noter que la base actuelle des passeports contient les données de 15 millions de personnes or le TES a pour objectif de réunir les données biométriques de 60 millions de personnes ce qui équivaut à la quasi-totalité de la population française (estimée à 66 628 000 au 1er janvier 2016).
Le « méga-fichier » n’est pas consultable par n’importe quel citoyen français. En effet, le décret fait une liste des agents administratifs qui sont habilités à prendre connaissance, dans l’exercice de leurs fonctions de ce fichier. Pour résumer, il s’agit des agents qui sont chargés de la gestion des titres d’identité comme les agents des services centraux du ministère de l’intérieur et du ministère des affaires étrangères, les agents des préfectures et des sous-préfectures chargés de la délivrance des passeports et des cartes nationales d’identité (avec désignation individuelle et habilitation du préfet), les agents diplomatiques et consulaires (article 3 du décret n°2016-1460). Peuvent également avoir accès à ces informations, dans le cadre de leurs missions, les services anti-terroristes et de renseignement (article 4 du décret n°2016-1460). Certaines informations peuvent être transmises à la base INTERPOL et au système d’information Schengen (article 6 du décret n°2016-1240).
Ces données vont être conservées pour une durée de quinze ans pour les passeports de vingt ans pour les cartes nationales d’identités (durée ramenée à dix et quinze ans si le titulaire du titre est un mineur) (article 9 du décret n°2016-1460). Le décret précise en outre que ce traitement ne comprend pas les recherches d’identification par reconnaissance faciale ou digitale (article 2 II du décret n°2016-1460). C’est d’ailleurs à ce sujet que le méga-fichier inscrit dans une proposition de loi adoptée en 2012, avait été censuré par le Conseil Constitutionnel dans une décision du 22 mars 2012. En effet, celui-ci prévoyait l’identification d’une personne à partir de ses données, notamment à des fins judiciaires. Pour Gaetan Gorce, sénateur socialiste et membre de la Commission nationale de l’informatique et des libertés (CNIL) :
« la finalité d’identification à partir des données a certes été écartée mais dès lors que le fichier a été constitué, elle devient techniquement possible ».
Il est vrai que depuis sa publication, le décret a fait énormément de bruit notamment en raison du nombre très important de personnes fichés, de la concentration dans un fichier unique mais aussi des dérives possibles. Pour Michel Tubiana, président d’honneur de la Ligue des droits de l’Homme « faire un fichier de cette nature, c’est s’exposer aux pires débordements », « tous les experts (…) vous disent que le danger de ce fichier est supérieur aux avantages que nous pourrions en retirer ».
La Commission nationale de l’informatique et des libertés (CNIL) a émis un avis consultatif sur le décret dans la délibération n°2016-292 du 29 septembre 2016. Elle a estimé que le décret était légal mais a émis plusieurs réserves. En effet, la Commission regrette que des dispositifs qui présenteraient moins de risques pour la protection des données personnelles n’aient pas été expertisés et demande ainsi une évaluation complémentaire du dispositif. Elle rappelle qu’eu égard à la nature des données traitées, il est nécessaire de prendre des garanties substantielles et d’accorder à ce fichier une vigilance particulière. La Commission appelle à la prudence notamment eu égard aux conséquences que pourraient avoir un détournement des finalités du fichier. En effet, la taille du fichier attirera sans doute un intérêt croissant des pirates pour celui-ci. Enfin, elle insiste sur le fait qu’étant donné l’ampleur mais aussi la nature du fichier, la mise en place du TES aurait du faire l’objet d’un débat parlementaire.
Le Conseil national du numérique a publié le 7 novembre 2016 un communiqué de presse dans lequel il appelle le Gouvernement à suspendre la mise en oeuvre du fichier TES et s’autorise à examiner des alternatives plus modernes et respectueuses des droits et libertés. Le Conseil regrette qu’aucune concertation préalable à la publication du décret n’ait eu lieu notamment une discussion avec les communautés d’experts afin de parvenir à des techniques plus respectueuses des droits des citoyens. Le Conseil souligne également le risque qu’un fichier pareil face l’objet de dérives « aussi probables qu’inacceptables ». Il indique par exemple, qu’après un événement grave, il se peut que le gouvernement se laisse tenter par une utilisation, en dehors des cas prévus par le décret, de ce fichier TES. De plus, le Conseil rappelle le risque d’une cyber-menace. Pour Axelle Lemaire, secrétaire d’Etat au numérique et à l’innovation :
« plus le fichier est gros, plus les risques de hackage sont importants ! ».
Pour Michel Tubiana, c’est l’importance du nombre de personnes qui ont l’autorisation de consulter ce fichier qui pose un réel problème. Le Conseil National propose alors une alternative : celle de la conservation des données biométriques sur un support individuel exclusivement détenu par la personne.
Pourquoi un rejet si intense de ce décret alors que ce fichier ne va pas collecter plus d’informations que les grands groupes comme Facebook ou Google collectent déjà chaque jour sur des millions d’internautes ? Ce fichier TES est obligatoire pour tout citoyen possédant des titres d’identité, la seule manière pour un citoyen d’y échapper est de refuser d’avoir des papiers d’identités or cela pose des problèmes dans la vie quotidienne notamment lors des contrôles d’identités ou encore lors du passage d’examens. Alors que lorsqu’un internaute se connecte sur son compte Google ou Facebook, il le fait de manière intentionnelle, un internaute peut choisir de ne pas adhérer à ce genre de sites. Il est possible aussi que le citoyen redoute d’avantage l’utilisation que l’Etat pourrait avoir de ces fichiers mais aussi qu’il ait moins conscience de cette collecte de données par ces sociétés qui se fait de manière assez opaque.