Le fichier des gens honnêtes fait son grand retour

Début mars 2012, l’Assemblée Nationale adoptait un projet de loi controversé qui devait conduire à la création d’un fichier de 60 millions de « gens honnêtes » – selon l’expression de François Pillet, sénateur du Cher (LR). Nombre de voix s’y étaient opposées, relayées notamment notre confrère Jean-Marc Manach, spécialiste des questions liées à la protection de la vie privée.

Le Centre d’études sur la citoyenneté, l’Information et les Libertés (Cecil) n’avait pas manqué de s’inquiéter des conséquences liées à la création d’un tel fichier dans le cadre du déploiement de la future carte d’identité électronique. D’autres avaient souligné le risque associé à d’éventuelles usurpations d’identités s’appuyant directement sur le fichier en projet ; fichier présenté comme devant, au contraire, protéger l’identité. Ce projet du précédent gouvernement avait été censuré par le Conseil Constitutionnel, à la suite d’une saisine co-signée notamment par l’actuel ministre de la Justice, Jean-Jacques Urvoas.

Manuel Valls et Bernard Cazeneuve ne s’étaient pas associés à cette initiative. Et le premier vient de signer, sur rapport du second, un décret instaurant un fichier comparable qui, publié au Journal Officiel en plein week-end prolongé de la Toussaint, aurait pu passer inaperçu sans la vigilance de notre confrère Marc Rees.

Ce décret autorise ainsi la création d’un vaste fichier de données personnelles « relatif aux passeports et aux cartes nationales d’identité dénommé ‘titres électroniques sécurisés’ », ou TES, dans le but énoncé de « prévenir et détecter leur falsification et contrefaçon ». L’éventail de données concernées est vaste, depuis les noms de famille et prénoms des titulaires des titres jusqu’à leur adresse e-mail en passant par les images numérisées du visage, des empreintes digitales et de la signature, sans compter les informations de filiation et les copies numériques des pièces justificatives versées au dossier.

Une extraordinaire mine d’or pour cybercriminels, en somme, comme le souligne la CNIL dans une délibération qui n’a manifestement pas retenu la pleine attention du gouvernement : « les données biométriques présentent la particularité de permettre à tout moment l'identification de la personne concernée sur la base d'une réalité biologique qui lui est propre, qui est permanente dans le temps et dont elle ne peut s'affranchir. Ces données sont susceptibles d'être rapprochées de traces physiques laissées involontairement par la personne ou collectées à son insu et sont donc particulièrement sensibles ».

Et la Commission de regretter au passage « que les dispositifs présentant moins de risques pour la protection des données personnelles, tels que la conservation de données biométriques sur un support individuel exclusivement détenu par la personne, n'aient pas été expertisés ». Tout en soulignant que le Parlement mériterait d’être « saisi du projet envisagé ».

Alors tant pis si l’exemple du bureau américain de gestion du personnel (OPM) aurait pu servir de leçon. La compromission de ses données, révélée l’an passé, menace l’identité de près de 7 % de la population aux Etats-Unis. Et si seule une cinquantaine de pays au monde délivre des cartes d’identité, le gouvernement français semble avoir décidé de frapper fort, à une grande échelle, s’inspirant de l’exemple indien Aadhaar.

Mais pas complètement. Car cette concrétisation du projet Unique ID, né en 2008 et visant à fournir un numéro d’identification unique à chaque citoyen, a fait la démonstration, début 2013, des quelques-uns des possibles écueils d’un fichier des « gens honnêtes ».

Dans les colonnes de l’Hindustan Times, fin 2012, Chetan Chauchan relevait ainsi, que « certaines personnes ont réussi à battre le système d’identification unique soi-disant imbattable et à obtenir de faux numéros Aadhaar, soulevant des craintes pour la sécurité du système ». Des centaines de milliers de numéros d’identification ont dû être annulés. Plus récemment, un espion pakistanais semble avoir réussi à obtenir frauduleusement un numéro Aadhaar lui ayant permis de se faire passer pour un honnête citoyen indien.

Mais qu’à cela ne tienne, Aadhaar poursuit son chemin. Il devrait être prochainement utilisé pour des vérifications d’identité à l’entrée de l’aéroport de Bangalore, ou sur les distributeurs automatiques de billets et les terminaux de paiement. Il l’est déjà pour l’activation de cartes SIM par plusieurs opérateurs mobiles, ou encore pour la distribution de rations alimentaires.

Mais les services indiens du renseignement n’auront pas accès aux données d’Aadhaar. A l’inverse, en France, celles-ci pourront accéder aux données du fichier TES, aux côtés de la police et de la gendarmerie nationales, dans le cadre de prévention ou de la répression des « atteintes aux intérêts fondamentaux de la Nation » et des actes de terrorisme.