Affichage des articles dont le libellé est biométrie. Afficher tous les articles
Affichage des articles dont le libellé est biométrie. Afficher tous les articles

mercredi 9 décembre 2015

Censure du Conseil d'Etat sur le fichier de la carte d'identité

Le 18 novembre*, le Conseil d'Etat a effectué une magistrale leçon d'indépendance du droit et du temps juridique à l'égard du politique, en obligeant l'Etat à mettre un terme à la conservation illimitée de l'empreinte digitale prélevée lors d'une demande de carte d'identité.

Il lui a en effet demandé de revoir l'article 5 du décret n° 55-1397 du 22 octobre 1955 instituant la carte nationale d’identité (CNI) - comme l'a rapporté le site Legalis -, suite aux demandes de deux dames qui, par ces procédures, ont réussi à mettre un terme à une situation illégale depuis... 1987 ! Nous les saluons bien bas !

Un héritage de l'ère Pasqua

Cet article concerne le prélèvement, et la conservation pour une durée illimitée d'une empreinte digitale, et cela à deux fins : "la détection des tentatives d'obtention ou d'utilisation frauduleuse d'un titre d'identité" et "l'identification certaine d'une personne dans le cadre d'une procédure judiciaire." Il n'existait pas dans le décret de 1955, et a été introduit sous sa forme actuelle par le décret n°87-179, qui mettait en place la "carte Pasqua".

Cette empreinte était seulement "conservée au dossier par le service gestionnaire de la carte", autrement dit, elle n'est pas intégrée au fichier informatique centralisé mis en place par Pasqua (décret n°87-178). Les décrets Pasqua ont été abrogé sous Jospin, mais le relevé de l'empreinte et sa conservation dans un fichier local ont été conservés (décret n°99-973).

Une circulaire de l'Intérieur, de 2000**, précisait que cette empreinte de l'index, qui figure "dans le dossier de demande et non sur la carte", doit être prélevée y compris chez les mineurs:
"Les enfants mineurs, quel que soit leur âge, ne sont nullement exclus de l'opération de la prise d'empreinte digitale dont l'objet est de détecter les tentatives d'obtention ou d'utilisation frauduleuse d'un titre d'identité et de permettre également de lutter contre les usurpations d'identité. Toutefois, les enfants en bas âge peuvent être dispensés [ndlr: mais ne le sont donc pas nécessairement] du relevé d'empreinte digitale qui ne devra être fait systématiquement qu'à partir de l'âge de seize ans, âge à partir duquel les mineurs sont responsables pénalement."
Ce qui est absurde, puisque les empreintes digitales ne sont pas stabilisées chez les enfants, d'où la gêne certaine marquée par cette circulaire qui indique qu'il faut procéder au prélèvement mais que ce n'est pas obligatoire (on imagine ce qu'ont dû en penser les préfets à qui, en gros, on disait de faire comme bon il leur semblait...). C'est pourquoi il y a bien une limite d'âge (12 ans) prévue pour le prélèvement des empreintes lors de la demande d'un passeport (règlement 444/2009 du Parlement européen et du Conseil, art. 1).

La carte d'identité biométrique de 2012

Quoi qu'il en soit, avec la loi n°2012-410 "relative à la protection de l'identité" (thème à la mode...), les empreintes digitales (on ne sait pas combien) sont stockées sur une puce biométrique présente sur la carte d'identité. Bien que la loi parle "des empreintes", le seul décret sur le sujet ne parle que d'une empreinte, et ne fait pas référence à une puce biométrique, donc cette carte d'identité biométrique reste pour le moment virtuelle, au niveau du droit. En tout état de cause, les dispositions ayant visé à créer un fichier national biométrique, qui avaient suscité des critiques légitimes (voir les multiples articles sur le fichier de 45 millions de "gens honnêtes" sur le blog Bug Brother) - et qui n'étaient qu'une reprise du vieux projet INES ("Identité nationale électronique sécurisée") de 2002 - , ont été censurées par le Conseil constitutionnel. Ne reste donc que le vieux fichier Pasqua.

Or, le Conseil d'Etat a précisé qu'en application de la loi Informatique et libertés de 1978, une durée de conservation proportionnée doit être prévue pour ces données sensibles que sont les empreintes. D'où la censure du décret (le Conseil précise que la loi de 1978 s'applique aux fichiers qui ne sont pas informatisés, ce qui, du reste, est une évidence à la lecture de celle-ci).

Un contexte sensible

Cette décision intervient moins d'une semaine après les attentats du 13 novembre. L'état d'urgence avait déjà été proclamé, ce qui n'a pas empêché les juges de faire leur travail - qu'ils font moins bien en ce qui concerne le contrôle des assignations à résidence, à en croire les diverses affaires rapportées par Le Monde (dont celle sur le catholique assigné à résidence pour salafisme - sic). Les médias avaient rapporté, à tort, qu'un des terroristes (Samy Amimour) à qui on avait retiré les papiers pour le dissuader de partir en Syrie les avaient récupérés tout simplement en faisant une déclaration de perte (cf. Slate qui explique le quiproquo).

Quoi qu'il en soit, voilà une décision qui, s'inspirant de l'arrêt Stephen et Marper de la Cour européenne des droits de l'homme (2009), est à saluer. Et ce, bien qu'elle constitue un barrage fragile face aux demandes de la police qui vise tous azimuts (cf. Le Monde du 5/12/15 et le billet de Pixel)...

Les suites de l'arrêt du CE de 2011 sur les six empreintes en trop prélevées lors d'une demande de passeport 



D'autant plus que, bien que la CNIL se targue de faire son travail en contrôlant que l'Etat efface bien les empreintes en trop prélevées lors d'une demande de passeport (puisque depuis un arrêt du Conseil d'Etat de 2011 l'Etat ne doit en prélever que deux, et pas huit), les services de l'Etat continuent de prélever huit empreintes. En tout cas, ils m'y ont obligé pour mon passeport demandé en septembre 2014... La CNIL prétend même que c'est normal, l'Etat sélectionnant ensuite les deux meilleures empreintes.

Cela est pourtant contraire au décret de 2005 sur les passeports, tel que modifié par le décret 2012-497 pris après l'arrêt du CE et avis de la CNIL ! Celui-ci précise bien, en effet, que seules les empreintes des index doivent être prises (art. 6-1).

Dans ces conditions, on reste sceptique... Et croit-on vraiment que la CNIL contrôlera dans chaque préfecture les dossiers de demande de carte d'identité afin de vérifier que les empreintes n'y figurent plus au bout d'une durée à fixer (10 ans? 15 ans?)... 

*La date du 18 décembre donnée par Legalis dans sa présentation de sa décision est une coquille.
 **Circulaire du 10 janvier 2000, NOR : INTD0000001C
***Article modifié le 17 déc. 2015 sur la dernière partie.


Creative Commons License Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

mercredi 7 novembre 2012

Biométrie: la CNIL s'inquiète, Auchan fonce !

Tandis que la CNIL annonce, sans fanfares, qu'elle retirait son autorisation unique portant sur l'usage de la biométrie afin de pointer au boulot (AU n°007), le groupe Auchan (Auchan, Leroy-Merlin, banque Accord, etc.) lance avec fierté le paiement biométrique "au doigt", c'est-à-dire la carte VISA biométrique

Si l'usage de la biométrie à des fins de contrôle des horaires est désormais jugée "non proportionnel", la CNIL effectuant ainsi un revirement de jurisprudence, celle-ci continue à considérer que la "biométrie de confort", ou plutôt, la biométrie de management, c'est-à-dire à des fins de gestion des flux, que ce soit dans les cantines ou les supermarchés, est légitime. La biométrie dévoile ainsi son véritable visage, servant davantage à faciliter la gestion qu'à assurer la sécurité. Mise en perspective.

Le revirement de la CNIL suite à la contestation sociale

La CNIL motive son retrait de l'autorisation unique de la pointeuse biométrique en constatant une généralisation des "techniques de contrôle des salariés" depuis 2006, l'ayant incité à "recueillir l'avis d'organisations syndicales et patronales, de la Direction Générale du travail ainsi que de certains professionnels du secteur" (délib. n°2012-322 du 20 septembre 2012, portant sur l'AU n°7 du 27 avril 2006: "autorisation unique de mise en œuvre de dispositifs biométriques reposant sur la reconnaissance du contour de la main et ayant pour finalités le contrôle d'accès ainsi que la gestion des horaires et de la restauration sur les lieux de travail").

Au cours de ces consultations, "un consensus s'est clairement exprimé considérant l'utilisation de la biométrie aux fins de contrôle des horaires comme un moyen disproportionné d'atteindre cette finalité", notamment en raison du "risque accru de détérioration du climat social, allant à l'encontre de la relation de confiance employeur-salarié", la pointeuse à badge apparaissant suffisante.

Il faut dire que la pointeuse biométrique devenait l'enjeu de conflits sociaux inquiétants pour les promoteurs de ces technologies (cf. La gauche et l'avenir de la reconnaissance faciale (1), Vos Papiers!, 18/05/12). Nous avions alors cité le reportage de France-3 (17/05/12) sur l'opposition des employés de la mairie de Garges-lès-Gonnesses :

Dans la suite de cette délibération, la CNIL effectue un véritable revirement de jurisprudence, déclarant:
Dès lors, même si le contour de la main est une biométrie dite « sans trace », son recours implique d'utiliser une partie de son corps, ce qui en soi est disproportionné au regard de la finalité de gestion des horaires.
Félicitons-ici la CNIL d'avoir compris, sous la pression du mouvement social et après six ans de promotion de la biométrie en tant qu'outil de flicage des salariés, qu'elle s'était trompée en considérant que la gestion biométrique des horaires était conforme au principe de proportionnalité de la loi Informatique et libertés de 1978.
Le contrôle dans les cantines, scolaires et professionnelles, demeure légal
 
En revanche, la CNIL nage dans l'incohérence la plus totale, en n'effectuant qu'un retrait partiel de l'AU-007, puisque les autres formes de contrôle biométrique dans l'entreprise, et notamment ceux effectués à la cantine, sont considérées comme "proportionnelles":
La Commission estime qu'il n'en est pas de même en ce qui concerne les contrôles d'accès aux locaux ainsi qu'au restaurant d'entreprise ou administratif reposant sur un dispositif de reconnaissance du contour de la main, notamment pour des raisons de sécurité et au regard des risques plus limités pour la vie privée des personnes.
On ne voit pas bien pourquoi la pointeuse biométrique à la cantine porterait un "risque plus limité" à l'égard de la vie privée, puisqu'il s'agit de la même technique. Par ailleurs, invoquer la sécurité alors qu'il s'agit de gestion des flux est parfaitement hypocrite. Dès 2000, la CNIL savait de quoi il en retournait : en rejetant la demande du lycée Jean Rostand de Nice, elle indiquait ainsi (délib. n°00-015, 21-03-00):
le traitement ainsi mis en œuvre ayant pour finalité de faciliter l'accès à la cantine scolaire et la gestion des comptes et de la facturation ; qu'il permettrait, en outre, aux dires de l'établissement, d'éviter toute manipulation d'espèces et les difficultés généralement liées à la perte ou à l'oubli des cartes de cantine...
Cette finalité a été un temps oubliée: en autorisant le premier contrôle biométrique, par contour de la main, dans les cantines, au collège Joliot-Curie de Carqueiranne (Var) en 2002 - initiative coûteuse financée par le conseil général - elle prétendait qu'il ne s'agissait que de s'assurer que "seules les personnes habilitées peuvent accéder au service" (délib. 02-70). Le collège présentait pourtant le système comme visant à "mieux gérer les absences", c'est-à-dire à mieux fliquer les élèves: une sorte de pointage horaire à l'école (Libération, 28-10-02).

Depuis, la CNIL reprend inlassablement la même rengaine : elle autorise les fichiers et la biométrie à des fins de "contrôle de l'accès au restaurant d'entreprise ou administratif et [de] gestion de la restauration ainsi que la mise en place d'un système de paiement associé" (délib. n°02-001 du 08 janvier 2002, sur les fichiers "mis en œuvre sur les lieux de travail pour la gestion des contrôles d'accès aux locaux, des horaires et de la restauration"; délib. n°2006-101 du 27 avril 2006 sur l'AU-007 ; délib. n°2012-322 précitée, abrogeant la précédente).

Affirmer que des cantines requièrent d'être "sécurisées" en faisant usage de la biométrie est tout autant ridicule qu'hypocrite. Et prétendre que le principe de proportionnalité est respecté devient d'autant plus difficile dès lors que la CNIL s'est déjugée en ce qui concerne le contrôle des horaires. Reste donc à la CNIL de prendre acte des nombreuses protestations contre la biométrie à l'école et le flicage des enfants ! 

L'expérience Accord-Auchan sur le paiement biométrique, une collaboration Etat-industrie-grande distribution

Il s'agit-là, en fait, de la mise en place de "l'expérimentation" - peut-être faudrait-il dire de l'acculturation des consommateurs - autorisée par la CNIL dans sa délibération de décembre 2009 que nous avions largement commenté dans La carte VISA biométrique débarque en France (02/04/10)

La CNIL, dont l'un de ses membres, Dominique Castera, a travaillé chez Sagem de 1973 à 2010, étant même DRH, de 2005 à 2010, de ce groupe à la pointe du lobbying pro-biométrique, la CNIL donc, dans sa grande indépendance, remarquait alors que c'était "la première fois qu’elle [était] appelée à se prononcer sur le recours à une technologie biométrique dans le cadre d’une application potentiellement de masse".

L'expérimentation actuelle, qui commence à l'Auchan de Villeneuve-d'Ascq, est ainsi le fruit d'une véritable collaboration entre la CNIL, plusieurs banques, la grande distribution, une start-up, Natural Security (sic), financée par ces derniers, et enfin Ingenico, leader mondial des terminaux de paiement - dans lequel l'Etat détient une minorité de blocage à travers Safran, et qu'il avait d'ailleurs utilisé en 2010 au nom du "patriotisme économique", empêchant son rachat par les Américains (cf. Vos Papiers!, 02/02/11). La Tribune (23/10/12) précise ainsi :
Les sept actionnaires de Natural Security que sont Auchan, Leroy Merlin, BNP Paribas, Crédit Agricole, Crédit Mutuel Arkéa ainsi que le leader mondial des terminaux de paiement Ingenico financent à hauteur de plusieurs dizaines de millions d'euros les travaux de cette start-up depuis sa création en 2006. Début 2011 sortait le premier prototype en partenariat avec MasterCard.
Comme le souligne bien 01Net (23/10/12), il s'agit d'une "double identification : biométrique et sans contact", puisqu'il faut poser ses doigts sur un terminal biométrique qui reconnaît le réseau veineux, et permet ensuite la transmission des données du terminal à la carte VISA, gardée dans le portefeuille, via une puce RFID (pour les détails techniques du procédé, cf. Vos Papiers!, 02/04/10). 

Si l'Auchan de Villeneuve-d'Ascq se limite au réseau veineux, l'expérimentation s'étendra à celui d'Angoulême, où l'empreinte digitale sera utilisée. Or, il s'agit d'une technologie "à trace" selon la CNIL, qui pose davantage de problèmes relatifs à la protection contre l'usurpation d'identité... biométrique (sur les faux chiffres qui circulent concernant l'usurpation d'identité civile, cf. Le Canard Enchaîné du 24/10/12, ci-contre). La CNIL a autorisé cette "légère" modification par sa délibération n°2011-200 du 30 juin 2011 :
Par une délibération n°2009-700 du 17 décembre 2009, la Commission a autorisé la mise en place de cette expérimentation, en 2011-2012, pendant une durée de six mois chez les commerçants participants avec, pour biométrie utilisée, le réseau veineux du doigt. Banque Accord sollicite une modification de cette autorisation afin de recourir à deux nouvelles biométries : le réseau veineux de la paume de la main et l'empreinte digitale exclusivement stockée sur support individuel.
Comme en 2009, elle prend acte que cette technique consiste principalement à faciliter la gestion des flux, affirmant qu'elle vise "à réduire le temps nécessaire à la réalisation d'un paiement et à répondre au mieux aux exigences de sécurité en vigueur" - cf. Vos Papiers!, 02/04/10, sur la priorité gestionnaire ("à l'automatisation des frontières répond l'automatisation des caisses", écrivions-nous alors), la sécurité pouvant être assurée par d'autres moyens, non biométriques: l'autorisation constitue donc une entorse, sinon une violation, du principe de proportionnalité.

Mais la CNIL voit là un progrès considérable, annonçant même, dans sa délibération sus-citée de juin 2011, que "ce projet devrait à terme favoriser le développement de nouveaux services d'authentification, par exemple pour la banque en ligne ou la signature de documents". 
Outre la banque Accord, le Crédit Agricole Mutuel de Charente Périgord a bénéficié d'une autorisation d'expérimentation analogue (délib. n°2012-039 du 2 février 2012), ainsi que le Crédit Mutuel ARKEA (délib. n°2012-033, 2 fév. 2012). Parmi les actionnaires de la start-up Natural Security, ne reste plus que BNP-Paribas qui n'a pas encore fait sa demande.

La doctrine biométrique de la CNIL : le pointage, ça suffit ! la gestion des flux, oui !

 Le revirement de jurisprudence opéré par la CNIL quant à l'AU-007, qui se limite, sous la pression du mouvement social, à considéré comme non-proportionnel l'usage de la biométrie à des fins de contrôle des horaires, est un aveu de l'incohérence de sa doctrine. En effet, si l'usage à ces fins n'est pas proportionnelle, en quoi le contrôle biométrique à des fins de management, autorisé tant dans les cantines scolaires que la restauration d'entreprise, ou encore dans ces expériences-pilotes de "paiement biométrique", visant essentiellement à accélérer le passage en caisse, seraient-ils "proportionnels" ?

Alors que dans les années 1990, la biométrie était principalement présentée comme une technologie de paiement, l'enjeu sécuritaire post-11 septembre a durablement éclipsé cette fonction. Ceci a permis, en retour, la CNIL d'autoriser la généralisation de ces systèmes de reconnaissance dans l'ensemble de la société, au prétexte de la "sécurité" nécessaire dans le cadre de "contrôles d'accès". Et ceci, alors même qu'elle reconnaissait clairement la finalité avant tout gestionnaire et commerciale.

Avec l'expérimentation de paiement biométrique, qui prévoit la généralisation massive de la biométrie à des fins commerciales, et non plus seulement à des fins souveraines de contrôle d'identité et de circulation, le vrai visage, commercial, de la biométrie refait surface. Avec l'appui enthousiaste de l'Etat, qui participe pleinement à la commercialisation de cette technologie, au nom de la constitution de "champions nationaux".  Au détriment du respect de la vie privée et de nos libertés.

Pourtant, outre le célèbre livre bleu du GIXEL, le lobby de la biométrie, préconisant d' "habituer" les consommateurs dès leur plus jeune âge à ces techniques de contrôle (cf. ici L'identité électronique, pour l'Etat, les enfants ou le marché ?, 28 mai 2012), cette extension était prévue dès le départ, et la CNIL ne pouvait guère l'ignorer. Ainsi, le quotidien économique belge Trends-Tendance évoquait, en septembre 2002 ("Montre-moi ton œil, je te dirai qui tu es", 19-09-02), le modèle de diffusion économique formulé par le cabinet de consultant Arthur D. Little:  
La première étape, dite de haute sécurité, consiste en une phase d'expérimentation et d'application en conditions de contrôle et d'environnement de sécurité maximum, réservée à un petit nombre d'utilisateurs.
La deuxième étape, dite de contrôle d'accès, implique un plus grand nombre d'utilisateurs dans un nombre restreint de situations: la plupart des applications concernent ici  le contrôle physique et les accès à des réseaux.
La troisième étape, celle du contrôle de transactions, fournit des applications à grande échelle, principalement dans l'identification et les zones d'accès: e-commerce, infrastructures publiques et services financiers.
La quatrième étape, d'authentification et d'identification de masse, offre de très nombreuses applications: intégration complète avec les infrastructures publiques, premières solutions pour le marché consommateur.
Nul complot ici, mais une stratégie commerciale pleinement mûrie et réfléchie, à laquelle les Etats, et notamment Paris et Washington, ont apporté leur soutien le plus total.  Qu'importe si le modèle d'Arthur Little a été démenti par les faits ? Puisqu'en effet, l'identification de masse a joué dès le départ, via la mise en place du passeport et du visa biométrique, et que le contrôle des transactions demeure marginal. L'idée était bien de procéder à une généralisation progressive de cette technologie, à des fins purement commerciales.

La victoire remportée par les salariés luttant contre le pointage biométrique montre néanmoins que ce processus n'a rien d'irréversible, et que le mouvement social a un rôle à part entière dans l'élaboration du droit. Ne reste plus qu'aux lycéens à intensifier leur contestation, souvent relayée dans la presse régionale mais presque toujours ignorée de la presse nationale, et aux associations de consommateurs de se saisir de ce nouvel enjeu.


 Creative Commons License Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

mardi 16 octobre 2012

Google hors-la-loi, selon l'enquête du G29

Too big to regulate? Le cas Google, épinglé par la CNIL et ses homologues européens, pose in fine la question non pas seulement de la régulation de la firme, mais de la capacité de telles autorités de protection des données personnelles à assurer leur mission.

D'une part, le modèle économique de Google lui-même semble réfractaire aux principes du droit des données personnelles. D'autre part, peut-on se contenter, en de telles matières, d'une co-régulation et de procédures de recommandations émanant de la CNIL et consorts ? Ne faut-il pas sanctionner, plutôt que simplement encourager ?

L'enquête du G29 sur les règles de confidentialité de Google

Google, qui « a en Europe une part de marché d'environ 90 % sur les moteurs de recherche et d'environ 50 % sur les systèmes d’exploitation de smartphones », vient de se faire taper sur les doigts par l'ensemble des CNIL européennes, comme l'annonce le site de la Commission nationale Informatique et Libertés (site peu "user friendly" au demeurant, avec des changements d'URL, des liens morts, et un archivage peu lisible, en particulier pour les documents du dossier /fileadmin/...).

La CNIL a en effet été chargée par le G29, qui réunit les autorités de protection des données personnelles de l'UE, de l'enquête sur les Règles de confidentialité adoptées par le moteur de recherche et refondues en mars 2012 afin d'être les mêmes pour tous les services de la firme. Avertissement repris par l'Asia Pacific Privacy Authorities...

Combiner n'importe quelle donnée, de n'importe quel service, pour n'importe quelle finalité... 

La lettre du G29 explique le mieux la situation :
En second lieu, l'enquête a confirmé nos inquiétudes [our concerns] concernant la combinaison des données entre les différents services [gérés par Google]. La nouvelle politique de protection des données personnelles (Privacy Policy) permet à Google de combiner presque n'importe quelle donnée de n'importe quel service pour n'importe quelle finalité [The new Privacy Policy allows Google to combine almost any data from any services for any purposes.].
En bref, l'ampleur prise par ce qui n'était, à l'origine, qu'un moteur de recherche, mais dont les activités se démultiplient, suscitant aux Etats-Unis l'intérêt de la Federal Trade Commission (FTC) chargée de la réglementation anti-trust (Washington Post, 15/10/12), constitue une réelle menace sur notre vie privée ; à titre d'exemple sur ce que le data-mining permet, cf. VISA prédit les divorces, Vos Papiers!, 15/04/10.

Ainsi, Google s'affranchit allègrement des principes les plus élémentaires de la législation Informatique et libertés, tel que codifiés, notamment, par la directive 95/46/CE sur la protection des données personnelles. La CNIL rappelle ainsi que « la combinaison de données entre services doit respecter les principes de la proportionnalité, de limitation des finalités, de minimisation de données et du droit d’opposition. Google ne souscrit pas publiquement à ces principes » (ici et au long du texte, il s'agit de la CNIL mandatée par le G29 qui parle). 

Des données multiples, de l'historique de navigation aux données biométriques ...

Ces données sont multiples: il s'agit tant de données de connexion et de navigation, que de données personnelles, telles les adresses IP, la localisation géographique, le numéro de téléphone, le numéro de carte crédit, ainsi que les données biométriques, en particulier celles liées à la reconnaissance automatisée du visage (il s'agit de la fonction 'Find My Face', comme ne le précise pas la CNIL), qui n'est « pas mentionnée dans les Règles actuelles » de confidentialité (CNIL, ibid).

... à des fins diverses, de la fourniture de services à la publicité ciblée jusqu'à la recherche universitaire.

A quoi servent ces données? Ceci n'est pas expliqué par Google, contrairement aux principes d'information, sans parler du respect de la proportionnalité quant à la finalité poursuivie. Or, l'un des problèmes majeurs concerne ce mélange des genres : Google s'est fait une spécialité d'accumulation de données brutes, pouvant être utilisées voire vendues ensuite, sans trop savoir à quels usages. En bref, son modèle économique repose sur cette accumulation de données : aux utilisateurs-clients qui voudront y accéder d'y trouver une utilité, et si celle-ci est répréhensible, Google s'en lave les mains...

Ainsi, selon la CNIL:
Le Groupe de l’Article 29 a identifié huit différentes finalités pour la combinaison de données entre les services de Google :
- La fourniture de services où l'utilisateur demande la combinaison des données (cas n° 1) (ex. : Contacts et Gmail)
- La fourniture de services demandés par l'utilisateur, mais où la combinaison des données s'applique sans que l'utilisateur n'en soit directement informé (cas n° 2) (ex. : personnalisation de résultats de recherche)
- Finalité de sécurité (cas n° 3)
- Finalité de développement de produits et d'innovation marketing (cas n° 4)
- La mise à disposition du Compte Google (cas n° 5)
- Finalité de publicité (cas n° 6)
- Finalité d'analyse de fréquentation (cas n° 7)
- Finalité de recherche universitaire (cas n° 8)
 Or, 
Pour quatre des huit finalités susvisées, le Groupe de l’Article 29 a établi l'absence de base légale pour la combinaison de données entre services.
C’est le cas de la fourniture de services où la combinaison des données s'applique sans que l'utilisateur n'en soit directement informé (cas n° 2) et des finalités de développement de produits et d'innovation marketing (cas n° 4), de publicité (cas n° 6) et d'analyse de fréquentation (cas n° 7).
En clair: Google est hors-la-loi. Les principes les plus élémentaires du droit de la protection des données personnelles (principe de proportionnalité, de finalité, d'information, etc.) ne sont pas respectés. La possibilité d'opt-out n'existe pas, a fortiori pour les utilisateurs « secondaires », ou « passifs »,  de Google (« Les utilisateurs passifs, selon la définition figurant dans le questionnaire envoyé le 16 mars, sont des utilisateurs qui ne sollicitent pas directement un service Google, mais dont les données sont malgré tout collectées, généralement par le biais de plateformes publicitaires tierces, d’analyses ou de boutons +1 »). De plus, « Google n'a pas été en mesure de fournir une durée maximale ou habituelle de conservation des données personnelles traitées »....

S'agissant de l'analyse de la fréquentation, lié au service AdWords, la CNIL précise :
En ce qui concerne Google Analytics et la combinaison de données à des fins d'analyse de fréquentation, des mécanismes spécifiques de protection ont été mis en place pour les utilisateurs allemands : la combinaison de données entre services est exclue, un contrat spécifique est signé entre Google et le site web et les clients peuvent automatiquement anonymiser l'adresse IP partagée avec Google. Ces conditions peuvent assurer une protection adéquate des données personnelles et devraient être étendues à tous les États membres européens.

Too big to regulate ? Quand le G29 « encourage » Google à respecter le droit...

Cette indifférence hautaine de Google envers les  principes élémentaires du droit de la protection des données personnelles pose question. Comment, par exemple, la firme peut-elle ne pas être « en mesure de fournir une durée maximale ou habituelle de conservation des données personnelles traitées » ? 

Il ne s'agit pas là, a priori, d'une requête exorbitante. Chaque traitement de données autorisé par la CNIL, ne serait-ce que par la procédure simplifiée, est censé respecter ces principes. Ce qui représente un coût pour les PME (mise en place des correspondants Informatique et libertés, etc.). Or, Google, qui effectue des bénéfices records, aura du mal à nous faire pleurer en mettant en avant le coût du respect du droit.

S'abritant derrière le secret commercial de ses algorithmes, la firme se fonde sur un modèle économique opaque, d'accumulation de données brutes concernant les internautes, qu'elle espère bien pouvoir commercialiser. Quant à la question de l'usage, que ce soit par elle, ou par ses clients, de ces données, elle ne s'y intéresse guère... 

Dès lors, la vraie question est de savoir si on peut se contenter de simple « recommandations » du G29, qui n'ont aucun caractère contraignant, alors même qu'il a constaté l'absence de base légale du fonctionnement de Google. Suffit-il, par exemple, de ce que « le Groupe de l’Article 29 encourage Google à respecter le principe d’une durée de conservation strictement limitée au regard des finalités » ?

Ceci, d'autant plus que, selon la CNIL, « les risques associés à la combinaison de données entre services sont élevés pour les personnes concernées : violation de données, malveillance interne, réquisitions judiciaires, etc. », et qu'on sort donc du champ strict du droit à la vie privée pour entrer dans le champ du droit pénal. Vu l'importance des enjeux, la procédure de « co-régulation » à l'amiable, appelée de ses voeux par le G29, paraît douteuse.  

La CNIL est habilitée à prendre des mesures de sanction : ne serait-ce pas, vu l'étendue des activités illégales (pardon, privées de base légale) de Google, opportun ? La Commission européenne, les Etats-membres, le Parlement européen et les tribunaux ne devraient-ils pas prendre ce sujet à bras-le-corps, en exigeant que tout ceci soit éclairci par Google, et de façon générale par les firmes fonctionnant sur des modèles similaires (Facebook, etc.) ?

Etant donné le modèle économique même sur lequel est fondé Google, il est en effet peu probable que la firme se conforme d'elle-même au droit commun. En fait, le respect des principes élémentaires du droit, notamment des principes de proportionnalité, de finalité, et de durée de conservation, vont à l'encontre même du modèle Google, fondé sur l'exploitation de données brutes à des fins encore indéterminées.

Voir aussi, sur ce site :

Messages labellisés Google, dont, en particulier :

Google et le mot-clé "juif": devant les juges, 10 mai 2012

Google et le droit à l'oubli en Espagne, 8 février 2011

Et Data-mining: VISA prédit les divorces, 15 avril 2010


Creative Commons License Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

mercredi 30 mai 2012

La carte d'identité obligatoire: histoire d'un non-débat

Retour sur la nouvelle loi ayant instauré la carte d'identité biométrique, dite de "protection de l'identité". Dans un billet récent, j'avais soulevé l'hypothèse qu'insidieusement, elle aurait peut-être rendu la carte d'identité obligatoire. La question, pourtant importante, d'autant plus qu'on se rappelle que seul Vichy l'avait rendu obligatoire, n'a été évoquée que lors d'une seule séance, le 29 juin 2011 à l'Assemblée, par le rapporteur. Elle n'a fait l'objet d'aucun débat durant les six mois de discussion concernant cette loi, l'article 1 n'ayant suscité aucun amendement !

Synthèse 

Le rapporteur Ph. Goujon précisa en effet certaines modifications qu'apporte cet article, auparavant présenté au Sénat comme ne modifiant en rien le régime juridique existant, à savoir, selon lui, principalement :
  • le fait de limiter le caractère justificatif de l'identité aux titres en cours de validité, ce qui n'était pas le cas auparavant dès lors que la photo demeurait ressemblante;
  • et de dissuader les entreprises d'exiger d'autres justificatifs d'identité que la carte nationale d'identité (CNI) ou le passeport
(le lecteur pressé peut consulter les sections citées, en bleu, 1. Un titre d’identité ou de voyage en cours de validité suffira à justifier de son identité et la suivante, Preuve de l'identité, dans lequel ce sujet est abordé par le maire du XVe arrondissement de Paris). 

N'a jamais été évoqué le fait que les passeports étrangers aient été exclus de cet article, pas plus que la contradiction entre une CNI de facto obligatoire, notamment pour tout déplacement à l'intérieur de l'espace de Schengen, mais aussi pour nombre d'autres activités de la vie quotidienne, et son statut de jure facultatif, lequel a souvent été utilisé comme argument rhétorique par l'UMP pour prétendre que le "fichier des gens honnêtes" ne concernerait pas l'ensemble de la population.

Retraçons donc ici l'histoire de cet article 1, lequel dispose:
L'identité d'une personne se prouve par tout moyen. La présentation d'une carte nationale d'identité ou d'un passeport français en cours de validité suffit à en justifier.
L'article 1 n'est-il qu'une reprise de règles pré-existantes? Oui, non... quand les sénateurs s'en fichent!

Cet article est présent dès le début, à savoir le 27 juillet 2010, dans la proposition de loi "relative à la protection de l'identité" déposée au Sénat par Jean-René Lecerf (UMP), auteur du rapport de 2005 sur la biométrie (Identité intelligente (sic) et respect des libertés (re-sic)), et Michel Houel (UMP).

Dans l'exposé des motifs, ils déclarent alors:
L'article 1er rappelle la règle, qui figure actuellement à l'article 78-2 du code de procédure pénale, selon laquelle l'identité d'une personne se prouve par tout moyen. Il se déduit de cette mention que le projet n'entend pas conférer à la carte nationale d'identité un caractère obligatoire. Pour autant, le passeport et la carte nationale d'identité en cours de validité se voient reconnaître une valeur probante particulière : leur production suffit à établir l'identité d'une personne.
 Le 13 avril 2010, à l'occasion de l'examen de la proposition de loi par la Commission des lois du Sénat, laquelle avait nommé François Pillet (UMP) rapporteur, celui-ci, avocat de son métier, affirme dans son rapport:
Le présent article tend à poser le principe selon lequel l'identité d'une personne se prouve par tout moyen. La présentation d'une carte nationale d'identité ou d'un passeport français en cours de validité suffirait à en justifier.

Il reprend en cela une règle déjà énoncée à l'article 78-3 du code de procédure pénale, ainsi qu'aux articles premiers des textes instituant la carte nationale d'identité et le passeport français. Regrouper ces dispositions dans l'article premier de ce texte, qui vise à poser le socle législatif des principes applicables à la protection de l'identité est opportun.

Votre commission a adopté l'article premier sans modification.
Commentaire: on note déjà que si pour J.-R. Lecerf et M. Houel, cet article "[rappelait] la règle qui figure actuellement à l'art. 78-2" du CPP, lequel indique dans quels cas un contrôle d'identité est légal (et oui, le contrôle d'identité n'est possible que sous certaines conditions, il est vrai très larges...), désormais, F. Pillet affirme qu'il "reprend en cela une règle déjà énoncée à l'art. 78-3" du CPP, à savoir celui régissant la "vérification d'identité" au poste.

L'art. 78-2 cité par J.-R. Lecerf indique en effet:
Les officiers de police judiciaire et (...) peuvent inviter à justifier, par tout moyen, de son identité toute personne à l'égard de laquelle existe une ou plusieurs raisons plausibles de soupçonner...
L'art. 78-3 indique que la vérification d'identité, qui n'a lieu que "si l'intéressé refuse ou se trouve dans l'impossibilité de justifier de son identité", conduit l'intéressé à être:
présenté immédiatement à un officier de police judiciaire qui le met en mesure de fournir par tout moyen les éléments permettant d'établir son identité et qui procède, s'il y a lieu, aux opérations de vérification nécessaires.
(...) Si la personne interpellée maintient son refus de justifier de son identité ou fournit des éléments d'identité manifestement inexacts, les opérations de vérification peuvent donner lieu, après autorisation du procureur de la République ou du juge d'instruction, à la prise d'empreintes digitales ou de photographies lorsque celle-ci constitue l'unique moyen d'établir l'identité de l'intéressé.

Par conséquent, il est vrai que cet article 1er ne fait que reprendre une disposition déjà présente dans le CPP, indiquant - qu'en théorie - l'identité d'une personne se prouve "par tout moyen". Cependant, le CPP indique aussi qu'en cas de refus ou d' "impossibilité de justifier de son identité", le contrôle d'identité se poursuit en vérification d'identité au poste  - celle-ci peut prendre jusqu'à 4 heures, ou 8 heures à Mayotte, ce qui est une violation manifeste de l'égalité d'application de la loi sur le territoire, s'agissant d'une matière aussi importante que la privation de liberté... ; et si l'intéressé s'obstine dans son refus, "ou fournit des éléments d'identité manifestement inexacts", alors peut avoir lieu un prélèvement d'empreintes digitales ou de photographies.

Quant aux décrets instaurant la carte nationale d'identité (CNI) et le passeport, l'art. 1er du décret de 1955 instituant la CNI évoqué par F. Pillet indique qu'une "carte nationale certifiant l'identité de son titulaire" est instaurée ; la même formulation est reprise par le décret de 2005 sur le passeport, lequel dispose dans son art. 1er que "le passeport , le passeport de service et le passeport de mission (...) certifient l'identité de leur titulaire."

 Dès lors, si le premier alinéa de l'art. 1 précité ("L'identité d'une personne se prouve par tout moyen.") reprend bien une règle énoncée dans le CPP, la seconde ("La présentation d'une carte nationale d'identité ou d'un passeport français en cours de validité suffit à en justifier.") modifie la formulation des décrets, puisqu'on passe d'une certification d'identité au fait que ces documents d'identité "suffisent à justifier" l'identité.

En toute rigueur, il est donc inexact de dire que cet article ne fait que reprendre des dispositions déjà pré-existantes. Ce sera aux juges de trancher la question de savoir si l'expression "certifier l'identité" revient au même que celle de "suffire à justifier l'identité".

Par ailleurs, il est également faux de dire qu'on est à droit constant en se fondant sur les dispositions citées par nos parlementaires. Outre le fait qu'on passe du statut de décret au statut de loi, les décrets sur la CNI ou les passeports n'indiquent nulle part que le passeport doit être "en cours de validité". Plus encore: à l'art. 11, le décret sur le passeport indique :
Lors du renouvellement, le nouveau passeport est remis après restitution de l'ancien passeport.
L'ancien passeport peut être conservé par le demandeur dans le cas où il comporte un visa en cours de validité pour la durée de validité de ce visa.
On note au passage que l'art. 1er de la nouvelle loi exclut de sa formulation les passeports étrangers, ce qui pose un certain nombre de question pour les visiteurs de notre pays si hospitalier s'ils avaient la joie de faire connaissance avec cette tradition française du contrôle d'identité, qui étonne toujours les Anglo-Saxons. Ce sont pourtant ceux qui ont le plus besoin qu'un document de voyage ou d'identité, fût-il étranger, "suffise à justifier de leur identité", puisque dans la mesure où l'Etat français ne semble guère faire confiance à ses homologues, il est douteux qu'il fasse confiance, par exemple, à une carte d'étudiant émise par un établissement étranger. Par ailleurs, un visiteur, surtout touriste, aurait plus de mal à faire appel à ses amis pour établir son identité, ou encore à appeler sa famille à l'étranger pour qu'elle confirme à l'agent des forces de l'ordre son identité, en énumérant sa filiation complète et son lieu et date de naissance...

Les débats au Sénat (31 mai 2010): une CNI déjà mi-obligatoire, mi-facultative...

Suite des débats: le 31 mai 2010, lors de la lecture au Sénat en première séance, le rapporteur F. Pillet affirme:
La carte d’identité ne devenant pas obligatoire, ni a fortiori son dispositif optionnel, la commission des lois a interdit que l’accès aux transactions aux services en ligne puisse être conditionné à l’utilisation de la fonctionnalité d’identification électronique de la carte.
Le ministre de l'Intérieur Claude Guéant renchérit:
Toujours gratuite et facultative, cette carte sera équipée de deux composants électroniques [à savoir la puce dite "régalienne", biométrique et entérinée par le Conseil constitutionnel, et la puce commerciale, censurée par le CC - notons que Guéant prétend alors que la "signature électronique [est] possible dans presque tous les pays", ce qui est une énormité et rendrait tous les efforts en ce sens de la Commission européenne complètement inutiles...]

Pour Anne-Marie Escoffier (Parti radical de gauche, PRG), cette loi a un double objectif, "renforcer les moyens de lutte contre les fraudes à l'identité", et...
simplifier le quotidien des citoyens en leur permettant d’apporter la preuve « par tout moyen » de leur identité dans certaines de leurs démarches de la vie courante.
On ne voit pas trop en quoi cette loi simplifierait nos vies si elle se contentait de nous permettre de justifier "par tout moyen" de notre identité... Mais Escoffier ajoute:
La carte nationale d’identité comme le passeport sont les deux documents privilégiés pour faire foi de son identité, mieux qu’avec le permis de conduire ou le permis de chasser par exemple, mais ils n’ont de caractère obligatoire que dans certaines circonstances, les voyages à l’étranger notamment.
Ce qui est rigoureusement exact, et souligne au passage qu'il est faux de dire que la CNI est facultative, puisqu'elle devient obligatoire dès lors qu'on veut aller dans un autre pays de l'Union européenne - et ce, même pour les bébés de 5 mois. De plus, s'il est loisible à chacun de justifier son identité par "tout moyen" dans l'Hexagone, comme chacun sait, la CNI et les passeports sont quand même pris davantage aux sérieux, que ce soit par les forces de l'ordre ou par des agences commerciales.

Virginie Klès, l'apparentée PS précitée qui soutient le "lien faible", souligne, elle, le caractère de facto obligatoire de la CNI, en France :
J’ai entendu dire tout à l'heure que la carte nationale d’identité n’est pas obligatoire mais qu’elle est facultative. C’est peut-être vrai en théorie, mais l’on sait bien que, en pratique, ce n’est pas le cas, puisque l’administration nous demande à tout moment de présenter notre carte ou sa photocopie. La carte nationale d’identité est de facto un titre obligatoire dans notre vie quotidienne. Nous serons donc tous fichés dans cette base de données, monsieur le ministre !
A la suite de ce débat, l'article 1 est adopté tel quel. Lors de l'examen du texte par la Commission des lois de l'Assemblée nationale, le 29 juin 2011, il est également repris, aucun amendement n'ayant été déposé sur le sujet. C'est ce qui s'appelle passer comme une lettre à la poste, les points ici soulevés n'ayant fait l'objet d'aucun débat ! Pourtant, le rapporteur, Ph. Goujon (UMP), affirme alors que "de nombreuses garanties ont été apportées pour protéger les libertés individuelles", citant parmi celles-ci le fait que la "nouvelle carte d’identité demeurera facultative et gratuite"... 

Son rapport, rédigé au nom de la Commission des lois et enregistré le même jour, contient un développement intéressant sur la question, pourtant non débattue:
1. Un titre d’identité ou de voyage en cours de validité suffira à justifier de son identité
L’article premier de la proposition de loi, qui rappelle que l’identité d’une personne se prouve par tout moyen – ce principe figure déjà à l’article 78-2 du code de procédure pénale – tend à faire de la carte nationale d’identité ou du passeport français « en cours de validité » le moyen privilégié pour prouver son identité.
Cette rédaction poserait clairement cette règle, de telle sorte qu’aucun opérateur économique ne pourrait exiger d’un de ses clients autre chose que l’un de ces deux documents pour prouver son identité.
À l’inverse, la seule production de l’un de ces deux documents suffirait à prouver l’identité de la personne. Soulignons par exemple que la présentation du permis de conduire n’est pas acceptée par de nombreuses entreprises qui souhaitent s’assurer de l’identité de leurs clients.
Il convient de souligner que cette carte d’identité électronique ne permettra en aucun cas la géolocalisation de son titulaire, contrairement au téléphone portable [ouf !].
Sa puce « régalienne », comportant les données biographiques et biométriques de la personne, bien que sans contact, ne pourra être lue qu’à un centimètre de distance, par un lecteur spécifique lui impulsant une charge électrique activant la visibilité des données stockées.
De plus, les données transmises au lecteur seront cryptées, ne pouvant être décryptées qu’au moyen d’une clé électronique régalienne. Il sera donc impossible à un individu malveillant d’intercepter ces données, sachant que pour les intercepter à une distance de 10 mètres, outre le fait de posséder la clé de décryptage des données ainsi qu’un moyen d’activer la lisibilité des données par transmission d’une chargé électrique à la puce, il lui faudrait disposer d’une antenne de 10 mètres de hauteur.
Autrement dit, selon le rapporteur à l'Assemblée, l'art. 1er s'adresse principalement aux entreprises. Mais alors, pourquoi prétend-il qu'il ne s'agit que d'une reprise de l'art. 78-2 du Code de procédure pénale - lequel ne concerne que les contrôles d'identité effectués par les forces de l'ordre? Et pourquoi ce point, important, de la justification d'identité dans la "vie courante", pour reprendre les mots de la sénatrice Escoffier, n'a-t-il fait l'objet d'aucun débat?

Lors de l'examen de cet article, adopté, donc, et sans débats, le 29 juin 2011, il précise:
Preuve de l’identité
Le présent article propose de faire de la carte nationale d’identité ou du passeport français le moyen privilégié pour prouver son identité.
Il rappelle en premier lieu que l’identité d’une personne se prouve par tout moyen. Ce principe figure déjà à l’article 78-2 du code de procédure pénale, que le présent article n’entend pas modifier.
En second lieu, le présent article tend à faire de la carte nationale d’identité ou du passeport français « en cours de validité » le moyen privilégié pour prouver son identité.
Selon les informations recueillies par votre rapporteur auprès du ministère de l’intérieur, cette précision aurait un double intérêt :
—  d’une part, elle poserait clairement ce principe, de telle sorte qu’aucun opérateur économique ne pourrait exiger autre chose que l’un de ces deux documents d’un de ses clients pour prouver son identité. À l’inverse, la seule production de l’un de ces deux documents suffirait à prouver l’identité de la personne. Soulignons par exemple que la présentation du permis de conduire n’est pas acceptée par de nombreuses entreprises qui souhaitent s’assurer de l’identité de leurs clients.
—  d’autre part, elle permettait de s’assurer de la fiabilité du titre d’identité puisque l’État s’engage, durant toute la validité du document sur son authenticité. En revanche, quelques années après sa péremption, l’État n’est pas toujours en mesure d’apporter la même garantie. Par exemple, il est tenu de supprimer les données à caractère personnel après un délai de quinze ans.
Bien que le présent article ne prévoit pas qu’une carte nationale d’identité périmée ne permette pas de prouver son identité, le fait que la présentation de ce document en cours de validité apparaisse comme un moyen privilégié de la prouver implique qu’a contrario la production d’une carte périmée pourrait de moins en moins être acceptée aux mêmes fins.
Rappelons qu’aujourd’hui le ministère de l’intérieur précise, sur son site internet, que la CNI périmée « permet à son titulaire de certifier de son identité, même lorsqu’elle est périmée, sous réserve dans ce cas que la photo soit ressemblante ». Ceci est d’ailleurs confirmé par une communication de la CNIL du 18 février 2005 qui précise que la carte nationale d’identité « est valable dix ans, mais, même périmée, elle permet de justifier de son identité tant que la photo est ressemblante ».
À titre d’exemple, si un passager aérien d’un vol intérieur est tenu de justifier de son identité, il peut le faire au moyen d’une carte nationale d’identité périmée. Cette possibilité est confirmée par l’autorité administrative comme en témoigne la réponse du ministère de l’intérieur du 2 août 2008 à la question n°02572 (Sénat) :
« En effet, même pour accomplir un simple vol intérieur, ces passagers sont strictement tenus d’être en mesure de présenter un document attestant de leur identité. De même, s’agissant des vols directs entre la métropole et les collectivités d’outre-mer, et dès lors que ce type de trajet emporte nécessairement le franchissement d’une frontière extérieure de l’espace Schengen, la carte nationale d’identité (même périmée) peut être exigée afin de justifier de sa qualité de citoyen de l’Union européenne et du droit communautaire à la libre circulation qui s’y rattache. »
Il est vrai que l’article premier du décret n° 55-1397 du 22 octobre 1955 instituant la carte nationale d’identité prévoit qu’il est « institué une carte nationale certifiant l’identité de son titulaire ». De même, l’article premier du décret n° 2005-1726 du 30 décembre 2005 relatif aux passeports précise que les passeports « certifient l’identité de leur titulaire ».
Aucun de ces deux textes, de valeur réglementaire, ne réservait un effet juridique particulier à ces titres d’identité en cours de validité.
Cet article n’a pas été modifié au cours de l’examen de la proposition de loi par le Sénat.
Cela confirme en tous points nos remarques ci-dessus concernant la nouveauté de cet article à l'égard de la validité des titres d'identité et de voyage. Soulignons également le raisonnement a contrario que Ph. Goujon effectue, lequel est tout à fait analogue à celui effectué dans notre précédent billet.

Les débats à l'AN du 7 juillet 2011

Lors de l'examen en séance publique devant l'Assemblée, le 7 juillet 2011, Guéant ré-affirme que cette carte est "gratuite et facultative", et ignore donc les points soulevés par le rapport de Ph. Goujon. Ce dernier n'évoque pas non plus ces aspects. Serge Blisko (PS) évoque alors, au sujet de la reconnaissance faciale, "un avenir assez inquiétant et qui ne relève pas seulement de la science-fiction". Il se trompe ensuite, en indiquant :
à ce jour, la collecte d’empreintes digitales ne s’effectue que pour la délivrance d’un passeport puisqu’il n’y en a pas sur nos cartes d’identité plastifiées. Les personnes n’ayant pas besoin d’un passeport et ne souhaitant pas donner leurs empreintes – hors enquête de police – pouvaient simplement demander une carte nationale d’identité. Désormais, il n’y aura plus de choix : pour obtenir un titre d’identité ou de voyage, la collecte de données biométriques sera systématique.
Or, on l'a vu, le décret de 1999 modifiant le décret de 1955 sur la carte d'identité impose le relevé d'une empreinte digitale, laquelle n'est effectivement pas stockée sur la carté d'identité, ni sur un fichier informatisé.

Serge Blisko, qui demande au nom du PS le retrait du texte afin d'obtenir les avis de la CNCDH (Commission nationale consultative des droits de l'homme) et du Conseil d'Etat, cite alors un extrait de la loi du 27 octobre 1940, promulguée sous Vichy:
« Obligation de détenir une carte d’identité à partir de seize ans, comportant les empreintes digitales et la photographie, et de déclarer tout changement d’adresse. Institution d’un fichier central de la population et d’un numéro d’identification individuel. »
En réponse, Guéant persiste et signe:
Je précise par ailleurs qu’il ne s’agit pas d’un fichage général de la population. Comme vous l’avez du reste indiqué au détour d’un autre développement [qui a du nous échapper...], la détention de la carte d’identité électronique n’est pas une obligation.
Jean-Paul Lecoq (PCF) le reprend, évoquant pour la première fois lors de ce débat la question des contrôles au faciès, pourtant centrale vu le cadre :
Pour l’instant, j’en reste à ce qu’a dit M. le ministre, à savoir que la carte d’identité n’est pas obligatoire. Certes, mais il faut tout le temps justifier son identité ou, du moins, de plus en plus souvent, notamment dans le métro, a fortiori si l’on présente certaines particularités physiques.
Sandrine Mazetier (PS) rappelle alors la tendance à l’œuvre vers l'obligation de s'identifier à tout bout de champ - l'un des motifs, ajoutons, de la loi sur le voile... :
La vérification d’identité n’est plus aujourd’hui l’apanage des policiers. Pas plus tard qu’hier, en commission des affaires économiques, à l’occasion de l’examen du projet de loi sur les droits, la protection et l’information des consommateurs, les agents de la DGCCRF ont ainsi été autorisés à vérifier l’identité d’un éventuel ou présumé contrevenant. Les agents habilités à procéder à des vérifications d’identité et qui auront demain accès à ces fichiers sont donc de plus en plus nombreux.
La navette et l'usage rhétorique du caractère facultatif en droit de la CNI 

Le Sénat ignore purement et simplement l'art. 1 en deuxième lecture. Lorsque le texte est ré-examiné par l'Assemblée, le 13 décembre 2011, le rapporteur Goujon s'appuie à nouveau sur le supposé caractère facultatif de la CNI pour justifier le fichage, prétendu "administratif" :
Il s’agit d’un fichier administratif et non de police, qui concerne 45 millions de personnes – et non 60, puisque la carte d’identité est facultative.
Il réitère le même jour, en séance publique.

Le texte passant en Commission mixte paritaire, la sénatrice Virginie Klès déclare alors, en séance du 26 janvier 2012, après son épique métaphore des chaussettes illustrant le débat lien fort/lien faible:
Il ne m’a pas échappé que la détention de la carte nationale d’identité n’est pas légalement obligatoire. Mais dans la vie courante, elle l’est. Pour partir en voyage scolaire, au collège, nos enfants ont besoin d’une carte nationale d’identité.
Détail de la vie pratique qui avait sans doute échappé aux mâles parlementaires...  Lors du nouvel examen, par le Sénat, le 21 février 2012, la sénatrice Esther Benbassa, qui s'oppose, au nom des Verts, à tout fichier biométrique, fût-il à "lien faible", évoque à son tour le caractère obligatoire de la carte d'identité des Français mise en place par Vichy. A.-M. Escoffier, quant à elle, déclare:
Le texte initial, enrichi, il faut l’admettre, au cours des différentes lectures (...), devait permettre à tout un chacun d’apporter par tout moyen la preuve de son identité. La nouvelle carte d’identité, qui reste au demeurant un titre non obligatoire, pouvait être utilisée comme un instrument non seulement d’authentification lors de démarches administratives, mais aussi de transaction commerciale sur Internet, si son propriétaire le souhaitait. (...)
Aujourd’hui, le tout-sécuritaire nous enserre, nous étouffe !
Virginie Klès revient à la charge, suggérant un amendement provocateur à l'art. 5 instaurant le fichier, lequel exigerait le consentement de chacun à être fiché, rendant de fait le fichier facultatif :
On nous dit aussi que la carte d’identité n’est pas obligatoire, ce qui est vrai sur le plan légal ; dans la pratique, elle l’est. Posons la question à chaque Français lors de la délivrance de sa carte d’identité, en lui expliquant que ses données figureront dans une base à lien fort.
Enfin, lors de la lecture définitive du texte à l'Assemblée, le 29 février 2012, le rapporteur Goujon insiste à nouveau, à plusieurs reprises sur le caractère prétendument facultatif de la CNI. Il s'exclame même, après une intervention de J.-J. Urvoas (PS) s'inquiétant de l'étendue du fichier, "La carte d’identité est facultative !"


Creative Commons License Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

lundi 28 mai 2012

L'identité électronique, pour l'Etat, les enfants ou le marché ?

Ecartée de justesse par le Conseil constitutionnel, l'identité électronique revient par la porte de... Bruxelles ! 

Le prétexte en est une Communication de la Commission européenne concernant la protection des enfants sur Internet, qui propose un « cadre paneuropéen d'authentification électronique ». 

"Tellement plus qu’une simple carte d’identité"...
En fait, cette énième communication s'insère dans le cadre bien plus large et plus que confus, qui mélange sécurité, cybercriminalité et « lutte contre la criminalité liée à l'identité » d'un côté, et marché (numérique) unique et développement de l'économie numérique et de la « société de l'information » de l'autre. 

Ainsi, la « stratégie numérique de l'Europe » de 2010 se prolonge dans le Livre vert de janvier 2012 prônant la mise en place d'un marché unique numérique et d'un « espace unique de paiement en euros » sur Internet – on a bien lu : en janvier 2012, la Grèce ayant été le sujet d'un énième sommet extraordinaire visant à éviter l'éclatement de la zone euro et le retour de la drachme, la Commission européenne n'a d'autres priorités que d'instaurer un « espace unique de paiement en euros » sur Internet. Et utilise aujourd'hui la lutte contre la pédopornographie comme outil pour ce faire...  

L'authentification électronique et le filtrage d'Internet par tranche d'âge pour lutter contre la pédopornographie ?

Les sites Euractiv et ZDNet, 03/05/12 ont récemment cité la version de travail d'une communication de la Commission : cette « Stratégie européenne pour un Internet mieux adapté aux enfants » indique que les « entreprises doivent (…) mettre en œuvre des moyens techniques d'identification et d'authentification électroniques » et que Bruxelles « entend proposer en 2012 un cadre paneuropéen d'authentification électronique qui permettra d'utiliser des attributs personnels (l'âge en particulier) pour garantir le respect des dispositions, en ce qui concerne l'âge, du règlement proposé sur la protection des données » et « soutiendra la R&D en vue de mettre au point et de déployer des moyens techniques d'identification et d'authentification électroniques dans certains services à travers l'UE. »

Il s'agirait donc de rassurer des parents angoissés par l'immensité des espaces infinis offerts à l'innocence de l'enfance en les incitant à acheter des lecteurs d'authentification électronique, qu'ils brancheraient sur leur ordinateur et qui permettrait à chaque site web de vérifier l'âge de l'internaute. Une manière de filtrer Internet par tranche d'âge, en mettant en place une carte d'identité électronique.

La carte d'identité électronique et l'espace unique de paiement en euros, ou le mélange des genres

Ce projet de protection de l'enfance n'est pourtant que le sous-marin d'un programme autrement plus « sérieux » de l'Union européenne (UE), qui vise à généraliser la carte d'identité électronique, dans une triple optique d'e-administration, d'e-commerce et de sécurité policière.

Tout cela peut se combiner assez bien, comme on le voit avec la eID belge, dont le principe a été établi par la loi du 25 mars 2003 : en janvier 2010, le ministre de l'ICT Quickenborne annonçait la possibilité d'acheter en ligne son ticket pour un match de football, ce qui présente l'avantage non négligeable dans la lutte contre cet autre fléau des temps modernes, le hooliganisme, puisque « les numéros de la place et de la carte d'identité aboutiraient ainsi dans une base de données » (Le Vif, 14/01/11). Bien qu'un an après, on ne puisse parler de succès, le contrôle d'accès se révélant trop cher pour les stades, la ministre de l'Intérieur Turtelboom annonçait en avril 2011 souhaiter interdire l'accès aux piscines des fauteurs de trouble, « comme c'est le cas pour les hooligans dans les stades » (7 sur 7, 27/04/11). Et les machines à sous contraintes de s'équiper de lecteurs de l'eID...

Au niveau européen, ce mélange des genres commence par le « plan d'action de mise en œuvre du programme de Stockholm » concernant l' « espace de liberté, de sécurité et de justice » (avril 2010), lequel évoque en passant une « stratégie européenne de gestion de l'identité ». Cet « espace de sécurité » a été communautarisé par le traité de Lisbonne (2009), à l'exception notable des cartes d'identité et des passeports (art. 77 TFUE). Or, on voit ré-apparaître cette fameuse stratégie européenne dès le mois suivant, dans une communication portant cette fois-ci sur la « stratégie numérique pour l'Europe », qui prévoit notamment la mise en place du très haut débit, la révision de la directive de 1999 sur les signatures électroniques, et la mise en place d'un « espace uniquement de paiement en euros » (EUPE).

En fait, dès la fin des années 1990, de tels projets d'identité électronique, le cas échéant via une identification biométrique, étaient évoqués par les autorités françaises et européennes. On pensait alors que cela allait relancer la croissance et favoriser l'émergence de la « société de l'information » : on ne pourra guère accuser Bruxelles d'avoir changé son fusil d'épaule ! Mais le 11 septembre est passé par là, et on s'est attaché plutôt à la biométrisation des passeports (règlement européen de 2004). Un an plus tard, la déclaration ministérielle de Manchester fixait à 2010 la deadline pour que les « entreprises et les citoyens européens [puissent] bénéficier de moyens sûrs d'identification électronique » et qu'un « cadre de référence » voire « d'usage de documents électroniques authentifiés » soit adopté par chaque Etat membre.

L'épisode INES et la carte d'identité biométrique en France

Alors que le Royaume-Uni proposait, puis retirait, son projet de carte d'identité biométrique, eut lieu en France l'épisode d'INES (identité nationale électronique sécurisée) : porté par Sarkozy, le projet était retiré suite aux critiques portant sur le mélange des genres, entre carte nationale d'identification et authentification électronique à visée commerciale. Amalgame reproduit dans la proposition de loi relative à la « protection de l'identité », qui vient d'être amputée par le Conseil constitutionnel. Outre le « fichier des gens honnêtes » - censuré - et une puce contenant les données biométriques du porteur - validée -, cette loi prévoyait une autre puce, facultative, lui « permettant de s'identifier sur les réseaux de communications électroniques et de mettre en œuvre sa signature électronique ».

Les Sages se sont auto-saisis de cette disposition, et l'ont censuré au motif que le législateur méconnaissait l'étendue de sa compétence : la loi aurait du préciser les modalités de cette authentification électronique visant à favoriser l'e-administration et l'e-commerce, dans la mesure où elle implique des enjeux liés à la protection de la vie privée et des données personnelles.

L'identité électronique selon l'ANTS-GIXEL

L'UMP avait en effet préféré laissé l'Agence nationale des titres sécurisés (ANTS) s'occuper de ces questions d'apparence « techniques », ce que l'ANTS s'était empressée de faire en collaboration avec... le GIXEL, à savoir le lobby de l'industrie de la carte à puce, qui avait lui-même fortement poussé à l'adoption d'INES puis de la carte d'identité biométrique, et qui s'était fait connaître par sa suggestion d'habituer dès la maternelle les enfants aux dispositifs sécuritaires, notamment via les contrôles d'accès biométriques dans les cantines.




Extrait du documentaire Total Control (Novaprod), réalisé par Etienne Labroue et diffusé en juin 2006 sur Arte.

Pendant que les parlementaires s'étripaient sur le « lien fort » contra le « lien faible », bien peu, au PS, ne remettant en cause le principe même du fichier biométrique, l'ANTS-GIXEL était à pied-d'oeuvre, sur la lancée du programme de recherche financé par l'UE, BioP@ss, qui envisageait deux moyens d'authentification de l'internaute-citoyen-consommateur : soit le traditionnel mot de passe/code PIN, soit la technologie biométrique Match-on-Card, faisant appel à l'empreinte digitale.

Prudente, l'ANTS-GIXEL se contenta de respecter les normes de l'European Citizen Card (ECC) et développa la version française de ce standard, le IAS-ECC. Ainsi, le dernier document technique, de septembre 2011, excluait la biométrie de son champ d'application, en développant un système d'identité électronique en triangle, sur le modèle d'un tiers « fournisseur d'identité » devant valider l'identité de l'internaute pour le site Internet, qu'il soit gouvernemental (modèle de l'e-administration, tel que mis en œuvre au Portugal – cf. schéma ci-dessous) ou commercial (modèle du e-commerce).



Agence de la modernisation administrative (Portugal), la "carte de citoyenneté" (mai 2012).



Le mépris du peuple et la stratégie de légitimation circulaire de la Commission et des Etats

On constate la volonté persistante, tant des Etats que de la Commission, d'imposer à tout prix l'identité électronique, si possible en la cumulant avec la carte nationale d'identité et la biométrie, permettant ainsi de développer, pourquoi pas, la reconnaissance faciale en association avec l'explosion de la vidéo-surveillance. Qu'importe si la contestation de tels projets conduit à les abandonner, comme en France ou au Royaume-Uni.

Les gouvernements reviennent périodiquement à la charge, au risque du paradoxe. Ainsi, lorsque NKM, alors secrétaire d'Etat à l'économie numérique, prônait la mise en place d'IDéNum et d'un « identifiant unique » pour toute relation avec l'administration en ligne, alors même que les experts notaient que «  la création d’un Identifiant Unique [avait] augmenté la fraude à l’identité aux USA en la rendant plus facile et plus rentable » (cf. Vos Papiers! , 16/02/10). 

Et lorsque cela ne marche pas dans l'enceinte nationale, ils se font fort d'en mandater la Commission européenne à travers le Conseil européen, dans une stratégie de légitimation circulaire. Ainsi, en décembre 2010 le Conseil JAI (Justice et Affaires intérieures) justifie le concept large de « lutte contre la criminalité liée à l'identité » précisément parce qu'il « permet d'éviter de plus amples discussions sur les définitions », et de passer outre la différence d'approche des différents pays. Il « appelle » dès lors la Commission à « soutenir les efforts des Etats membres visant à renforcer les procédures d'identification des personnes au sein de l'UE », en citant notamment le plan d'action de mise en œuvre du programme de Stockholm élaboré en avril 2010 par Bruxelles, plan qui évoquait la fameuse « stratégie européenne de gestion de l'identité ». 

Or, ce plan d'action n'était censé n'être que la mise en musique du programme de Stockholm - fixé par le Conseil européen -, lequel indiquait que « le recours à la signature électronique devrait être encouragé dans le cadre du projet « justice en ligne » » et que cela pourrait permettre d'envisager, à terme, la création d' « actes authentiques européens », en supprimant « toute formalité de légalisation des actes entre les Etats membres ». S'il était question des fraudes en matière de permis de séjour et de visas, ce programme - contrairement au plan d'action, fixé par la Commission - n'envisageait aucune « stratégie de gestion de l'identité », pas plus qu'il n'évoquait la lutte contre « l'usurpation d'identité ». Il s'agit là d'une trouvaille de la Commission européenne, que les Etats membres ont rapidement entériné, et recyclé, comme on l'a vu, dans le débat national.

La stratégie numérique de l'Europe ou la « fracture numérique » : comment, et pour quoi faire, des questions non posées...

Bruxelles recycla ensuite le concept de « gestion de l'identité », issu du prisme sécuritaire, dans sa « stratégie numérique pour l'Europe » de mai 2010. Se targuant de sa vision à long terme fondée sur sa « stratégie Europe 2020 », la Commission nous explique que l'« économie numérique » est l'avenir de la « croissance intelligente, durable et inclusive ». Evoquant l'importance à venir du secteur des TIC (technologies de l'information et de la communication), dont on ne sait si ce sont les bâtisseurs des autoroutes de l'information (câbles et fibres optiques, très haut débit soutenu à bout de bras par le GIXEL) ou les marchands de données personnelles et les publicitaires – de Google à Facebook – qui en représentent le cœur, la Commission prétend ainsi que la faiblesse actuelle de l'économie numérique s'explique principalement par trois raisons : les « problèmes de sécurité des paiements », les « problèmes de respect de la vie privée » et les « problèmes de confiance ».

Pour preuve et comme gage de sa légitimité populaire, elle renvoie à un sondage Eurostat 2009, qui indique en fait que plus de 60% des personnes interrogées ont coché la case « Je préfère aller en boutique, voir le produit, fidélité aux commerçants, force de l'habitude », une habitude et une fidélité que ne goûte guère Bruxelles, et que plus de 50% des sondés ont, d'un trait lapidaire, coché « Je n'en ai pas besoin ». La sécurité des paiements n'arrive en fait que troisième, à un peu plus de 30%, avec ensuite environ 10% des sondés qui ont le mauvais goût de ne pas avoir « de carte permettant de payer sur Internet » ou de se plaindre de la « livraison des produits commandés sur Internet ».

Qu'à cela ne tienne ! Si «  150 millions d'Européens – soit environ 30% - n'ont encore jamais utilisé l'internet » (un autre rapport affirme qu'en 2009, 60% des citoyens européens de 16 à 74 ans utilisaient Internet au moins une fois par semaine), c'est tout simplement parce que ce sont des analphabètes modernes, victimes de la « fracture numérique ». Même si la Commission avoue que, certes, ces illettrés numériques sont surtout âgés, au chômage, pauvres ou dotés d'un « faible niveau d'études », on intégrera les « membres des catégories sociales défavorisées dans la société numérique », notamment grâce à « l'apprentissage, l'administration et la santé en ligne » ! Qui ne voit donc qu'il vaut mieux fermer les écoles et les hôpitaux, et centraliser les services administratifs, afin de tout mettre en ligne, où il suffit d'un click de mulet pour être aimablement reçu ? Certes, il faudra, pour cela, leur enseigner la « compétence numérique », l'une des « huit compétences clés (…) considérées comme fondamentales pour un individu vivant dans la société de la connaissance », comme l'avait bien vu la Recommandation du Parlement et du Conseil sur la formation permanente (2006/962/CE). Ayant cependant lu Kant et Jules Ferry, nos éducateurs n'oublient pas de préciser que « pour être en mesure d'apprendre, il est essentiel de maîtriser les compétences de base dans les langues, l'écriture et la lecture, le calcul et les technologies de l'information et de la communication (TIC), et pour toute activité d'apprentissage, il est fondamental d'apprendre à apprendre. » Voilà un conseil idoine pour notre chère ministre déléguée chargée de la réussite éducative, George Pau-Langevin...

A lire cette prose, qui sous-entend que les 60% de personnes interrogées préférant faire du commerce « en vrai » plutôt que d'acheter sur Internet seraient, en fait, des illettrés numériques, terrifiés par le manque de confiance et les risques de « vol d'identité » et de fraude bancaire, on se demande qui tient la plume à Bruxelles ?

Relisons, pour la forme, ces injonctions du GIXEL, lequel estimait qu'il était « urgent de lancer le projet de déploiement national de la Carte Nationale d'Identité Electronique et des outils sécurisés IdéNum basé sur l'écosystème IAS ECC ». Ou encore le célèbre Livre bleu du GIXEL de juillet 2004, qui militait pour l' « Internet Très Haut Débit », la « Télévision Haute Définition », l' « Automobile intelligente et sécurisée », la « domotique », les « TIC pour la santé », et l' « identité numérique » et la « sécurité du territoire » via la biométrisation.

Il s'agissait aussi de « réduire la « fracture numérique » », de « réformer l'administration pour réduire les coûts de fonctionnement de l'Etat » en généralisant « les applications de type e-gouvernement et e-éducation » et ainsi « faire « basculer » les administrations, nationales et locales, les services publics vers une utilisation massive des nouvelles technologies, dont le haut débit constitue un point de passage obligé »... et profitable ! Pour le haut débit, on pourrait fixer « de façon volontariste » des « objectifs quantifiés », ce que fait Bruxelles via ses objectifs de benchmarking. Enfin, habituer dès la maternelle les enfants, mais aussi favoriser l'identité numérique, et ainsi permettre aux firmes françaises et européennes de « conforter leur place dans le monde en faisant référence à des réalisations concrètes de grande ampleur en Europe », du e-paiement à l'utilisation des téléphones pour les achats en passant par les contrôles d'accès, physique ou logique (sécurité informatique).

L'espace unique de paiements en euros, priorité pour 2012-2020 ?

Toutes ces initiatives, qui concordaient déjà avec les programmes de recherche bénéficiant des subsides de l'Europe, demeurent, huit ans plus tard, plus que d'actualité – du moins aux yeux de Bruxelles et des Etats membres.

Développant la « stratégie numérique » de 2011, la Commission publiait en janvier 2012 un Livre Vert intitulé "Vers un marché européen intégré des paiements par carte, par internet et par téléphone mobile". On y lit :
« Le SEPA (espace unique de paiements en euros, EUPE), qui constitue la première grande étape de ce parcours, repose sur l’idée première qu’il ne devrait pas y avoir de distinction dans l'UE entre les paiements de détail électroniques en euros selon qu'ils sont transfrontaliers ou nationaux. »
Le Livre continuait : «  L'Europe a [ainsi] l’occasion d’être à la pointe du progrès pour gérer les évolutions futures de l’«acte de payer», qu'il s'effectue par carte de paiement, sur internet ou à l’aide d’un téléphone portable ».

C'est ce marché unique, y compris pour les sites pour enfants, qui est l'objectif central de Bruxelles, à l'heure de l'implosion de la zone euro. Bruxelles, soutenu par les Etats, ignore, pour ce faire, tant les résistances citoyennes, en France et au Royaume-Uni, que les différences sociales et culturelles entre pays concernant l'encartement et l'identification biométrique.

Pendant ce temps-là, Londres, dont le projet de carte identité biométrique est tombé à l'eau, tente de réorienter le débat vers la gestion privée de l'identité, à savoir le fait que l'identité électronique ne soit pas garantie par l'Etat, mais par des fournisseurs privés. On s'étonne d'ailleurs de ce que les libéraux ne défendent pas davantage ce modèle, préférant entretenir le mélange des genres entre identité certifiée par l'Etat, à des fins d'état civil et de sécurité, et identité électronique visant à généraliser le commerce électronique. 
 

Creative Commons License Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.