Comment Google définit votre persona : le droit à l'oubli vu des Pays-Bas et de France

La question du droit à l'oubli n'oppose pas simplement la vie privée à la liberté d'expression, mais plus largement à un pouvoir de cadrage (framing), un pouvoir googlesque de définition de votre persona, c'est-à-dire de votre personne publique. Dès lors, les tribunaux devraient ajouter une corde à leur arc, en contraignant Google, lorsque le déréférencement n'est pas accordé, à modifier ce référencement, de façon à ce que l'article litigieux n'arrive plus en première page des résultats. En effet, tolérer que des actes répréhensibles commis plus de dix ans auparavant continuent d'arriver en résultat n°1 lorsque l'on tape le nom d'un individu, c'est tout simplement lui dénier toute possibilité de réhabilitation et le réduire à ce seul acte. 

Le mécanisme actuel du « droit à l'oubli » depuis l'arrêt de la CEDH Google c. Espagne

Depuis l'arrêt Google Spain ("Google contre l'Agence espagnole de la protection des données et Maria Costeja Gonzales", 13 mai 2014) de la Cour de justice de l'Union européenne (CJUE), les moteurs de recherche, ainsi que les juridictions nationales des pays membres de l'UE doivent appliquer le "droit à l'oubli" sur Internet (voir ici : Google et le droit à l'oubli en Espagne, février 2011). S'il s'agit-là d'une avancée majeure, elle ne répond que partiellement au problème posé par le classement Google quant à la vie privée.

Concrètement, chacun peut faire une demande de déréférencement de liens menant vers des pages web le concernant directement. Si Google refuse ce déréférencement, on a la possibilité de se tourner vers l'autorité nationale de protection des données (la CNIL en France) puis, le cas échéant, vers un tribunal. Conformément à la jurisprudence européenne, celui-ci met en balance le droit à l'oubli du requérant avec la liberté d'expression qu'elle confère non seulement aux sites de publication, mais aux moteurs de recherche eux-mêmes.

Si, certes, les droits de la personne concernée protégés par ces articles prévalent également, en règle générale, sur ledit intérêt des internautes, cet équilibre peut toutefois dépendre, dans des cas particuliers, de la nature de l’information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que de l’intérêt du public à disposer de cette information, lequel peut varier, notamment, en fonction du rôle joué par cette personne dans la vie publique. (§81 de l'arrêt de la CEDH, Google c. Espagne)

Depuis mai 2014, Google affirme avoir reçu plus de 370 000 demandes, portant sur plus d'1,3 millions d'URL, et la firme a accepté de déréférencer plus de 42% de ces URL (de façon intéressante, et peut-être éclairante pour le sociologue, le résultat est très variable selon les pays: ainsi, par exemple, pour la France Google a accepté de déréférencer 48% des URL, mais pour l'Italie seulement 30%).

Plusieurs critères sont utilisés, dont le caractère public, ou non, de la personne concernée (une people n'est pas considérée l'égal de M. Toulemonde); l'ancienneté de l'information référencée; sa pertinence à l'égard du débat public, etc. La fiabilité ou le caractère mensonger de l'information ne dépend pas, a priori, et en tout cas aux Pays-Bas, du "droit au déréférencement", puisqu'il faut en ce cas s'adresser directement au site hébergeant la page litigieuse (pour diffamation, injure, etc.).

La solution est binaire: soit le déréférencement est accordé, soit il ne l'est pas. Cette « solution juridique » découle de l'appréhension de la question en termes d'équilibre entre vie privée et liberté d'expression. En fonction des poids respectifs sur cette balance, on accorde, ou non, le déréférencement.

L'insuffisance de la problématisation juridique en termes de « vie privée contre liberté d'expression »: le cas de la jurisprudence néerlandaise

La Cour de district d'Amsterdam a refusé, le 24 décembre 2015, à un journaliste sa demande de déréférencement vers un article du journal NRC (qu'on présume être le grand quotidien NRC Handelsblad) datant de 1995 et faisant état d'un plagiat de quatre phrases alors effectué par ce journaliste. Celui-ci déclarait être gêné dans ses recherches d'emploi en raison de cette ancienne histoire, à laquelle le référencement de Google en première page donnait un écho disproportionné.

La Cour a rejeté ses arguments, en alléguant d'une part que la profession de journalisme constituait un pas vers le fait d'être une personne publique, bénéficiant donc d'une moindre protection en matière de vie privée, et d'autre part que le plagiat étant une faute grave en journalisme, ce méfait était suffisamment important pour bénéficier de la protection offerte par la liberté d'expression et d'informer.

Elle ajoute - selon ce que l'on comprend de la traduction... Google, de l'arrêt en question - que le "rôle de catalogue que tient Google serait sévèrement compromis si on imposait des restrictions sévères à son fonctionnement", ce qui conduirait à la "perte de sa crédibilité" (Google détient plus de 85% des parts de marché aux Pays-Bas*). 

De la pseudo-neutralité de l'algorithme Google

Enfin, elle ajoute, de façon critiquable, qu'il est "également important que les moteurs de recherche fonctionnent sans intervention humaine", c'est-à-dire en ne dépendant que des termes recherchés par l'internaute. La Cour semble donc ignorer qu'un algorithme, par définition, est le produit d'une intervention humaine, et qu'il ne bénéficie donc pas, à ce titre, de plus d'objectivité que tout autre mode de classement (notamment humain, c'est-à-dire individuel), puisque les critères de ce classement ont été déterminés par des ingénieurs. 

S'agissant de Google, les règles de l'algorithme sont couvertes par le secret commercial, ce qui n'est pas sans poser quelques questions majeures quant au pouvoir exorbitant, et opaque, que détient la firme de Mountain View dans la hiérarchisation de l'information - ou, plus généralement, du contenu d'Internet. 

En France, le projet de loi pour une République numérique, porté par la secrétaire d'Etat Axelle Lemaire, prévoit ainsi, dans son article 2, une disposition spécifique permettant, "lorsqu'une décision individuelle est prise sur le fondement d'un traitement algorithmique", d'exiger à l'administration qu'elle communique "les règles définissant ce traitement, ainsi que les principales caractéristiques de sa mise en œuvre".

Vu la position quasi-monopolistique de Google, qui détient plus de 90% des parts de marché en France, lui octroyant un pouvoir sans précédent sur ce bien public qu'est Internet, et notamment un pouvoir de framing ou de définition de la personnalité des individus cités nommément, en mettant en avant certains articles ou faits plutôt que d'autres, on peut s'interroger sur la légitimité qu'à Google à se draper derrière le secret commercial pour refuser de répondre aux critères de classement utilisés et, plus généralement, pour refuser de modifier ce classement dans certains cas litigieux.

Contrairement à ce qu'affirme Google, et que les tribunaux néerlandais prennent pour argent comptant, le classement ne dépend en effet pas uniquement de l'audience des journaux. Ou alors, il faudrait croire que le site d'extrême-droite fdesouche a une audience plus grande que l'ensemble de la presse française, puisque lorsque l'on tapait "viol" et "facebook" le 6 janvier 2015, il arrivait en premier (aujourd'hui, il arrive en 10e position, c'est-à-dire tout en bas de la première page de recherche).

Il est frappant de voir que les tribunaux passent sous silence ce point, alors que c'est précisément ce que la Cour européenne des droits de l'homme (CEDH) avait souligné, à l'occasion de l'arrêt Google c. Espagne de 2014 à l'origine de cette jurisprudence du "droit à l'oubli":

37      De plus, l’organisation et l’agrégation des informations publiées sur Internet effectuées par les moteurs de recherche dans le but de faciliter à leurs utilisateurs l’accès à celles-ci peut conduire, lorsque la recherche de ces derniers est effectuée à partir du nom d’une personne physique, à ce que ceux-ci obtiennent par la liste de résultats un aperçu structuré des informations relatives à cette personne trouvables sur Internet leur permettant d’établir un profil plus ou moins détaillé de la personne concernée.

38      Dans la mesure où l’activité d’un moteur de recherche est donc susceptible d’affecter significativement et de manière additionnelle par rapport à celle des éditeurs de sites web les droits fondamentaux de la vie privée et de la protection des données à caractère personnel, l’exploitant de ce moteur en tant que personne déterminant les finalités et les moyens de cette activité doit assurer, dans le cadre de ses responsabilités, de ses compétences et de ses possibilités, que celle-ci satisfait aux exigences de la directive 95/46 pour que les garanties prévues par celle-ci puissent développer leur plein effet et qu’une protection efficace et complète des personnes concernées, notamment de leur droit au respect de leur vie privée, puisse effectivement être réalisée.

En France, des tribunaux ont d'ailleurs mis en pièce la théorie de la "neutralité technologique" de Google lors de l'affaire sur les mots-clés "juifs" (cf. Google et le mot-clé "juif": devant les juges, 10 mai 2012).

L'aporie juridique 

En opposant la vie privée à la liberté d'expression et d'informer, les tribunaux ont réduit le problème du classement de Google à une question binaire, qui n'a qu'une issue possible: supprimer, ou non, le référencement de la page. Cette même logique est utilisée lorsqu'un particulier se retourne, non pas contre Google, mais contre un site web. 

Or, l'arrêt Google c. Espagne visait précisément à contourner cette logique binaire, en permettant le déréférencement lorsque la publication elle-même était jugée légale (le cas examiné était particulièrement propice à cette dissociation, puisqu'il s'agissait d'une publication faite par ordre de l'administration). C'est-à-dire en affirmant qu'il ne s'agissait pas simplement d'une opposition binaire censure/liberté d'expression, mais plus généralement du pouvoir important de définition d'un profil humain dont dispose Google.

Ainsi, récemment, le TGI de Paris a déclaré non recevable la requête d'un individu effectuée au site 20 Minutes afin de supprimer un article publié il y a plus d'une dizaine d'années et intitulé « Poursuivi pour tentative de meurtre il avait participé au Bigdil » (cf. décision sur Legalis). Il s'agit-là d'un cas analogue à celui du journaliste néerlandais, à ceci près que les faits en cause sont plus graves (violences volontaires ayant entraîné une incapacité permanente, contre un plagiat), et que la requête, au lieu d'être faite à Google, l'est faite au site lui-même. Mais, dès lors, le tribunal ne peut que répondre par "oui" ou "non", c'est-à-dire imposer, ou non, la suppression de l'article de presse, donc le censurer au nom de la protection de la vie privée.

On peut s'interroger sur ce phénomène qui mène à ce que des faits répréhensibles commis plus de dix ans auparavant soient non seulement toujours en ligne, causant des problèmes sociaux et économiques (rapports avec les collègues, recherche d'emploi, etc.) évidents, et qu'un tribunal considère que ces faits sont d' "intérêt public", sans sembler prendre en compte la temporalité. 

D'autant plus qu'à reprendre l'arrêt Google, si "cet équilibre peut toutefois dépendre, dans des cas particuliers, de la nature de l’information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que de l’intérêt du public à disposer de cette information", une telle formulation peut conduire, dans certains cas - dont ceux ici cités - à un paradoxe insoluble: plus un fait est grave, plus le juge considère que le public a un intérêt légitime à le connaître, mais plus cette information est "sensible" pour la "vie privée" de la personne, c'est-à-dire dommageable. Un dommage qu'en d'autres contextes, les tribunaux n'ont aucun problème à évaluer, puisqu'ils pourraient compter, par exemple, la perte en revenu net dont sont victimes ces personnes soumises à la vindicte publique et gênées de façon grave dans la recherche d'emploi.

En d'autres termes: si on peut admettre que ces faits présentaient un intérêt public à l'époque, ce qui concorde avec une jurisprudence constante en termes de liberté de la presse, peut-on réellement affirmer qu'ils présentent encore aujourd'hui un tel intérêt, surtout si on le met dans la balance avec l'intérêt du sujet concerné à pouvoir continuer sa vie sans traîner éternellement cette casserole - si grave fût-ce-t-elle? 

Il semble clair que les tribunaux, que ce soit en France ou aux Pays-Bas, ont une notion beaucoup plus large que la CEDH de ce que constitue "l'intérêt du public". Car si la CEDH limitait le droit à l'oubli - qui, d'ailleurs, s'applique même si l'information référencée n'est pas préjudiciable - aux personnes dont le "rôle joué (...) dans la vie publique" n'est pas important, caveat qui d'évidence visait les politiques et les stars, les juridictions nationales semblent en pratique considérer que toute personne évoquée ne serait-ce qu'une fois dans les médias ou y travaillant sont, de facto, des personnalités publiques privées de droit à l'oubli.

D'autre part, et c'est là une question qui ne concerne pas la "liberté de la presse" mais le classement Google, au nom de quoi cette firme décide-t-elle de mettre en première page de tels articles, qui, disons-le franchement, n'ont comme seul intérêt véritable, dix ans après les faits, que de bousiller la vie d'un individu ? N'est-ce pas contredire frontalement le principe de réhabilitation auquel obéit, en principe du moins, toute la logique pénale ?    

Dès lors, plutôt que de se voir uniquement en censeur potentiel, les tribunaux ne devraient-ils pas s'interroger sur la possibilité de contraindre Google, lorsque le déréférencement n'est pas accordé, à modifier le référencement de façon à ce que ces résultats n'arrivent pas en première page ? C'est précisément ce qu'avait demandé, sans succès, un consultant du cabinet d'audit KPMG aux tribunaux néerlandais, victime d'un article racontant qu'il avait logé dans un container pendant plusieurs mois - information que le juge néerlandais a trouvé d'une importance capitale pour le public (cf. Kulk et Zuiderveen, 2015).    

*Kulk, Stefan and Zuiderveen Borgesius, Frederik J., Freedom of Expression and ‘Right to Be Forgotten’ Cases in the Netherlands after Google Spain (August 27, 2015), in European Data Protection Law Review 2015-2, p. 113-125. Available at SSRN: http://ssrn.com/abstract=2652171

*Google et le mot-clé "juif": devant les juges  , Vos Papiers, 10 mai 2012
*Google et le droit à l'oubli en Espagne, Vos Papiers, 8 février 2011




Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

Big Data & vie privée: quand Twitter permet d'identifier les dépressifs

Samaritain, l'A.I. à la Meilleur des mondes de la série TV People of Interest, ça vous rappelle quelque chose? L'an dernier, une firme a créé un mini-Samaritain pour détecter les personnes à tendance suicidaire sur Twitter... Ou les dangers du Big Data.

Le numéro spécial de Science sur l'intelligence artificielle contient un article intéressant, intitulé "Data, privacy, and the greater good" (17 juillet 2015, vol. 349, n°6245, p.253-255).

Les auteurs, E. Horvitz et D. Mulligan, adressent la question des menaces pesant sur la vie privée au vu de l'analyse automatisée du Big Data et des procédés de machine-learning, qui permettent de tirer des inférences potentiellement indiscrètes à partir de données privées rendues publiques (i.e. pages Facebook, fils Twitter, etc.), lesquelles elles ne révèlent a priori rien de sensibles. Seul la coordination des données constitue en effet le caractère sensible de l'information obtenue. Ils insistent à bon droit sur la non-opérativité du concept de "données anonymes" (fortement présent dans la législation) puisqu'il est désormais possible, dans de nombreux cas, de ré-identifier ces données.

Quelques exemples édifiants - qui soulignent, contre d'innombrables tribunes récentes dans les médias, que la santé n'est pas nécessairement un argument de choc pour le partage des données... 

En 2014, une application britannique opérant sur Twitter, nommée Good Samaritan (après la série People of Interest?), affirmait pouvoir détecter, en analysant les fils de discussion, les personnes sujettes à d'éventuels comportements suicidaires. En à peine une semaine, 3 000 personnes s'étaient inscrites à l'application, identifiant les tweets jugés dépressifs de 900 000 comptes! Bien que l'entreprise niait être le gestionnaire des données (data controller, un détail crucial eu égard au droit de la vie privée), elle ferma le service aussitôt, suite à l'émotion soulevée (voir la pétition Shut Down Samaritan Alert). Quoique cette firme n'avait évidemment comme seul but le bienfait de l'humanité, ses détracteurs soulignaient que l'appli pouvait être utilisée par d'éventuelles personnes mal-intentionnées afin de traquer les tweeters fragiles (les dits stalkers). 

Sans tomber sur des psychopathes, on frémit à l'idée de patrons s'abonnant aux comptes tweeters de leurs employés... à des amis ou proches s'intéressant un peu trop à vos états d'âmes... ou à Google estimant votre taux de bonheur en fonction de votre localisation GPS et de l'usage de vos applis sur téléphone. Il est vrai que ce taux est un critère indéniable du bien-être, et doit être pris en compte par toute conception un tant soit peu large de la santé. N'est-ce pas?

Outre Samaritan, des chercheurs de Palo Alto, toujours à la pointe du progrès, ont soutenu qu'on pouvait utiliser Facebook pour détecter les "dépressions post-partum" (1). Cela permettrait sans doute un grand bénéfice pour l'humanité, par exemple en permettant d'envoyer des opérateurs agréés pour vous contraindre à un traitement thérapeutique voire préventif (et oui, il faut être pro-actif!), ou du moins à faire du sport. Ou encore en permettant à un employeur potentiel de mettre en balance ce CV excellent avec ce signe non moins certain d'une moindre productivité. Gagnant-gagnant?

L'article contient également quelques indications sur les rapports de l'administration Obama sur ce sujet.

Notes et références: 

(1) M. De Choudhury, S. Counts, E. Horvitz, A. Hoff, Characterizing and predicting postpartum depression from Facebook data, in Proceedings of International Conference on Weblogs and Social Media [Association for the Advancement of Artificial Intelligence (AAAI), Palo Alto, CA, 2014]

 A lire: Horvitz et Mulligan, Science magazine, 17 juillet 2015, 349 (6245): 253-255, http://www.sciencemag.org 

Voir aussi : "Nos tweets peuvent-ils prédire une attaque cardiaque?", Internet Actu , 6 mai 2015, et le site du psychologue (un doctorant bien loti!) en question : http://www.jeichstaedt.com

Et pour l'anecdote, le premier psychothérapeute robotisé de l'histoire: http://psych.fullerton.edu/mbirnbaum/psych101/Eliza.htm  

Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

Biométrie: la CNIL s'inquiète, Auchan fonce !

Tandis que la CNIL annonce, sans fanfares, qu'elle retirait son autorisation unique portant sur l'usage de la biométrie afin de pointer au boulot (AU n°007), le groupe Auchan (Auchan, Leroy-Merlin, banque Accord, etc.) lance avec fierté le paiement biométrique "au doigt", c'est-à-dire la carte VISA biométrique. 

Si l'usage de la biométrie à des fins de contrôle des horaires est désormais jugée "non proportionnel", la CNIL effectuant ainsi un revirement de jurisprudence, celle-ci continue à considérer que la "biométrie de confort", ou plutôt, la biométrie de management, c'est-à-dire à des fins de gestion des flux, que ce soit dans les cantines ou les supermarchés, est légitime. La biométrie dévoile ainsi son véritable visage, servant davantage à faciliter la gestion qu'à assurer la sécurité. Mise en perspective.

Le revirement de la CNIL suite à la contestation sociale

La CNIL motive son retrait de l'autorisation unique de la pointeuse biométrique en constatant une généralisation des "techniques de contrôle des salariés" depuis 2006, l'ayant incité à "recueillir l'avis d'organisations syndicales et patronales, de la Direction Générale du travail ainsi que de certains professionnels du secteur" (délib. n°2012-322 du 20 septembre 2012, portant sur l'AU n°7 du 27 avril 2006: "autorisation unique de mise en œuvre de dispositifs biométriques reposant sur la reconnaissance du contour de la main et ayant pour finalités le contrôle d'accès ainsi que la gestion des horaires et de la restauration sur les lieux de travail").

Au cours de ces consultations, "un consensus s'est clairement exprimé considérant l'utilisation de la biométrie aux fins de contrôle des horaires comme un moyen disproportionné d'atteindre cette finalité", notamment en raison du "risque accru de détérioration du climat social, allant à l'encontre de la relation de confiance employeur-salarié", la pointeuse à badge apparaissant suffisante.

Il faut dire que la pointeuse biométrique devenait l'enjeu de conflits sociaux inquiétants pour les promoteurs de ces technologies (cf. La gauche et l'avenir de la reconnaissance faciale (1), Vos Papiers!, 18/05/12). Nous avions alors cité le reportage de France-3 (17/05/12) sur l'opposition des employés de la mairie de Garges-lès-Gonnesses :

Dans la suite de cette délibération, la CNIL effectue un véritable revirement de jurisprudence, déclarant:

Dès lors, même si le contour de la main est une biométrie dite « sans trace », son recours implique d'utiliser une partie de son corps, ce qui en soi est disproportionné au regard de la finalité de gestion des horaires.

Félicitons-ici la CNIL d'avoir compris, sous la pression du mouvement social et après six ans de promotion de la biométrie en tant qu'outil de flicage des salariés, qu'elle s'était trompée en considérant que la gestion biométrique des horaires était conforme au principe de proportionnalité de la loi Informatique et libertés de 1978.

Le contrôle dans les cantines, scolaires et professionnelles, demeure légal
 

En revanche, la CNIL nage dans l'incohérence la plus totale, en n'effectuant qu'un retrait partiel de l'AU-007, puisque les autres formes de contrôle biométrique dans l'entreprise, et notamment ceux effectués à la cantine, sont considérées comme "proportionnelles":

La Commission estime qu'il n'en est pas de même en ce qui concerne les contrôles d'accès aux locaux ainsi qu'au restaurant d'entreprise ou administratif reposant sur un dispositif de reconnaissance du contour de la main, notamment pour des raisons de sécurité et au regard des risques plus limités pour la vie privée des personnes.

On ne voit pas bien pourquoi la pointeuse biométrique à la cantine porterait un "risque plus limité" à l'égard de la vie privée, puisqu'il s'agit de la même technique. Par ailleurs, invoquer la sécurité alors qu'il s'agit de gestion des flux est parfaitement hypocrite. Dès 2000, la CNIL savait de quoi il en retournait : en rejetant la demande du lycée Jean Rostand de Nice, elle indiquait ainsi (délib. n°00-015, 21-03-00):

le traitement ainsi mis en œuvre ayant pour finalité de faciliter l'accès à la cantine scolaire et la gestion des comptes et de la facturation ; qu'il permettrait, en outre, aux dires de l'établissement, d'éviter toute manipulation d'espèces et les difficultés généralement liées à la perte ou à l'oubli des cartes de cantine...

Cette finalité a été un temps oubliée: en autorisant le premier contrôle biométrique, par contour de la main, dans les cantines, au collège Joliot-Curie de Carqueiranne (Var) en 2002 - initiative coûteuse financée par le conseil général - elle prétendait qu'il ne s'agissait que de s'assurer que "seules les personnes habilitées peuvent accéder au service" (délib. 02-70). Le collège présentait pourtant le système comme visant à "mieux gérer les absences", c'est-à-dire à mieux fliquer les élèves: une sorte de pointage horaire à l'école (Libération, 28-10-02).

Depuis, la CNIL reprend inlassablement la même rengaine : elle autorise les fichiers et la biométrie à des fins de "contrôle de l'accès au restaurant d'entreprise ou administratif et [de] gestion de la restauration ainsi que la mise en place d'un système de paiement associé" (délib. n°02-001 du 08 janvier 2002, sur les fichiers "mis en œuvre sur les lieux de travail pour la gestion des contrôles d'accès aux locaux, des horaires et de la restauration"; délib. n°2006-101 du 27 avril 2006 sur l'AU-007 ; délib. n°2012-322 précitée, abrogeant la précédente).

Affirmer que des cantines requièrent d'être "sécurisées" en faisant usage de la biométrie est tout autant ridicule qu'hypocrite. Et prétendre que le principe de proportionnalité est respecté devient d'autant plus difficile dès lors que la CNIL s'est déjugée en ce qui concerne le contrôle des horaires. Reste donc à la CNIL de prendre acte des nombreuses protestations contre la biométrie à l'école et le flicage des enfants ! 

L'expérience Accord-Auchan sur le paiement biométrique, une collaboration Etat-industrie-grande distribution

Il s'agit-là, en fait, de la mise en place de "l'expérimentation" - peut-être faudrait-il dire de l'acculturation des consommateurs - autorisée par la CNIL dans sa délibération de décembre 2009 que nous avions largement commenté dans La carte VISA biométrique débarque en France (02/04/10). 

La CNIL, dont l'un de ses membres, Dominique Castera, a travaillé chez Sagem de 1973 à 2010, étant même DRH, de 2005 à 2010, de ce groupe à la pointe du lobbying pro-biométrique, la CNIL donc, dans sa grande indépendance, remarquait alors que c'était "la première fois qu’elle [était] appelée à se prononcer sur le recours à une technologie biométrique dans le cadre d’une application potentiellement de masse".

L'expérimentation actuelle, qui commence à l'Auchan de Villeneuve-d'Ascq, est ainsi le fruit d'une véritable collaboration entre la CNIL, plusieurs banques, la grande distribution, une start-up, Natural Security (sic), financée par ces derniers, et enfin Ingenico, leader mondial des terminaux de paiement - dans lequel l'Etat détient une minorité de blocage à travers Safran, et qu'il avait d'ailleurs utilisé en 2010 au nom du "patriotisme économique", empêchant son rachat par les Américains (cf. Vos Papiers!, 02/02/11). La Tribune (23/10/12) précise ainsi :

Les sept actionnaires de Natural Security que sont Auchan, Leroy Merlin, BNP Paribas, Crédit Agricole, Crédit Mutuel Arkéa ainsi que le leader mondial des terminaux de paiement Ingenico financent à hauteur de plusieurs dizaines de millions d'euros les travaux de cette start-up depuis sa création en 2006. Début 2011 sortait le premier prototype en partenariat avec MasterCard.

Comme le souligne bien 01Net (23/10/12), il s'agit d'une "double identification : biométrique et sans contact", puisqu'il faut poser ses doigts sur un terminal biométrique qui reconnaît le réseau veineux, et permet ensuite la transmission des données du terminal à la carte VISA, gardée dans le portefeuille, via une puce RFID (pour les détails techniques du procédé, cf. Vos Papiers!, 02/04/10). 

Si l'Auchan de Villeneuve-d'Ascq se limite au réseau veineux, l'expérimentation s'étendra à celui d'Angoulême, où l'empreinte digitale sera utilisée. Or, il s'agit d'une technologie "à trace" selon la CNIL, qui pose davantage de problèmes relatifs à la protection contre l'usurpation d'identité... biométrique (sur les faux chiffres qui circulent concernant l'usurpation d'identité civile, cf. Le Canard Enchaîné du 24/10/12, ci-contre). La CNIL a autorisé cette "légère" modification par sa délibération n°2011-200 du 30 juin 2011 :

Par une délibération n°2009-700 du 17 décembre 2009, la Commission a autorisé la mise en place de cette expérimentation, en 2011-2012, pendant une durée de six mois chez les commerçants participants avec, pour biométrie utilisée, le réseau veineux du doigt. Banque Accord sollicite une modification de cette autorisation afin de recourir à deux nouvelles biométries : le réseau veineux de la paume de la main et l'empreinte digitale exclusivement stockée sur support individuel.

Comme en 2009, elle prend acte que cette technique consiste principalement à faciliter la gestion des flux, affirmant qu'elle vise "à réduire le temps nécessaire à la réalisation d'un paiement et à répondre au mieux aux exigences de sécurité en vigueur" - cf. Vos Papiers!, 02/04/10, sur la priorité gestionnaire ("à l'automatisation des frontières répond l'automatisation des caisses", écrivions-nous alors), la sécurité pouvant être assurée par d'autres moyens, non biométriques: l'autorisation constitue donc une entorse, sinon une violation, du principe de proportionnalité.

Mais la CNIL voit là un progrès considérable, annonçant même, dans sa délibération sus-citée de juin 2011, que "ce projet devrait à terme favoriser le développement de nouveaux services d'authentification, par exemple pour la banque en ligne ou la signature de documents". 

Outre la banque Accord, le Crédit Agricole Mutuel de Charente Périgord a bénéficié d'une autorisation d'expérimentation analogue (délib. n°2012-039 du 2 février 2012), ainsi que le Crédit Mutuel ARKEA (délib. n°2012-033, 2 fév. 2012). Parmi les actionnaires de la start-up Natural Security, ne reste plus que BNP-Paribas qui n'a pas encore fait sa demande.

La doctrine biométrique de la CNIL : le pointage, ça suffit ! la gestion des flux, oui !

 Le revirement de jurisprudence opéré par la CNIL quant à l'AU-007, qui se limite, sous la pression du mouvement social, à considéré comme non-proportionnel l'usage de la biométrie à des fins de contrôle des horaires, est un aveu de l'incohérence de sa doctrine. En effet, si l'usage à ces fins n'est pas proportionnelle, en quoi le contrôle biométrique à des fins de management, autorisé tant dans les cantines scolaires que la restauration d'entreprise, ou encore dans ces expériences-pilotes de "paiement biométrique", visant essentiellement à accélérer le passage en caisse, seraient-ils "proportionnels" ?

Alors que dans les années 1990, la biométrie était principalement présentée comme une technologie de paiement, l'enjeu sécuritaire post-11 septembre a durablement éclipsé cette fonction. Ceci a permis, en retour, la CNIL d'autoriser la généralisation de ces systèmes de reconnaissance dans l'ensemble de la société, au prétexte de la "sécurité" nécessaire dans le cadre de "contrôles d'accès". Et ceci, alors même qu'elle reconnaissait clairement la finalité avant tout gestionnaire et commerciale.

Avec l'expérimentation de paiement biométrique, qui prévoit la généralisation massive de la biométrie à des fins commerciales, et non plus seulement à des fins souveraines de contrôle d'identité et de circulation, le vrai visage, commercial, de la biométrie refait surface. Avec l'appui enthousiaste de l'Etat, qui participe pleinement à la commercialisation de cette technologie, au nom de la constitution de "champions nationaux".  Au détriment du respect de la vie privée et de nos libertés.

Pourtant, outre le célèbre livre bleu du GIXEL, le lobby de la biométrie, préconisant d' "habituer" les consommateurs dès leur plus jeune âge à ces techniques de contrôle (cf. ici L'identité électronique, pour l'Etat, les enfants ou le marché ?, 28 mai 2012), cette extension était prévue dès le départ, et la CNIL ne pouvait guère l'ignorer. Ainsi, le quotidien économique belge Trends-Tendance évoquait, en septembre 2002 ("Montre-moi ton œil, je te dirai qui tu es", 19-09-02), le modèle de diffusion économique formulé par le cabinet de consultant Arthur D. Little:  

La première étape, dite de haute sécurité, consiste en une phase d'expérimentation et d'application en conditions de contrôle et d'environnement de sécurité maximum, réservée à un petit nombre d'utilisateurs.

La deuxième étape, dite de contrôle d'accès, implique un plus grand nombre d'utilisateurs dans un nombre restreint de situations: la plupart des applications concernent ici  le contrôle physique et les accès à des réseaux.

La troisième étape, celle du contrôle de transactions, fournit des applications à grande échelle, principalement dans l'identification et les zones d'accès: e-commerce, infrastructures publiques et services financiers.

La quatrième étape, d'authentification et d'identification de masse, offre de très nombreuses applications: intégration complète avec les infrastructures publiques, premières solutions pour le marché consommateur.

Nul complot ici, mais une stratégie commerciale pleinement mûrie et réfléchie, à laquelle les Etats, et notamment Paris et Washington, ont apporté leur soutien le plus total.  Qu'importe si le modèle d'Arthur Little a été démenti par les faits ? Puisqu'en effet, l'identification de masse a joué dès le départ, via la mise en place du passeport et du visa biométrique, et que le contrôle des transactions demeure marginal. L'idée était bien de procéder à une généralisation progressive de cette technologie, à des fins purement commerciales.

La victoire remportée par les salariés luttant contre le pointage biométrique montre néanmoins que ce processus n'a rien d'irréversible, et que le mouvement social a un rôle à part entière dans l'élaboration du droit. Ne reste plus qu'aux lycéens à intensifier leur contestation, souvent relayée dans la presse régionale mais presque toujours ignorée de la presse nationale, et aux associations de consommateurs de se saisir de ce nouvel enjeu.

  Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

La carte VISA biométrique débarque en France, Vos Papiers!, 02/04/10

 L'identité électronique, pour l'Etat, les enfants ou le marché ?, Vos Papiers!, 28 mai 2012

 La gauche et l'avenir de la reconnaissance faciale (1), Vos Papiers!, 18/05/12

L'Autorisation unique n° AU-007 ne porte plus sur les contrôles d'horaires des salariés, CNIL, 23-10-12

Natural Security teste le paiement biométrique chez Auchan et Leroy Merlin, La Tribune, 23-10-12

Le paiement biométrique avec le doigt expérimenté chez Auchan, 01 Net-AFP, 23-10-12

Ceux qui montrent patte blanche mangeront, Libération, 28-10-02

La carte d'identité obligatoire: histoire d'un non-débat

Retour sur la nouvelle loi ayant instauré la carte d'identité biométrique, dite de "protection de l'identité". Dans un billet récent, j'avais soulevé l'hypothèse qu'insidieusement, elle aurait peut-être rendu la carte d'identité obligatoire. La question, pourtant importante, d'autant plus qu'on se rappelle que seul Vichy l'avait rendu obligatoire, n'a été évoquée que lors d'une seule séance, le 29 juin 2011 à l'Assemblée, par le rapporteur. Elle n'a fait l'objet d'aucun débat durant les six mois de discussion concernant cette loi, l'article 1 n'ayant suscité aucun amendement !

Synthèse 

Le rapporteur Ph. Goujon précisa en effet certaines modifications qu'apporte cet article, auparavant présenté au Sénat comme ne modifiant en rien le régime juridique existant, à savoir, selon lui, principalement :

• le fait de limiter le caractère justificatif de l'identité aux titres en cours de validité, ce qui n'était pas le cas auparavant dès lors que la photo demeurait ressemblante;
• et de dissuader les entreprises d'exiger d'autres justificatifs d'identité que la carte nationale d'identité (CNI) ou le passeport

(le lecteur pressé peut consulter les sections citées, en bleu, 1. Un titre d’identité ou de voyage en cours de validité suffira à justifier de son identité et la suivante, Preuve de l'identité, dans lequel ce sujet est abordé par le maire du XVe arrondissement de Paris). 

N'a jamais été évoqué le fait que les passeports étrangers aient été exclus de cet article, pas plus que la contradiction entre une CNI de facto obligatoire, notamment pour tout déplacement à l'intérieur de l'espace de Schengen, mais aussi pour nombre d'autres activités de la vie quotidienne, et son statut de jure facultatif, lequel a souvent été utilisé comme argument rhétorique par l'UMP pour prétendre que le "fichier des gens honnêtes" ne concernerait pas l'ensemble de la population.

Retraçons donc ici l'histoire de cet article 1, lequel dispose:

L'identité d'une personne se prouve par tout moyen. La présentation d'une carte nationale d'identité ou d'un passeport français en cours de validité suffit à en justifier.

L'article 1 n'est-il qu'une reprise de règles pré-existantes? Oui, non... quand les sénateurs s'en fichent!

Cet article est présent dès le début, à savoir le 27 juillet 2010, dans la proposition de loi "relative à la protection de l'identité" déposée au Sénat par Jean-René Lecerf (UMP), auteur du rapport de 2005 sur la biométrie (Identité intelligente (sic) et respect des libertés (re-sic)), et Michel Houel (UMP).

Dans l'exposé des motifs, ils déclarent alors:

L'article 1^er rappelle la règle, qui figure actuellement à l'article 78-2 du code de procédure pénale, selon laquelle l'identité d'une personne se prouve par tout moyen. Il se déduit de cette mention que le projet n'entend pas conférer à la carte nationale d'identité un caractère obligatoire. Pour autant, le passeport et la carte nationale d'identité en cours de validité se voient reconnaître une valeur probante particulière : leur production suffit à établir l'identité d'une personne.

 Le 13 avril 2010, à l'occasion de l'examen de la proposition de loi par la Commission des lois du Sénat, laquelle avait nommé François Pillet (UMP) rapporteur, celui-ci, avocat de son métier, affirme dans son rapport:

Le présent article tend à poser le principe selon lequel l'identité d'une personne se prouve par tout moyen. La présentation d'une carte nationale d'identité ou d'un passeport français en cours de validité suffirait à en justifier.

Il reprend en cela une règle déjà énoncée à l'article 78-3 du code de procédure pénale, ainsi qu'aux articles premiers des textes instituant la carte nationale d'identité et le passeport français. Regrouper ces dispositions dans l'article premier de ce texte, qui vise à poser le socle législatif des principes applicables à la protection de l'identité est opportun.

Votre commission a adopté l'article premier sans modification.

Commentaire: on note déjà que si pour J.-R. Lecerf et M. Houel, cet article "[rappelait] la règle qui figure actuellement à l'art. 78-2" du CPP, lequel indique dans quels cas un contrôle d'identité est légal (et oui, le contrôle d'identité n'est possible que sous certaines conditions, il est vrai très larges...), désormais, F. Pillet affirme qu'il "reprend en cela une règle déjà énoncée à l'art. 78-3" du CPP, à savoir celui régissant la "vérification d'identité" au poste.

L'art. 78-2 cité par J.-R. Lecerf indique en effet:

Les officiers de police judiciaire et (...) peuvent inviter à justifier, par tout moyen, de son identité toute personne à l'égard de laquelle existe une ou plusieurs raisons plausibles de soupçonner...

L'art. 78-3 indique que la vérification d'identité, qui n'a lieu que "si l'intéressé refuse ou se trouve dans l'impossibilité de justifier de son identité", conduit l'intéressé à être:

présenté immédiatement à un officier de police judiciaire qui le met en mesure de fournir par tout moyen les éléments permettant d'établir son identité et qui procède, s'il y a lieu, aux opérations de vérification nécessaires.

(...) Si la personne interpellée maintient son refus de justifier de son identité ou fournit des éléments d'identité manifestement inexacts, les opérations de vérification peuvent donner lieu, après autorisation du procureur de la République ou du juge d'instruction, à la prise d'empreintes digitales ou de photographies lorsque celle-ci constitue l'unique moyen d'établir l'identité de l'intéressé.

Par conséquent, il est vrai que cet article 1er ne fait que reprendre une disposition déjà présente dans le CPP, indiquant - qu'en théorie - l'identité d'une personne se prouve "par tout moyen". Cependant, le CPP indique aussi qu'en cas de refus ou d' "impossibilité de justifier de son identité", le contrôle d'identité se poursuit en vérification d'identité au poste  - celle-ci peut prendre jusqu'à 4 heures, ou 8 heures à Mayotte, ce qui est une violation manifeste de l'égalité d'application de la loi sur le territoire, s'agissant d'une matière aussi importante que la privation de liberté... ; et si l'intéressé s'obstine dans son refus, "ou fournit des éléments d'identité manifestement inexacts", alors peut avoir lieu un prélèvement d'empreintes digitales ou de photographies.

Quant aux décrets instaurant la carte nationale d'identité (CNI) et le passeport, l'art. 1er du décret de 1955 instituant la CNI évoqué par F. Pillet indique qu'une "carte nationale certifiant l'identité de son titulaire" est instaurée ; la même formulation est reprise par le décret de 2005 sur le passeport, lequel dispose dans son art. 1er que "le passeport , le passeport de service et le passeport de mission (...) certifient l'identité de leur titulaire."

 Dès lors, si le premier alinéa de l'art. 1 précité ("L'identité d'une personne se prouve par tout moyen.") reprend bien une règle énoncée dans le CPP, la seconde ("La présentation d'une carte nationale d'identité ou d'un passeport français en cours de validité suffit à en justifier.") modifie la formulation des décrets, puisqu'on passe d'une certification d'identité au fait que ces documents d'identité "suffisent à justifier" l'identité.

En toute rigueur, il est donc inexact de dire que cet article ne fait que reprendre des dispositions déjà pré-existantes. Ce sera aux juges de trancher la question de savoir si l'expression "certifier l'identité" revient au même que celle de "suffire à justifier l'identité".

Par ailleurs, il est également faux de dire qu'on est à droit constant en se fondant sur les dispositions citées par nos parlementaires. Outre le fait qu'on passe du statut de décret au statut de loi, les décrets sur la CNI ou les passeports n'indiquent nulle part que le passeport doit être "en cours de validité". Plus encore: à l'art. 11, le décret sur le passeport indique :

Lors du renouvellement, le nouveau passeport est remis après restitution de l'ancien passeport.

L'ancien passeport peut être conservé par le demandeur dans le cas où il comporte un visa en cours de validité pour la durée de validité de ce visa.

On note au passage que l'art. 1er de la nouvelle loi exclut de sa formulation les passeports étrangers, ce qui pose un certain nombre de question pour les visiteurs de notre pays si hospitalier s'ils avaient la joie de faire connaissance avec cette tradition française du contrôle d'identité, qui étonne toujours les Anglo-Saxons. Ce sont pourtant ceux qui ont le plus besoin qu'un document de voyage ou d'identité, fût-il étranger, "suffise à justifier de leur identité", puisque dans la mesure où l'Etat français ne semble guère faire confiance à ses homologues, il est douteux qu'il fasse confiance, par exemple, à une carte d'étudiant émise par un établissement étranger. Par ailleurs, un visiteur, surtout touriste, aurait plus de mal à faire appel à ses amis pour établir son identité, ou encore à appeler sa famille à l'étranger pour qu'elle confirme à l'agent des forces de l'ordre son identité, en énumérant sa filiation complète et son lieu et date de naissance...

Les débats au Sénat (31 mai 2010): une CNI déjà mi-obligatoire, mi-facultative...

Suite des débats: le 31 mai 2010, lors de la lecture au Sénat en première séance, le rapporteur F. Pillet affirme:

La carte d’identité ne devenant pas obligatoire, ni a fortiori son dispositif optionnel, la commission des lois a interdit que l’accès aux transactions aux services en ligne puisse être conditionné à l’utilisation de la fonctionnalité d’identification électronique de la carte.

Le ministre de l'Intérieur Claude Guéant renchérit:

Toujours gratuite et facultative, cette carte sera équipée de deux composants électroniques [à savoir la puce dite "régalienne", biométrique et entérinée par le Conseil constitutionnel, et la puce commerciale, censurée par le CC - notons que Guéant prétend alors que la "signature électronique [est] possible dans presque tous les pays", ce qui est une énormité et rendrait tous les efforts en ce sens de la Commission européenne complètement inutiles...]

Pour Anne-Marie Escoffier (Parti radical de gauche, PRG), cette loi a un double objectif, "renforcer les moyens de lutte contre les fraudes à l'identité", et...

simplifier le quotidien des citoyens en leur permettant d’apporter la preuve « par tout moyen » de leur identité dans certaines de leurs démarches de la vie courante.

On ne voit pas trop en quoi cette loi simplifierait nos vies si elle se contentait de nous permettre de justifier "par tout moyen" de notre identité... Mais Escoffier ajoute:

La carte nationale d’identité comme le passeport sont les deux documents privilégiés pour faire foi de son identité, mieux qu’avec le permis de conduire ou le permis de chasser par exemple, mais ils n’ont de caractère obligatoire que dans certaines circonstances, les voyages à l’étranger notamment.

Ce qui est rigoureusement exact, et souligne au passage qu'il est faux de dire que la CNI est facultative, puisqu'elle devient obligatoire dès lors qu'on veut aller dans un autre pays de l'Union européenne - et ce, même pour les bébés de 5 mois. De plus, s'il est loisible à chacun de justifier son identité par "tout moyen" dans l'Hexagone, comme chacun sait, la CNI et les passeports sont quand même pris davantage aux sérieux, que ce soit par les forces de l'ordre ou par des agences commerciales.

Virginie Klès, l'apparentée PS précitée qui soutient le "lien faible", souligne, elle, le caractère de facto obligatoire de la CNI, en France :

J’ai entendu dire tout à l'heure que la carte nationale d’identité n’est pas obligatoire mais qu’elle est facultative. C’est peut-être vrai en théorie, mais l’on sait bien que, en pratique, ce n’est pas le cas, puisque l’administration nous demande à tout moment de présenter notre carte ou sa photocopie. La carte nationale d’identité est de facto un titre obligatoire dans notre vie quotidienne. Nous serons donc tous fichés dans cette base de données, monsieur le ministre !

A la suite de ce débat, l'article 1 est adopté tel quel. Lors de l'examen du texte par la Commission des lois de l'Assemblée nationale, le 29 juin 2011, il est également repris, aucun amendement n'ayant été déposé sur le sujet. C'est ce qui s'appelle passer comme une lettre à la poste, les points ici soulevés n'ayant fait l'objet d'aucun débat ! Pourtant, le rapporteur, Ph. Goujon (UMP), affirme alors que "de nombreuses garanties ont été apportées pour protéger les libertés individuelles", citant parmi celles-ci le fait que la "nouvelle carte d’identité demeurera facultative et gratuite"... 

Son rapport, rédigé au nom de la Commission des lois et enregistré le même jour, contient un développement intéressant sur la question, pourtant non débattue:

1. Un titre d’identité ou de voyage en cours de validité suffira à justifier de son identité

L’article premier de la proposition de loi, qui rappelle que l’identité d’une personne se prouve par tout moyen – ce principe figure déjà à l’article 78-2 du code de procédure pénale – tend à faire de la carte nationale d’identité ou du passeport français « en cours de validité » le moyen privilégié pour prouver son identité.

Cette rédaction poserait clairement cette règle, de telle sorte qu’aucun opérateur économique ne pourrait exiger d’un de ses clients autre chose que l’un de ces deux documents pour prouver son identité.

À l’inverse, la seule production de l’un de ces deux documents suffirait à prouver l’identité de la personne. Soulignons par exemple que la présentation du permis de conduire n’est pas acceptée par de nombreuses entreprises qui souhaitent s’assurer de l’identité de leurs clients.

Il convient de souligner que cette carte d’identité électronique ne permettra en aucun cas la géolocalisation de son titulaire, contrairement au téléphone portable [ouf !].

Sa puce « régalienne », comportant les données biographiques et biométriques de la personne, bien que sans contact, ne pourra être lue qu’à un centimètre de distance, par un lecteur spécifique lui impulsant une charge électrique activant la visibilité des données stockées.

De plus, les données transmises au lecteur seront cryptées, ne pouvant être décryptées qu’au moyen d’une clé électronique régalienne. Il sera donc impossible à un individu malveillant d’intercepter ces données, sachant que pour les intercepter à une distance de 10 mètres, outre le fait de posséder la clé de décryptage des données ainsi qu’un moyen d’activer la lisibilité des données par transmission d’une chargé électrique à la puce, il lui faudrait disposer d’une antenne de 10 mètres de hauteur.

Autrement dit, selon le rapporteur à l'Assemblée, l'art. 1er s'adresse principalement aux entreprises. Mais alors, pourquoi prétend-il qu'il ne s'agit que d'une reprise de l'art. 78-2 du Code de procédure pénale - lequel ne concerne que les contrôles d'identité effectués par les forces de l'ordre? Et pourquoi ce point, important, de la justification d'identité dans la "vie courante", pour reprendre les mots de la sénatrice Escoffier, n'a-t-il fait l'objet d'aucun débat?

Lors de l'examen de cet article, adopté, donc, et sans débats, le 29 juin 2011, il précise:

Preuve de l’identité

Le présent article propose de faire de la carte nationale d’identité ou du passeport français le moyen privilégié pour prouver son identité.

Il rappelle en premier lieu que l’identité d’une personne se prouve par tout moyen. Ce principe figure déjà à l’article 78-2 du code de procédure pénale, que le présent article n’entend pas modifier.

En second lieu, le présent article tend à faire de la carte nationale d’identité ou du passeport français « en cours de validité » le moyen privilégié pour prouver son identité.

Selon les informations recueillies par votre rapporteur auprès du ministère de l’intérieur, cette précision aurait un double intérêt :

—  d’une part, elle poserait clairement ce principe, de telle sorte qu’aucun opérateur économique ne pourrait exiger autre chose que l’un de ces deux documents d’un de ses clients pour prouver son identité. À l’inverse, la seule production de l’un de ces deux documents suffirait à prouver l’identité de la personne. Soulignons par exemple que la présentation du permis de conduire n’est pas acceptée par de nombreuses entreprises qui souhaitent s’assurer de l’identité de leurs clients.

—  d’autre part, elle permettait de s’assurer de la fiabilité du titre d’identité puisque l’État s’engage, durant toute la validité du document sur son authenticité. En revanche, quelques années après sa péremption, l’État n’est pas toujours en mesure d’apporter la même garantie. Par exemple, il est tenu de supprimer les données à caractère personnel après un délai de quinze ans.

Bien que le présent article ne prévoit pas qu’une carte nationale d’identité périmée ne permette pas de prouver son identité, le fait que la présentation de ce document en cours de validité apparaisse comme un moyen privilégié de la prouver implique qu’a contrario la production d’une carte périmée pourrait de moins en moins être acceptée aux mêmes fins.

Rappelons qu’aujourd’hui le ministère de l’intérieur précise, sur son site internet, que la CNI périmée « permet à son titulaire de certifier de son identité, même lorsqu’elle est périmée, sous réserve dans ce cas que la photo soit ressemblante ». Ceci est d’ailleurs confirmé par une communication de la CNIL du 18 février 2005 qui précise que la carte nationale d’identité « est valable dix ans, mais, même périmée, elle permet de justifier de son identité tant que la photo est ressemblante ».

À titre d’exemple, si un passager aérien d’un vol intérieur est tenu de justifier de son identité, il peut le faire au moyen d’une carte nationale d’identité périmée. Cette possibilité est confirmée par l’autorité administrative comme en témoigne la réponse du ministère de l’intérieur du 2 août 2008 à la question n°02572 (Sénat) :

« En effet, même pour accomplir un simple vol intérieur, ces passagers sont strictement tenus d’être en mesure de présenter un document attestant de leur identité. De même, s’agissant des vols directs entre la métropole et les collectivités d’outre-mer, et dès lors que ce type de trajet emporte nécessairement le franchissement d’une frontière extérieure de l’espace Schengen, la carte nationale d’identité (même périmée) peut être exigée afin de justifier de sa qualité de citoyen de l’Union européenne et du droit communautaire à la libre circulation qui s’y rattache. »

Il est vrai que l’article premier du décret n° 55-1397 du 22 octobre 1955 instituant la carte nationale d’identité prévoit qu’il est « institué une carte nationale certifiant l’identité de son titulaire ». De même, l’article premier du décret n° 2005-1726 du 30 décembre 2005 relatif aux passeports précise que les passeports « certifient l’identité de leur titulaire ».

Aucun de ces deux textes, de valeur réglementaire, ne réservait un effet juridique particulier à ces titres d’identité en cours de validité.

Cet article n’a pas été modifié au cours de l’examen de la proposition de loi par le Sénat.

Cela confirme en tous points nos remarques ci-dessus concernant la nouveauté de cet article à l'égard de la validité des titres d'identité et de voyage. Soulignons également le raisonnement a contrario que Ph. Goujon effectue, lequel est tout à fait analogue à celui effectué dans notre précédent billet.

Les débats à l'AN du 7 juillet 2011

Lors de l'examen en séance publique devant l'Assemblée, le 7 juillet 2011, Guéant ré-affirme que cette carte est "gratuite et facultative", et ignore donc les points soulevés par le rapport de Ph. Goujon. Ce dernier n'évoque pas non plus ces aspects. Serge Blisko (PS) évoque alors, au sujet de la reconnaissance faciale, "un avenir assez inquiétant et qui ne relève pas seulement de la science-fiction". Il se trompe ensuite, en indiquant :

à ce jour, la collecte d’empreintes digitales ne s’effectue que pour la délivrance d’un passeport puisqu’il n’y en a pas sur nos cartes d’identité plastifiées. Les personnes n’ayant pas besoin d’un passeport et ne souhaitant pas donner leurs empreintes – hors enquête de police – pouvaient simplement demander une carte nationale d’identité. Désormais, il n’y aura plus de choix : pour obtenir un titre d’identité ou de voyage, la collecte de données biométriques sera systématique.

Or, on l'a vu, le décret de 1999 modifiant le décret de 1955 sur la carte d'identité impose le relevé d'une empreinte digitale, laquelle n'est effectivement pas stockée sur la carté d'identité, ni sur un fichier informatisé.

Serge Blisko, qui demande au nom du PS le retrait du texte afin d'obtenir les avis de la CNCDH (Commission nationale consultative des droits de l'homme) et du Conseil d'Etat, cite alors un extrait de la loi du 27 octobre 1940, promulguée sous Vichy:

« Obligation de détenir une carte d’identité à partir de seize ans, comportant les empreintes digitales et la photographie, et de déclarer tout changement d’adresse. Institution d’un fichier central de la population et d’un numéro d’identification individuel. »

En réponse, Guéant persiste et signe:

Je précise par ailleurs qu’il ne s’agit pas d’un fichage général de la population. Comme vous l’avez du reste indiqué au détour d’un autre développement [qui a du nous échapper...], la détention de la carte d’identité électronique n’est pas une obligation.

Jean-Paul Lecoq (PCF) le reprend, évoquant pour la première fois lors de ce débat la question des contrôles au faciès, pourtant centrale vu le cadre :

Pour l’instant, j’en reste à ce qu’a dit M. le ministre, à savoir que la carte d’identité n’est pas obligatoire. Certes, mais il faut tout le temps justifier son identité ou, du moins, de plus en plus souvent, notamment dans le métro, a fortiori si l’on présente certaines particularités physiques.

Sandrine Mazetier (PS) rappelle alors la tendance à l’œuvre vers l'obligation de s'identifier à tout bout de champ - l'un des motifs, ajoutons, de la loi sur le voile... :

La vérification d’identité n’est plus aujourd’hui l’apanage des policiers. Pas plus tard qu’hier, en commission des affaires économiques, à l’occasion de l’examen du projet de loi sur les droits, la protection et l’information des consommateurs, les agents de la DGCCRF ont ainsi été autorisés à vérifier l’identité d’un éventuel ou présumé contrevenant. Les agents habilités à procéder à des vérifications d’identité et qui auront demain accès à ces fichiers sont donc de plus en plus nombreux.

La navette et l'usage rhétorique du caractère facultatif en droit de la CNI 

Le Sénat ignore purement et simplement l'art. 1 en deuxième lecture. Lorsque le texte est ré-examiné par l'Assemblée, le 13 décembre 2011, le rapporteur Goujon s'appuie à nouveau sur le supposé caractère facultatif de la CNI pour justifier le fichage, prétendu "administratif" :

Il s’agit d’un fichier administratif et non de police, qui concerne 45 millions de personnes – et non 60, puisque la carte d’identité est facultative.

Il réitère le même jour, en séance publique.

Le texte passant en Commission mixte paritaire, la sénatrice Virginie Klès déclare alors, en séance du 26 janvier 2012, après son épique métaphore des chaussettes illustrant le débat lien fort/lien faible:

Il ne m’a pas échappé que la détention de la carte nationale d’identité n’est pas légalement obligatoire. Mais dans la vie courante, elle l’est. Pour partir en voyage scolaire, au collège, nos enfants ont besoin d’une carte nationale d’identité.

Détail de la vie pratique qui avait sans doute échappé aux mâles parlementaires...  Lors du nouvel examen, par le Sénat, le 21 février 2012, la sénatrice Esther Benbassa, qui s'oppose, au nom des Verts, à tout fichier biométrique, fût-il à "lien faible", évoque à son tour le caractère obligatoire de la carte d'identité des Français mise en place par Vichy. A.-M. Escoffier, quant à elle, déclare:

Le texte initial, enrichi, il faut l’admettre, au cours des différentes lectures (...), devait permettre à tout un chacun d’apporter par tout moyen la preuve de son identité. La nouvelle carte d’identité, qui reste au demeurant un titre non obligatoire, pouvait être utilisée comme un instrument non seulement d’authentification lors de démarches administratives, mais aussi de transaction commerciale sur Internet, si son propriétaire le souhaitait. (...)

Aujourd’hui, le tout-sécuritaire nous enserre, nous étouffe !

Virginie Klès revient à la charge, suggérant un amendement provocateur à l'art. 5 instaurant le fichier, lequel exigerait le consentement de chacun à être fiché, rendant de fait le fichier facultatif :

On nous dit aussi que la carte d’identité n’est pas obligatoire, ce qui est vrai sur le plan légal ; dans la pratique, elle l’est. Posons la question à chaque Français lors de la délivrance de sa carte d’identité, en lui expliquant que ses données figureront dans une base à lien fort.

Enfin, lors de la lecture définitive du texte à l'Assemblée, le 29 février 2012, le rapporteur Goujon insiste à nouveau, à plusieurs reprises sur le caractère prétendument facultatif de la CNI. Il s'exclame même, après une intervention de J.-J. Urvoas (PS) s'inquiétant de l'étendue du fichier, "La carte d’identité est facultative !"


Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

La gauche et l'avenir de la reconnaissance faciale (2)

La technique, déjà ancienne, des caméras de surveillance a pris un bain de jouvence, à la fois technique et juridique, sous le quinquennat Sarkozy. A tel point qu'on peut se demander si, pour une fois, le droit ne précéderait pas la technique plutôt que de courir après. Or la nomination de Manuel Valls, comme nous le rappelons dans le premier volet de cette chronique saluant l'arrivée de la gauche au pouvoir, n'est pas un signe de rupture vis-à-vis des velléités d'instaurer la reconnaissance biométrique des visages, ou le contrôle d'identité à distance, 24/24.

Les caméras, le fichier des "honnêtes voyageurs" et la reconnaissance faciale

La juriste Geneviève Kouby a relevé la circulaire de novembre 2011, qui interprète la jurisprudence ô combien conciliante du Conseil d'Etat comme permettant de soustraire à l'autorisation de la CNIL les caméras installées dans des lieux publics, dès lors que par elles-mêmes, « l’identification des personnes physiques, du fait des fonctionnalités qu’ils comportent (reconnaissance faciale notamment) », n'est pas possible (Droit Cri-Tic, 17/09/11).

Façon de dire, très explicitement, que rien n'empêche, après coup, selon les mots de la circulaire, « par exemple, la comparaison d’images enregistrées et de la photographie d’une personne figurant dans un fichier nominatif tiers ». Bref, selon cette interprétation, la CNIL n'a aucun mot à dire sur l'installation de vidéos dont les images pourraient être comparées aux photographies numérisées de citoyens, lesquelles sont stockées sur des fichiers centraux, tels le fichier TES, ou fichier des passeports.

Le fait que l'art. 8 du décret instaurant ce fichier des « honnêtes voyageurs » indique que « le traitement ne comporte ni dispositif de reconnaissance faciale à partir de l’image numérisée du visage ni dispositif de recherche permettant l’identification à partir de l’image numérisée des empreintes digitales enregistrées » a paru suffisant au Conseil d'Etat pour légaliser celui-ci (Vos Papiers! du 20/11/11). Une garantie juridique bien fragile, dès lors que la vidéo-surveillance se généralise, et que se mettent en place, «par exemple », des logiciels permettant de relier leurs images aux banques de données de l'Etat.

Les cadeaux empoisonnés de Guéant : GASPARD le clandestin et la reconnaissance du visage

Les cadeaux de départ de Claude Guéant sont à ce titre éloquent, puisque son décret du 4 mai 2012 créant un nouveau fichier, dit des « antécédents judiciaires » (dit TPJ ou TAJ), pour remplacer les tristement célèbres STIC et JUDEX (voir l'épilogue salé de l'affaire Ali Soumaré), précise qu'est enregistrée la «photographie comportant des caractéristiques techniques permettant de recourir à un dispositif de reconnaissance faciale (photographie du visage de face) » (art. 1 - pour une durée de 20 à 40 ans...). 

La CNIL en profita pour avouer son impuissance face à ces fichiers de police. La réforme de 2004 de la loi Informatique et libertés de 1978, votée par son (ex)-président A. Türk, substitua en effet à l'avis conforme de la CNIL un simple avis consultatif, sans aucune valeur contraignante, lorsqu'il y va des fichiers de police. Dans sa délibération sur ces fichiers Guéant, la CNIL « estime [ainsi] que la publication de l'avis motivé de la Commission sur les textes qui lui sont soumis constitue précisément une [des] garanties » du respect de la loi de 1978. Façon de rappeler en quelle estime elle a été tenue, depuis 10 ans, par l'Intérieur ? 

Cette faiblesse de la CNIL est cruellement rappelée par le décret, qui se contente, sans même la peine de créer un lien hypertexte dans la version électronique du JO, de viser « les avis de la Commission nationale de l'informatique et des libertés en date du 7 juillet et du 6 octobre 2011 » ; le décret de 2001 légalisant le STIC visait « l'avis conforme de la Commission nationale de l'informatique et des libertés en date du 19 décembre 2000 » ... Et à l'époque, les liens hypertextes n'étaient pas à la mode chez les juristes. Un jour, peut-être, ceux-ci déduiront-ils la hiérarchie et la cohérence des normes de ces liens ?

Si ces preuves de faiblesse n'étaient pas suffisantes, la CNIL le montre à nouveau en relevant l'existence d'un fichier illégal, le sympathique GASPARD, pour lequel elle n'a jamais été consultée, pas plus qu'aucun décret n'a été publié. En effet, les «photographies signalétiques seront enregistrées dans le traitement GASPARD (gestion automatisée des signalements et des photographies anthropométriques répertoriés et distribuables), lequel enrichira le traitement TPJ de données photographiques via le traitement LRPPN » ; or, GASPARD « n'a pas fait l'objet des formalités prévues par la loi du 6 janvier 1978 modifiée ».

Le contrôle d'identité à distance, 24h/24, ou quand le droit devance la technique

Puisqu'il a fallu attendre la « gauche plurielle » pour que le STIC soit légalisé, peut-être que GASPARD le sera bientôt... Vu la fascination de M. Valls pour la vidéosurveillance, on doute qu'il abroge le fichier TPJ/TAJ et son acolyte GASPARD.  D'autant plus que son ami Alain Bauer, plaidait, dans son Livre blanc sur la sécurité remis en octobre dernier à Claude Guéant, en faveur de la reconnaissance faciale (Le Monde, 26/10/11). Laquelle, davantage qu'un Bertillon 2.0, s'apparente plutôt à un contrôle d'identité généralisé et permanent de tous les passants de France ! Et dire que des scientifiques travaillent à permettre à ces caméras de repérer l'humeur des passants !

Ce n'est pas la CNIL qui réclamera cette abrogation, puisqu'elle se contente de constater que « l'application TPJ permettra la comparaison automatisée de photographies, notamment la comparaison biométrique de l'image du visage des personnes » en comparant « à la base des photographies signalétiques du traitement, les images du visage de personnes impliquées dans la commission d'infractions captées via des dispositifs de vidéoprotection » (sic). Et de demander - tant d'audace ! - à « être informée, à l'occasion de la remise du rapport annuel de fonctionnement prévu par le projet de décret, de l'utilisation faite de cette fonctionnalité ainsi que de son éventuelle évolution technique.»

Peut-être M. Valls saura-t-il reconnaître qu'il s'agit-là d'une pente glissante... peut-être que l'Elysée et Matignon seront sensibles aux voix de, par exemple, Jean-Jacques Urvoas, qui s'est opposé au fichage biométrique généralisé.

Si ce n'était pas le cas, il faudrait voir dans les lois, décrets et circulaires passées sous Sarkozy un cas inédit où plutôt que de courir après la technique, le droit précède celle-ci : alors même que les dispositifs de reconnaissance faciale, dont on nous parle depuis la finale du Superbowl à Tampa (Floride) en janvier 2001, ne sont toujours pas d'une fiabilité absolue, le cadre juridique est fin prêt à accueillir leur perfectionnement technique et la généralisation dans toutes les villes de France des caméras de vidéosurveillance.

Quand Alain Bauer critique la RGPP... 

Après avoir dit tout ce mal de la bande à Bauer, sachons-lui gré d'avoir déclaré, dans son entretien à Marianne suite à ses démissions, que:

La RGPP [révision générale des politiques publiques] est plus un outil d’éradication comptable que d'optimisation. Il est normal d’être comptable de l’utilisation des deniers publics quand on est policier. Mais on ne peut pas ratiboiser une profession de ce genre, pas plus qu’on ne peut le faire avec les infirmières.

Toute la technologie du Pentagone ne remplacera pas, en effet, les effectifs humains, hommes ou femmes !

Ajout 21 mai : 

Valls a nommé Renaud Vedel comme directeur adjoint de cabinet, « jeune énarque » décrit par Le Monde comme « protégé d'Alain Bauer », nommé il y a peu par Sarkozy préfet, et qui a fait « l'essentiel de sa carrière » chez Michel Gaudin, proche de Sarko qui avait été nommé préfet de police de Paris en 2007... Et L'Express indique que Valls devrait fournir aux policiers mis en cause pour bavure une « aide juridique », ce qui fera plaisir au groupe hip-hop La Rumeur (dernier album en écoute libre), spécialiste des conscious lyrics, poursuivi des années durant par l'énervement de l'ex-président face à trois phrases pourtant banales :

« Les rapports du ministre de l'Intérieur ne feront jamais état des centaines de nos frères abattus par les forces de police sans qu'aucun des assassins n'ait été inquiété » ;

« La justice pour les jeunes assassinés par la police disparaît sous le colosse slogan médiatique "Touche pas à mon pote" » ;
 
« La réalité est que vivre aujourd'hui dans nos quartiers c'est avoir plus de chance de vivre des situations d'abandon économique, de fragilisation psychologique, de discrimination à l'embauche, de précarité du logement, d'humiliations policières régulières » .

  Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

Appel à témoignage ! Violation de la vie privée

Vos Papiers! relaie l'appel à témoignage de la Commission nationale consultative des droits de l'homme (CNCDH) concernant le "fonctionnement des voies de recours en matière de protection des données à caractère personnel".

voir par ailleurs une nouvelle pétition "En 2012, sauvons la vie privée!", lancée par l'Union syndicale de la psychiatrie et signée par la LDH, le GISTI, le Collectif National de Résistance à Base Eleves, ATTAC, le PCF, le NPA, etc., et qui réclame, entre autres, que la CNIL fasse valoir "son opposition la plus claire à toute extension et toute interconnexion des fichiers de contrôle et de sélection socio-économiques". 

L'agence des droits fondamentaux de l'Union européenne (FRA) réalise actuellement une étude sur le fonctionnement des voies de recours en matière de protection des données à caractère personnel en France. Le champ de l'étude inclut notamment la consommation et la communication, en particulier dans le cadre d'activités sur Internet et à travers les réseaux sociaux. 

L'un des objectifs est de mesurer si les recours existants répondent aux attentes des particuliers. En charge du volet français de l'étude, le CEDRA/Commission nationale consultative des droits de l'homme recherche actuellement des personnes victimes de violations de leurs données à caractère personnel (collecte, traitement, ou divulgation/communication illicite de données, usurpation d'identité, prospection publicitaire sans consentement préalable etc.) ayant engagé un recours/ ou envisagé de le faire au cours des 3 dernières années ou actuellement, et disponibles pour partager leur expérience. 

Les entretiens individuels seront réalisés en mars 2012, éventuellement par téléphone. Les témoignages seront anonymisés et utilisés dans le stricte cadre de l'étude. Des entretiens complémentaires seront menés avec des avocats spécialisés, des associations, des magistrats, ainsi que des membres du personnel de la CNIL. 

Le rapport final de l'étude sera transmis à l'Agence européenne en juillet 2012, l'objectif étant que les conclusions consolidées, portant sur les 27 Etats membres de l'UE, contribuent au renforcement de l'action et des instruments existants dans ce domaine. 

L'agence des droits fondamentaux de l'Union européenne (FRA) réalise actuellement une étude sur le fonctionnement des voies de recours en matière de protection des données à caractère personnel en France. Le champ de l'étude inclut notamment la consommation et la communication, en particulier dans le cadre d'activités sur Internet et à travers les réseaux sociaux. L'un des objectifs est de mesurer si les recours existants répondent aux attentes des particuliers. 

Si vous êtes intéressé(e) à participer ou souhaitiez, au préalable, des compléments d'information, merci de nous contacter dès que possible à l'adresse suivante : contact@cedra-france.eu 

Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.