Pour lutter contre l’usurpation d’identité, qui représente moins de 15 000 faits constatés chaque année, le projet de carte d’identité biométrique sécurisée propose de ficher 45 millions de Français.

La future carte d’identité, débattue au Parlement les 6 et 7 juillet, reposera sur la création d’un “fichier des gens honnêtes” (sic) répertoriant les noms, prénoms, sexe, dates et lieux de naissance, adresses, tailles et couleurs des yeux, empreintes digitales et photographies de 45 millions de Français voire, à terme, de l’ensemble de la population.

L’expression “fichier des gens honnêtes” a été utilisée par François Pillet, sénateur (UMP) du Cher et rapporteur de la proposition de loi sur la protection de l’identité (voir le dossier), adoptée en première lecture au Sénat, et qui sera discutée à l’Assemblée le 6 juillet :

Pour atteindre l’objectif du texte, il faut une base centralisant les données. Or cette base serait unique dans l’histoire de notre pays au regard de sa taille, puisqu’elle porterait sur 45 millions d’individus, si elle existait à l’heure actuelle. À terme, elle est susceptible de concerner 60 millions de Français. Ce sera de surcroît le premier « fichier des gens honnêtes ».

Ce fichier n’a donc pas d’équivalent. Toutes les personnes auditionnées ont mis en garde, plus ou moins expressément, contre son usage à d’autres fins que la lutte contre l’usurpation d’identité, ce qui présenterait des risques pour les libertés publiques.

Le gouvernement cherche depuis 10 ans à moderniser la carte d’identité, afin d’y rajouter une “puce électronique sécurisée”, et de centraliser dans une base de données les identifiants, notamment biométriques, des personnes fichées. Ce qui pose de nombreux problèmes techniques, juridiques et politiques. Au point, comme le reconnait François Pillet, qu’“aucun des [trois] projets de loi rédigés sur le sujet par les gouvernements successifs n’a finalement été présenté au Parlement”.

“Zorro n’étant pas disponible…”

Le projet de carte INES (pour Identité Nationale Électronique Sécurisée), sévèrement critiqué par le Forum des droits de l’Internet et par la CNIL, avait ainsi été abandonné en 2005. Il s’agissait alors de lutter contre le terrorisme et l’immigration irrégulière, comme l’expliqua alors Dominique de Villepin aux députés, dans une formule toute en sobriété :

L’usage de faux papiers coûte en outre plusieurs milliards à la nation chaque année. Pour régler le problème, nous pouvions bien sûr nous adresser à Zorro (…) Mais il n’était pas disponible, et c’est pour cela que nous avons sollicité INES.

Dans un article paru dans un ouvrage collectif passionnant, L’identification biométrique, Clément Lacouette-Fougère, auteur d’un mémoire de recherche sur INES, le qualifie de “solution à la recherche de problèmes […] électoralement risqué et techniquement instable”.

A l’époque, le ministère de l’Intérieur voulait pouvoir s’en servir afin d’identifier les propriétaires d’empreintes digitales non fichés au Fichier automatisé des empreintes digitales (FAED), qui répertorie 3,6 millions d’individus, mais aussi 212 000 traces non identifiées. Mais la CNIL notamment s’y était fermement opposée.

Peinant à apporter des preuves tangibles du lien entre le rôle des fraudes à l’identité et la lutte contre le terrorisme, mis à mal par le débat public, souffrant de nombreuses incohérences bureaucratiques, les porteurs du projet délaissèrent alors l’argument sécuritaire, et cherchèrent d’autres justifications.

On avait ainsi vu les deux policiers responsables du projet reconnaître qu’ils n’avaient pas, eux-mêmes, de carte d’identité (elle n’est pas obligatoire), tout en vantant les mérites du projet de carte d’identité sécurisée au motif que cela allait favoriser… le commerce électronique :

A quoi sert une carte d’identité ? A lutter contre le terrorisme ? Oui, un petit peu, mais ce n’est pas la seule raison, et ce n’est pas la première.

A votre avis, combien de lettres recommandées sont envoyées en France chaque année ? 240 millions. Combien de temps perdez-vous à aller chercher une lettre recommandée à la Poste ? L’année prochaine, tous les ordinateurs seront livrés avec un lecteur de carte. Il n’y aura plus à se déplacer.

Cinq ans plus tard, les ordinateurs ne sont toujours pas livrés avec un lecteur de carte. Mais le nouveau projet en reprend l’idée, avec une seconde puce, facultative et commerciale, “portant la signature électronique de la personne, autorisant l’authentification à distance, ce qui remplacerait le recours à des sociétés commerciales”, comme l’a expliqué Claude Guéant :

Concrètement, l’authentification par le second composant de la carte s’effectuera via un boîtier relié à l’ordinateur personnel, dont les utilisateurs intéressés par ce service devront se doter.

En 2001, un projet similaire, Cyber-comm, lecteur personnel de carte à puce censé “envahir le marché et faire entrer massivement la France dans l’ère du commerce électronique sécurisé”, avait fait un énorme flop, et l’on peut raisonnablement douter du fait que les internautes dépenseront plusieurs dizaines d’euros dans de tels boîtiers alors qu’il existe de nombreux mécanismes de paiement et d’identification sécurisés.

“L’objectif annoncé est, par essence, inaccessible”

Les précédents argumentaires censés justifier la carte d’identité biométrique ayant échoué, la proposition de loi de Jean-René Lecerf (UMP) vise aujourd’hui officiellement à lutter contre les usurpations d’identité qui, d’après un sondage du Credoc (Centre de recherche pour l’étude et l’observation des conditions de vie), toucherait 4,2% de la population française :

Cela représente plus de 210 00 cas avérés chaque année, un chiffre plus important que les cambriolages à domicile (150 000) et que les vols d’automobile (130 000).

François Pillet, le rapporteur de la proposition de loi, souligne cela dit que ces données “n’ont pas été scientifiquement établies, le chiffre de 210 000 cas [ayant] été obtenu en suivant une méthode unanimement critiquée [et] d’une fiabilité douteuse”, et à la demande d’une société spécialisée dans les broyeuses de documents, et qui avait donc intérêt à gonfler les chiffres de l’usurpation d’identité.

L’Observatoire national de la délinquance et de la réponse pénale a, quant à lui, répertorié, en 2009, 13 900 faits de fraude documentaire ou d’identité, quand la direction des affaires criminelles et des grâces répertoriait de son côté 11 627 condamnations la même année, bien loin donc des 210 000 cas avancés par le Credoc.

Alain Bauer, conseiller de Nicolas Sarkozy pour ce qui est des questions de sécurité, et président de l’Observatoire national de la délinquance, avait d’ailleurs lui-même émis des doutes (pdf) lorsqu’il avait été auditionné par la CNIL, en 2005, rappelant notamment que la fraude à l’identité porte essentiellement sur le permis de conduire et les passeports et qu’“en revanche, celle-ci existe quantitativement très peu dans les affaires de terrorisme et de crimes organisés (à l’exception de la traite des êtres humains)” :

Quant à l’objectif annoncé d’éradiquer la contrefaçon des pièces d’identité, j’estime qu’il est, par essence, inaccessible. En effet, malgré tous les raffinements technologiques utilisés, je suis convaincu que la nouvelle carte d’identité sera contrefaite dans un futur plus ou moins proche, car les faussaires s’adaptent toujours aux nouveaux moyens technologiques.

Un dispositif contraire à la convention européenne des droits de l’homme ?

L’objectif du gouvernement est aujourd’hui de fusionner les bases de données du passeport biométrique et de la carte d’identité. En 2007, dans son avis sur le passeport biométrique, la CNIL avait dénoncé le recours à une base centralisée pour conserver les données, ainsi que le recueil de 8 empreintes digitales, là où les autres pays européens n’en exigent que deux :

Si légitimes soient-elles, les finalités invoquées ne justifient pas la conservation, au plan national, de données biométriques telles que les empreintes digitales et que les traitements ainsi mis en œuvre seraient de nature à porter une atteinte excessive à la liberté individuelle.

Vertement critiquée par les associations de défense des droits de l’homme, la base de données des empreintes digitales du passeport biométrique avait fait l’objet, en 2008, de quatre recours devant le Conseil d’État. En juin 2010, le rapporteur public avait recommandé l’annulation de la collecte de 6 des 8 empreintes digitales, mais pas l’annulation de la création d’une base centralisée.

A ce jour le Conseil d’État ne s’est toujours pas prononcé définitivement sur la licéité de la base de données, et du nombre d’empreintes susceptibles d’y être stockées. Mais c’est probablement, estime l’opposition, pour pouvoir précisément contourner l’avis du Conseil d’État, et éviter d’avoir à consulter la CNIL, que le projet revient aujourd’hui sous la forme d’une proposition de loi, déposée non par le gouvernement, mais par un sénateur.

“Nous ne voulons pas laisser derrière nous une bombe”

Le problème se pose aussi à l’échelle européenne : la Cour européenne des droits de l’homme a ainsi condamné la Grande-Bretagne pour avoir conservé les empreintes ADN d’innocents dans le fichier génétique de police britannique, au motif, rappelle Éliane Assassi, sénatrice communiste, que l’ensemble des citoyens ne peuvent être traitées de la même manière que les personnes coupables ou inculpées.

Soucieux de respecter la convention européenne des droits de l’homme, les sénateurs, qui ont adopté le texte en première lecture le 31 mai dernier, ont dès lors voulu éviter tout détournement de la base de données, et notamment toute utilisation en matière de police judiciaire afin de rendre impossible l’identification d’un individu à partir de ses empreintes digitales ou de sa photographie, comme l’a expliqué François Pillet :

Nous ne voulons pas laisser derrière nous une bombe : c’est pourquoi nous créons un fichier qui ne peut être modifié.

A cette fin, ils ont proposé de rajouter des “garanties matérielles [rendant] techniquement impossibles un usage du fichier différent de celui qui a été originellement prévu”, à savoir lutter contre l’usurpation d’identité, et ont proposé de recourir à une technologie dite “à liens faibles”, qui a notamment fait l’objet d’un brevet déposé par Sagem. Concrètement, ces “liens faibles” permettent de s’assurer que la personne figure bien dans le fichier, mais empêchent de l’identifier à partir de ses données personnelles telles que ses empreintes digitales ou de sa photo.

Le gouvernement, tout comme Philippe Goujon, rapporteur de la proposition de loi à l’Assemblée, sont fermement opposés à ce dispositif, au motif qu’“en cas d’usurpation d’identité, il sera impossible d’identifier l’usurpateur, à moins de faire une enquête longue et coûteuse” :

Si un usurpateur tentait de faire établir un document d’identité avant son titulaire légitime, il faudrait enquêter sur plusieurs centaines, voire plusieurs milliers de personnes pour le démasquer, ce qui constituerait une atteinte à la vie privée bien plus grave que le recours à une identification directe du fraudeur.

En outre, l’architecture du fichier central conçue par le Sénat rendra celui-ci inutilisable pour une recherche criminelle. Or, j’estime qu’une telle recherche, qui n’interviendrait que sur réquisition judiciaire, doit être possible.

Pour Delphine Batho, députée socialiste, “le véritable objectif de ce texte, c’est le fichage biométrique de la totalité de la population à des fins de lutte contre la délinquance” :

Il existe un fichier permettant d’identifier les fraudeurs : le fichier automatisé des empreintes digitales (FAED), qui recense 3 millions d’individus, soit 5 % de la population, et qui a permis de détecter 61 273 usurpations d’identité. Cet outil me semble suffisant.

Les auteurs de cette proposition de loi estiment, pour résumer, que pour détecter un fraudeur, il faut ficher tout le monde.

Pour Sandrine Mazetier, députée PS, la proposition de loi bafouerait également les principes de finalité et de proportionnalité “pierre angulaire de la loi Informatique et libertés” :

Il semble totalement disproportionné de mettre en place un fichage généralisé de la population française pour lutter contre 15 000 faits d’usurpation d’identité constatés par la police.