Inepte, Nocif, Effrayant et Scélérat, le projet INES doit être retiré

Iris et la LDH dépose une requete en annulation....

IRIS, LDH — 2015-04-16T14:15:27Z

Requête n° 318013, déposée conjointement par Iris et la Ligue des droits de l'Homme (LDH) qui ont désigné comme mandataire unique la Ligue des droits de l'Homme représentée par son président, et tendant à l'annulation du décret n°2008-426 du 30 avril 2008 modifiant le décret n° 2005-1726 du 30 décembre 2005 relatif aux passeports électroniques (NOR : OCD0807352D, JO du 4 mai 2008

- Actions

IRIS et LDH - Recours passeport biométrique : Observations complémentaires suite à une décision de la CEDH

IRIS, LDH — 2009-01-05T17:35:15Z

Texte intégral du mémoire ampliatif (également disponible en PDF)

À Monsieur le Président et
Mesdames et Messieurs les Conseillers d'État
1, place du Palais Royal
75100 Paris Cedex 01

Affaire n°318013

OBSERVATIONS COMPLEMENTAIRES

POUR :

– Imaginons un réseau internet solidaire (IRIS), association régie par la loi du 1er juillet 1901, dont le siège est établi à Paris 20e, 40 rue de la Justice, représentée par sa présidente en exercice, Meryem MARZOUKI ;

– la Ligue des droits de l'Homme (LDH), association régie par la loi du 1er juillet 1901, dont le siège est établi à Paris (18e), 138 rue Marcadet, représentée par son président en exercice, Jean-Pierre DUBOIS.

CONTRE :

le décret n°2008-426 du 30 avril 2008 modifiant le décret n°2005-1726 du 30 décembre 2005 relatif aux passeports électroniques.

Les présentes écritures ont pour objet de venir compléter le mémoire en réplique déposé par l'association Imaginons un Réseau Internet Solidaire et la Ligue des droits de l'Homme le 6 novembre 2008 au greffe du Conseil d'État.

Il ne sera pas ici procédé à un rappel des faits, les requérants renvoyant à cet égard aux développements qu'ils ont déjà effectués dans leur mémoire introductif d'instance.

Par ailleurs, les requérants maintenant leurs demandes, celles-ci ne seront pas reprises autrement que dans le dispositif reproduit en fin du présent mémoire.

1. Dans le cadre du recours en annulation qu'elles ont engagé à l'encontre du décret n°2008-426 du 30 avril 2008 modifiant le décret n°2005-1726 du 30 décembre 2005 relatif aux passeports électroniques, les associations requérantes ont jugé utile d'apporter au débat une décision très récente de la Cour européenne des droits de l'Homme (CEDH, 4 déc. 2008, S et Marper c/ Royaume-Uni, aff. n°30562/04 et n°30566/04).

L'arrêt rendu par la Cour porte en effet sur la conformité de la collecte et de la conservation d'empreintes digitales au regard des dispositions de l'article 8 de la Convention européenne de sauvegarde des droits de l'Homme et des libertés fondamentales relatives à la protection de la vie privée.

Or, rappelons qu'en l'espèce le décret contesté a justement pour objet de permettre aux autorités françaises de collecter, puis de conserver les empreintes digitales des demandeurs de passeports (article 8 du décret n°2008-426 du 30 avril 2008 modifiant l'article 19 du décret n°2005-1726 du 30 décembre 2005).

2. Du point de vue de la Cour européenne des droits de l'Homme, la question de la conformité d'une telle mesure est très claire. Elle estime en effet que la conservation d'empreintes digitales {constitue une {{atteinte au respect de la vie privée}} } (point n°86).

De manière plus précise, {elle rappelle que, dans ce contexte comme dans celui des écoutes téléphoniques, de la surveillance secrète et de la collecte secrète de renseignements, il est essentiel de fixer des règles claires et détaillées régissant la portée et l'application des mesures et imposant un minimum d'exigences concernant, notamment, la durée, le stockage, l'utilisation, l'accès des tiers, les procédures destinées à préserver l'intégrité et la confidentialité des données et les procédures de destruction de celles-ci, {{de manière à ce que les justiciables disposent de garanties suffisantes contre les risques d'abus et d'arbitraire}} (voir, mutatis mutandis, Kruslin c. France, 24 avril 1990, §§ 33 et 35, série A no 176-A, Rotaru, précité, §§ 57-59, Weber et Saravia c. Allemagne (déc.), no 54934/00, CEDH 2006 -..., Association pour l'intégration européenne et les droits de l'homme et Ekimdjiev c. Bulgarie, no 62540/00, §§ 75-77, 28 juin 2007, Liberty et autres c. Royaume-Uni, no 58243/00, §§ 62-63, 1er juillet 2008)} (point n°99).

Elle ajoute par ailleurs que {la nécessité de disposer de telles garanties se fait d'autant plus sentir lorsqu'il s'agit de protéger les données à caractère personnel soumises à un traitement automatique, en particulier lorsque {{ces données sont utilisées à des fins policières}} } (point n°103).

3. Il convient ici de rappeler que les traitements examinés dans le cadre de cette affaire ont été mis en œuvre par les autorités britanniques à des fins de prévention, de constatation, de recherche et de poursuite d'infractions pénales.

Tel est également l'une des finalités, sinon la principale, poursuivies par la conservation des empreintes digitales dans le cadre des dispositions du décret contesté.

Il en résulte qu'une telle similitude rend la solution retenue par la Cour d'autant plus éclairante en vue de l'examen de la proportionnalité de la collecte, puis de la conservation d'empreintes digitales en application du décret contesté.

4. Dans ce cadre, le Conseil d'État ne manquera pas de relever que dans l'affaire S. et Marper c/ Royaume-Uni la Cour :

– a non seulement été {frappée par {{le caractère général}} et {{indifférencié}} du pouvoir de conservation en vigueur}, les données en cause pouvant {être conservées quelles que soient la nature et la gravité des infractions dont la personne était à l'origine soupçonnée et {{indépendamment de son âge}} } (point n°119) ;

– mais qu'elle a en outre estimé que la conservation d'empreintes digitales { {{peut être particulièrement préjudiciable dans le cas de mineurs}}, tel le premier requérant, en raison de leur situation spéciale et de l'importance que revêt leur développement et leur intégration dans la société}, indiquant à cette occasion qu'elle s'inspirait des dispositions de la Convention des Nations Unies sur les droits de l'enfant de 1989 (point n°124).

Elle en a déduit que la conservation d'empreintes digitales dans le cadre d'un traitement ayant pour finalité la prévention, la constatation, la recherche et la poursuite d'infractions pénales ne traduisait pas {un juste équilibre entre les intérêts publics et privés concurrents en jeu et qu'elle devait s'analyser en une {{atteinte disproportionnée}} au droit des requérants au respect de leur vie privée et ne peut passer pour nécessaire dans une société démocratique}.

5. Or, en l'espèce, et comme l'ont démontré les associations requérantes dans leurs précédentes écritures sur le fondement des analyses à la fois de la CNIL, du Contrôleur européen de la protection des données et du Groupe de l'article 29, force est de constater :

– que la collecte de huit empreintes digitales au lieu de deux, comme le prévoit le règlement communautaire, et leur conservation au sein de la base centralisée constituent des mesures disproportionnées, alors qu' {aucune mesure particulière n'est prévue, parallèlement (...), pour s'assurer de l'authenticité des pièces justificatives fournies à l'appui des demandes}, selon l'expression de la CNIL, comme le requiert pourtant le Conseil constitutionnel (Cons. const., 15 nov. 2007, Déc. n°2007-557 DC, cons. n°16) ;

– qu'elles ne peuvent passer pour nécessaires dans une société démocratique, en ce qu'elles ne paraissent {pas constituer en l'état, un outil décisif de lutte contre la fraude documentaire}, selon l'expression de la CNIL, ; et, ce,

– d'autant plus à l'égard des mineurs âgés de plus de 6 ans.

6. Pour l'ensemble de ces raisons, le Conseil d'État voudra bien conclure à l'illégalité du décret contesté et en prononcer l'annulation.

PAR CES MOTIFS
Et tous autres à produire, déduire, suppléer, au besoin même d'office,

Les requérantes sollicitent du Conseil d'État l'annulation du décret n°2008-426 du 30 avril 2008.

Fait à Paris, le 22 décembre 2008

Meryem Marzouki, Présidente d'IRIS

Jean-Pierre Dubois, Président de la LDH

LISTE DES PIECES

PIECE N°1 : Arrêt S. et Marper c/ Royaume-Uni rendu par la Cour européenne des droits de droits de l'Homme le 4 décembre 2008 sous les numéros 30562/04 et 30566/04.

IRIS et LDH - Mémoire en réplique aux observations du ministère de l'Intérieur (recours passeport biométrique)

IRIS, LDH — 2008-11-07T13:11:28Z

Texte intégral du mémoire en réplique (également disponible en PDF)

À Monsieur le Président
de la Section du contentieux
du Conseil d'État
Place du Palais Royal
75100 Paris 01 SP

Paris, le 5 novembre 2008

Objet : Requête n° 318013 déposée conjointement par Iris et la Ligue des droits de l'Homme (LDH) qui ont désigné comme mandataire unique la Ligue des droits de l'Homme représentés par son président et tendant à l'annulation du décret n° 2008-426 du 30 avril 2008 modifiant le décret n° 2005-1726 du 30 décembre 2005 relatif aux passeports électroniques (NOR : IOCD0807352D, JO du 4 mai 2008)

Affaire suivie par Mme Tardy (secrétaire de la 10e sous-section)

MEMOIRE EN REPLIQUE

Monsieur le Président,

Vous avez bien voulu nous communiquer les observations du ministre de l'Intérieur concernant la requête commune déposée par IRIS et la LDH contre le décret n° 2008-426 du 30 avril 2008 modifiant le décret n° 2005-1726 du 30 décembre 2005 relatif aux passeports électroniques.

Ce mémoire en défense nous conduit à faire les observations suivantes.

I. Sur la publication tardive de l'avis de la CNIL

Dans son mémoire, le ministère soutient que le retard de publication de l'avis de la CNIL n'a aucune influence sur la légalité du décret attaqué.

Il s'appuie pour cela sur l'arrêt Lambert rendu par le Conseil d'État en 1989 selon lequel {la circonstance qu'un acte administratif n'ait pas été publié ou ait été publié avec retard reste sans influence sur sa légalité même (CE. Sect. 31 mars 1989, Lambert, p. 110, n°71747, s'agissant d'un arrêté de placement d'office)} (Mémoire du 6 octobre 2007, p. 3).

Sur ce point, le Conseil ne manquera pas de constater tout d'abord que la présente requête porte sur une réglementation d'application beaucoup plus large que celle du placement d'office. Elle ne concerne rien de moins que l'ensemble de la population française titulaire d'un passeport. Il en résulte que le respect dans ce domaine des règles de formalisme doit être d'autant plus strict que ces règles sont la garantie d'une protection efficace des libertés fondamentales.

La jurisprudence Lambert, dont le ministère omet d'ailleurs de rappeler la seconde partie de phrase du considérant, ne fait rien d'autre qu'appliquer ce principe. Dans sa décision, le Conseil d'État a en effet considéré que ledit retard est {sans influence sur la légalité de l'arrêté préfectoral contesté {{dès lors}} que la mesure d'urgence que peut prendre le maire (arrêté du maire) {{ne constitue pas un préalable nécessaire}} } à l'acte administratif (PIECE N°1).

Or, et c'est le deuxième point, le Conseil d'État pourra relever que, d'après le ministère lui-même, {il est exact} que ce préalable n'a pas été rempli en l'espèce. Rappelons en effet que {l'avis de la CNIL, en date du 11 décembre 2007, a été publié au Journal Officiel du 10 mai 2008, {{soit six jours après la publication du décret le 4 mai 2008}} } (Mémoire du 6 octobre 2007, p. 3).

Il s'y ajoute, enfin, le fait que ce préalable était bel et bien nécessaire. On en veut pour preuve :
– les dispositions de l'article 26-II de la loi Informatique & libertés - applicables en l'espèce - selon lesquelles tout avis de la CNIL pris sur le fondement de l'article 27 { {{est publié avec le décret autorisant le traitement}} } ;
– précisées par celles plus explicites encore de son décret d'application ajoutant que {les actes sur lesquels ils portent {{sont publiés à la même date}} } ;
– cette obligation reposant elle-même sur le responsable du traitement, à savoir, dans le cas du décret du 30 avril 2008, le ministère.

Il en résulte que l'avis de la CNIL et le décret contesté auraient dû être publiés simultanément.

Le respect de cette obligation, comme l'a relevé la CNIL elle-même dans son avis du 26 septembre 2000, constitue en effet un préalable nécessaire dans la mesure où il permet d' {assurer le maintien d'un haut niveau de garantie et en tout état de cause, à préserver la portée qui doit s'attacher aux interventions d'une autorité administrative indépendante à l'égard de traitements particulièrement sensibles} (PIECE N°2).

Le Conseil voudra bien en déduire que le décret contesté doit être annulé pour publication tardive de l'avis de la CNIL en date du 11 décembre 2007.

II. Sur la violation de la procédure d'avis prévue à l'article 26 de la loi Informatique & libertés

Dans ses dernières écritures, le ministère soutient également que {le traitement automatisé des demandes de passeports sécurisés répond très exactement aux dispositions (...) de l'article 27 puisqu'il s'agit d'un traitement portant sur des données biométriques (photographie du visage et prise des empreintes digitales du demandeur) à des fins d'authentification des titulaires des titres et aucunement d'un traitement à finalité policière, qu'il s'agisse d'un fichier de police judiciaire ou d'un fichier de renseignement} (Mémoire du 6 octobre 2007, p. 3).

Il en conclut que l'argumentation des requérants est non-fondée et que le décret contesté n'avait pas à faire l'objet de la procédure d'avis prévue à l'article 26 de la loi Informatique & libertés. Or, le ministère commet à cet égard une confusion qui vient semer un trouble inutile dans le débat.

Les requérants ne contestent pas l'application de la procédure prévue à l'article 27 de la loi du 6 janvier 1978 à certaines dispositions du décret du 30 avril 2008. Comme ils l'ont dit pourtant de manière claire dans le mémoire introductif d'instance (p. 9), ils la contestent seulement s'agissant de la création de la base centralisée dénommée TES.

Rappelons en effet que les dispositions de l'article 27-I, 2° de la loi Informatique & libertés prévoient que {sont autorisés par décret en Conseil d'État, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés (...) les traitements de données à caractère personnel mis en œuvre pour le compte de l'État qui portent sur des données biométriques {{nécessaires}} :
– à l'{{authentification}} ; ou
– au {{contrôle de l'identité}} des personnes}.

Si, en l'espèce, certaines dispositions du décret contesté ont effectivement comme unique finalité l'authentification ou le contrôle de l'identité des personnes, tel n'est pas le seul objet de la création de la base centralisée TES.

La simple lecture de l'article 18 du décret du 30 décembre 2005, tel qu'inséré par l'article 7 du décret du 30 avril 2008, suffit à le relever. Ces dispositions prévoient en effet que le ministère est autorisé à procéder à la création du système TES :
– certes, {afin de mettre en œuvre les procédures d'établissement, de délivrance, de renouvellement et de retrait des passeports}, ce qui correspond effectivement à une mission d'authentification ou de contrôle de l'identité ;
– mais aussi et surtout {à {{prévenir}} et {{détecter}} leur falsification et leur contrefaçon}.

L'apparition de nouvelles finalités au traitement prévue par le règlement communautaire n°2252/2004 n'a d'ailleurs pas seulement été constatée par les requérants. Le Contrôleur européen de la protection des données l'a lui même relevé dans son avis qu'il a été contraint de délivrer de sa propre initiative le 26 mars 2008, la Commission européenne n'ayant pas respecté l'obligation qui lui était faite de le saisir conformément à l'article 28, paragraphe 2 du règlement communautaire n°45/2001.

Selon ses propres termes, {bien qu'il soit possible aux États membres de n'utiliser la base de données centralisée qu'à des fins de vérification des données biométriques, conformément aux strictes limites imposées par le règlement, cette possibilité présente des risques supplémentaires à l'égard de la protection des données à caractère personnel, comme {{l'apparition d'autres finalités non prévues par le règlement, voire la pratique d'une pêche aux informations dans la base de données, qu'il sera difficile de modérer}} } (PIECE N°3).

Or, lorsqu'un traitement public poursuit une finalité de prévention et de détection de la falsification et de la contrefaçon des passeports, il dépasse de loin celles de simple {authentification ou de contrôle de l'identité des personnes}, telles qu'expressément visées par l'article 27 de la loi du 6 janvier 1978.

La falsification ou la contrefaçon d'un passeport est en effet une infraction prévue par les articles 441-2 et suivants du code pénal.

Il en résulte que la base TES poursuit alors, contrairement à ce que prétend le ministère (Mémoire du 6 octobre, p. 3), également une finalité {policière} et peut même constituer un {fichier de renseignement}.

On en veut pour preuve l'article 21-1 du décret du 30 décembre 2005, tel qu'inséré par celui du 30 avril 2008. Ces dispositions autorisent en effet les services en charge de la lutte contre le terrorisme à accéder à la base TES.

Et pour quelle raison avoir autorisé des services de renseignement - ne disposant d'ailleurs pas de compétences en matière de délivrance de passeports - à accéder à cette base centralisée, sinon pour leur permettre d'accomplir leurs missions de prévention, de recherche, de constatation ou de poursuite d'infractions pénales d'une particulière gravité ?

Or, la procédure applicable en cas de traitements publics poursuivant une telle finalité n'est pas celle de l'article 27, mais bien celle de l'article 26 de la loi Informatique & libertés.
Cette différence des procédures (article 26 ou article 27) résultant elle-même d'une différence des finalités poursuivies par le décret attaqué (d'un côté authentification ou contrôle de l'identité et, de l'autre, prévention et détection de la falsification ou de la contrefaçon de documents officiels) n'est pas sans conséquence d'un point de vue juridique.

Elle impose en effet que chacune de ces finalités aurait dû faire l'objet de deux actes réglementaires distincts. C'est la condition indispensable pour éviter une interconnexion de fichiers ayant des intérêts publics différents et devant, dans ce cas, être soumise non à une simple procédure d'avis de la CNIL, mais à une autorisation expresse de cette dernière, conformément à l'article 25 de la loi Informatique & libertés.

Il en résulte que le ministère ne peut prétendre que la procédure de l'article 27 qu'il a suivie serait plus protectrice que celle de l'article 26 de la loi du 6 janvier 1978.

De toute évidence, ces dernières dispositions prévoient qu'un traitement qui intéresse la sûreté de l'État, la défense ou la sécurité publique ou qui a pour objet la prévention, la recherche, la constatation ou la poursuite d'infractions pénales doit être autorisé par décret en Conseil d'État, lorsqu'il prévoit, comme en l'espèce, la collecte - par l'intermédiaire de l'image numérisée du visage - de données sensibles faisant même indirectement apparaître les origines raciales ou ethniques (Rapport {Mesure de la diversité et protection des données personnelles} du 25 mai 2007 présenté à la CNIL).

Le Conseil d'État voudra bien conclure de l'ensemble de ces éléments :
– que la finalité poursuivie par la création de la base centralisée TES se distingue clairement de celles de simple authentification ou de contrôle de l'identité au sens de l'article 27 de la loi Informatique & libertés ;
– que, pour cette raison, elle aurait dû être autorisée au terme de la procédure d'avis de la CNIL telle que prévue par l'article 26 de la loi du 6 janvier 1978 ; voire même ;
– qu'en conséquence, elle aurait dû faire l'objet d'un décret strictement séparé de ceux des 30 décembre 2005 et 30 avril 2008, sauf à procéder à une interconnexion de fichiers ayant des intérêts publics différents violant l'obligation d'autorisation expresse de la CNIL prévue à l'article 25-I, 5° de la loi du 6 janvier 1978 ;
– qu'en choisissant de ne pas appliquer ces dispositions, le Premier Ministre a commis un détournement de procédure ou, à tout le moins, une erreur de droit de nature à prononcer la nullité du décret contesté.

III. Sur la violation du principe de proportionnalité prévu à l'article 6, 3° de la loi du 6 janvier 1978

Là encore, le ministère établit une confusion dans l'argumentation des requérantes. Il soutient en effet que la création de la base centralisée TES est nécessaire. Il croit d'ailleurs utile de préciser que la CNIL l'a même jugé légitime. À l'en croire, la Commission était donc favorable à l'adoption du décret contesté (mémoire du 6 octobre, p. 6, paragraphes 4 et 6).

Le ministère oublie cependant de mentionner les nombreuses réserves émises par la CNIL dans son avis du 11 décembre 2007 (PIECE N° 4 - voir également : Communiqué de la CNIL, Passeports biométriques : la CNIL réservée sur la création de la première base de données biométriques relatives aux citoyens français, 5 juin 2008, www.cnil.fr).

Elle a en effet considéré que {si légitimes soient-elles, les finalités invoquées ne justifient pas la conservation, au plan national, de données biométriques telles que les empreintes digitales et que les traitements ainsi mis en œuvre seraient de nature à porter {{une atteinte excessive}} à la liberté individuelle}. Et la CNIL n'est pas la seule à juger que la constitution d'une base centralisée est de nature à porter une telle atteinte. Le Contrôleur européen de la protection des données dans son avis du 26 mars 2008 sur la proposition de modification du règlement communautaire a, pour sa part, recommandéà la Commission de proposer de nouvelles mesures d'harmonisation afin que les données biométriques collectées pour être intégrées dans les passeports délivrés par États membres de l'UE ne puissent être stockées que sur un support décentralisé (sur la puce sans contact du passeport)({{PIECE N°3}}). Il rejoint en cela l'avis prononcé par le groupe de l'article 29 constitué de l'ensemble des autorités chargées au niveau de chaque État membre de la protection des données personnelles (Avis 3/2005, 30 septembre 2005, WP 112 - {{PIECE N°5}}). Cette institution a en effet jugé quela création d'une base de données centralisée contenant les données personnelles et en particulier les données biométriques de tous les citoyens (européens) risquerait de violer le principe de base de proportionnalité. Toute base de données centralisée accroîtrait les risques d'utilisation abusive et d'appropriation frauduleuse. Elle accroîtrait également le risque d'abus et de dérapages. Enfin, elle augmenterait également le risque d'utilisation des éléments d'identification biométrique comme 'clés d'accès' à diverses bases de données, et partant d'interconnexion de fichiers. C'est cette atteinte que les requérants contestent et non le caractèrenécessairede ce traitement au sens de l'article 6, 2° de la loi du 6 janvier 1978. Ils considèrent en effet que la création d'une base centralisée au niveau national viole le {{principe de proportionnalité}} qui impose que tout traitement ne doit porter que sur des donnéesadéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement(L. n°78-17, 6 janvier 1978, mod., art. 6, 3° ; voir {CE, 3 décembre 1999, Caisse de Crédit Mutuel de Bain-Tresboeuf, concl. J.-D. Combrexelle}). Rappelons que ces dispositions sont considérées par le Conseil Constitutionnel lui-même comme des garanties légales du respect du droit à la vie privée découlant de l'article 2 de la déclaration des droits de l'Homme et du citoyen de 1789 ({Cons. const., Déc. n°2007-557 DC du 15 novembre 2007, Loi relative à la maîtrise de l'immigration, à l'intégration et à l'asile ; Cons. const., Déc. n°2008-562 DC du 21 février 2008, Loi relative à la rétention de sûreté et à la déclaration d'irresponsabilité pénale pour cause de trouble mental}). Rappelons surtout que le respect de ce principe est une condition {sine qua non} de la licéité de tous traitements de données à caractère personnel, {{qu'ils soient mis en œuvre par des personnes privées ou, comme en l'espèce, par une personne publique}}. Aucune dérogation à ce principe n'est en effet prévue par la loi du 6 janvier 1978, y compris s'agissant des traitements publics prévus à ses articles 26 et 27. On en veut pour preuve que l'article 29 de la loi {Informatique & libertés} prévoyant des dérogations pour ces catégories de traitements se borne seulement à indiquer la liste des mentions devant être contenues dans l'acte autorisant un traitement de données à caractère personnel tel que le décret attaqué. Malgré le caractère impératif de ces dispositions au niveau national, le Ministre tente de se soustraire à leur champ d'application au motif que les données figurant dans la base centralisée des nouveaux passeportsrestent effectivement strictement limitées à celles qui sont nécessaires pour assurer une identification certaine des titulaires des titres(Mémoire du 6 octobre, p. 5). Il juge donc totalement proportionné la collecte de pas moins de huit empreintes digitales sur tout demandeur de passeport dès l'âge - pourtant très jeune - de 6 ans. D'après lui, ce choix de huit empreintes serait même établi scientifiquement, les performances d'identification des systèmes biométriques décroissant avec l'augmentation de la taille de la population à gérer. Il croit utile d'ajouter que les erreurs constatables d'identification diminuent d'un facteur cinq à chaque fois que le nombre de doigts enrôlés est doublé. Le Conseil d'État pourra cependant relever que le ministère se borne à citer des statistiques, sans expliciter leur provenance scientifique, ni en fournir la preuve. À tout le moins, il n'en existe à notre connaissance aucune dont les conclusions sont indiscutables. C'est d'ailleurs pour cette raison que le Contrôleur européen de protection des données relève que {{la Commission n'a réalisé aucune analyse d'impact}} et que les projets pilotes, en tant que tels, fournissent {{un volume d'informations insuffisant}}. En l'absence de tels éléments, force est de constater que la création d'une base centralisée comme TES ne suffit pas en-elle même à assurer uneidentification certaine des titulaires des titresselon l'expression du ministère, surtout si - comme le relève la CNIL dans son avis -aucune mesure particulière n'est prévue, parallèlement à la conservation de données biométriques, pour s'assurer de l'authenticité des pièces justificatives fournies à l'appui des demandes({{PIECE N°4}}). Ce faisant, elle en conclut que la base centralisée TES, là encore contrairement aux affirmations du ministère,ne paraît pas constituer en l'état, un outil décisif de lutte contre la fraude documentaire. La Commission rejoint en cela l'analyse du Conseil Constitutionnel à propos de l'utilisation de tests ADN en matière de regroupement familial. À l'occasion de l'examen de la loi relative à la maîtrise de l'immigration, à l'intégration et à l'asile, il a en effet émis une réserve d'interprétation selon laquelle l'application d'un nouveau dispositifne saurait avoir pour effet de dispenser les autorités (...) de vérifier, au cas par cas, (...) la validité et l'authenticité des actes de l'état civil; ce n'est que, sous cette réserve qu'il considère que l'application d'un tel dispositif ne porte pas atteinte ni directement ni indirectement à un droit fondamental, en l'espèce celui de mener une vie familiale normale ({Cons. const., 15 nov. 2007, Déc. n°2007-557 DC}). Appliqué à notre cas, ce principe permet d'en déduire que la création d'une base centralisée de données comportant des informations biométriques, sans que ne soit systématiquement vérifié l'authenticité des pièces justificatives à l'appui de la demande de passeport, est de nature à porter, même indirectement, atteinte au droit fondamental à la protection contre les fichiers nominatifs informatisés ({CE, Ass., 18 février 1976, Deberon, JCP 1976, n°18383, concl. Guillaume ; Cons. const., 23 juill. 1999, Déc. n° 99-416 DC - 9 nov. 1999, Déc. n° 99-419 DC}). Dans ce contexte, le ministère croit utile de s'appuyer sur l'obligation prévue par le {règlement communautaire n°2252/2004} de collecter les empreintes digitales. Son examen révèle cependant que le règlement dont le décret contesté est une mesure d'application au niveau national n'impose nullement aux États membres, dont la France, de collecter huit empreintes digitales. Il n'en impose que deux. On comprend donc mal comment le ministère persiste à prétendre que la collecte de huit empreintes digitales, au lieu de deux, est proportionnée au sens de la loi {Informatique & libertés}. Tout au plus, peut-il dire que d'autres États membres l'ont choisi. Mais cette circonstance ne peut présumer à elle seule de la légalité au regard du droit français de la collecte de huit empreintes digitales de tout demandeur de passeport et de leur centralisation au sein de la base de donnéesTES. Une telle collecte et une telle centralisation s'avèrent même plus que disproportionnées lorsqu'elles concernent les mineurs. Il est d'ailleurs surprenant, qu'en l'absence de disposition expresse du règlement communautaire 2252/2004, les autorités françaises aient jugé indispensable de fixer la limite d'âge à partir de laquelle doivent collecter les empreintes digitales à 6 ans. Ceci l'est d'autant plus si l'on relève : - que la proposition de modification de ce règlement adoptée le 18 octobre 2007, {soit près de 6 mois avant la publication du décret contesté}, juge que cette question est trop importantepour être laissée à la discrétion du législateur national ({{PIECE N°6}}) ; - et que c'est même pour cette raison que les autorités communautaires ont fondé leur compétence, pour définir les dérogations à l'obligation de donner ses empreintes digitales. En l'espèce, les autorités communautaires n'ont fait qu'appliquer le principe de subsidiarité énoncé à l'article 5, deuxième alinéa du Traité CE aux termes duqueldans les domaines qui ne relèvent pas de sa compétence exclusive, la Communauté n'intervient, conformément au principe de subsidiarité, que si et dans la mesure où les objectifs de l'action envisagée ne peuvent pas être réalisés de manière suffisante par les États membres et peuvent donc, en raison des dimensions ou des effets de l'action envisagée, être mieux réalisés au niveau communautaire(CJCE, British American Tobacco, C-491/01, 10 décembre 2002, Recueil 2002, p.I-11453)}. On ne peut donc que constater qu'à la date du 30 avril 2008, les autorités françaises n'avaient pas pleine et entière compétence pour imposer par décret aux mineurs âgés de plus de 6 ans la collecte de leurs empreintes digitales. Elles ne pouvaient pas non plus le faire par anticipation, les dispositions communautaires n'ayant pas encore été adoptées définitivement. Car si la proposition de modification du règlement communautaire n°2252/2004 envisage de fixer également cette obligation dès l'âge de 6 ans, ce seuil fait encore largement débat. De toute évidence, comme le note le Contrôleur européen dans son avis à l'occasion de la proposition de modification du règlement,ni la littérature scientifique disponible, ni l'analyse d'impact précédemment menée par la Commission dans le cadre de la proposition relative au système d'information sur les visas n'ont présenté de preuves concluantes sur lesquelles fonder avec certitude un âge limite pour les enfants({{PIECE N°3}}). Ce faisant, la France prend donc le risque d'adopter une disposition nationale susceptible d'être contraire à un objectif communautaire ; hypothèse qui, rappelons-le est sanctionnée par le Conseil d'État ({CE. 24 septembre 1990, Boisdet, n°58657 ; CE. Sect. 3 décembre 1999, Association ornithologique et mammalogique de Saône-et-Loire et Rassemblement des opposants à la chasse, n°164789 et 165122 ; CE. Sect. 3 décembre 1999 Association ornithologique et mammalogique de Saône-et-Loire et France nature environnement, n°199622 et 200124}). Et ce risque est loin d'être hypothétique, le Parlement européen pouvant notamment décider de suivre l'analyse du Contrôleur européen de protection des données, recommandant qu'en raison des études peu concluantes la collecte d'empreintes d'enfants de 6 ans ne devrait être que temporaire. Il préconise même de relever la limite d'âge à 14 ans, en se fondant sur la réglementation relative aux demandeurs d'asile (règlement n°2725/2000 du 11 décembre 2000) ainsi que sur le programmeUS Visit`.

En prévoyant la collecte d'empreintes d'enfants dès l'âge de six ans, le ministère a en réalité commis une erreur d'appréciation, susceptible de placer le décret contesté en contradiction avec les objectifs poursuivis par la réglementation communautaire en cours de discussion.

EN CONCLUSION :

Les associations requérantes réitèrent donc leur demande d'annulation du décret n° 2008-426 du 30 avril 2008portant création d'un traitement automatisé de données à caractère personnel relatives aux étrangers faisant l'objet d'une mesure d'éloignement et modifiant la partie réglementaire du code de l'entrée et du séjour des étrangers et du droit d'asile.

Pour les associations requérantes,

Jean-Pierre Dubois
Président de la Ligue des droits de l'Homme

LISTE DES PIÈCES JOINTES

Pièce n° 1 : Arrêt du Conseil d'État, 31 mars 1989, Lambert, Recueil p. 110.

Pièce n° 2 : Avis de la CNIL du 26 septembre 2000 sur le projet de loi modifiant la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.

Pièce n° 3 : Avis du Contrôleur européen de la protection des données du 26 mars 2008 sur la proposition de règlement modifiant le règlement n°2252/2004.

Pièce n° 4 : Délibération n°2007-368 de la CNIL du 11 décembre 2007 portant avis sur un projet de décret en Conseil d'État modifiant le décret n°2005-1726 du 30 décembre 2005 relatif aux passeports électroniques.

Pièce n° 5 : Avis du groupe de travail sur la protection des données de l'article 29 du 30 septembre 2005 sur l'application du règlement n°2252/2004 du Conseil.

Pièce n° 6 : Proposition de règlement du 18 octobre 2007 modifiant le règlement n°2252/2004 du Conseil présentée par la Commission européenne.

IRIS et LDH - Recours contre le passeport biométrique

IRIS, LDH — 2008-07-04T13:43:21Z

Texte intégral du recours (également disponible en PDF)

CONSEIL D'ETAT
SECTION DU CONTENTIEUX
REQUÊTE en ANNULATION

POUR :

- Imaginons un réseau internet solidaire (IRIS), association régie par la loi du 1er juillet 1901, dont le siège est établi à Paris 20e, 40 rue de la Justice, représentée par sa présidente en exercice, Meryem MARZOUKI ;

- la Ligue des droits de l'Homme (LDH), association régie par la loi du 1er juillet 1901, dont le siège est établi à Paris (18e), 138 rue Marcadet, représentée par son président en exercice, Jean-Pierre DUBOIS.

Les associations requérantes désignent comme mandataire unique Jean-Pierre Dubois, domicilié à la Ligue des droits de l'homme, 138 rue Marcadet, 75018 Paris.

CONTRE :
Le Premier ministre

OBJET :
Demande d'annulation du décret n°2008-426 du 30 avril 2008 modifiant le décret n°2005-1726 du 30 décembre 2005 relatif aux passeports électroniques (NOR:IOCD0807352D, JO du 4 mai 2008)

*

Les associations exposantes défèrent à la censure du Conseil d'État le décret n°2008-426 du 30 avril 2008 du Premier ministre référencé ci-dessus.

À l'appui de leurs requêtes, elles entendent faire valoir les faits et moyens suivants.

FAITS

Le 4 mai 2008 est paru au Journal Officiel le décret du Premier ministre n°2008-426 du 30 avril 2008 modifiant le décret n°2005-1726 du 30 décembre 2005 relatif aux passeports électroniques.

L'avis de la CNIL avait été sollicité le 27 septembre 2007, conformément aux dispositions de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. La CNIL a rendu son avis dans sa délibération n° 2007-368 du 11 décembre 2007.

Cet avis n'a été publié au Journal Officiel que le 10 mai 2008, soit 6 jours après la publication du décret contesté.

À la nouvelle finalité d'élaboration de statistiques près, le décret contesté poursuit les mêmes finalités que le décret n°2005-1726 du 30 décembre 2005 relatif aux passeports électroniques. Il impose toutefois la collecte et le traitement automatisé de nouvelles données à caractère personnel, dont la nature, la quantité et la durée de conservation leur confèrent un caractère disproportionné au regard de ces finalités.

Le décret déféré à la censure du Conseil d'État insère en effet un article 6-1, imposant la collecte des empreintes digitales de huit doigts du demandeur de passeport. Cette collecte concerne en particulier tout mineur âgé de plus de 6 ans. Le décret contesté introduit de surcroît une modification de l'article 18, ayant pour objet la création d'une base de données dénommée « TES » afin de conserver et traiter de manière centralisée les données collectées sur le demandeur du passeport, en particulier et par modification de l'article 19, l'image numérisée de son visage et celle de ses huit empreintes digitales.

Les associations requérantes entendent montrer que le décret attaqué a été pris selon une procédure irrégulière et qu'il ne respecte pas les obligations imposées par les différents textes de droit interne, de droit international et de droit communautaire relatifs à la protection des personnes à l'égard du traitement des données à caractère personnel.

Elles entendent également montrer que, le décret contesté ayant été pris sur le fondement de l'article 27 de la loi n°78-17 du 6 janvier 1978 et non sur le fondement de son article 26, la méconnaissance de la procédure prévue à cet article 26 résulte d'un détournement de procédure, ou à tout le moins d'une erreur de droit.

DISCUSSION

Sur la recevabilité :

Les deux associations requérantes sont recevables à déférer le texte litigieux devant le Conseil d'État.

- L'association Imaginons un réseau Internet solidaire (IRIS) est une association de défense de l'ensemble des droits et libertés fondamentaux dans l'usage de l'informatique et des réseaux et a été amenée, depuis sa création en octobre 1997, à agir constamment en faveur de la protection de la vie privée et des données personnelles dans le contexte du traitement numérique de telles données comme de leur circulation sur les réseaux.

- La Ligue des droits de l'homme (LDH), qui s'est donné pour but de défendre l'ensemble des droits et libertés fondamentaux, a inscrit de façon spécifique dans ses statuts la lutte « en faveur du respect des libertés individuelles en matière de traitement des données informatisées ».

Sur le fond :

I. Légalité externe

Le décret attaqué a été pris selon une procédure irrégulière.

1/ Sur la méconnaissance de l'obligation de publier simultanément l'avis de la CNIL avec l'acte autorisant le traitement

Les requérantes soutiennent tout d'abord que le décret n°2008-426 du 30 avril 2008 modifiant celui du 30 décembre 2005 relatif aux passeports électroniques n'a pas respecté l'article 26 de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.

Ces dispositions prévoient en effet que « sont autorisés par arrêté du ou des ministres compétents, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés, les traitements de données à caractère personnel mis en oeuvre pour le compte de l'État et :
1° Qui intéressent la sûreté de l'État, la défense ou la sécurité publique ;
2° Ou qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté.
L'avis de la commission est publié avec l'arrêté autorisant le traitement ».

Ce principe s'applique également lorsque les traitements visés à l'article 26 « portent sur des données mentionnées au I de l'article 8 » et qui font apparaître, même indirectement comme en l'espèce, les origines raciales ou ethniques, à l'instar de l'image numérisée du visage qui sera conservée dans la base de données « TES » (Rapport « Mesure de la diversité et protection des données personnelles » du 25 mai 2007 présenté à la CNIL).

Or, le décret attaqué a justement pour finalité, par la création de cette base de données, de lutter contre la constitution de faux passeports, activité qui se rattache à des préoccupations de sécurité publique ou, à tout le moins, à la constatation et la poursuite d'infractions pénales.

Il en résulte que ces dispositions auraient dû être adoptées dans le respect de la procédure prévue à l'article 26 de loi du 6 janvier 1978. En ne s'y conformant pas, le Premier Ministre s'est donc affranchi d'une garantie essentielle de la loi Informatique & libertés, cet article imposant que l'avis de la CNIL soit publié avec l'acte qui autorise le traitement intéressant la sécurité publique ou, à tout le moins, la constatation et la poursuite d'infractions pénales.

En l'espèce, le Conseil pourra constater que cette obligation n'a pas été remplie, le décret ayant été publié au Journal Officiel du 4 mai 2008 alors que l'avis de la CNIL est paru à celui du 10 mai 2008. Le Conseil voudra bien en déduire que le décret contesté devra être annulé au motif du non-respect de la procédure prévue par les dispositions de l'article 26 de la loi du 6 janvier 1978.

II. Légalité interne

1/ Rappel des textes et des principes applicables

Le recueil et le traitement des données personnelles comportent une série de risques pour les libertés des personnes fichées : il faut donc apprécier la légalité des mesures prises au regard des principes qui régissent la protection des personnes à l'égard du traitement des données à caractère personnel.

- Aux termes de l'article 8 § 2 de la Convention européenne des droits de l'homme, il ne peut y avoir ingérence d'une autorité publique dans l'exercice du droit au respect de la vie privée que pour autant que cette ingérence est prévue par la loi et qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire - notamment - à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales. On sait que, pour la Cour européenne des droits de l'homme, le respect de ces conditions implique des exigences relatives à la qualité de la base juridique de l'ingérence, à la proportionnalité des mesures et à la nécessité de garanties adéquates contre les abus.

- La Convention n°108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel énoncent de leur côté des principes fondamentaux que doit respecter la mise en œuvre de traitements informatisés. Ces principes sont repris dans la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en dernier lieu par la loi du 6 août 2004. Il s'agit notamment des principes de pertinence et de proportionnalité, de finalité et de l'exigence, là encore, de garanties suffisantes.

- Concernant plus spécifiquement les enfants, la Convention des Nations Unies relatives aux droits de l'enfant du 20 novembre 1989 prévoit en particulier en son article 16 que « nul enfant ne fera l'objet d'immixtions arbitraires ou illégales dans sa vie privée ».

C'est à la lumière de ces principes généraux qu'il convient d'examiner les dispositions du décret du 30 avril 2008.

2/ Sur la violation de l'article 6, 3° de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés

Les requérantes soutiennent que le décret litigieux ne respecte pas le principe de proportionnalité de l'article 6, 3° de la loi n°78-17 du 6 janvier 1978 selon lequel un traitement ne peut porter que sur des données à caractère personnel qui sont « adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs ».

Or, ces dispositions sont fondamentales. Elles sont d'ailleurs consacrées par l'article 5 de la Convention 108 du Conseil de l'Europe et l'article 6 de la directive 95/46/CE qui rappellent, en des termes similaires, que les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités, et qu'elles doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées. Ces dispositions constituent donc des conditions de licéité applicables à tout traitement de données à caractère personnel, y compris à ceux mis en œuvre en l'espèce par le décret n°2008-426 du 30 avril 2008.

Leur respect est en cela impératif, d'autant que l'article 6,3° précité a été consacré par le Conseil Constitutionnel comme l'une des garanties essentielles du respect du droit à la vie privée découlant de l'article 2 de la Déclaration des Droits de l'Homme et du Citoyen de 1789 (Cons. const., Déc. n°2007-557 DC du 15 novembre 2007, Loi relative à la maîtrise de l'immigration, à l'intégration et à l'asile ; Cons. const., Déc. n°2008-562 DC du 21 février 2008, Loi relative à la rétention de sûreté et à la déclaration d'irresponsabilité pénale pour cause de trouble mental).

En l'espèce, le Conseil pourra constater que ces dispositions n'ont été respectées :

- ni par l'article 6-1 inséré par le décret contesté, en ce qu'il impose la collecte des empreintes digitales de huit doigts, et que de surcroît ces dispositions s'appliquent à tout mineur âgé de plus de 6 ans ;

- ni par la modification de ses articles 18 et 19, l'article 18 ayant pour objet la création d'une base de données dénommée « TES », alors qu'elle n'a pas été rendue obligatoire par le règlement communautaire n°2252/2004 du 13 décembre 2004.

Sur le caractère disproportionné de la collecte des empreintes digitales de huit doigts

L'article 6-1 inséré par le décret n°2008-426 du 30 avril 2008 pose comme principe que « lors du dépôt de la demande de passeport, il est procédé au recueil de l'image numérisée du visage et des empreintes digitales de huit doigts du demandeur ».

Or, comme le souligne la CNIL dans son avis, le règlement communautaire n°2252/2004 du 13 décembre 2004 n'impose, en matière d'empreintes digitales, que la collecte de deux empreintes.

Il n'apparaît dans le décret contesté aucune finalité additionnelle qui pourrait justifier cette augmentation de la quantité de données biométriques recueillies, ce qui lui confère un caractère excessif et non pertinent.

Il convient toutefois de relever que le passeport est un titre d'identité tout autant qu'un titre de voyage. Il n'est alors pas inutile de s'interroger sur le fait que le décret contesté puisse s'inscrire dans un projet plus global d'élaboration et de délivrance de tels titres, y compris la carte nationale d'identité. La seule justification de la collecte des empreintes digitales de huit doigts résiderait alors non pas dans les finalités énoncées du décret contesté, mais dans des finalités extérieures à ce décret. Le caractère excessif et non pertinent des données collectées se doublerait alors de la poursuite de finalités autres que celles déclarées par le décret contesté.

Dans son avis, la CNIL considère à cet égard que « l'ampleur de la réforme qui se dessine et l'importance des questions qu'elle peut soulever justifieraient que [...] le Parlement en soit saisi sous forme d'un projet de loi ».

Les requérantes estiment en effet qu'un tel projet de loi, s'il n'était soumis qu'ultérieurement au Parlement, entraverait la liberté de choix des parlementaires en la contraignant par avance par des dispositions adoptées dans le décret contesté. Il en résulterait donc un grave déficit démocratique.

Sur le caractère disproportionné de la collecte des empreintes digitales des enfants de moins de 6 ans

De surcroît, l'article 6-1 inséré par le décret n°2008-426 du 30 avril 2008 fixe un âge minimal en deçà duquel le principe de collecte des empreintes digitales ne s'applique pas. Il prévoit en effet que « les empreintes digitales des enfants de moins de six ans ne sont pas recueillies ». Il en résulte a contrario que ces dispositions s'appliquent à tout mineur dès l'âge de 6 ans.

Force est de constater qu'en retenant comme âge minimum celui de six ans pour le recueil des empreintes digitales, le décret n°2008-426 du 30 avril 2008 étend de manière excessive l'application de ce dispositif à un nombre important de très jeunes enfants, sans l'encadrer pour autant des garanties les plus élémentaires.

Or, de nombreuses dispositions rappellent que les enfants disposent d'un droit au respect de la vie privée et qu'on ne saurait traiter de la même manière tous les enfants âgés de six à dix-huit ans.

Au niveau international, tout d'abord, l'article 16 de la Convention des Nations Unies relatives aux droits de l'enfant du 20 novembre 1989 prévoit que « nul enfant ne fera l'objet d'immixtions arbitraires ou illégales dans sa vie privée ».

Plus récemment et dans le domaine qui nous intéresse, le Groupe de l'article 29, qui rassemble les autorités européennes de protection des données à caractère personnel, a rappelé que « dans toutes sociétés, les enfants devaient être traités en fonction de leur degré de maturité » (Document de travail 1/2008 sur la protection des données à caractère personnel de l'enfant).

L'existence d'un droit des enfants au respect de leur vie privée est également garanti au niveau national. L'article 227-25 du Code pénal précise, par exemple, qu'il n'est en principe pas pénalement sanctionné d'avoir des relations sexuelles, à condition qu'elles soient sans contrainte, avec des mineurs âgés de plus de quinze ans (article 227-25 du Code pénal). Il résulte de ces dispositions qu'un enfant âgé de moins de quinze ans ne saurait être traité comme un adulte.

De manière plus intéressante encore, le droit français reconnaît qu'un enfant ne peut être traité d'une manière similaire à un adulte que s'il est âgé d'au moins treize ans. C'est ainsi à partir de seize ans que l'on considère qu'un mineur peut être jugé assez responsable pour avoir une autonomie juridique par le biais de l'émancipation (article 447 du Code civil).

Le droit pénal met également en place une gradation de la gravité des infractions commises sur des mineurs si la victime est ou non âgée de plus de quinze ans, en prévoyant une majoration des peines punissant certaines infractions, par exemple, en cas d'agressions sexuelles (article 222-29 du Code pénal), de provocation au suicide (article 222-13 du Code pénal) ou de tortures et actes de barbaries (article 222-3 du Code pénal). En dernier lieu, l'âge minimum à partir duquel un enfant peut être déclaré pénalement responsable est fixé à treize ans (article 122-8 du Code pénal).

Il n'est enfin pas inutile d'ajouter à ces exemples celui de la collecte de données à caractère personnel auprès d'enfants lors de leur connexion à des sites Internet. Les responsables de sites Internet fixent au moins à treize ans l'âge à partir duquel ils procèdent à cette collecte sans obtenir l'autorisation des parents.

Rappelons d'ailleurs que les commentaires de la CNIL relatifs aux dispositions de l'article 6-1 inséré par le décret litigieux ont été sur ce point plus que sévères. Elle a en effet considéré que « l'âge à partir duquel les empreintes sont relevées n'est pas seulement un élément technique mais une question de principe méritant un large débat voire un amendement à la convention sur les droits de l'enfant et que pour préserver la dignité de la personne et pour garantir la fiabilité de la procédure, la collecte et le traitement des empreintes digitales doivent être limités pour les enfants » (Délibération n°2007-368 du 11 décembre 2007).

Au regard de l'ensemble de ces éléments, et compte tenu du très faible risque de fraude pour les enfants en bas âge, il apparaît plus que disproportionné d'imposer la constitution d'un passeport électronique pour les enfants dès l'âge de six ans.

Sur ces fondements, le Conseil voudra bien annuler l'article 6-1 inséré par le décret n°2008-426 du 30 avril 2008.

Sur le caractère disproportionné de la création de la base de données dénommée TES

L'article 18 modifié du décret n°2008-426 du 30 avril 2008 prévoit qu'« afin de mettre en œuvre les procédures d'établissement, de délivrance, de renouvellement et de retrait des passeports mentionnés aux articles 1er et 17-1, ainsi que pour prévenir et détecter leur falsification et leur contrefaçon, le ministre de l'Intérieur est autorisé à créer un système de traitement automatisé de données à caractère personnel dénommés TES ».

Au regard de ces éléments, la constitution d'une telle base de données se justifierait :

- d'une part, par la possibilité de faciliter l'établissement, la délivrance, le renouvellement et le retrait des passeports, et
- d'autre part, par la nécessité de prévenir et détecter la falsification et la contrefaçon des passeports.

Le Conseil pourra néanmoins constater que la constitution d'une telle base de données n'est pas adéquate, n'est pas pertinente et est excessive au sens des dispositions de l'article 6,3° de la loi Informatique et libertés.

D'après le Premier Ministre, la constitution de la base de données « TES » a tout d'abord pour objectif de faciliter l'établissement, la délivrance, le renouvellement et le retrait des passeports.

Une telle justification ne semble cependant pas tenir eu égard aux forts risques d'inefficacité de ce dispositif. Comme l'a en effet relevé la CNIL, la péremption des données fournies lors de la première délivrance du passeport impose en tout état de cause que celles-ci soient à nouveau recueillies lors de son renouvellement (Délibération n°2007-368 du 11 décembre 2007).

L'article 4 du décret prévoit en effet que les passeports ont une durée de validité de dix ans en général et de cinq ans lorsqu'ils sont délivrés à un mineur. Le temps ainsi écoulé entre deux périodes d'établissement d'un passeport est suffisamment important pour que les informations initialement recueillies perdent toute leur fiabilité et leur pertinence.

Il en est ainsi encore plus pour un mineur dont l'évolution sur une période de cinq ans demeure considérable (taille, physionomie, changement de domicile, domicile partagé, etc.).

Il résulte de ces éléments que la constitution d'une base de données conservant les informations biométriques contenues dans un passeport ne peut pas être justifiée par le fait qu'elle faciliterait l'établissement, la délivrance, le renouvellement et le retrait de celui-ci.

À supposer qu'elle le soit, le Conseil ne manquera pas de constater qu'elle est excessive. Elle expose en effet les personnes concernées à un risque important d'atteintes à leur liberté individuelle et à leur vie privée. On en veut pour preuve le fait que le décret contesté vise à recueillir un nombre important de données (pas moins de 25 catégories différentes) qui pourront être conservées pendant quinze ans lorsque le passeport est délivré à un majeur et pendant dix ans lorsqu'il est délivré à un mineur (article 24 du décret du 30 avril 2008) et ce alors que ces documents ont eux-mêmes une durée de validité de dix ans pour les majeurs et de cinq ans pour les mineurs.

Le Conseil voudra donc bien annuler l'article 18 du décret n°2008-426 du 30 avril 2008 en ce que le traitement ainsi mis en œuvre est disproportionné au sens de l'article 6,3° de la loi n°78-17 du 6 janvier 1978.

L'article 18 du décret prévoit, en second lieu, que la constitution de la base de données TES est justifiée par la nécessité de prévenir et détecter la falsification et la contrefaçon des passeports.

Or, à juste titre, la CNIL a relevé « qu'aucune mesure particulière n'est prévue, parallèlement à la conservation de données biométriques, pour s'assurer de l'authenticité des pièces justificatives fournies à l'appui des demandes ».

Une telle absence présente pourtant de très importants risques car, une fois les données enregistrées, ce sont elles qui feront foi. Si leur authenticité n'est pas vérifiée dans des conditions légalement prévues, il est permis de douter de l'efficacité de la constitution d'une telle base de données pour prévenir et détecter les cas de falsification, le recoupement des informations dans ce cadre étant également peu fiable.

À supposer qu'elle soit efficace, la constitution de cette base de données demeure elle aussi excessive au regard de la finalité poursuivie par le décret. Elle accroît en effet le risque d'atteintes à la liberté individuelle et à la vie privée des personnes concernées sans apporter de garanties supplémentaires.

Or, le contrôle de l'authenticité des passeports peut être effectué à partir d'autres moyens moins attentatoires à la liberté individuelle et à la vie privée comme, par exemple, le contrôle visuel ou le recours à des techniques de fabrication des passeports rendant ces derniers difficilement falsifiables voire infalsifiables.

Il en résulte que les dispositions de l'article 18 du décret n°2008-426 du 30 avril 2008 méconnaissent le principe de proportionnalité visé à l'article 6, 3° de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, à l'article 5 c de la Convention n° 108 du Conseil de l'Europe, et à l'article 6.1 c de la directive n° 95/46/CE.

Sur ce fondement, votre Conseil voudra bien annuler l'article 18 du décret n°2008-426 du 30 avril 2008.

3/ Sur la méconnaissance de la procédure prévue à l'article 26 de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés

Les requérantes considèrent par ailleurs que le décret litigieux n'a pas respecté les dispositions de l'article 26 de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés auxquelles il était pourtant soumis.

Sur le détournement de la procédure prévue à l'article 26

Si les dispositions du décret contesté relatives à la création d'un passeport biométrique devaient effectivement être prises sur le fondement de l'article 27 de la loi du 6 janvier 1978, les dispositions du même décret relatives à la création de la base de données « TES » devaient, en revanche, être adoptées sur le fondement de l'article 26.

Ces dispositions prévoient en effet que « sont autorisés par arrêté du ou des ministres compétents, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés, les traitements de données à caractère personnel mis en oeuvre pour le compte de l'État et :
1° Qui intéressent la sûreté de l'État, la défense ou la sécurité publique ;
2° Ou qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté.
L'avis de la commission est publié avec l'arrêté autorisant le traitement ».

Elles précisent également que « ceux de ces traitements qui portent sur des données mentionnées au I de l'article 8 sont autorisés par décret en Conseil d'État pris après avis motivé et publié de la commission ; cet avis est publié avec le décret autorisant le traitement ».

Le I de l'article 8 vise les données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, comme, par exemple, l'image numérisée du visage qui sera conservée dans la base de données « TES » (Rapport « Mesure de la diversité et protection des données personnelles » du 25 mai 2007 présenté à la CNIL).

Or, en l'espèce, le décret n° 2008-426 du 30 avril 2008 a notamment pour finalité la sécurité publique ou, à tout le moins, la constatation ou la poursuite d'infractions pénales. L'article 18 du décret précise en effet que la base de données « TES » permettra de lutter contre la constitution de faux passeports, activité qui se rattache à des préoccupations de sécurité publique ou, à tout le moins, à la constatation et la poursuite d'infractions pénales.

L'article 21-1 du décret prévoit en outre que « peuvent accéder aux données enregistrées dans le traitement prévu à l'article 18, à l'exclusion de l'image numérisée des empreintes digitales, dans les conditions fixées aux articles 9 et 33 de la loi n°2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles transfrontaliers :

- « les agents des services de la direction générale de la police nationale et de la direction générale de la gendarmerie nationale chargés des missions de prévention et de répression des actes de terrorisme individuellement désignés et spécialement habilités respectivement par le directeur général de la police nationale et le directeur général de la gendarmerie nationale ;
- les agents des services de renseignement du ministère de la défense chargés des missions de prévention des actes de terrorisme individuellement désignés et spécialement habilités respectivement par le directeur général de la sécurité extérieure, le directeur de la protection et de la sécurité de la défense ou le directeur du renseignement militaire ».

Au regard de ces éléments, il ne fait aucun doute que les dispositions du décret n°2008-426 du 30 avril 2008 relatives à la base de données « TES » poursuivent une finalité de sécurité publique, ou, à tout le moins, relative à la constatation ou à la poursuite d'infractions pénales, l'une ou l'autre étant d'ailleurs seule de nature à pouvoir justifier la création d'une telle base de données.

Il en résulte que ces dispositions auraient dû être adoptées dans le respect de la procédure prévue à l'article 26 de loi du 6 janvier 2008. En choisissant de ne pas appliquer ces dispositions à la finalité de prévention et de détection des passeports, le Premier Ministre a donc commis un détournement de procédure (CE, Ass., 24 juin 1960, Société Frampar et Société France Éditions et Publications).

Le Premier Ministre s'est en cela affranchi d'une garantie essentielle prévue par l'article 26 de la loi du 6 janvier 1978, cet article imposant que l'avis de la CNIL soit publié avec le décret qui autorise le traitement intéressant la sécurité publique.

Sur ce fondement, le Conseil ne pourra qu'annuler les dispositions de l'article 18 du décret n°2008-426 du 30 avril 2008 relatives à la constitution de la base de données « TES ».

En outre, à supposer que le Premier Ministre n'ait pas procédé à un tel détournement de procédure, votre Conseil ne pourra que constater qu'une erreur de droit a été commise.

Sur l'erreur de droit résultant de la violation des dispositions de l'article 26 de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés

Comme il a été précédemment précisé, les dispositions relatives à la constitution de la base de données « TES », compte tenu de leur finalité spécifique, auraient dû être adoptées dans le cadre de la procédure de l'article 26 de la loi du 6 janvier 1978. Il en résulte que le Premier Ministre, en adoptant de telles dispositions sur le fondement de l'article 27 de la loi du 6 janvier 1978 :

- a méconnu les dispositions de l'articles 26 de la loi du 6 janvier 1978 ;
et
- est allé au-delà du champ d'application de l'article 27 de la même loi.

Le Premier Ministre a donc commis une erreur de droit qui l'a notamment conduit à publier le décret n°2008-426 du 30 avril 2008, sans y joindre l'avis pourtant exigé de la CNIL.

En outre, s'il était considéré que les données recueillies dans la base de données « TES » ne sont pas des données sensibles au sens du I de l'article 8 de la loi du 6 janvier 1978, l'erreur de droit commise par le Premier Ministre méconnaîtrait l'attribution de compétence effectuée en faveur des ministres concernés. Or, ces derniers ont seulement contresigné le décret n°2008-426 du 30 avril 2008 dont seul le Premier Ministre demeure l'auteur. Les ministres compétents ne sont donc pas les coauteurs de l'acte administratif autorisant la création de la base de données « TES », en violation totale de l'article 26 de la loi du 6 janvier 1978 qui impose que de tels traitements « sont autorisés par arrêté du ou des ministres compétent ».

Au regard de ces éléments, votre Conseil ne pourra donc qu'annuler les dispositions du décret n°2008-426 du 30 avril 2008 relatives à la constitution de la base de données « TES ».

En conclusion,

Les dispositions du décret attaqué violent :

- l'article 16 de la Convention des Nations Unies relatives aux droits de l'enfant du 20 novembre 1989, dans la mesure où la collecte des empreintes digitales des enfants seront collectées à partir de l'âge de six ans, sans aucune garantie spécifique eu égard à leur âge.

- l'article 5c de la Convention n° 108 du Conseil de l'Europe, l'article 6.1.c de la directive n° 95/46/CE, l'article 6, 3° de la loi du 6 janvier 1978, dans la mesure où la création de la base de données dénommée TES présente un caractère disproportionné ;

- l'article 26 de la loi du 6 janvier 1978, en tant qu'il prévoit que l'avis de la CNIL soit publié avec le décret qui autorise le traitement intéressant la sécurité publique.

***

PAR CES MOTIFS, et tous autres à produire, déduire ou suppléer, les associations exposantes concluent à ce qu'il plaise au Conseil d'État :

ANNULER :
Le décret n° 2008-426 du 30 avril 2008.

Audition publique de Alain Weber (LDH, DELIS) par l'Office parlementaire des choix scientifiques et technologiques

DELIS, LDH — 2006-05-04T13:00:00Z

L'Office parlementaire des choix scientifiques et technologiques, commun à l'Assemblée nationale et au Sénat, a organisé le 4 mai 2006 une audition publique sur la biométrie, dans le cadre du suivi du rapport du député Christian Cabal sur « les méthodes scientifiques d'identification des personnes à partir de données biométriques et techniques de mises en oeuvre » publié en juin 2003. Alain Weber (Commission Libertés et informatique de la LDH) y a participé pour présenter les positions de la LDH et de DELIS.

Consulter le programme de cette audition publique.

Audition de Monique Hérold et Alain Weber (LDH) et de Pierre Suesser (DELIS) par la mission d'information du Sénat

DELIS, LDH — 2005-04-05T22:00:00Z

La Commission des Lois du Sénat a mis en place une mission d'information sur la nouvelle génération de documents d'identité et la fraude documentaire (voir le rapport rendu en rubrique Documents). Dans ce cadre, Monique Hérold (ancienne vice-présidente de la LDH) et Alain Weber (Commission Libertés et informatique de la LDH), ainsi que Pierre Suesser (DELIS) ont présenté le 6 avril 2005 les positions de la LDH et de DELIS.

L'audition, qui a duré 1h15, a commencé à 16h15 et a consisté en la présentation de la position de la LDH puis dans les réponses aux questions posées par les membres de la Commission.

Présentation

La LDH-DELIS ont indiqué aux membres de la Mission leur intervention dans le domaine de l'informatique, tant en ce qui concerne les questions relatives aux interconnexions de fichiers que les questions relatives aux fichiers de police et le fait qu'elles s'intéressaient à la carte INES, ainsi qu'à l'administration électronique.

Sur le sujet lui-même

La LDH-DELIS ont rappelé qu'il s'agissait de données personnelles dont le statut protecteur avait été édicté par la directive de 1995, et confirmé par la loi Informatique et Libertés modifiée en 2004.

La LDH-DELIS ont rappelé leur souci que, quels que soient les problèmes relatifs à la sécurité des documents, toute action ne pouvait s'inscrire que dans le respect des grands principes que la France avait donnés à l'univers en ce qui concerne le traitement des données nominatives et notamment le principe de la détermination d'une finalité précise et le principe de proportionnalité.

En l'espèce la LDH-DELIS ont dit qu'elles comprenaient que la finalité qui était présentée consistait à vérifier que toute personne revendiquant telle identité était bien la personne concernée.

Il s'agit donc d'une question d'authentification, qu'il convient de distinguer de la question d'identification.

Dès lors que la finalité est l'authentification, les modalités techniques au service de cette finalité doivent respecter les principes ci-avant édictés.

En l'espèce, la LDH-DELIS ne voient pas ce qu'apporte l'intégration de données biométriques dans les titres, concernant la finalité affichée d'authentification de titres : la LDH-DELIS préconisent que la photographie qui figure en clair sur le titre soit prise au moyen d'un élément numérique, pour intégration dans un titre de circulation avec destruction immédiate du fichier de la photo dont s'agit.

Lors de la création du titre, un fichier attestant que le titre a été délivré par une autorité compétente est créé.

C'est ce seul fichier qui permet de vérifier que le titre est authentique, sans lien quelconque avec la photo, qui demeure sur le titre.

Dès lors, le souci d'authentification du document pour éviter la fraude documentaire est écarté puisque la personne concernée peut, en présentant son titre, permettre à un vérificateur de s'assurer qu'elle est bien la personne figurant sur la photo numérisée dès l'origine pour sa fixation sur le support, le titre lui-même apportant la preuve de son authenticité par ce fichier annexe.

La LDH-DELIS indiquent ainsi qu'elles ne voient pas en quoi la création d'un fichier comportant des données biométriques qui serait supporté sur le document répond à la préoccupation d'authentification du document.

Par ailleurs, la LDH-DELIS s'interrogent sur la dualité des éléments biométriques : photo faciale et empreintes digitales.

La crainte clairement exprimée est que ces éléments soient utilisés non plus afin d'authentification du titre, mais afin d'identification, c'est-à-dire non plus dans une relation de 1 à 1 (le porteur vis-à-vis du titre qu'il montre aux autorités) mais 1 à N (c'est-à-dire le porteur vis-à-vis d'une population figurant dans un fichier).

La LDH-DELIS confirment donc leur formelle opposition à la création d'un quelconque fichier.

Plus avant encore et sur interrogation d'un membre de la Mission, il est précisé que la LDH-DELIS s'opposent à la constitution de données numériques y compris sur le seul support documentaire, car c'est un appel à la création d'un fichier, même si, au démarrage, cette volonté n'est pas clairement indiquée, voire serait explicitement écartée.

Le Président de la Mission demande à la LDH-DELIS de se prononcer sur la question de savoir s'il n'est cependant pas nécessaire de créer un fichier ne serait-ce pour identifier les personnes titulaires d'un passeport, ce qui peut faciliter la gestion de la création à nouveau de ce titre en cas de perte.

La LDH-DELIS attirent l'attention du Président de la Mission sur le fait qu'il ne s'agit pas d'un fichier à proprement parler mais d'un registre des archives n'indiquant que la seule information relative à la délivrance d'un document à une date déterminée.

Ce registre ne devrait pouvoir être utilisé qu'à la demande de l'intéressé ayant égaré son titre, et pour justifier qu'un titre lui a déjà été accordé. Aucune connexion quelconque ne devrait pouvoir être faite entre les titres existants et ce fichier.

La Mission attire l'attention de la LDH-DELIS sur le fait qu'une expérimentation est en cours concernant les visas biométriques.

LDH-DELIS répondent que cette expérimentation est attentivement observée par leurs soins et que la délibération de la CNIL révèle bien les précautions extrêmes et le caractère expérimental du projet.

En tout état de cause, LDH-DELIS insistent sur le fait que les personnes concernées se voyant prélever les empreintes digitales et des données biométriques sur leurs photos faciales afin de pouvoir justifier de l'application du visa à leur encontre, n'est pas un exemple pertinent. En effet, autant il sera incontestable que l'empreinte digitale et le visage d'une personne correspondent bien à la personne qui se sera vu accorder le visa, autant les documents attestant de l'identité de cette personne ne répondront pas au principe de sécurité puisque, si la personne en question se présente avec une fausse identité, les éléments biométriques seront impuissants à détecter la fraude.

***

Enfin, si le projet aboutissait cependant à ce que des éléments biométriques soient intégrés dans le document de transport notamment, il a été demandé à LDH-DELIS leur position.

Il a clairement été souligné que dans ces circonstances, le souhait de la LDH-DELIS serait que les éléments dont on parle ne puissent être lus que par des machines mobiles sans connexion à aucune base quelconque et à la seule finalité de s'assurer que l'empreinte digitale présentée par l'intéressé correspond bien à celle figurant dans le document le concernant.

Cette réunion a été l'occasion également pour la LDH-DELIS de rappeler à la Mission que toute législation portant atteinte aux droits des citoyens par le fichage des populations, porte également atteinte à la démocratie et que, dans un environnement sécuritaire, ce type de législation ne pouvait que conforter les terroristes dans leur certitude d'avoir porté atteinte aux principes qui gouvernent toute démocratie.

***

NB. Il convient de rappeler que le règlement du Conseil du 13 décembre 2004 prévoit à l'article 1er.2 « Les passeports et les documents de voyage comportent un support de stockage qui contient une photo faciale. Les Etats membres ajoutent des empreintes digitales enregistrées dans des formats interopérables. Les données sont sécurisées et le support de stockage est doté d'une capacité suffisante afin de garantir l'intégrité, l'authenticité et la confidentialité des données ».

Dès le début de l'audition, la LDH-DELIS ont attiré l'attention de la Mission sur le fait que ce règlement (2252/2004 du Conseil) était une extension des accords de Schengen, et n'avait donc pas statut de document communautaire et qu'ainsi le Danemark (Considérant 10), le Royaume-Uni (Considérant 11), l'Irlande (Considérant 12) n'étaient pas liés par l'application de ce règlement ; qu'en conséquence, sa valeur juridique était sujette à discussion et qu'il ne s'agissait donc pas d'un texte sur lequel une législation nationale pouvait être construite.

Sur la question de savoir si la carte d'identité devait demeurer facultative et gratuite nous avons répondu par l'affirmative.

Audition de Michel Tubiana et Alain Weber (LDH) par la CNIL

LDH — 2005-03-20T23:00:00Z

La CNIL a organisé des auditions sur le projet INES. Dans ce cadre, Michel Tubiana (président de la LDH) et Alain Weber (Commission Libertés et informatique de la LDH ont présenté le 21 mars 2005 les positions de la LDH.

Michel Tubiana

Il convient de rappeler, en préambule, que notre démarche s'inscrit dans le cadre du principe de proportionnalité des moyens employés et de non détournement par rapport aux objectifs affichés. D'abord, l'objectif du ministère de l'Intérieur avec le projet INES est de créer un document infalsifiable. Or l'on connaît le caractère relativement illusoire, au plan technique, de cette recherche d'une infaillibilité absolue. Ensuite, la carte d'identité est une tradition française. Nous en acceptons le principe. D'autres traditions hexagonales bien plus détestables persistent, comme le carnet de voyage des gens du voyage. Néanmoins, une première interrogation se pose, concernant la fonction d'attestation de la nationalité de la carte d'identité. Ce document est le seul à attester de la nationalité. Le passeport, pour sa part, n'atteste pas de la nationalité, si bien qu'il est plus facile à obtenir que la carte d'identité. Ce point n'a d'ailleurs pas cessé de poser des difficultés. En 1986, le Ministère de l'Intérieur a émis une circulaire aux termes de laquelle toute personne née à l'étranger devait faire la preuve de sa nationalité. On ne comprend pas cette distinction entre la carte d'identité et le passeport : en quoi la carte d'identité devrait-elle prouver, plus que le passeport, la
nationalité ?

Nous ne sommes pas choqués par le fait que l'on puisse vérifier par un moyen technique le fait que le titre présenté n'est pas un faux, c'est-à-dire, en l'espèce, l'authenticité de la carte d'identité. En revanche, nous ne comprenons pas les motivations du ministère de l'Intérieur. Dans l'exposé des motifs d'INES, disponible sur Internet, aucun argument ne nous paraît convaincant. L'on argue du fait que le nombre de vols de titres vierges serait trop important, mais j'ignorais qu'il était si difficile de protéger les lieux de délivrance ou d'assurer la sécurisation des transports. En outre,
l'invocation du règlement européen du 13 décembre 2004 constitue un détournement de ce texte, ce qui est plus grave. A cet égard, l'affirmation du ministère est purement et simplement inexacte.

Surtout, le projet prévoit une carte comportant à la fois des éléments d'identification de la personne et de preuve de l'authenticité du document, mais aussi la signature électronique et le portfolio personnel : ce mélange des genres nous paraît totalement rédhibitoire. Il nous semble hors de propos d'entrer dans une sorte de processus visant à créer des cartes comportant une multitude d'informations dans des « blocs » prétendument distincts, mais qui n'ont rien à voir avec l'identité. De plus, cela conduirait à rendre obligatoire la carte d'identité et donc à accroître une fracture au
sein de la société, surtout si ce document devient payant, comme l'envisage le ministère de l'Intérieur. Enfin, une carte de ce type pourrait induire des possibilités infinies en termes de fichiers, pour la signature, pour la photo, pour les empreintes digitales, etc.

Alain WEBER

La Ligne est très attentive à toutes les manifestations d'intrusion de l'informatique dans la vie des citoyens. Nous n'avons pas traité la question de la carte nationale d'identité de manière autonome. Nous avons commencé à travailler sur ce sujet via l'administration et le commerce électroniques.

Le projet du ministère de l'Intérieur nous interpelle parce qu'il nous semble extrêmement ambitieux, et qu'il manque totalement de transparence : il est en fait très ambigu. En effet, il tente de nous proposer une facilitation de la vie de l'usager, en général, mais il est étonnant que ce projet passe par la carte nationale d'identité. Le Ministère essaie également de mélanger ce projet avec « l'administration électronique », sujet sur lequel un certain nombre de documents sont d'ores et déjà disponibles (cf. le plan ADELE 2004-2007). Or ces documents mettent plutôt en exergue la possibilité de choix des personnes entre un identifiant unique et autant d'identifiants qu'elles le
souhaiteront. Nous avons le sentiment que le ministère fait cavalier seul, de manière anticipative par rapport aux actions engagées par d'autres ministères comme s'il voulait tracer un sillon suffisamment profond pour que l'on ne puisse plus en sortir. Dans ces conditions, nous sommes très inquiets et nous estimons qu'aucun support textuel ne permet, aujourd'hui, de justifier la position du ministère de l'Intérieur.

De plus, l'on fait référence au règlement européen du 13 décembre 2004 qui concerne non pas la carte nationale d'identité, mais les passeports et les documents de voyage. L'article 1, alinéa 3, prévoit : « Le présent règlement s'applique aux passeports et aux documents de voyage délivrés par les Etats membres ; Il ne s'applique pas aux cartes d'identité délivrées par les Etats membres à leurs ressortissants ou aux passeports et aux documents de voyage temporaires, ayant une validité inférieure ou égale à 12 mois ». Certes la présentation d'INES n'indique pas expressément que ce règlement s'appliquerait à la carte nationale d'identité, mais elle le laisse entendre en précisant que « le règlement européen du 13 décembre impose d'insérer dans une puce la photographie du titulaire d'ici à juin 2006 », ce qui est manifestement inexact. Nous considérons que le champ de ce règlement ne concerne pas la carte nationale d'identité. L'on doit nous indiquer précisément les enjeux afin qu'ils fassent l'objet d'un vrai débat. Il nous paraît déloyal de se référer à ce règlement en ce qui concerne la carte nationale d'identité ; et cela ne nous inspire pas confiance.

L'on nous dit que le nouveau dispositif vise à empêcher la fraude, mais il apparaît en même temps qu'on ne dispose pas de sources sûres sur ce phénomène en France : comment prétendre résoudre un problème sans disposer d'éléments chiffrés et incontestés ? L'on nous affirme également que ce système permettra de lutter contre le terrorisme, mais nous lutterons d'autant plus efficacement contre ce fléau que nous respecterons les lois démocratiques et que les citoyens disposeront de protections proportionnées aux attaques que l'Etat peut conduire contre le terrorisme car à défaut,
le terrorisme aura atteint son but de détruire nos Sociétés démocratiques. L'on argue également du fait qu'une carte nationale d'identité comportant des données biométriques faciliterait la vie des citoyens, ce qui ne nous paraît pas pertinent.

Michel TUBIANA

Pour en revenir à la finalité d'une carte nationale d'identité, nous considérons que le relevé d'éléments d'identité doit répondre au seul besoin d'authentification, c'est-à-dire de vérification de l'identité, et qu'il n'y a pas lieu d'envisager une base gigantesque, sorte de « rêve fou » d'informaticien, pour rechercher quelques dizaines de cas. Mais, même dans cette fonction d'authentification, et contrairement à la croyance actuelle, nous ne considérons pas que l'Etat est un tiers de confiance. A cet égard, il serait nécessaire d'avoir une autorité indépendante, comme la CNIL, par exemple, mais disposant véritablement des moyens lui permettant d'être ce tiers de
confiance et de contrôler l'Etat. Aujourd'hui, celui-ci se contrôle lui-même, et le citoyen a peu de moyens de recours. Nous ne considérons pas que l'Etat est un tiers de confiance, parce qu'il est une partie intéressée. Le fait d'inciter ou d'obliger chaque individu à se faire identifier une fois pour toutes suppose, d'une part, un tiers de confiance et, d'autre part, un garant unique certifiant l'identité. Le tiers de confiance ne peut être l'Etat. Il est nécessaire de mettre en place des modes de contrôle plus puissants que ceux dont dispose la CNIL.

Nous ne sommes pas opposés à une identification, par le biais d'une photographie numérisée à seule fin de figurer sur une pièce d'identité mais sans stockage d'une quelconque donnée de la photo dans la puce. Nous ne sommes pas non plus opposés à l'existence d'une donnée - une « clef » - permettant de prouver l'authenticité de la pièce d'identité. La photo ne pouvant être falsifiée du fait de son process de fabrication et l'authenticité du titre étant démontrée par la « clef » ci-dessus, le but affiché par le ministère de l'Intérieur semble être atteint. Nous sommes défavorables à toute autre mention stockée dans une puce. Surtout, la photo doit être détruite après avoir été numérisée. En effet, si l'on introduit la photographie parmi les éléments biométriques, il sera alors possible de constituer un fichier des photographies, mais aussi de laisser
une trace de son passage devant un lecteur. Si l'on admet ce type de processus, l'on s'oriente inévitablement vers une sorte de surveillance permanente. Dès lors, il est souhaitable de limiter le processus au strict nécessaire.

Au début des années 80, l'opinion publique estimait que le fichage ne devait pas être généralisé. Aujourd'hui, elle demeure inquiète sur ce sujet, même si certains estiment que la solution serait que nous soyons tous fichés, ce qui supprimerait toute difficulté. Or cette solution supprimerait également toute vie privée et tout anonymat. L'opinion publique réagit lorsqu'elle est confrontée au problème. Aujourd'hui, du fait du 11 septembre, des attentats de Madrid et de l'exploitation de ces évènements par les politiques, nous sommes dans une phase de régression des consciences, mais nous pourrons assister, demain, à des jacqueries contre les ordinateurs. Quoi qu'il en soit, il est nécessaire de faire preuve de pédagogie. Nous ne sommes donc pas convaincus par l'argumentaire du ministère de l'Intérieur. Aujourd'hui, nous craignons d'autres développements que ce qui est avancé.

Alain WEBER

En ce qui concerne l'introduction des empreintes digitales numérisées dans la puce, nous considérons que, cette carte devant être un simple document d'authentification-vérification de l'identité, il n'y a pas d'intérêt à aller au-delà de la photographie numérisée dans la partie en clair comme évoqué ci-avant. Si la finalité de la détention d'une carte d'identité est de démontrer, lors d'un contrôle d'identité, que la personne que je suis est celle que je prétends être, il me suffit d'apporter la preuve que le support documentaire présenté est authentique. Si le contrôle est exercé par un être humain, celui-ci vérifiera que la photographie figurant sur le document authentique est celle de l'individu qui se présente. Si le contrôle est effectué par un lecteur, qui ne se contente pas de s'assurer, grâce à la clef, que la carte est authentique mais qui lira les données biométriques elles-mêmes, photo ou empreintes digitales, alors l'information collectée devra être comparée avec une base pour s'assurer de sa pertinence. La carte nationale d'identité recèlera des données informatiques qui seront comparées à des éléments se trouvant dans une base. La création d'une base centrale et le contrôle via des machines nous inquiètent.

En Angleterre, par exemple, de tels contrôles se répandent par le biais de la vidéosurveillance, qui pourrait alimenter un fichier de population. Nous sommes opposés aux fichiers de population. Nous acceptons évidemment les fichiers strictement encadrés par la loi, relatifs à certains évènements, comme une condamnation. Il en va autrement du balayage d'une population entière, au prétexte
d'exercer une surveillance.

Nous avons tendance à penser que le contrôle humain ne disparaîtra pas. Par conséquent, la preuve de l'identité peut être facilement établie si l'on peut s'assurer de l'authenticité du document présenté. Nous ne voyons pas de quelle manière un contrôle anonyme pourrait être réalisé sans l'existence d'une base documentaire comportant les photographies (et/ou empreintes digitales) de toutes les personnes disposant d'une carte nationale d'identité. En ce qui concerne la justification de la base centrale comme garantie de la délivrance d'une seule carte - ou plutôt d'une identité unique - à chacun, nous savons bien que les usurpations d'identité ne se situent pas à ce niveau-là. Si le ministère de l'Intérieur dispose de données chiffrées dans ce domaine, qu'il nous les
communique et nous les examinerons avec la plus grande attention. Pour l'heure, il ne semble pas exister de motif valable. Si le ministère de l'Intérieur parvient à démontrer qu'il existerait un véritable problème d'usurpation d'identité avec une carte d'identité munie d'une puce comportant la photographie numérisée et un élément permettant de s'assurer de l'authenticité du document, nous examinerons ses arguments.

Michel TUBIANA

S'il est vrai que la falsification de documents administratifs constitue un phénomène relativement courant, il est vrai aussi que les documents falsifiés ne résistent à aucun contrôle. Je suis convaincu que les terroristes disposent de visas et de papiers en bonne et due forme et que nous ne les arrêterons pas par ce biais. L'argument concernant la lutte contre le terrorisme n'est qu'un alibi. Par ailleurs, cette nouvelle carte aujourd'hui présentée comme infalsifiable ne manquera pas d'être falsifiée dans quelques années. L'esprit humain est très inventif. Aujourd'hui, la technique antérieure est dépassée au bout de 18 mois. Dès lors, lorsqu'un ministère prétend détenir la solution définitive à un problème, l'on peut légitimement douter de la pertinence de cette solution, ne seraitce qu'au plan technique. En outre, les équipements peuvent tomber en panne. Un carton plastifié est très difficile à contrefaire parce que les policiers ont l'habitude de les manier. En revanche, un fichier informatique est très fragile. Si l'on se place dans une perspective historique, la volonté des Etats d'identifier les individus apparaît constante, mais peut-être plus ou moins forte en fonction des époques et des situations politiques. Mais en tout cas, je considère que le fait de pouvoir identifier chaque individu par des caractéristiques physiques permanentes constituerait un saut qualitatif qui induit le fichage d'une population.

Alain WEBER

Il s'agit bien , en effet, d'un saut qualitatif. Lorsque vous utilisez une carte bancaire, vous faites appel à votre mémoire. En revanche, l'utilisation d'une carte d'identité biométrique renvoie à votre être. En outre, la technique rend l'information biométrique accessible à l'Etat, mais aussi à des personnes que vous ne connaissez pas et qui pourront en faire un usage que vous ignorez.

* * *

En conclusion, la Ligue des droits de l'homme est opposée à toute base centrale comprenant l'ensemble de la population dûment identifiée comme à toute forme de fichage généralisé. Avec l'adresse, cela reviendrait à créer un fichier de domiciliation, ce qui est inenvisageable. Enfin, et dans tous les cas, les personnes ne souhaitant pas disposer de la carte nouvelle ne devront se voir retirer aucun droit ; sinon, l'outil introduira, de fait, une discrimination.

Voir aussi ce compte-rendu au format PDF sur le site de la CNIL