EXPOSÉ GÉNÉRAL
Mesdames, Messieurs,
Le Sénat est appelé à examiner en nouvelle lecture, après l'Assemblée nationale, la proposition de loi relative à la protection de l'identité, présentée par nos collègues Jean-René Lecerf et Michel Houel.
Cette nouvelle lecture intervient après l'absence d'adoption conforme par les deux chambres des conclusions de la commission mixte paritaire.
Cette dernière était pourtant parvenue à établir un texte commun sur l'unique article restant en discussion (article 5), en reprenant le dispositif proposé par le Sénat.
Toutefois, le Gouvernement a souhaité que l'Assemblée nationale, qui avait été saisie la seconde de ce texte d'origine sénatoriale, examine, en premier, le texte résultant des travaux de la commission mixte et il a proposé aux députés d'adopter un amendement inversant totalement le sens des conclusions de la commission mixte paritaire, puisqu'il rétablissait le texte de l'Assemblée nationale pourtant écarté par la majorité des membres constituant la CMP.
Le Sénat, contraint de se prononcer par un même vote sur l'amendement et le texte, les a rejetés, afin, comme l'y invitait le rapporteur de la commission mixte paritaire, notre collègue, Mme Virginie Klès, de réaffirmer son attachement au système du « lien faible » qu'il défend depuis le début de l'examen de cette proposition de loi.
|
Les fichiers dits à « lien faible » et les fichiers à « lien fort » Dans son principe, le dispositif des fichiers à « lien faible » consiste à associer un même numéro, compris par exemple entre 1 et 6 000, à l'identité et aux empreintes d'une personne, sans créer de lien direct entre l'identité et les empreintes. Sur une population de 60 millions de personnes, chaque numéro correspondrait à 10 000 personnes. Une empreinte renvoie donc à un numéro, qui renvoie lui-même à 10 000 noms 1 ( * ) . Ainsi, tout se passe comme si 10 000 empreintes étaient rangées dans un tiroir portant un numéro de 1 à 6 000, les 6 000 identités correspondant dans un second tiroir portant le même numéro, et les 10 000 visages dans un troisième tiroir portant lui aussi le même numéro. Il y a alors deux façons de constituer la base : - attribuer les numéros au hasard, ce qui est l'option la plus simple. Celle-ci ne présente aucune difficulté technique et n'est, pour cette raison, pas susceptible de faire l'objet d'un brevet ; - créer les numéros à partir des empreintes digitales des intéressés afin de rendre possible de recréer le bon numéro sur présentation de l'empreinte. Concrètement, il s'agit « d'écrire » l'empreinte sous la forme d'un unique nombre compris entre 1 et 1 milliard, et de ne retenir, pour l'inscrire dans la base, que les trois, quatre ou cinq derniers chiffres. Ceci évite qu'une image de l'empreinte soit enregistrée physiquement dans la base (en revanche elle l'est sur la carte d'identité). Ce dernier procédé a été breveté par la SAGEM. L'identification d'un individu par ses seules empreintes digitales à travers la base est impossible, puisqu'une série d'empreintes renvoie à 10 000 individus. En revanche, la détection d'une tentative d'usurpation d'identité est garantie à presque 100% puisque, dans une population de 60 millions de français, il y a très peu de chance que les empreintes du fraudeur soient dans le même « tiroir » que celle de la personne dont il tente d'usurper l'identité. Le dispositif des fichiers dits à « lien fort » consiste à associer de manière univoque une identité et une biométrie. Lorsque l'on connaît l'une on est donc en mesure de retrouver l'autre, ce qui permet l'utilisation de ce fichier pour retrouver l'identité d'une personne inconnue à partir, par exemple, de ses seules empreintes digitales. |
Examinant le texte en nouvelle lecture, les députés ont rétabli l'ensemble des modifications qu'ils lui avaient apportées, à l'initiative du Gouvernement, au cours de la deuxième lecture.
Ces modifications s'inscrivent certes dans le sens défendu depuis le début par le Sénat : accepter la constitution d'un fichier biométrique pour la lutte contre l'usurpation d'identité, mais réserver son usage à cette seule lutte contre l'usurpation d'identité.
Sans doute la décision du Conseil d'État relative au passeport biométrique 2 ( * ) ainsi que les prises de position de la CNIL le 25 octobre 2011 ne sont pas étrangères à cette inflexion récente de la position du Gouvernement et des députés.
Pour autant, même ainsi amendé, le texte issu des travaux de l'Assemblée nationale reste inconciliable avec les principes qui ont guidé le Sénat dans l'examen de cette proposition de loi.
En effet, la création d'un fichier biométrique de la totalité de la population française, fichier inédit « des gens honnêtes », impose au législateur, compte tenu des risques phénoménaux qu'un mésusage ferait courir à l'ensemble de nos concitoyens, de l'assortir de garanties absolues et inaltérables.
Or, à la quasi unanimité, les sénateurs ont souhaité apporter, avec le dispositif du « lien faible » des garanties définitives et irréversibles, tandis que la majorité à l'Assemblée nationale s'est contentée, en rétablissant son système de « lien fort » de garanties légales, dont on sait, avec l'exemple du fichier national automatisé des empreintes génétiques (FNAEG), qu'en matière de fichiers, elles se lèvent facilement, morceau par morceau.
Il convient, par conséquent, de revenir à la rédaction proposée par le Sénat et la commission mixte paritaire. Elle seule prend en compte les risques que présente ce fichier de soixante millions de français, et permet, en y apportant la meilleure garantie qui soit, d'en tirer pleinement parti pour lutter contre l'usurpation d'identité, son unique objet.
I. LES GARANTIES PROPOSÉES PAR L'ASSEMBLÉE NATIONALE DEMEURENT INSUFFISANTES COMPTE TENU DE LA NATURE DU FICHIER MIS EN PLACE
A. LA PRISE EN COMPTE PARTIELLE, PAR LES DÉPUTÉS, DES RISQUES DE MÉSUSAGE DU FICHIER
À l'initiative du Gouvernement, les députés ont adopté en deuxième lecture et rétabli lors de leur examen des conclusions de la CMP et en nouvelle lecture, un ensemble de dispositions supprimant le système du « lien faible » mis en place par le Sénat, pour revenir à un « lien fort », établissant une corrélation univoque entre les données d'état civil d'un individu et ses données biométriques enregistrées dans le fichier central.
Ils ont assorti ces dispositions de garanties juridiques censées réserver l'usage de la base centrale à la seule lutte contre l'usurpation d'identité.
À cette fin, ils ont précisé que l'identification d'un individu par les empreintes digitales contenues dans la base ne serait possible que :
- pour l'établissement des titres d'identité ou de voyage ;
- la poursuite de certaines infractions liées à l'usurpation d'identité ;
- sur réquisition du procureur de la République pour établir l'identité d'une personne décédée inconnue dans une catastrophe naturelle ou un accident collectif.
L'interconnexion des données biométriques de la base centrale avec tout autre fichier nominatif serait aussi interdite.
La liste des infractions relatives à l'usurpation d'identité, pour lesquelles la consultation de la base serait autorisée, soit sous le contrôle du procureur de la République, en cas de crime ou délit flagrant (article 55-1 du code de procédure pénale) ou dans le cadre d'une enquête préliminaire (article 76-2 du même code), soit sous celui du juge d'instruction, dans le cadre d'une commission rogatoire (article 154-1 du même code), comprendrait :
- l'usurpation d'identité proprement dite (article 226-4-1 du code pénal) ;
- l'escroquerie en général (article 313-1 et 313-2 du même code) ;
- le délit de révélation de l'identité d'un agent des services spécialisés de renseignement (article 413-13 du même code) ;
- le délit de substitution de nom dans un document officiel (article 433-19 du même code) ;
- l'usurpation d'identité lorsqu'elle peut conduire à l'engagement de poursuite pénale contre la victime (article 434-23 du même code) ;
- le faux, la détention et l'usage de faux, y compris dans une écriture publique (articles 441-1 à 441-4 du même code) ainsi que l'obtention indue de documents administratifs la déclaration mensongère ou l'usage, l'attestation ou l'établissement de certificats inexacts ou falsifiés (articles 441-6 et 441-7 du même code) ;
- l'usurpation d'identité dans le cadre d'infractions routières ou pour la communication d'information relative au permis de conduire ou à la circulation des véhicules (articles L. 225-7, L. 225-8 et L. 330-7 du code de la route), ainsi que la déclaration de fausse identité ou de fausse adresse aux agents assermentés chargés de constatés les infractions en matière de police du transport ferroviaire (article L. 2242-5 du code des transports) ;
- la délivrance d'extraits du casier judiciaire d'un tiers ou leur modification par l'usage d'un faux nom ou d'une fausse qualité (article 781 du code de procédure pénale).
L'utilisation de la base de données devrait être, sous peine de nullité, mentionnée et spécialement motivée au procès-verbal.
Une mention ajoutée à l'article 55-1 du code de procédure pénale exclurait les recherches d'identification à partir des traces de personnes inconnues (à l'exception de l'identification d'une personne décédée inconnue, expressément prévue par la présente rédaction de l'article 5 de la proposition de loi).
Enfin, le texte proposé par l'Assemblée nationale prévoit explicitement que l'identification d'une personne à partir de ses empreintes digitales puisse avoir lieu sans son assentiment, au titre des actes d'instruction qui peuvent être accomplis par l'officier de police judiciaire avec l'autorisation expresse du juge d'instruction.
L'ensemble de ses limitations d'accès ou d'utilisation de la base centrale ne concerne que l'identification par les empreintes digitales et ne porte pas sur les autres données enregistrées dans le fichier central.
Prenant en compte l'annulation, par la décision du Conseil d'État précitée, de la disposition du décret n° 2008-426 du 30 avril 2008 modifiant le décret n° 2005-1726 du 30 décembre 2005 relatif aux passeports électroniques, qui prévoyait l'enregistrement et la conservation dans la base centrale des huit empreintes du demandeur de titre, les députés ont modifié l'article 5 de la présente proposition de loi, à l'initiative du Gouvernement, pour préciser que seules les deux empreintes inscrites sur la carte d'identité biométrique devraient être conservées dans la nouvelle base centrale. Cette modification aurait dû s'accompagner, par coordination, d'une modification à l'article 2. Il n'en a rien été.
* 1 Ce dispositif a notamment été exposé par M. le Pr Ari Shamir, lors de la 31 e conférence des commissions de protection des données personnelles et de la vie privée (réunion des CNIL mondiales) à Madrid en novembre 2009.
* 2 CE, n° 317827, 26 octobre 2011,