France

60 millions de «fichés», un seul «responsable» pour les protéger

Jean-Marc Manach, mis à jour le 16.11.2016 à 5 h 34

L'Agence nationale des titres sécurisés conserve des centaines de millions de données personnelles des plus sensibles, mais c'est d'abord et avant tout un «call center», externalisant nombre de ses missions auprès du secteur privé.

Adaptation de  «Do Not Cross» de James Bowe via Flickr License CC

Adaptation de «Do Not Cross» de James Bowe via Flickr License CC

Qui est «responsable» de la protection de vos données et de les garder secrètes? Ou plutôt, qui est responsable de la protection de ce «fichier monstre» qui fait débat depuis quelques semaines, validé par le gouvernement et le Conseil constitutionnel, qui devrait réunir les centaines de millions de données personnelles des citoyens français, et en contient déjà 24 millions?

Une seule et unique personne.

Le «pôle sécurité» de l'Agence nationale des titres sécurisés (ANTS), chargé de sécuriser ces quantités colossales de données personnelles collectées pour la délivrance des passeports biométriques, cartes grises et d'identité, visas & Cie, n'est composé que «d'un seul agent», épaulé par deux entreprises privées... où travaillait précisément ledit agent.

Une étrange perception de la sécurité des Français

Onze jours après l’officialisation, par décret, pendant le week-end de la Toussaint, de la création d'un «fichier monstre» censé, à terme, ficher les identifiants biométriques (photo, empreintes digitales –entre autres) des 60 millions de Français titulaires de passeports et de cartes nationales d'identité, Bernard Cazeneuve vient d'annoncer, d'une part que «le refus du recueil des empreintes n'empêchera pas la délivrance du titre», d'autre part que «pour garantir la sécurité absolue du système informatique, le dispositif ne sera déployé sur l’ensemble du territoire qu’après que l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) aura homologué la sécurité du système et des procédures par un avis conforme».

Un avis attendu avec d'autant plus d'impatience que ce fichier TES des «Titres Electroniques Sécurisés» compte d'ores et déjà les identifiants biométriques de près de 24 millions de Français détenteurs de passeports biométriques d'après le site de l'ANTS, 29 millions d'après le ministère de l'intérieur.

Or, une petite annonce, publiée en septembre dernier par l'Agence nationale des titres sécurisés (ANTS), l'administration, sous tutelle du ministère de l'intérieur, chargée de «garantir et protéger l'identité des personnes», vient nous révéler que son «pôle sécurité», censé protéger les centaines de millions de données personnelles collectées à cet effet (dudit fichier TES aux titres de séjour et des visas, en passant par les permis de voiture et cartes grises), «ne compte qu'un seul agent», ladite petite annonce visant précisément à le doter d'un «adjoint», avec «prise de poste impérative en décembre 2016».

Interrogé aux Assises de la sécurité de Monaco, en octobre dernier, pour savoir s'il avait les moyens de mener à bien la stratégie sécurité de l'ANTS, ledit responsable de la Sécurité des Systèmes d’information (RSSI) de l'ANTS répondait qu'«aujourd'hui je les ai, parce que l'agence est en pleine restructuration: la direction a pris partie intégrante de la sécurité, ce qui n'a pas été forcément le cas les autres années» (sic).


Le fait de lui recruter un adjoint doublera certes les effectifs dudit «pôle sécurité» de l'ANTS, mais au vu du volume de données traitées et conservées par l'ANTS, de leur sensibilité, de l'ampleur des tâches à effectuer, le fait d'apprendre qu'ils ne seraient que deux pour coordonner la sécurité de ces millions de données n'est pas non plus particulièrement rassurant.

Le RSSI, comme il l'explique dans l'interview, doit en effet (et entre autres) faire de la veille technologique (de sorte de s'informer sur l'évolution des technologies, des failles de sécurité et des nouveaux types d'attaque, des façons de s'en protéger), s'assurer de «la conformité à l'ensemble des normes» (nationales, européennes et internationales), mais également piloter, contrôler et coordonner le travail des équipes chargées, concrètement, de collecter, traiter, archiver et sécuriser les données collectées, de sorte «d'être à l'état de l'art, voire même novateur»...

En l'espèce, la fiche wikipedia consacrée aux RSSI précise qu'ils sont «notamment» chargés de la sensibilisation des utilisateurs aux problèmes de sécurité (physique, logique, des réseaux, des systèmes, des télécommunications et des applications), de la stratégie de sauvegarde des données, mais aussi de la mise en place d'un plan de continuité d'activité (et de récupération des données) en cas de sinistre.

En off, un responsable de l'ANTS nous confirme que son «pôle sécurité» ne compte à ce jour, et de fait, qu'un seul «agent», mais que les différents projets et chantiers de l'agence n'en comptent pas moins leurs propres experts sécurité, travaillant au sein de l'ANTS, auprès de ses prestataires privés ou au sein du ministère de l'intérieur, et que la situation est donc plus complexe que cela.

Il n'empêche: l'ANTS, créée en 2007, a donc attendu fin 2016 pour doter son responsable de la sécurité des systèmes d'information d'un «adjoint», et ils ne seront donc que deux à superviser la sécurisation des centaines de millions de données personnelles que nous confions au ministère de l'intérieur...

«Garantir et protéger l'identité des personnes»

Établissement public administratif placé sous tutelle du ministère de l’Intérieur créé en 2007, l'ANTS se présente elle-même comme étant «au cœur de la vie des citoyens», dans la mesure où elle «accompagne chacun d'entre nous au quotidien dans ses démarches et ses déplacements (...) garantit et protège l'identité des personnes (et) contribue à la sécurité publique sur le territoire en assurant la délivrance et le contrôle des titres sécurisés», qu'il s'agisse des passeports biométriques, des titres de séjour et des visas, des permis de voiture (et bateau) et cartes grises, ainsi que des cartes des agents de l'administration. Elle conserve donc des centaines de millions de données personnelles des plus sensibles.

Cette Agence nationale des titres sécurisés est d'abord et avant tout un «call center»: elle ne compte que 109 employés, dont plus de la moitié travaillent dans son centre d'appel

Pour autant, cette Agence nationale des titres sécurisés est d'abord et avant tout un «call center»: elle ne compte en effet que 109 employés, dont plus de la moitié travaillent dans son centre d'appel, chargés de répondre tant aux particuliers, professionnels, préfectures que mairies (715 000 appels reçus en 2014, plus d'1M en 2015), qui bénéficiera l'an prochain de 20 équivalents temps-plein supplémentaires. Son organigramme ne mentionne pas ledit responsable de la Sécurité des Systèmes d’information, et seuls 2% de son budget de 223 millions d'euros sont consacrés aux dépenses de personnel: 70% va dans la production et l'acheminement des titres, l'ANTS externalisant nombre de ses missions auprès du secteur privé.

Thales, avec le soutien d’Orange Business Services, avait ainsi remporté, en 2013, le marché du maintien en condition opérationnelle du système d’acquisition biométrique des passeports biométriques, faisant de Thalès le «leader sur le marché identitaire en France, n°1 des systèmes biométriques civils sur le marché français», dans la mesure où elle assiste aussi depuis 20 ans l’État français dans la production de la carte d’identité nationale, et qu'elle a développé le logiciel de capture de la photographie et des empreintes digitales dans les titres de séjour électroniques des étrangers résidant en France, le système de stations de recueil et de transmission des données biométriques pour les demandes de visas Schengen ainsi que la conception et la réalisation du Système Biométrique National Grégoire, qui abrite les fonctions biométriques requises dans le cadre de la gestion du séjour des étrangers.

La consultation des marchés publics passés par l'ANTS en 2015 montre par ailleurs qu'elle a notamment dépensé plus de 5 millions d'euros dans le cadre du marché de dématérialisation de la numérisation, de l'archivage et du traiement des photos et signatures apposées sur le permis de conduire européen sécurisé, qu'avait emporté le groupe Jouve, qui se targue de pouvoir «contrôler en temps réel la conformité» des passeports, titres de séjour et cartes nationales d'identité.

Le groupe CGI, un spécialiste de l'«outsourcing» (externalisation, en VF), a de son côté reçu 4 millions d'euros de l'ANTS en 2015, afin (notamment) de l'assister dans le «pilotage opérationnel» de son pôle «titres régaliens»... et relevant donc de «souveraineté» de l'État. CGI est un prestataire privé habitué à travailler sur ce type de fichiers «sensibles» et «souverains»: il a notamment déployé l’outil d’analyse criminelle ANACRIM dans les unités de recherche de la Gendarmerie Nationale, réalisé un «moteur de recherche extrêmement flexible et puissant» permettant d'interroger le fichier du Traitement des Antécédents Judiciaires (TAJ) commun à la police et à la gendarmerie, «base de données criminelle enrichie» accessible par «150 000 utilisateurs» et fichant 40 millions de «victimes», mais aussi et surtout 12 millions de «personnes mises en causes» (soit un Français sur cinq), et donc potentiellement suspectes.

Un business juteux, qui a déjà donné lieu à deux marchés de 180 et 140 millions d'euros, remportés par Morpho, filiale de Safran, et Atos pour TES1, puis par Atos, Thalès, Orange et Bull pour TES2, et qui valut au préfet Bertrand Maréchaux, qui était alors le patron de l’ANTS, de perdre son poste pour avoir osé résister aux «pressions diverses et nombreuses» de Morpho et du ministère de l'Intérieur visant à maintenir la filiale de Safran dans la boucle. A en croire L'Obs, un 3e appel d'offres serait en préparation.

La consultation de ses marchés publics de l'ANTS révèle également que les entreprises Bull et Sopra Steria accompagnent l'ANTS depuis des années, notamment au travers de plusieurs marchés d'«assistance RSSI» (422.678,26€ en 2013, 279 820,50€ en 2014 et 124 820€ en 2015), prestation renouvelée en septembre dernier dans le cadre d'un marché étrangement passé d'un montant initial de 163 779.5€ à 832 500€ (HT). Des liens quelque peu consanguins: le responsable de la Sécurité de l'ANTS, nommé en mars 2016, avait préalablement rédigé, en 2014 et 2015, plusieurs documents d'«assistance à maîtrise d’ouvrage» (AMO) des politiques de sécurisation de l'ANTS, lorsqu'il était encore employé... de Bull, puis de Sopra Steria.

Quand Beauvau s'asseoit sur la CNIL

Non content de s'attirer les foudres de la CNIL, d'Axelle Lemaire et du Conseil national du numérique, j'expliquais aussi dans Libération que le «fichier monstre» avait été validé et planifié dès décembre 2015, alors que la CNIL ne fut saisie du projet de décret que fin juillet 2016. Depuis 2004, les avis de la CNIL ne sont plus que «consultatifs»: le gouvernement n'est plus obligé d'en tenir compte, juste de les publier au JO.

Nous révélions également que ce fichier visait aussi et surtout, et sous couvert de «dématérialisation» des procédures, à supprimer 1300 équivalents temps-plein dans l'administration préfectorale. De quoi donner du grain à moudre à la CNIL qui, depuis des années, n'a de cesse de répéter que «le principe même de la conservation dans une base centrale des images numérisées du visage et des empreintes digitales des demandeurs de passeport [et de cartes d'identité -NDLR] était disproportionné au regard de la finalité du traitement».

Le «fichier monstre» ne date pas de ce week-end de la Toussaint: il résulte d'un décret du Premier Ministre publié en 2008 et prévoyant le «recueil de l'image numérisée du visage et des empreintes digitales de huit doigts du demandeur», rendu soit-disant nécessaire par les dispositions d'un règlement du Conseil européen de 2004 obligeant les Etats membres à délivrer, au plus tard le 28 juin 2009, des passeports dotés de composants électroniques comportant les éléments biométriques précités.

Or, dans son avis, la CNIL avait alors rétorqué le Conseil Européen n'imposait pas ce décret, précisant que «le recueil de huit empreintes digitales, d'une part, et la conservation en base centrale de l'image numérisée de ces dernières ainsi que celle du visage du titulaire, d'autre part, ne résultent pas des prescriptions dudit règlement européen» mais également qu'elle lui semblait «disproportionnée»...

En novembre 2011, deux Toulousains obtenaient par ailleurs du Conseil d'État la censure du passeport biométrique, ou plus exactement la «conservation, dans un fichier centralisé, des empreintes digitales de huit doigts, au lieu des deux figurant dans le composant électronique du passeport», au motif que la collecte et la conservation «d'un plus grand nombre d'empreintes digitales que celles figurant dans le composant électronique ne sont ni adéquates, ni pertinentes et apparaissent excessives au regard des finalités du traitement informatisé».

Restait alors à l'Agence nationale des titres sécurisés (ANTS), en charge du fichier TES, à détruire les 40 millions d'empreintes surnuméraires des 6,3 millions de détenteurs de passeports biométriques de l'époque. La journaliste Camille Polloni avait alors narré le parcours kafkaien que devait traverser toute personne désirant faire valoir la destruction de ces données.

En avril 2012, le gouvernement publiait un nouveau décret limitant à deux le nombre d'empreintes digitales collectées et conservées dans la base de données, ce à quoi la CNIL rétorquait, de nouveau, que «le principe même de la conservation dans une base centrale des images numérisées du visage et des empreintes digitales des demandeurs de passeport était disproportionné au regard de la finalité du traitement».

Saisi par cinq citoyens désireux de voir détruire les images illégales de leurs empreintes digitales conservées dans le fichier, le Tribunal de grande instance de Paris découvrait, en mai 2012, que le ministère de l'intérieur, évoquant «la difficulté de trouver un prestataire» pour répondre à un «marché notifié en mars 2012», conservait toujours près de 36 millions d’empreintes digitales, en toute illégalité. Mais également qu'il continuait à prendre les images de huit empreintes digitales afin de n'en conserver que les deux meilleures...

Saisis de plusieurs plaintes, la CNIL décidait de vérifier, en janvier 2013, «la réalité de l'effacement des empreintes digitales surnuméraires collectées», et constatait que «depuis novembre 2011, seules 2 empreintes sur les 8 collectées sont effectivement enregistrées dans la base de données (et que) la totalité des données biométriques surnuméraires a été effacée de la base de l'ANTS le 17 octobre 2012».

Le problème du «fichier monstre» n'est donc pas tant qu'il pourrait ficher, à terme, 60 millions de Français, mais qu'il contienne d'ores et déjà les visages et empreintes digitales de près de 30 millions de détenteurs de passeports biométriques, à l'encontre des avis répétés de la CNIL, depuis des années. Mais également que, depuis 2004, le gouvernement n'est plus tenu de prendre en compte les avis de la CNIL. Et enfin que ce fichier relève d'une logique administrative, sinon technocratique, visant tout à la fois à supprimer 1300 emplois dans la fonction publique préfectorale, tout en n'embauchant qu'un seul agent, en interne, pour superviser la sécurité des centaines de millions de nos données personnelles que nous confions au ministère de l'intérieur, et qu'il sous-traite à des entreprises privées.

Jean-Marc Manach
Jean-Marc Manach (11 articles)
En poursuivant votre navigation sur ce site, vous acceptez l’utilisation de cookies pour réaliser des statistiques de visites, vous proposer des publicités adaptées à vos centres d’intérêt et nous suivre sur les réseaux sociaux. > Paramétrer > J'accepte