Imaginons que je veuille me rendre, libre de toute identification, à une manifestation, un 6 octobre par exemple. Je quitte mon domicile avec un verrou mécanique ancien, je prends mon véhicule des années 90, j’utilise un vieux badge magnétique pour aller me garer dans un immeuble parisien. A aucun moment je n’ai été “tracé”. Suivant la loi, un agent pourra me demander ma carte d’identité … Rien de plus. Prenons le cas où, un peu plus “moderne”, je quitte mon domicile connecté avec mon badge d’alarme, je prends ma voiture récente connectée, je la gare en rentrant la plaque pour obtenir le ticket de stationnement … tout cela en ayant mon smartphone en réseau … A tout moment j’ai été moult fois géolocalisé et identifié de façon “forte” ou pas. Tout devenant objet connecté, chacun de ces systèmes a utilisé un moyen d’authentification propriétaire, non connecté à un système central ou unifié par un tiers. Le contenu de ces données privées peut seulement être accessible, à l’extérieur de la sphère fournisseur-client, par demande rogatoire d’un juge … si nécessaire …
Imaginons maintenant que les voitures anciennes soient désormais interdites de rouler sans système d’identification, du véhicule lui-même mais aussi de son conducteur … également que tous les systèmes pré-cités soient grandement invités, intéressés ou encore obligés d’adopter une solution unique d’authentification … celle de l’état …. que les routes, les rues, les couloirs de lieux communs soient équipés de caméras d’identification … comme en Chine … Cette fois là tout événement de déplacement, d’utilisation du service sera connu par un seul acteur … l’état.
Voilà tout l’enjeu sous-jacent de France Connect ou plutôt, maintenant, d’ALICEM, son extension mobile.
France Connect est connu des usagers des services de l’état, entre autre, par le mode de connexion proposé lorsque l’on effectue sa déclaration d’impôts. Il y a aujourd’hui plus de 12 millions de français inscrits à ce service de l’état. C’est un choix de l’usager.
ALICEM est un dispositif d’identification basé sur la reconnaissance morphologique et l’IA. Ce sera un service proposé aux acteurs publics et privés à l’image de France Connect.
ALICEM est un moyen d’authentification par biométrie faciale disponible sur smartphone – mobile (d’où son acronyme …). A court terme, l’application ne sera disponible que sur Android faute d’accord sur iOS d’Apple. Voté en mai 2019, il serait “testé” dès novembre de cette année. C’est une solution développée par GEMALTO du groupe THALES.
La carte d’identité physique, comme nous la connaissons, à l’ère du numérique, est certes un outil dépassé. Des procédures liées à la CAF, à l’Assurance Maladie, aux titres de séjour, aux passages de diplômes demandent des moyens infaillibles. On peut aussi se féliciter que l’état français garde sa souveraineté sur l’émission de l’identité sans penser à déléguer cette tâche à un GAFA … de surcroit un service non national … mais … l’excès technique de cette authentification “forte” lève des doutes sur son utilisation, la conservation des données et son périmètre d’obligation s’il devenait majoritaire et systématique pour des actes courants de la vie …
Même la CNIL a pointé ce nouveau procédé lors du décret émis en mai 2019, en raison de l’éventuelle impossibilité d’avoir une alternative pour refuser ce service (lié aux droits d’autorisation d’accès, de rectification et d’effacement de ses données personnelles applicables par la RGPD depuis mai 2018). L’association “Quadrature du net” a également déposé un recours en juillet 2019 pour soulever les dérives d’ALICEM. Le Ministre de l’Intérieur, précise bien, dans l’avant-propos de son rapport sur l’ “Etat de la menace liée au numérique en 2019”, que “La liberté, justement, voilà tout le paradoxe d’internet. L’anonymat protège tous ceux qui répandent des contenus haineux et permet à des faux-comptes de se multiplier pour propager toutes sortes de contenus. Nous ne pouvons pas laisser les publications illicites se multiplier”. Le Ministre se garde bien de préciser ce que sont les publications illicites ? La révélation d’un scandale ? Des éléments d’un lanceur d’alerte ? Là est tout le problème. Frédéric O, secrétaire d’Etat au Numérique, est lui plus conscient des dérives possibles et propose la création d’une instance de supervision en coordination avec la CNIL. En son sens “l’Etat doit se protéger de lui-même …”, c’est tout dire …
En ce qui concerne donc son expérimentation, dès novembre, il semble qu’il y ait temporisation pour que les députées Paula Forteza (LREM) et Christine Hennion (LREM) s’emparent du sujet pour le compte de l’Assemblée nationale et ce, plus globalement sur l’identité numérique Rappelons aussi que viendra bientôt la disparition de la monnaie physique, toute transaction monétique numérique demandant une identification certifiée, cette aubaine d’authentification forte risque d’être universalisée pour l’ensemble de nos paiements … la boucle sera bouclée autour de l’individu. San Francisco, que l’on ne peut pas qualifier de ville dépassée par la révolution numérique, a, très tôt, identifié les dérives possibles de tels systèmes morphologiques uniques sur la liberté des citoyens et en a limité son recours. Ce n’est donc pas l’outil, disruptif, novateur, sécurisé (quoique …) qui pose problème mais c’est son usage qui doit rester librement cadré.
Pointons les biais possibles d’un tel système :
– Généralisation à tout acte de la vie courante de notre identification forte alors que ce n’est pas le cas aujourd’hui. Maintenant, volontairement ou à notre insu (caméras publiques), chaque acte de notre vie risque d’être tracké, accrédité par ce service : rentrer dans son immeuble, ouvrir sa porte de domicile, ouvrir son poste de télévision ou la session de son ordinateur, mettre un commentaire sur un site, sur tweeter, prendre une place de parking ou pénétrer dans le métro, défiler lors d’une manifestation, prendre le bus, rentrer avec ses enfants dans une école, aller au restaurant, commander, payer avec sa carte par internet ou son smartphone chez le boulanger. Le risque devenu permanent d’attentat ne peut justifier tout cela.
– Si des logs / journaux techniques sont nécessaires pour ce type de service informatique, comment seront-ils stockés, purgés, interdits d’être exploités …
– Si notre accord de ces données personnelles est donné puisqu’on veut utiliser des services qui ne donneront pas d’autres choix (entreprises publiques entre autres mais pas que), notre accord RGPD donné sera –t-il un package complet qui permettra l’utilisation de ces données de tracking de mobilité et de pratique de nos habitudes, vices, comportements répréhensibles assimilés comme liker un article ou un tweet …
– Tout pourra donc être connu d’un individu : ses habitudes, ses goûts, ses consommations, ses travers…
Autres sujets connexe capital : quels sont les composants physiques et informatiques de ce service régalien de la France ? Sont-ils issus de technologies étrangères ? Il conviendra d’étudier toutes les dépendances techniques sous-jacentes. Rappelons qu’IDEMIA (ex MORPHO du groupe SAFRAN ex français SAGEM) a été racheté par le fond américain EDVENT INTERNATIONAL déjà racheteur d’OBERTHUR (les cartes à puces …) en 2016. THALES-GEMALTO, en charge d’ALICEM, est, encore aujourd’hui, contrôlé par l’Etat français. Les chinois se voient imposer un système de crédit social à points amenant les récalcitrants à une déchéance sociale ou à des interdictions comme celle de voyager … de se connecter anonymement à internet… d’ici 2021, plus de 400 millions de caméras morphologiques traqueront les citoyens chinois pour repérer (tous) leurs faux pas.
Notre occident n’est pas aussi naturellement adhérent à cela que peut l’être l’Orient, la Chine baignée par le confucianisme qui prône la vertu collective depuis des millénaires… justement. Alors que pour des raisons généalogiques, des sociétés étrangères collectent à la pelle notre ADN, les romans et séries dystopiques sont à l’honneur (les classiques : Le Meilleur des Mondes, Fahrenheit 451, 1984, Black Mirror …). Va-t-on réellement vers une “citadelisation” de notre monde, un monde clos hyper aseptisé et un tiers-monde largué. Si les douves (frontières nationales, Europe / Afrique-Moyen / Orient) ont sauté, que nous réserve l’avenir pour rendre acceptable ce monde abominable chez nous avec un extérieur théâtre de liberté débridée contre réactionnaire à un ordre lui-même tout autant létal ? Préoccupant.
En toute vigilance et conscience des dérives liées à de tels moyens, DEBOUT LA FRANCE propose donc 7 points d’attention pour cadrer une mise en exploitation d’ALICEM et de ce type de service pour que :
1. Les conditions d’acceptation initiale de ce service soient claires, exhaustives, parfaitement conformes à la RGPD, sans aucune information floue quand au stockage (qui, où), à la purge des données (quand) et à l’éventuelle utilisation basique ou évoluée de ces datas (même par pseudonymisation)
2. Ce système soit totalement décorrélé de toute nécessité récurrente et d’accès libre par le Ministère de l’Intérieur pour ses luttes contre la fraude, le crime, les déviances …
3. Le périmètre de ce système soit totalement transparent et étanche avec une entité de l’Union Européenne pour rester un système totalement souverain.
4. Ce service reste uniquement requis que pour un nombre limité d’accès (passage en préfecture, contrôle de police, passage d’un diplôme d’état, …) demandant une absolue identification de l’individu. Pour tous les autres, une alternative doit être proposée obligatoirement.
5. Les applicatifs, brevets, licences impliquées dans ce système soient protégés de toute cession à des tiers, américains et asiatiques en particulier, européens même, ce sont des données nationales souveraines. Idem pour le stockage en cloud ou datacenter qui ne doit pas être opéré directement ou indirectement par des forces étrangères. L’état français et son écosystème est bien entendu capable de développer des solutions protégées sans dépendre de technologies propriétaires qui peuvent échapper à sa gouvernance totale. Est en jeu, le cœur le plus intime des données personnelles de ses citoyens.
6. Les logs soient purgés et qu’aucune exploitation de type « big data » ne puisse être faite ni par l’Etat, ni par un tiers sous-traitant de l’Etat, c’est même un principe dans le cœur de la RGDP. Même une donnée minimale de transaction permet donc de lier un individu et un service.
7. Enfin, toutes les ressources humaines d’exploitation de ce système soient des agents assermentés, avec une absence idéale de sous-traitance (étrangère).
Oui, l’état se redéfinit bien régalien mais ici en excès … atteignant même l’intimité du citoyen … si son rôle est bien, entre autre, de protéger la communauté, s’agirait-il aussi du vœu d’aller jusqu’à protéger l’individu de lui-même ? De quel droit ! Lors de la cérémonie d’hommage aux victimes de la Préfecture de Paris, Emmanuel Macron a dit qu’il voulait une “Société de la Vigilance” … ciblé contre les uns, apparemment, que cette vigilance accrue ne soit pas un subterfuge à mettre derrière nous tous un vigile omniprésent et invisible … Alors, soyons vigilants et résistants ! C’est le moment car pour certaines mesures on revient rarement en arrière et ce sera alors une perte irrémédiable de notre Liberté individuelle.
Lionel Mazurié
Délégué national au numérique
