Rapport ANSSI / DINSIC sur le fichier TES : une forte convergence avec l’avis de la CNIL

A la suite du débat public qui s’est noué après la parution du décret sur le fichier TES le 28 octobre 2016, le ministre de l’intérieur a missionné l’ANSSI et la DINSIC pour qu’elles procèdent à un audit de sécurité du système.

Cet audit conclut au fait que, si « les principes de conception du système TES sont compatibles avec la sensibilité des données qu’il contient », la sécurité globale du système est perfectible et que de nouvelles mesures de gouvernance, d’exploitation et de sécurité doivent être mises en place par le ministère de l’intérieur. Onze recommandations sont ainsi formulées.

Il démontre en outre que le système peut techniquement être détourné à des fins d’identification biométrique des personnes concernées, laquelle finalité n’est pas poursuivie par ce traitement qui ne prévoit que l’authentification. Il rappelle enfin que l’inviolabilité technique d’un système d’information ne peut être garantie de manière absolue et qu’il appartient donc à l’Etat de décider, au regard des risques résiduels liés à la mise en œuvre d’un tel fichier et de ses bénéfices escomptés, de l’opportunité de maintenir un tel système.

Cet audit rappelle enfin que "le devoir envers les citoyens de transparence sur les usages, la nécessité de privilégier des principes d'architecture garantissant le respect de la vie privée dès la conception (privacy by design), les contrôles et la traçabilité sont d’autant plus forts que les services émanent de la puissance publique, qu’ils concernent des démarches rendues nécessaires par la loi ou l’organisation du service public et que les traitements gèrent des données personnelles".

La CNIL se félicite de la publication de ce rapport, qui nourrit le débat public qu’elle avait appelé de ses vœux dès son avis du 29 septembre 2016. Il conforte la position  de la Commission selon laquelle le passage par l'instrument législatif, vecteur naturel d'un débat national, aurait été hautement souhaitable.

La Commission  note que les travaux de l’ANSSI et de la DINSIC confirment largement la position et les interrogations de la CNIL sur l’architecture technique qu’elle avait formulées dans son avis précité.

Ils démontrent en effet que la décision de créer le traitement TES n’a pas été précédée des évaluations et des expertises suffisantes au vu de l’ampleur et de la sensibilité du traitement, notamment du point de vue des sécurités devant entourer ce système, ce que la CNIL avait regretté. De même, la CNIL avait rappelé que l’effectivité de l’interdiction, prévue par le décret précité, de procéder à des identifications biométriques des personnes suppose la mise en œuvre de mesures de sécurité strictes et un contrôle permanent des accès aux données ainsi que de leur utilisation. Or, ces mesures n’étaient pas assurées par le dispositif qui était présenté, notamment du fait de la possibilité d’utiliser ces informations dans le cadre de réquisitions judiciaires.

Dans la mesure où le gouvernement s'est engagé à suivre l’ensemble des recommandations proposées dans cet audit, ces observations de la CNIL seront prises en compte par le ministre de l’intérieur.

En outre, le ministre de l’intérieur s’est engagé à examiner la proposition de la Commission concernant les conditions de conservation dans la base des données biométriques sous forme de gabarits et non d’images.

La CNIL relève que l'audit a uniquement porté sur le traitement TES existant. Elle renouvelle sa demande d'une expertise complémentaire portant sur la solution alternative consistant en la conservation de ces données biométriques sur un support individuel exclusivement détenu par la personne.

En tout état de cause, ces recommandations et les engagements pris par le ministre de l’intérieur imposent de modifier substantiellement les conditions de mise en œuvre du traitement TES. La CNIL a d’ores et déjà été saisie, en décembre 2016, d’une modification du décret concernant les modalités de recueil des empreintes digitales. Ces nouvelles évolutions du système devront également être portées à sa connaissance et elle aura dès lors l’occasion de se prononcer sur l’ensemble des orientations finalement prises par le ministère de l’intérieur concernant le traitement TES.