Ce dimanche 31 décembre 2023, le ministère de l'Intérieur a publié l'avis d'attribution d'un accord-cadre de « refonte et maintenance de la partie française du système EURODAC (PFSE) », le système automatisé de reconnaissance d'empreintes digitales de l'Union européenne.

Initialement estimé à 7M€, le marché a été attribué, le 27 décembre dernier, à hauteur du montant maximum autorisé, soit 14,1 M€, à la société de conseil en transformation numérique Sopra Steria. Un coût deux fois plus important, tout comme l'est celui du marché des capteurs d'empreintes digitales attribué, lui aussi rendu public ce dimanche 31 décembre, au leader mondial de la biométrie Idémia.

• L'Intérieur achète plusieurs milliers de capteurs nomades d'empreintes digitales pour 56M€

Le Cahier des clauses techniques particulières (CCTP, expression officielle désignant le cahier des charges) précisait que le système devra, « le moment venu, prendre en compte les exigences issues d’Eurodac III dont les dispositions sont en cours de négociation », et donc prévoir :

• l'inclusion des images faciales et des documents d’identité scannés ou tout autre document facilitant l’identification,
• de permettre une validation des résultats à l’aide des images faciales en plus des empreintes,
• de permettre la collecte de données supplémentaire par les services signalisateurs,
• des potentialités d’interfaçage avec d’autres applicatifs pour optimiser le suivi et le traitement des demandes de consultation indirecte,
• d'abaisser l’âge d'enregistrement des mineurs « à partir de six (6) ans (augmentation du nombre de données collectées) », contre 14 ans actuellement.

En annexe, une présentation de l’analyse règlementaire d'Eurodac III évoque également un « enregistrement obligatoire de l'image faciale », l'enregistrement de nouvelles données biographiques, y compris des RPT (pour « ressortissants de pays tiers ») « admis conformément à un programme national de réinstallation » ou « enregistrés aux fins d'une procédure d'admission », des « comparaisons réalisées entre et pour toutes les catégories d’individus », l'augmentation de la durée de conservation des données, une « restriction de la suppression anticipée des données », la « possibilité de recourir à des sanctions relatives à l’obligation du relevé biométrique », et le « transfert possible des données à un pays tiers à des fins de retour ».

Un « amalgame effrayant entre migration et criminalité »

« L’UE n’a cessé d’étendre la portée, la taille et la fonction d’EURODAC » (pour European Dactyloscopy), déploraient en décembre dernier une centaine d'ONG, dont Access Now, AlgorithmWatch, le Chaos Computer Club, European Digital Rights (EDRi), la Ligue des droits de l’Homme (LDH), Privacy International et Statewatch.

Créé en 2003 pour mettre en œuvre le système de Dublin et enregistrer le pays responsable du traitement des demandes d’asile, le fichier « est en train de se transformer en un outil de surveillance étendu et violent qui traitera les personnes en quête de protection comme des suspects de crime, y compris des enfants de six ans dont les empreintes digitales et les images faciales seront intégrées dans la base de données », soulignent les signataires.

Après une première réforme en 2013 permettant à la police d’accéder à la base de données, elles relèvent que « l’UE continue de séparer EURODAC de son programme en matière d’asile pour le présenter comme un système poursuivant des “objectifs plus larges en matière d’immigration” ».

« Abaisser le seuil de collecte des données à l’âge de six ans »

La réforme, annoncée en 2020 dans le Pacte européen sur les migrations, propose également d’inclure les images faciales dans la base de données, mais aussi d’ « abaisser le seuil de collecte des données dans le système à l’âge de six ans, d’allonger les périodes de conservation des données et d’assouplir les conditions de consultation de la base de données par les forces de l’ordre ».

La refonte facilitera en outre l'interconnexion d'EURODAC à d’autres bases de données européennes existantes sur les migrations et celles de la police, « ce qui entraînera une augmentation du profilage racial », d'autant que « ces mesures assimilent injustement les demandeurs d’asile à des criminels ».

Évoquant « un amalgame effrayant entre migration et criminalité et un instrument de surveillance incontrôlable », les signataires s'inquiètent aussi de voir que « l’extrême droite anticipe déjà la prochaine étape, en demandant la collecte d’ADN ».

Les Nations Unies avaient sonné l'alarme dès 2018

« La contrainte exercée sur des enfants pour obtenir des empreintes digitales et des images faciales n'est jamais acceptable », avait de leur côté déclaré plusieurs organisations de la société civile et des Nations Unies en 2018.

Fait suffisamment rare pour être souligné, la déclaration commune (dont l'image de tête de cet article est issue) était signée par le Haut commissariat aux Réfugiés (HCR), l'UNICEF, le Bureau régional du Haut-Commissariat des Nations unies aux droits de l'homme (HCDH) pour l'Europe, l'Organisation internationale des migrations (OIM), Save the Children, Missing Children Europe, Terre des Hommes, ou encore Caritas Europe.

Les signataires se disaient « préoccupés par le fait que les institutions européennes discutent activement de la possibilité pour les autorités nationales de recourir à la coercition pour obtenir les empreintes digitales et les images faciales des enfants ».

Ils rappelaient que l'Agence européenne des droits fondamentaux et les orientations du Comité des droits de l'enfant des Nations Unies avaient souligné que « la collecte et l'utilisation de données sur les enfants ne peuvent être justifiées que si elles poursuivent un objectif clair de protection de l'enfance ».

Ils estimaient que, a contrario, « même lorsqu'elle est appliquée dans un objectif de protection de l'enfance, la contrainte exercée sur des enfants, de quelque manière ou sous quelque forme que ce soit, dans le contexte de procédures liées à la migration, viole les droits de l'enfant, que les États membres de l'UE se sont engagés à respecter et à faire respecter ».

+ 63 % de données fichées,+ 231 % de recherches policières

Eu-LISA, l’agence européenne qui gère les fichiers et « systèmes informatiques à grande échelle », précise qu'EURODAC « est utilisé par 31 pays : 27 États membres de l'UE et 4 pays associés (Islande, Norvège, Suisse et Liechtenstein) ».

L’ « agence européenne pour la gestion opérationnelle des systèmes d'information à grande échelle au sein de l'espace de liberté, de sécurité et de justice », de son vrai nom, relevait en août 2023 que le nombre de données transmis est passé de moins d'un million en moyenne depuis 2019 à 1,48 millions en 2022, soit une progression de + 62 % par rapport à la période pré-Covid19.

Le volume de données transmis quotidiennement est quant à lui passé de 3 400 à 5 000 jeux de données de personnes fichées et ce, malgré le départ de la Grande-Bretagne suite au Brexit.

Un précédent rapport, datant du mois de mai, rappelait qu'EURODAC avait atteint un record de près de 2 millions de « transactions » en 2015, du fait de la crise migratoire ayant entraîné un afflux de demandes d'asile, en Allemagne notamment.

L'agence notait que l'augmentation enregistrée en 2022 était dûe à « une combinaison de facteurs, dont la guerre en Ukraine ».

Elle soulignait par ailleurs que les demandeurs d'asile représentaient 64 % des données enregistrées (+ 86 % par rapport à 2021), contre 23 % de TCN (pour « Third Country Nationals », non-ressortissants de l'UE) fichés pour « présence illégale » dans un pays membre de l'UE (+ 59 %), 13 % de TCN fichés pour « franchissements illégaux de frontières européennes » (+ 45 %), et 0,1 % seulement relevant des recherches effectuées par les forces de l'ordre (+ 231 %).

Le fichier des empreintes digitales connecté au casier judiciaire...

En juin 2022, Next avait par ailleurs révélé que les ministères de l'Intérieur et de la Justice cherchaient également un prestataire pour interconnecter le Fichier automatisé des empreintes digitales (FAED) et le Casier judiciaire national (CJN), mais également à élargir leurs interconnexions avec d'autres fichiers de police ou judiciaires européens.

Le FAED comportait alors 6,7 millions de personnes « enregistrées », mais également 8,5 millions d'identités « recensées », ainsi que 14,9 millions de signalisations recensées, et qu'il prévoit d'y rajouter « environ 1,2 million de nouveaux signalements par an ».

• • Fichier des empreintes digitales : pourquoi la CNIL sanctionne le ministère de l'Intérieur

• • Le fichier des empreintes digitales sera interconnecté avec le casier judiciaire (1/3)

• • Le fichier des empreintes digitales sera interconnecté avec le casier judiciaire (2/3)

• • Le fichier des empreintes digitales sera interconnecté avec le casier judiciaire (3/3)

• • Vers un partage facilité d'images faciales et de casiers judiciaires entre les polices de l'UE

Le projet prévoyait qu'au jour de sa mise en service, la volumétrie des fiches décadactylaires (empreintes des 10 doigts) concernera 7,12 millions d'individus (dont 6,5 millions auraient aussi leurs paumes fichées), 9,25 millions dans 2 ans, et 12,5 millions dans 5 ans, à raison d'environ 1,2 million de nouveaux signalements par an.

Le CCTP précisait en outre qu' « à la fin du mois de septembre 2021, la base du Casier compte 5,2 millions de dossiers environ », contre 5 119 654 en 2017, signe que le nombre de personnes condamnées n'aurait pas autant augmenté que ne le serinent ceux qui déplorent un « ensauvagement » de la France.

Sur cette base, « 1 million concernent des TCN » (soit 19,23 % de non-ressortissants de l'UE). Un chiffre qui, à notre connaissance, n'avait jamais été documenté.

Télécharger le CCTP (.pdf) de refonte complète du système de gestion des empreintes digitales (FAED)

... ainsi qu'au fichier GASPARD de reconnaissance faciale

Le document précisait qu'à terme, le casier judiciaire nationale devrait aussi comporter des images de visages pour permettre des analyses automatisées de reconnaissance faciale.

On y apprenait que le FAED avait échangé, en 2019, 1,2 million de signalisations avec GASPARD (pour « Gestion Automatisée des Signalements et des Photos Anthropométriques Répertoriées et Distribuables »).

Ce fichier comporte quatre photographies des personnes fichées comme « mises en cause » (MEC) dans le Traitement des Antécédents Judiciaires (TAJ), et donc potentiellement suspectes, ainsi que les photographies de leurs éventuelles cicatrices et tatouages.

Cette volumétrie importante serait due au fait que « Gaspard est l'outil permettant de saisir des signalements en amont de l'application FAED ». C'est aussi le fichier utilisé pour la reconnaissance biométrique faciale, créé le jour où Nicolas Sarkozy avait perdu la présidentielle, en 2012, mais qui n'avait alors pas été déclaré à la CNIL.

• • Fichier TAJ : la CNIL épingle l’Intérieur et la Justice

• • Quand la France se lance dans la reconnaissance faciale

• • Police : l'utilisation massive de la reconnaissance faciale se confirme

• • Un rapport parlementaire veut avancer sur la reconnaissance faciale

• • Le fichier des antécédents judiciaires désormais ouvert aux services de renseignement

• • La reconnaissance faciale du fichier TAJ validée par le Conseil d’État, au grand désespoir de la Quadrature du Net

Un rapport parlementaire sur la reconnaissance faciale venait de relever qu'il avait enregistré un « accroissement notable depuis quelques années », totalisant 615 871 recoupements en 2021, contre 375 747 en 2019 (soit + 64 %) : « En 2021, il a été utilisé 498 871 fois par la police nationale et environ 117 000 fois par la gendarmerie nationale. Selon la direction centrale de la police judiciaire (DCPJ), qui est le gestionnaire du traitement, cette montée en puissance de l'utilisation de l'outil pourrait être consécutive à l'évolution technique de l'outil intervenue en 2019 qui en a nettement amélioré la performance. »

Une interconnexion avec (au moins) sept autres fichiers

L'interconnexion avec d'autres fichiers est également envisagée. Le cahier des charges du FAED, en annexe de l'appel d'offres, mentionnait ainsi un « projet d'échange des données en cours d'étude » avec le Casier judiciaire national, ainsi que « la possibilité de mettre en place des échanges par des interfaçages » avec :

• • le Fichier des personnes recherchées (FPR),

• • le Fichier national automatisé des empreintes génétiques (FNAEG),

• • le fichier AGDREF 2 de gestion des dossiers des ressortissants étrangers en France,

• • le Fichier national des détenus (FND),

• • le registre dématérialisé IGAV de gestion des gardes à vue,

• • l'outil de phonétisation (« OPH ») « utilisé actuellement par l’application FAED et qui permet, dans le cadre des saisies alphanumériques d'effectuer des vitrifications sur les données telles que : nom, prénom, date de naissance, nom d'usage, dans le but de trouver des correspondances ou des données déjà existantes »,

• • la base de données européenne VISABIO des visas biométriques.

Un usage du FAED « en mode nomade » était d'autre part « envisagé à moyens termes », via un système qui « devra permettre depuis les terminaux mobiles l'acquisition des empreintes, la consultation, la signalisation et la discrimination ».

Un autre document, en annexe, précisait que « l’introduction de la donnée biométrique pour les condamnés des pays tiers a incité le CJN à généraliser l’usage des empreintes digitales pour l’ensemble des condamnés. A terme, le CJN détiendra aussi des empreintes pour les condamnés français et de l’Union européenne. »

Étrangement, les métadonnées du tableur de « fiche d'évaluation des coûts », que les soumissionnaires étaient invités à remplir pour aider le ministère à estimer leurs offres, indiquaient qu'il émanait d'Idemia/Morpho, et qu'il aurait été classifié « RESTRICTED » et « IDEMIA Internal » par le prestataire historique du FAED.

Initialement estimé à 20,8 millions d'euros, ce marché de « refonte complète du système de gestion des empreintes digitales » a finalement été attribué, pour 16,18 M€, à un consortium réunissant Sopra Steria et... Idemia, celle-là même qui a emporté le marché des capteurs d'empreintes biométriques digitales lui aussi rendu public ce dimanche 31 décembre 2023.

• Télécharger le CCTP (.pdf) de refonte de la partie française du système EURODAC (PFSEIII)
• Télécharger la présentation de l’analyse règlementaire d'Eurodaac III
• Télécharger le .zip de l'expression de besoin