La CADA a émis un avis favorable à notre demande d'accès aux documents relatifs à un marché public de 56 millions d'euros de fourniture de capteurs d'empreintes digitales. Un épisode qui vient se rajouter à la saga de ce contrat dont Next a déjà, plusieurs fois, chroniqué la mise en œuvre.

En mars 2021, nous révélions en effet que le ministère de l'Intérieur venait de lancer une demande d'informations (DI, ou RFI en anglais) visant à doter ses agents de nouvelles « solutions de capteurs biométriques » mobiles, « de préférence via un smartphone/tablette, voire à partir de l'appareil photo d'un smartphone/tablette », afin de « permettre la consultation et l’alimentation en données biométriques de plusieurs bases de données à partir d’une seule capture biométrique ».

Le ministère relevait en effet que « de nouveaux règlements européens visant à renforcer le contrôle de l’immigration, la sécurité intérieure et la coopération policière et judiciaire appellent à une évolution des systèmes d’information (SI) de biométrie actuels ».

Il voulait en profiter pour améliorer la mutualisation des matériels et logiciels, ainsi que « leur interopérabilité entre les systèmes nationaux (VISABIO, SBNA, AEM, EURODAC, FAED) et les nouveaux systèmes européens (EES, ETIAS, ECRIS-TCN) », à savoir les principaux fichiers biométriques français et européens, que nous avions alors pris soin de détailler.

• Vers des contrôles biométriques « en bord de route »

En avril 2023, nous révélions que le ministère de l'Intérieur avait lancé un appel d'offres estimé à 27 millions d'euros (hors taxes) de « capteurs, lecteurs et prise d'images faciales », dont 21 millions pour des « capteurs nomades d’empreintes digitales doigts et palmaires », et 1,6 million de « fourniture de solutions de prises d’images faciales », pour un  « montant maximum » fixé à 56,35 millions d'euros.

Le marché visait à permettre aux fonctionnaires du ministère de l'Intérieur, « dans l’exercice des missions de contrôle aux frontières, du contrôle de l’immigration et de la situation des ressortissants étrangers », d'effectuer des « opérations d’enrôlement et de vérification de la situation des personnes et des documents d’identité, de séjour et de voyage ».

Le cahier des charges précisait que les « capteurs nomades » devaient pouvoir « tenir aisément dans la main », peser moins de 400 grammes, mais également « pouvoir absorber les chutes et les chocs et susciter la confiance de l'utilisateur quant à la robustesse du produit » : 

« Le capteur doit également pouvoir être porté par le personnel (c’est-à-dire être temporairement mis dans les poches du blouson, du pantalon d'intervention, ou dans des emplacements des chasubles d'intervention). »

• L’Intérieur compte acquérir 7 000 capteurs nomades de contrôles biométriques, pour 21 millions d’euros

Hasard ou coïncidences...

Le Cahier des clauses techniques particulières (CCTP, expression officielle désignant le cahier des charges) de l'appel d'offres précisait en outre que le fournisseur devrait « obligatoirement » respecter un « plan de livraison » à marche forcée de 1 000 capteurs au plus tard le 1er novembre 2023, 2 000 au 31 décembre, 2 000 autres au 1er mars 2024, et 2 000 restants au 1er mai, en prévision des Jeux Olympiques de Paris.

Les candidats devaient déposer leurs offres avant le 11 mai 2023, soit un mois et 10 jours après la publication de l'appel d'offres, le 1er avril 2023. Nous relevions, dans un second article, qu'il était dès lors « improbable qu'un opérateur économique parvienne, en si peu de temps, à créer puis industrialiser de toutes pièces un capteur susceptible de répondre aux désidératas du ministère ».

Hasard ou coïncidences, la société Idemia commercialisait deux capteurs nomades semblant correspondre en tous points aux caractéristiques techniques figurant dans le cahier des charges du ministère : MTop Slim et MTop Mobile. La comparaison des nombreuses exigences très précises mentionnées par le ministère dans le CCTP avec les caractéristiques de ces deux appareils se révélait, à ce titre, intrigante : 

« D’une épaisseur de 3 centimètres seulement, pesant à peine 400 grammes et alimenté par USB, MTop Slim établit de nouvelles normes pour la capture d’empreintes digitales en alliant un design compact et une efficacité incomparable. Grâce à sa conception ultraplate et moderne et à un capteur de haute qualité, ce terminal est encore plus facile à utiliser. »

Entre autres points communs, le capteur réclamé par le ministère devait notamment « être certifié norme FBI EBTS Appendix F Mobile ID FAP60 ». Or, le capteur MTop Slim d'Idemia avait, précisément, reçu un certificat de conformité « EBTS Appendix F Mobile ID FAP 60 » de la part du FBI en 2017, renouvelé en 2023.

De plus, les méta-données de la brochure technique du capteur d'Idemia/Morpho et du CCTP du ministère de l'Intérieur indiquaient qu'ils avaient tous deux été enregistrés sous Microsoft Office 2016 le 30 mars 2023, à 17h06 et 19h36, soit à 2h30 d'écart, et deux jours seulement avant la mise en ligne de l'appel d'offres.

• MTop Slim, le capteur biométrique nomade qui répond aux désidératas du ministère de l’Intérieur

Pionnière française de la biométrie sous les noms de Morpho puis Safran Identity & Security, l'entreprise avait été rachetée pour plus de 2 milliards d'euros par le fonds de pension américain Advent International en 2016. Idemia, qui s'est longtemps présentée comme « le leader des technologies d'identité », se définit aujourd'hui comme « l’un des principaux fournisseurs au monde de solutions biométriques ».

En janvier dernier, nous révélions que l'avis d'attribution du marché avait été publié le dimanche 31 décembre 2023, et qu'il avait, sans grande surprise, été emporté par Idemia. Initialement estimé, par le ministère, à 27 millions (hors taxes), l'accord-cadre avait finalement été attribué pour 56,35 millions d'euros, soit le montant maximum autorisé.

• L’Intérieur achète plusieurs milliers de capteurs nomades d’empreintes digitales pour 56M€

Le lot de fourniture d'un maximum de 300 « solutions de prises d'images faciales » par an n'avait, quant à lui, pas été attribué, au motif qu' « aucune offre ou demande de participation n'a été reçue ou elles ont toutes été rejetées ».

La loi relative aux jeux Olympiques et Paralympiques de 2024, qui avait autorisé l'expérimentation de la vidéosurveillance algorithmique (VSA), avait par ailleurs explicitement exclu le recours à l'identification biométrique ainsi qu'à la reconnaissance faciale.

• Les 145 exigences techniques et éthiques des « solutions algorithmiques » de vidéosurveillance des JO 2024

Cherchant à creuser ce qui avait présidé au choix d'Idemia pour la fourniture de ces 7 000 capteurs biométriques nomades à livrer d'ici aux Jeux Olympiques, Next avait alors adressé au ministère une demande de droit d’accès aux documents administratifs relatifs au marché.

La loi du 17 juillet 1978 qui avait consacré la liberté d'accès aux documents administratifs et de la réutilisation des informations publiques, abrogée en 2015, a en effet été codifiée dans le code des relations entre le public et l'administration, qui a été créé à l'occasion.

Une demande effectuée via madada.fr

La procédure, effectuée via la plateforme dédiée de « demandes d’accès aux documents administratifs » madada.fr (dont Xavier Berne, ex-journaliste à Next INpact spécialiste de la Cada, est le délégué général, ndlr), éditée par l'association OpenKnowledge France, portait sur plusieurs documents :

• les actes administratifs et décisions administratives liées à ce dispositif ;
• les dossiers, rapports, études (dont les études d'impact), procès-verbaux de réunions afférents à ce dispositif ;
• les candidatures : offres techniques des attributaires, les manuels techniques, les manuels d'utilisation, les actes spéciaux de sous-traitance et leurs annexes ainsi que l'ensemble des pièces composant l'offre des entreprises retenues, qui n'auraient pas été énumérées ci-dessus, à l'exception de celles protégées par le secret en matière commerciale et industrielle ;
• les pièces relatives à l'analyse des offres : le procès-verbal d'ouverture des offres, le procès-verbal établi par la commission d'appel d'offres concernant le choix des attributaires, les rapports d'analyse des offres comprenant les éléments de notation et de classement, les rapports d'analyse des candidatures, les rapports de présentation des offres ;
• les contrats et documents attenants aux éventuels marchés publics afférents à ce dispositif (notamment les candidatures, en particulier l'offre technique de l'attributaire ainsi que l'ensemble des pièces composant l'offre de l'entreprise retenue) ;
• les comptes rendus de réunions, décisions administratives d'exécution.

La demande portait également sur les échanges et correspondances qui avaient pu être réalisés à ce sujet avec les soumissionnaires, la CNIL, l'ANSSI ou toute autre entité concernant ce marché (études d'impact, courriels, conseils…), avant ou après la publication de l'appel d'offres.

Dans les limites du secret de la vie privée et des affaires

En réponse à cette demande d'accès, le secrétariat de la PRADA (personne responsable de l'accès aux documents administratifs et des questions relatives à la réutilisation des informations publiques, ndlr) du ministère de l'Intérieur se contenta d'accuser réception de notre demande, sans y répondre plus avant.

Next avait donc saisi la Commission d’accès aux documents administratifs (Cada) qui, mi-juillet, nous adressa un « avis favorable », sous quelques réserves.

La commission estime en effet que les documents sollicités, « dont elle n’a pas pu prendre connaissance », sont communicables à toute personne qui en fait la demande, sous réserve de l’occultation des mentions « couvertes par le secret de la vie privée de tiers (coordonnées personnelles notamment), et par le secret des affaires ».

La commission rappelle ensuite que « la communication à un candidat écarté des motifs ayant conduit à ne pas lui attribuer le marché ne permet pas de refuser la communication de ces documents ». En revanche, les éléments « qui reflètent la stratégie commerciale d’une entreprise opérant dans un secteur d’activité concurrentiel et dont la divulgation est susceptible de porter atteinte au secret des affaires » ne sont, en principe, pas communicables :

« Il en va ainsi de l’offre de prix détaillée contenue dans le bordereau des prix unitaires, la décomposition du prix global et forfaitaire ou le détail quantitatif estimatif, ainsi que du mémoire technique, qui ne sont, de fait, pas communicables aux tiers. »

La Cada souligne cela dit que l’examen de l’offre des entreprises non retenues au regard des mêmes principes « conduit de même la commission à considérer que leur offre de prix globale est, en principe, communicable, mais qu’en revanche, le détail technique et financier de cette offre ne l’est pas ».

La stratégie commerciale est couverte par le secret des affaires

En outre, précise la Cada, les dispositions de l’article L311-6 du code des relations entre le public et l’administration doivent entraîner l’occultation, pour l’entreprise attributaire comme pour l’entreprise non retenue, des « mentions relatives aux détails techniques et financiers des offres de toutes les entreprises » dans les documents préparatoires à la passation du marché (procès-verbaux, rapports d'analyse des offres).

La commission souligne toutefois que si la liste des entreprises ayant participé à la procédure est librement communicable, « les notes et classements des entreprises non retenues ne sont communicables qu'à celles-ci, chacune en ce qui la concerne ». Une occultation qui ne concerne pas l'entreprise attributaire du marché, précise la Cada :

« En revanche, les notes, classements et éventuelles appréciations de l'entreprise lauréate du marché sont librement communicables. »

La commission relève par ailleurs qu’ « au stade de l'exécution, les informations relatives aux moyens humains et techniques du titulaire du marché ainsi que celles reflétant sa stratégie commerciale sont couvertes par le secret des affaires » :

« Elle précise que les factures, devis, bons de commande, états d’acompte, décomptes et autres pièces établies dans le cadre de l’exécution d’un marché public ne sont communicables aux tiers qu'après occultation des prix unitaires ou de la décomposition du prix forfaitaire, susceptibles, en soi, de refléter la stratégie commerciale d’une entreprise opérant dans un secteur d’activité déterminé. »

« La commission émet, sous l’ensemble de ces réserves, un avis favorable à la demande », conclut la Cada. Sur son site web, la commission précise que « lorsque l’avis est favorable à la communication, l’administration doit, dans le mois qui suit la notification de cet avis, informer la commission de sa décision de s’y conformer ou non ».

N'ayant pas reçu de nouvelles du ministère, un mois et demi après que la Cada nous a transmis son avis favorable, nous l'avions donc relancé, le 6 septembre dernier. Le 11, il nous faisait finalement parvenir quinze documents, dûment caviardés, qui feront l'objet d'un second article, à suivre très prochainement.