Administration / Citoyens - Le fichier des « titres électroniques sécurisés »
entériné - Commentaire par Geneviève Koubi
Document: La Semaine Juridique Administrations et Collectivités territoriales n° 45, 12 Novembre 2018, 2304
La Semaine Juridique Administrations et Collectivités territoriales n° 45, 12 Novembre 2018, 2304
Le fichier des « titres électroniques sécurisés » entériné
Commentaire par Geneviève Koubi professeur à l'université Paris VIIICERSA-CNRS UMR 7106
Accès au sommaire
Par une décision du 18 octobre 2018, le Conseil d'État a rejeté l'ensemble des requêtes en annulation du décret n° 2016-1460 du
28 octobre 2016 autorisant la création d'un traitement de données à caractère personnel relatif aux passeports et aux cartes
nationales d'identité. Sans même avoir été au préalable correctement débattu au Parlement, le « mégafichier » de la population
française, dont la constitution a soulevé bien des controverses et suscité nombre de critiques, se voit donc validé.
CE, 18 oct. 2018, n° 404996 : JurisData n° 2018-017828
InéditRapporteur public : Édouard Crépey
Note :
1 – Dans un arrêt en date du 18 octobre 2018, le Conseil d'État a validé la création du « mégafichier » (V. G. Koubi,
Le « méga-fichier » des titres électroniques sécurisés : JCP A 2016, 2300), ou plus justement le décret n° 2016-
1460 du 28 octobre 2016 autorisant la création d'un traitement de données à caractère personnel relatif aux
passeports et aux cartes nationales d'identité (JO 30 oct. 2016) – ainsi que l'arrêté du 9 février 2017 portant
application de ce décret et généralisation de l'expérimentation préalablement menée (JO 17 févr. 2017).
Plutôt qu'enterrer le mégafichier, il l'a entériné. Il n'a pas accueilli les critiques qui avaient été développées à son
encontre. Si on peut comprendre qu'il ait fait une impasse sur la déclaration pour la suspension du fichier dit « titres
électroniques sécurisés » (TES) de la Commission nationale consultative des droits de l'homme (CNCDH) du
15 décembre 2016 (JO 11 mars 2017), il est plutôt curieux qu'il n'ait pas, ne serait-ce qu'implicitement, retenu
certaines des observations émises auparavant par le Conseil national du numérique (CNNum) ou par l'Agence
nationale de la sécurité des systèmes d'information (ANSSI) – tant à propos des dérives qu'un tel traitement
automatisé de données à caractère personnel suppose que sur les fragilités et les vulnérabilités du système ainsi
mis en place.
2 – Rejetant les différentes requêtes émanant de plusieurs citoyens et d'associations (dont la Quadrature du Net et
la Ligue des droits de l'homme), le Conseil d'État s'est appuyé sur l'article 27 de la loi du 6 janvier 1978
relative à l'informatique, aux fichiers et aux libertés, dans sa version alors en vigueur : « I. – Sont autorisés
par décret en Conseil d'État, pris après avis motivé et publié de la Commission nationale de l'informatique et des
libertés : (...) 2° Les traitements de données à caractère personnel mis en œuvre pour le compte de l'État qui
portent sur des données biométriques nécessaires à l'authentification des personnes physiques ». Sans doute se
trouvait-il aussi quelque peu conduit à subrepticement tenir compte de la modification de cet article issue de la loi
n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles (JO 21 juin 2018) : « Sont autorisés
Document consulté sur [Link]
Revues juridiques
Téléchargé le 14/11/2018
par décret en Conseil d'État, pris après avis motivé et publié de la Commission nationale de l'informatique et des
libertés, les traitements de données à caractère personnel mis en œuvre pour le compte de l'État, agissant dans
l'exercice de ses prérogatives de puissance publique, qui portent sur des données génétiques ou sur des données
biométriques nécessaires à l'authentification ou au contrôle de l'identité des personnes ».
Sur cette base, le Conseil d'État a logiquement estimé que « le pouvoir réglementaire était compétent pour créer,
par le décret attaqué, pris en Conseil d'État après avis motivé et publié de la Commission nationale de
l'informatique et des libertés, le traitement automatisé relatif à la délivrance des passeports et des cartes nationales
d'identité », ce, note-t-il expressément « sans que puisse avoir d'incidence à cet égard la circonstance que ce
traitement a vocation à contenir les données de la quasi-totalité de la population française » (souligné par nous).
Pourtant, c'est à ce titre que le mégafichier TES recèle tant de risques d'atteinte à l'exercice des droits et libertés.
3 – Préférant s'en tenir strictement aux questions de légalité – externe et interne –, le Conseil d'État a effectué un
« travail de fourmi » s'attachant à retracer pas à pas le respect des formes (contreseings) et des procédures (avis
motivé de la CNIL) publié : JO 30 oct. 2016) et rejetant les différents arguments relatifs aux incidences sociales du
fichage généralisé de la population française.
En n'évaluant pas en sus ces conséquences éventuelles, le Conseil d'État a « raté une marche » : celle de se
poser en défenseur des droits de l'homme et des libertés fondamentales.
4 – À ce propos, quelques inquiétudes devaient être soulignées.
La CNIL avait fait remarquer dans son avis n° 2016-292 du 29 septembre 2016, lors de l'analyse du projet de
décret, que « le passage à une base réunissant des données biométriques relatives à 60 millions de personnes,
représentant ainsi la quasi-totalité de la population française, constitue un changement d'ampleur et, par suite, de
nature, considérable ». « L'ampleur inégalée de ce traitement et du caractère particulièrement sensible des
données qu'il réuni[t] » l'incitait à se montrer réservée quant aux utilisations qui pourraient en être faites. La CNIL
signalait que « la création d'une telle base de données centralisée présentait certains risques au regard de la
protection des droits et libertés ». Elle avait alors regretté que le Parlement n'ait pas été saisi du projet envisagé,
même « si, d'un strict point de vue juridique, aucun obstacle ne s'oppos[ait] au recours au décret » – ce que le
Conseil d'État a retenu en l'occurrence.
De son côté, le CNNum, s'étant auto-saisi de la question, avait averti, dans un communiqué en date du 7 novembre
2016 (https ://[Link]/cp_fichier_tes/), que « le choix, pris par décret, d'une architecture technique
centralisée pour la conservation de données biométriques soulève un grand nombre d'inquiétudes. Dans un monde
numérique où le code fait la loi, l'existence d'un tel fichier laisse la porte ouverte à des dérives aussi probables
qu'inacceptables. Aussi légitimes que soient les finalités initiales du Gouvernement, rien ne pourra techniquement
prévenir leur extension future au gré d'une grave actualité. »
Pour sa part, la CNCDH qui s'était appliquée à « alerter les pouvoirs publics sur les risques d'atteinte aux droits
fondamentaux soulevés par le décret n° 2016-1460 du 28 octobre 2016 », avait relevé « l'absence de garanties
suffisantes relativement à la protection des données contre les détournements et les attaques, à l'heure où les
Page 2
Copyright © 2018 LexisNexis. Tous droits réservés.
Document consulté sur [Link]
Revues juridiques
Téléchargé le 14/11/2018
grandes entreprises de services technologiques et numériques sont victimes d'attaques informatiques graves, et
alors que le choix de la centralisation du fichier expose un ensemble important et précieux de données
personnelles au risque de cyberattaques massives, dont les évolutions majeures, et encore largement incontrôlées,
en matière de 'big data' aggravent la dangerosité ». Craignant que les finalités d'un fichier conçu « uniquement
d'authentification » soient transformées pour une utilisation « à des fins d'identification », elle repérait, « derrière
l'objectif affiché de simplification administrative et de lutte contre la fraude, le risque (...) de créer un véritable outil
de renseignement dans un contexte général d'érosion du droit à la sûreté et à la liberté personnelle ».
D'ailleurs, le rapport sur les fichiers mis à la disposition des forces de sécurité (n° 1335) de la Commission des lois
constitutionnelles de l'Assemblée nationale, déposé le 17 octobre 2018 en conclusion des travaux d'une mission
d'information, souligne l'« extrême sensibilité politique » du traitement TES. Les députés rédacteurs du rapport
constatent alors qu'« on ne saurait le faire évoluer sans dommages vers un registre de la population. Une telle
finalité mettrait en danger la finalité première du traitement, qui est la délivrance de titres sécurisés ».
5 – En dépit de ces diverses prises de postions, le Conseil d'État se focalise essentiellement sur les
finalités annoncées du traitement automatisé des titres électroniques sécurisés. En appelant aux articles 8-1
de la Convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales, 16 de la
Convention relative aux droits de l'enfant du 26 janvier 1990, 1er et 6 de la loi du 6 janvier 1978 relative à
l'informatique, aux fichiers et aux libertés, il prévient que « l'ingérence dans l'exercice du droit de toute personne au
respect de sa vie privée que constituent la collecte, la conservation et le traitement, par une autorité publique,
d'informations personnelles nominatives, ne peut être légalement autorisée que si elle répond à des finalités
légitimes et que le choix, la collecte et le traitement des données sont effectués de manière adéquate et
proportionnée au regard de ces finalités ». Aussi se livre-t-il à un examen attentif des termes du décret ... dans le
but de l'avaliser.
Son argumentation, fondée sur les lignes du discours gouvernemental, demeure axée sur la constitution
du fichier sans évoquer ses utilisations éventuelles . Certes, « l'architecture technique du fichier TES exclut (...)
la possibilité d'interroger ce fichier par les empreintes digitales » par les forces de police (Rapp. inf. AN n° 1335,
17 oct. 2018, préc.). Cependant, au-delà des interconnexions admises du traitement TES avec les systèmes
d'information Schengen et INTERPOL, les risques d'interconnexion avec d'autres fichiers – tels le fichier
automatisé des empreintes digitales (FAED), le fichier national automatisé des empreintes génétiques (FNAEG) et
le traitement des antécédents judiciaires (TAJ) – ne sont pas totalement écartés (V. F. Pellegrini, A. Vitalis, La
création du fichier biométrique TES : la convergence de logiques au service du contrôle : Sociologie n° 4, 2017).
En quelque sorte, « créé par un simple décret du 28 octobre 2016, le fichier des 'titres électroniques sécurisés' est
destiné, pour le moment, à la lutte contre les usurpations d'identité. L'État ne sera-t-il pas tenté d'en élargir les
finalités ? » (X. Latour, Sécurité intérieure : un droit « augmenté » ?, AJDA 2018, p. 435 – souligné par nous)
6 – Néanmoins, le Conseil d'État certifie que le traitement TES « n'a pour finalité que de permettre l'instruction des
demandes relatives à ces titres [passeport ou carte nationale d'identité] et de prévenir et détecter leur falsification et
leur contrefaçon » et recale « toute possibilité d'identifier une personne à partir de ses données biométriques ». Il
estime que « la centralisation des données recueillies, les démarches des usagers, est (...) justifiée par un motif
d'intérêt général ». Il en déduit « que les finalités ainsi poursuivies (...) sont au nombre de celles qui justifient qu'il
puisse être porté, par la création de ce traitement centralisé de données à caractère personnel, atteinte au droit des
Page 3
Copyright © 2018 LexisNexis. Tous droits réservés.
Document consulté sur [Link]
Revues juridiques
Téléchargé le 14/11/2018
individus au respect de leur vie privée ». Il reconnaît donc certaines incidences du fait de l'alimentation comme de
l'exploitation d'un tel fichier.
L'article 2-II du décret n° 2016-1460 du 28 octobre 2016 précise que « le traitement ne comporte pas de dispositif
de recherche permettant l'identification à partir de l'image numérisée du visage ou de l'image numérisée des
empreintes digitales enregistrées dans ce traitement ». Aussi, pour le juge, « la collecte des images numérisées du
visage et des empreintes digitales des titulaires de passeports ou de cartes nationales d'identité, sans que soit
requis le consentement mentionné à l'article 6 de la loi du 6 janvier 1978, et la centralisation de leur traitement
informatisé, compte tenu des restrictions et précautions dont ce traitement est assorti, sont en adéquation avec les
finalités légitimes du traitement ainsi institué et ne portent pas au droit des individus au respect de leur vie privée
une atteinte disproportionnée aux buts de protection de l'ordre public en vue desquels ce traitement a été créé. Il en
va ainsi quel que soit l'âge des personnes, dès lors que la prise de deux empreintes, nécessaires à l'établissement
d'un passeport ou d'une carte nationale d'identité, ne porte aucune atteinte aux droits spécifiques des mineurs »
(souligné par nous).
7 – Ce raisonnement axé sur la notion d'ordre public aurait pu suffire au Conseil d'État pour rejeter les
requêtes et assurer de la validité du décret comme de l'arrêté qui en assure l'application – sans avoir à
s'intéresser aux dispositions de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles
(JO 21 juin 2018), postérieures à l'affaire en cause.
Or, comme parmi les conclusions présentées à l'appui des recours était évoqué le droit de l'Union européenne et,
plus particulièrement, le Règlement n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre
circulation de ces données, et abrogeant la directive 95/46/CE, le Conseil d'État se devait d'approfondir la question.
Il le réalise en s'attachant au Règlement (CE) n° 2252/2004 du Conseil du 13 décembre 2004 établissant des
normes pour les éléments de sécurité et les éléments biométriques intégrés dans les passeports et les documents
de voyage délivrés par les États membres (V. par ailleurs, P. Bourdon, La production des documents sécurisés par
les États membres de l'Union européenne : AJDA 2018, p. 1650).
Refermé sur ses méthodes, il s'interdit toute référence au règlement européen sur la protection des données à
caractère personnel entré en application seulement le 25 mai 2018. Pour lui, « en tout état de cause, ne peuvent
être utilement invoqués à l'encontre du décret attaqué les moyens tirés de ce qu'il méconnaîtrait les dispositions
des articles 9 et 35 du règlement n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre
circulation de ces données, et abrogeant la directive 95/46/CE, dont l'article 99 prévoit qu'il n'est applicable qu'à
partir du 25 mai 2018 ».
8 – Sur ce point, Romain Perray avait pensé que cet argument s'avérerait déficient.
Il avait d'abord estimé qu'un débat parlementaire s'imposait, qu'il s'agissait même d'une obligation juridique pour le
gouvernement résultant « de l'article 35 du règlement européen 2016/679 du 27 avril 2016 relatif à la protection des
données personnelles qui exige une analyse d'impact lorsqu'un traitement à grande échelle – ce qui est
exactement le cas du fichier TES – a notamment recours à de nouvelles technologies, et, compte tenu de sa
nature, de sa portée, du contexte et de ses finalités, est susceptible d'engendrer un risque élevé pour les droits et
libertés des personnes. ». Il étayait ensuite sa conviction en ces termes : « Il est vrai qu'on peut objecter que ce
Page 4
Copyright © 2018 LexisNexis. Tous droits réservés.
Document consulté sur [Link]
Revues juridiques
Téléchargé le 14/11/2018
texte ne sera applicable qu'à partir du 25 mai 2018. Un tel argument me semble toutefois très fragile. Si on
comprend bien que le gouvernement a voulu aller vite en procédant par décret et anticiper cette situation, il me
semble important d'insister sur l'article 28 lui-même du décret n° 2016-1460 du 28 octobre 2016, en ce qu'il prévoit
que les données enregistrées dans les traitements déjà autorisés devront être transférées dans le fichier TES d'ici
au 31 décembre 2018, c'est-à-dire donc bien après, en l'occurrence plus de sept mois, la date d'entrée en vigueur
du règlement européen » (entretien, R. Perray, Le fichier TES : un réel danger ? : D. 2017 p. 56 – souligné par
nous). Mais le Conseil d'État a mathématiquement immobilisé son examen du décret n° 2016-1460 du 28 octobre
2016 à sa date de publication.
9 – Alors que, pour certains, « le mégafichier ne prévoit pas suffisamment de garanties contre les risques d'abus et
de piratage, et notamment contre le risque de détournement du dispositif à des fins d'identification d'une personne
sur la base de ses données biométriques » (Vie privée : le Conseil d'État valide le fichier rassemblant les
informations de 60 millions de Français : Le Monde 18 oct. 2018), le Conseil d'État préfère retenir l'article 3 du
décret qui prévoit que « seuls les personnels chargés de l'instruction des demandes de titres peuvent accéder aux
données contenues dans le traitement automatisé litigieux ».
Or ils sont nombreux ! Sont concernés, à chaque fois « individuellement désignés et dûment habilités », les agents
des services du ministère de l'Intérieur et du ministère des Affaires étrangères chargés de l'application de la
réglementation relative au passeport et à la carte nationale d'identité, les agents des préfectures et des sous-
préfectures chargés de la délivrance des passeports et des cartes nationales d'identité, les agents diplomatiques et
consulaires chargés de la délivrance des passeports et des cartes nationales d'identité, et « dans le cadre de leur
mission de recueil de la demande et de remise des titres », les agents des communes. S'y ajoutent, « pour les
besoins exclusifs de leurs missions », les agents des services de la police nationale et les militaires des unités de la
gendarmerie nationale chargés des missions de prévention et de répression des atteintes aux intérêts
fondamentaux de la Nation et des actes de terrorisme, les agents des services spécialisés du renseignement
« pour les seuls besoins de la prévention des atteintes aux intérêts fondamentaux de la Nation et des actes de
terrorisme » et « les agents de la direction centrale de la police judiciaire chargés des échanges avec
INTERPOL... » (art. 4) ainsi que, « pour les besoins exclusifs de l'accomplissement de leurs missions, les
personnels chargés des missions de recherche et de contrôle de l'identité des personnes, de vérification de la
validité et de l'authenticité des passeports au sein des services de la police nationale, de la gendarmerie nationale
et des douanes peuvent accéder aux données enregistrées dans le composant électronique... » (art. 5).
Or, doit être comprise en liaison avec le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril
2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, dit « règlement général sur la protection des données » (RGPD), la directive
(UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes
physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de
prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de
sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil.
Le fait même que soit autorisée une interconnexion entre le traitement TES et les fichiers de renseignement devrait
y conduire tant « les données à caractère personnel qui sont, par nature, particulièrement sensibles du point de vue
des libertés et droits fondamentaux méritent une protection spécifique, car le contexte dans lequel elles sont
traitées pourrait engendrer des risques importants pour ces libertés et droits. » (pt 37 de la directive)
10 – En l'espèce, le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 n'entre pas
dans les références du juge administratif qui a choisi s'appuyer sur la jurisprudence de la Cour de justice de l'Union
Page 5
Copyright © 2018 LexisNexis. Tous droits réservés.
Document consulté sur [Link]
Revues juridiques
Téléchargé le 14/11/2018
européenne antérieure. Ce Règlement assure pourtant d'emblée que « la protection des personnes physiques à
l'égard du traitement des données à caractère personnel est un droit fondamental », tout en nuançant
l'interprétation à donner au principe ainsi affirmé : « Le droit à la protection des données à caractère personnel n'est
pas un droit absolu ; il doit être considéré par rapport à sa fonction dans la société et être mis en balance avec
d'autres droits fondamentaux, conformément au principe de proportionnalité ».
Pour le Conseil d'État, les finalités du mégafichier sont légitimes ; importent surtout les « buts de protection de
l'ordre public en vue desquels ce traitement a été créé ».
11 – Le Conseil d'État se réfère donc seulement aux stipulations du règlement n° 2252/2004 du Conseil, du
13 décembre 2004 telles que lues par la Cour de Justice de l'Union européenne (CJUE). Selon la CJUE, le
règlement européen de 2004 « n'est pas applicable aux cartes d'identités délivrées par un État membre à ses
ressortissants » et « doit être interprété en ce sens qu'il n'oblige pas les États membres à garantir, dans leur
législation, que les données biométriques rassemblées et conservées conformément audit règlement ne seront pas
rassemblées, traitées et utilisées à des fins autres que la délivrance du passeport ou du document de voyage, un
tel aspect ne relevant pas du champ d'application dudit règlement » (CJUE, 16 avr. 2015, aff. jointes C-446/12 à C-
449/12, Willems e.a. : JurisData n° 2015-010753).
Ces formules auxquelles s'attache le Conseil d'État dans sa décision n° 404996 du 18 octobre 2018, M. H... G...et
autres, ne relatent pas l'ensemble des affaires examinées alors par la CJUE, lesquelles agençaient plusieurs textes
européens. Outre le règlement (CE) n° 2252/2004 du Conseil, du 13 décembre 2004, étaient invoquées la directive
95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes
physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et la
directive 2004/38/CE du Parlement européen et du Conseil, du 29 avril 2004, relative au droit des citoyens de
l'Union et des membres de leurs familles de circuler et de séjourner librement sur le territoire des États membres –
laquelle reconnaissait que, « sans préjudice des dispositions concernant les documents de voyage, applicables aux
contrôles aux frontières nationales, les États membres admettent sur leur territoire le citoyen de l'Union muni d'une
carte d'identité ou d'un passeport en cours de validité ainsi que les membres de sa famille qui n'ont pas la
nationalité d'un État membre et qui sont munis d'un passeport en cours de validité ». La distinction entre passeport
et carte d'identité apparaît donc ténue en la matière.
La question est close dès que le Conseil d'État, retenant la lettre du règlement n° 2252/2004 du Conseil du
13 décembre 2004, observe que le décret n° 2016-1480 du 28 octobre 2016 ne relève pas du champ d'application
de ce règlement – dont l'article 1-3 précise qu'il « ne s'applique pas aux cartes d'identité délivrées par les États
membres à leurs ressortissants ou aux passeports et aux documents de voyage temporaires ayant une validité
inférieure ou égale à douze mois ».
12 – Pourtant, passeport et carte nationale d'identité, dont la durée de validité a été étendue, sont devenus des
documents de voyage.
Si la distinction entre ces deux types de documents devait être maintenue, bien qu'elle soit en bien des cas
inopérante, même sur le fondement du seul Règlement européen de 2004 la « fusion » opérée par le traitement
TES entre le passeport et la carte nationale d'identité aurait du sans nul doute être prise en considération.
Mots clés : Administration / Citoyens. - Titre électronique sécurisé
Page 6
Copyright © 2018 LexisNexis. Tous droits réservés.
Document consulté sur [Link]
Revues juridiques
Téléchargé le 14/11/2018
Mots clés : Administration / Citoyens. - Mégafichier
© LexisNexis SA
Page 7
Copyright © 2018 LexisNexis. Tous droits réservés.