Intervention de Mounir Mahjoubi

Nous avons aussi l'objectif de trouver un équilibre. Le Conseil national du numérique, qui est nommé par le Président de la République, existe depuis plus de cinq ans, bien qu'il ait connu différentes formes d'organisation. Depuis quatre ans, il s'est efforcé de conseiller et d'orienter le Gouvernement, que celui-ci le souhaite ou non, dans une démarche de dialogue. Tel est le sens de notre intervention publique, depuis la publication du décret du 28 octobre 2016.

J'ai d'abord eu une conversation téléphonique avec le ministre de l'intérieur, que j'ai ensuite rencontré. Puis est intervenue cette fameuse lettre publique, laquelle ne nous a pas satisfaits, car elle n'annonçait aucune évolution. Nous avons ensuite eu un long entretien avec M. Cazeneuve et son cabinet jeudi dernier, avant l'annonce par Bernard Cazeneuve et Axelle Lemaire d'une avancée dans la direction que nous souhaitons.

J'en viens aux éléments qui ont justifié notre intervention publique. Je serai bref, car vous connaissez nos positions, comme en ont témoigné les échanges intervenus ce matin. Vous êtes particulièrement bien informés, votre opinion a été forgée par des influences riches et diverses.

Nous l'avons répété, nous insistons sur la concertation, marque de fabrique du Conseil national du numérique. Nous pensons que, en la matière, aucun grand expert ne peut orienter les grandes décisions : celui qui pense avoir seul l'expertise du numérique est un menteur ou un incompétent. Il n'existe pas de décision numérique unique.

La décision qui a été prise est la première d'une longue série, car le Gouvernement devra faire des choix technologiques importants dans les prochaines années. Dès septembre 2017 devrait s'ouvrir un débat sur la plus grande base de données qu'on ait jamais faite historiquement dans le domaine médical. Le problème des données fiscales interviendra ensuite, tout comme celui des données relatives aux salariés. La loi Travail et le compte personnel d'activité devraient également engendrer une sacrée base de données. Ces questions se reposeront donc aux assemblées très régulièrement.

À nos yeux, il est donc essentiel de mettre en place, dans le cadre des décisions qui devront être prises, de nouveaux dispositifs de concertation. Les démocraties ne sont pas encore capables de discuter des grands sujets technologiques, bien que ces derniers ne soient pas inaccessibles au débat public. Pourtant, pour ce qui concerne le numérique, c'est comme si on pouvait se débarrasser de la question technologique, en affirmant que la meilleure solution technologique est celle qui a été prise. Raisonner ainsi, c'est ignorer la complexité et les enjeux liés à cette question.

Nous avons d'abord regretté l'absence de concertation et d'étude d'impact. Or ce qui caractérise le travail parlementaire est l'ouverture et le temps, pour analyser, consulter, auditionner, puis présenter des éléments de discussion préparatoires. Il s'agit de donner les raisons pour lesquelles on fait certains choix, ce qui n'est pas le cas aujourd'hui.

C'est d'ailleurs le sens du règlement sur les données personnelles, qui imposera, pour les entreprises, avant la constitution de bases majeures, des études d'impact par des organismes neutres, capables d'évaluer les risques de sécurité et d'atteinte aux libertés individuelles.

La consultation du Conseil national du numérique a porté sur deux éléments : la sécurité de la base en cas d'attaque immédiate et la sécurité à long terme, à savoir le détournement des finalités.

Lors de nos entretiens avec M. le ministre, nous avons rappelé un point non négociable : le Conseil national du numérique, le CNNum, a la possibilité de s'autosaisir et d'échanger avec les experts. Ainsi, dans un temps record, nous avons lancé une plateforme de consultation citoyenne en ligne. Elle a déjà réuni 400 contributions construites émanant de centres de recherche et de chercheurs étrangers. Nous sommes donc en train de réunir des informations extrêmement diverses. Pourtant, on nous avait affirmé qu'il n'y avait personne à consulter ! Or nous pouvons vous en présenter aujourd'hui plus d'une centaine !

Grâce à son expertise, le CNNum devra traiter ces informations, pour leur donner un sens. M. le ministre de l'intérieur s'est engagé à écouter les résultats de cette consultation et à y répondre.

Le détournement de finalité est un sujet majeur, mais il a été beaucoup débattu ce matin. Une sous-finalité du décret est moins claire. Je veux parler de l'utilisation des données par le renseignement, en matière de lutte antiterroriste : dans quel cadre les authentifications seront-elles utilisées ? Il n'existe pas d'illustration en langage clair de l'usage qui en sera fait. S'il s'agit d'une technique de renseignement, relève-t-elle de la CNCTR, la Commission nationale de contrôle des techniques de renseignement ?

Permettez-moi d'évoquer le « chiffrement unidirectionnel destiné à garantir la sécurité des données ». Pour celui qui maîtrise techniquement la structure d'une base de données, cela ne veut rien dire ! À partir de ces termes, régulièrement mis en avant, les experts sont capables de dessiner une centaine de schémas de bases de données différents.

Il convient de distinguer la protection par le droit et la protection technologique. Affirmer l'impossibilité technologique, cela ne veut rien dire non plus. On le sait, l'Anssi, l'Agence nationale de la sécurité des systèmes d'information informatique, et la Dinsic, la Direction interministérielle du numérique et du système d'information et de communication de l'État, seront saisies de la question. Toutefois, j'insiste sur ce point, elles devront être saisies non seulement sur la sécurité de l'accès à la base, mais aussi sur l'architecture même du dispositif et des a priori méthodologiques et théoriques utilisés dans ce cadre.

Nous parlons ici de biocryptologie. En Israël, plusieurs universitaires se sont penchés sur ce sujet au moment de la mise en place des différentes bases de données biométriques étatiques. De nombreux États souhaitent mettre en place ces dispositifs, qui sont nécessaires. L'enjeu, essentiel, est le contrôle et l'authentification des titres d'identité.

Par chance, la France compte les meilleurs experts du monde en la matière : je pense notamment aux chercheurs de l'INRIA, l'Institut national de recherche en informatique et en automatique, et de l'université de Caen.

Le plus difficile à entendre, pour moi, c'est l'argumentaire suivant : « nos services techniques ont fait le meilleur choix, nous n'avons aucune raison d'en douter ». En 2016, une telle affirmation n'est pas acceptable, car il n'existe pas de meilleur choix possible.

Quant aux risques de sécurité à court terme, à savoir les atteintes à la base, ils relèvent des missions traditionnelles de l'Anssi. Il faut le savoir, aucune base n'est surprotégée. Le fait de ne pas être connecté à internet ne rend pas invulnérable. Les attaques majeures ont toujours visé des systèmes extrêmement protégés. Vous vous doutez que les usines énergétiques iraniennes infiltrées n'étaient pas connectées à internet ! Elles n'ont pas été contaminées par un email ! De la même manière, plusieurs centaines de milliers de données relatives aux fonctionnaires américains, extrêmement protégées, ont été piratées et publiées sur internet.

Peu de gens sont capables de hacker une base de données protégée par l'Anssi. Cette agence est en effet l'un des organismes les plus compétents en Europe, voire dans le monde, en matière de protection des systèmes d'information. Elle est composée d'experts faisant partie des meilleurs au monde et présidée par un ancien militaire, chercheur et expert en cryptographie et sécurité. Nous devons donc avoir une confiance absolue en ces services. Pour pirater une base dans ces conditions, il faut s'investir dans l'attaque, et disposer d'importantes ressources financières et intellectuelles. Dans le monde, quelques pays, quelques milliers de hackers, disposent de telles ressources et d'une recherche avancée en sécurité de réseau. Ils ont montré, au cours de la campagne électorale américaine, que l'on pouvait accéder à certaines informations. Notre système, qui pourrait regrouper la quasi-totalité de la population de l'une des plus grandes démocraties du monde, est donc très attirant pour certains pays.

Tel est l'enjeu de la centralisation de ces données. Entre la centralisation absolue et la décentralisation absolue, il y a des options intermédiaires à expertiser. De même, on peut agir sur le format des données : cette fameuse base centralisée pourrait ne pas regrouper des images parfaites, et donc exploitables par n'importe qui. Une représentation mathématique intermédiaire est sans doute possible. Ces hypothèses sont issues de la recherche. Quel scénario poserait le moins de risques en cas de hacking et intégrerait en même temps l'idée d'une performance de l'État, le contrôle d'un titre ne devant exiger que quelques secondes ? Il existe des dispositifs qui permettent d'être performants, mais leur mise en place exige une discussion approfondie des experts.

Nous allons compléter la consultation publique que nous avons lancée par la recherche active de certains experts. Notre agenda de rencontres est important. J'ai confiance dans la volonté d'ouverture et de consultation du ministre de l'intérieur.

S'agissant de l'inscription de l'empreinte de la personne non pas dans la base de données, mais sur une fiche en carton, stockée à la préfecture, je n'ai pas de position ferme. Le contrôle sera-t-il alors possible ? L'essentiel, en la matière, relève du détail. Nous avons besoin d'avoir plus d'informations sur ce sujet.

L'idée que la base de données ne soit pas complète était au départ de nature à nous rassurer. Toutefois, les exemples étrangers nous ont amenés à penser que le risque restait majeur. L'enjeu, c'est la centralisation, la sécurisation, la non-recomposition et la non-exploitation possible à court terme et à long terme des données.

Au niveau mondial, les fichiers ont toujours eu tendance à être détournés de leur finalité d'origine. Nous traversons sans doute à l'heure actuelle une crise de sécurité. Si je me réfère aux programmes des candidats à l'élection présidentielle de droite et du centre, je constate qu'il n'est pas si compliqué de voter une loi constitutionnelle qui introduise une réforme permettant la constitution de ces bases de données. Certains élus seraient pour une identification massive, parce que c'est très pratique - c'est vrai - pour les enquêtes. Historiquement et constitutionnellement, nous avons choisi de ne pas le faire. Un tel sujet devra faire l'objet d'un débat national sans doute vif, violent et long, chacun ayant conscience que les réponses apportées transformeront notre démocratie. On ne peut pas, subtilement, créer toutes les conditions du risque pour les années à venir.