Intervention de Philippe Bas

Le ministre de l'intérieur, M. Bruno Le Roux, est venu mardi, en fin de matinée, me remettre en main propre le rapport rendu par l'Agence nationale de la sécurité des systèmes d'information (Anssi) et la Direction interministérielle du numérique et du système d'information et de communication de l'État (Dinsic) sur le fichier des titres électroniques sécurisés, dit « fichier TES ». Il a également annoncé les décisions qu'il allait prendre concernant ce fichier.

Je vous rappelle que ce rapport avait été demandé à la suite des préoccupations exprimées notamment par la Commission nationale de l'informatique et des libertés (Cnil) et le Sénat. Conformément aux engagements du ministre de l'intérieur d'alors, M. Bernard Cazeneuve, ce rapport a été rendu public.

Une première lecture de ce rapport justifie pleinement les préoccupations que nous avions exprimées. Il conclut à une sécurité globale mais perfectible du système TES. Une commission d'homologation associant Anssi et Dinsic se réunira annuellement pour réexaminer les conditions de sécurité du système.

Sur la sécurisation face au risque de détournement de finalités, l'audit constate que « le système TES peut techniquement être détourné à des fins d'identification, malgré le caractère unidirectionnel du lien informatique mis en oeuvre ». Il est précisé que « cet usage illicite peut être atteint ne serait-ce que par reconstitution d'une base de données complète à partir du lien unidirectionnel existant ». Le rapport demande d'accroître le niveau de robustesse des éléments cryptographiques utilisés dans la construction du lien unidirectionnel.

D'autres difficultés sont relevées, en particulier sur le choix d'une centralisation des données biométriques, qui se présente d'une manière différente pour les passeports et les cartes nationales d'identité. Le rapport considère que « la centralisation des données biométriques pour la carte nationale d'identité n'a pas actuellement un intérêt direct pour leur gestion. Leur utilisation se borne en effet au cas des réquisitions judiciaires. », c'est-à-dire les cas où la police judiciaire, sous l'autorité d'un magistrat, voudrait non pas authentifier une identité, mais identifier un individu.

Ce rapport comporte beaucoup de nuances et confirme l'intérêt que la commission des lois porte à ce fichier.

Je vous propose de convier le ministre de l'intérieur afin qu'il nous présente, au cours d'une audition publique, les décisions qu'il a prises à la suite de ce rapport.