M. le président. Monsieur Leconte, l’amendement est-il maintenu ?
M. Jean-Yves Leconte. J’ai indiqué qu’il s’agissait d’un amendement d’appel, ayant conscience qu’une disposition législative nationale ne pouvait s’appliquer hors de notre territoire. Je prends note des travaux menés par le Gouvernement sur cette question et je retire l’amendement.
M. le président. L’amendement n° 4 est retiré.
Article 2
(Non modifié)
Le dernier alinéa de l’article L. 2223-40 du code général des collectivités territoriales est complété par une phrase ainsi rédigée :
« L’autorisation ne peut être délivrée que si la création ou l’extension envisagée est compatible avec les dispositions du schéma régional des crématoriums mentionné à l’article L. 2223-40-1. » – (Adopté.)
Article 3
Dans chaque région, le premier schéma régional des crématoriums est arrêté dans un délai de deux ans après la promulgation de la présente loi. Par exception au III de l’article L. 2223-40-1 créé par la présente loi, il est révisé au bout de trois ans.
M. le président. L'amendement n° 5, présenté par M. Lecerf, au nom de la commission, est ainsi libellé :
Seconde phrase
Supprimer les mots :
créé par la présente loi
La parole est à M. le rapporteur.
M. Jean-René Lecerf, rapporteur. Il s’agit d’un amendement purement rédactionnel, tendant à supprimer une mention inutile.
M. le président. Quel est l’avis du Gouvernement ?
M. le président. Personne ne demande la parole ?...
Je mets aux voix l'ensemble de la proposition de loi dans le texte de la commission, modifié.
(La proposition de loi est adoptée.)
M. le président. La parole est à M. le président de la commission.
M. Jean-Pierre Sueur, président de la commission des lois. Il arrive assez fréquemment qu’un tel sujet suscite un large consensus. Ce fut déjà le cas lors de l’examen de la loi de 2008 relative à la législation funéraire.
Sur un tout autre thème, ce fut aussi le cas pour une très importante proposition de loi relative aux sondages, adoptée à l’unanimité par le Sénat, sur l’initiative de M. Portelli et de moi-même, mais qui est toujours en attente d’examen par l’Assemblée nationale. Or il s’agit d’un vrai sujet pour la démocratie.
Le Sénat a également adopté à l’unanimité une proposition de loi, qui avait été inspirée par Robert Badinter, relative au rôle du juge français en matière d’infractions relevant de la Cour pénale internationale. Je crois savoir que l’Assemblée nationale s’intéresse au sujet et pourrait même étudier ce texte dans les jours ou les semaines qui viennent. Eu égard à un certain nombre d’enjeux internationaux sur lesquels il ne me semble pas utile de s’étendre, il serait important pour la France qu’il puisse être adopté définitivement avant la fin de la session extraordinaire prévue en juillet.
Pour en revenir au présent texte, je remercie très chaleureusement notre rapporteur, Jean-René Lecerf, ainsi que l’ensemble des collègues qui ont bien voulu participer à ce débat.
5
Usage des techniques biométriques
Adoption d'une proposition de loi dans le texte de la commission modifié
M. le président. L’ordre du jour appelle la discussion, à la demande du groupe socialiste et apparentés, de la proposition de loi visant à limiter l’usage des techniques biométriques, présentée par M. Gaëtan Gorce et les membres du groupe socialiste et apparentés (proposition n° 361, texte de la commission n° 466, rapport n° 465).
Dans la discussion générale, la parole est à M. Gaëtan Gorce, auteur de la proposition de loi.
M. Gaëtan Gorce, auteur de la proposition de loi. Monsieur le président, madame la secrétaire d’État, mes chers collègues, pourquoi avoir choisi de présenter une proposition de loi visant à limiter l’usage de la biométrie aux seules finalités de sécurité ? Pourquoi prendre ainsi le risque de donner le sentiment de vouloir s’opposer à cette évolution inéluctable que l’on appelle encore le progrès ? Pourquoi vouloir priver nos concitoyens de la possibilité d’ouvrir une session sur leur smart phone grâce à la reconnaissance faciale ou d’accéder à un équipement public par lecture du contour de la main ? Bref, comme me le reprochait l’autre jour une personnalité intervenant dans le cadre d’un débat fort opportunément organisé par M. le président de la commission des lois, pourquoi créer des difficultés en obligeant chacun à continuer à mémoriser un code, à utiliser une carte ou à acheter un ticket ?
Je n’oublie pas que ces questions recouvrent de forts enjeux économiques, industriels, technologiques, et je ne propose pas d’aborder ce sujet uniquement par le biais de la protection des libertés individuelles, même si beaucoup d’observations fort légitimes sont régulièrement formulées à ce titre, pour insister par exemple sur les risques d’interopérabilité entre les différents systèmes, évolution qui pourrait conduire à une mise sous profil de l’ensemble de nos concitoyens.
Je n’oublie pas non plus que, dans ce domaine, la réglementation reste extrêmement rigoureuse, puisque, sous l’empire de la loi de 1978, modifiée en 2004, c’est le régime d’autorisation qui prévaut toujours aujourd’hui pour la mise en place de tels traitements de données biométriques.
Je n’oublie pas, enfin, les travaux qui ont été menés par le Parlement, et notamment par le Sénat, sous la responsabilité, en particulier, de Jean-René Lecerf.
Si j’ai suggéré, au travers de cette proposition de loi, reprise par le groupe socialiste, d’aborder la question du traitement des données biométriques, c’est qu’il m’a semblé que trois problèmes devaient absolument être débattus dans les assemblées parlementaires.
Le premier d’entre eux a trait à l’ampleur du changement technologique que nous connaissons aujourd’hui. Naturellement, la nouveauté tient non pas à l’importance de l’innovation dans nos sociétés, puisque celle-ci est au cœur de nos économies depuis plus de deux siècles, notamment depuis la révolution industrielle, mais au fait qu’elle prend aujourd’hui une dimension et surtout un rythme qui n’ont plus rien à voir avec ce que nous avons connu auparavant. L’introduction de la machine à vapeur ou de la machine à tisser dans les modes de production s’est opérée sur des décennies et elle a modifié très progressivement les façons de vivre et de travailler. La révolution permise par l’électricité s’est effectuée un peu plus rapidement, mais l’échelle de temps fut néanmoins celle d’une vie humaine.
Ce qui se passe aujourd’hui, notamment avec la révolution numérique, c’est que le changement technologique s’opère à une vitesse telle que les habitudes, les pratiques et les usages deviennent caducs en l’espace de quelques années.
En la matière, les chiffres sont spectaculaires. On considère par exemple que, au rythme d’innovation observé en 2000, il aurait fallu simplement vingt ans pour mettre en œuvre l’ensemble des innovations intervenues tout au long du XXe siècle, et que, à ce rythme, on aurait pu mettre en place en moins d’un siècle la totalité des innovations réalisées par l’humanité depuis que la civilisation s’est organisée.
C’est dire la vitesse à laquelle le changement est en train de s’opérer. Nous pouvons parfois avoir le sentiment d’être moins à l’initiative du changement que, d’une certaine manière, produits par lui, et celui que les créatures produites par la technologie sont en voie de nous échapper.
Cela pose évidemment la question de la démocratie. En effet, si le changement est non plus le fait de la volonté politique, mais celui d’un mouvement qui lui échappe et dans lequel elle est intégrée, la question de savoir quelle société nous voulons revêt des aspects nouveaux. C’est la raison pour laquelle il m’a semblé indispensable que nous puissions nous interroger sur ces évolutions.
La deuxième raison qui m’a conduit à déposer ce texte tient à la nature du changement. Jusqu’à présent, le changement technique, l’innovation technologique avaient surtout concerné les organisations. Depuis maintenant quelques décennies, ils touchent à la personne elle-même.
Certes, la révolution numérique porte sur des aspects qui intéressent la personne dans ses éléments les plus essentiels, à commencer par la connaissance. Elle traite des données qui touchent à sa vie quotidienne, à son travail, à ses loisirs, aux recherches qu’elle opère pour effectuer des transactions commerciales, mais aussi aux relations que l’on entretient avec ses proches ou avec ses amis. Toutes ces données font l’objet de traitements de plus en plus rapides, de plus en plus poussés, souvent à des fins commerciales, parfois à des fins de renseignement et de police, comme l’a révélé l’affaire Snowden.
Avec le traitement des données biométriques, ce sont des éléments qui touchent au corps physique, à son intégrité, qui sont désormais mis en jeu. Cette évolution mérite un débat, d’autant que le cadre juridique dans lequel elle s’opère me paraît mal ajusté. En effet, aujourd’hui, il existe en réalité peu de protections. J’ai évoqué à l’instant les lois de 1978 et de 2004, auxquelles s’ajoute la perspective d’un règlement européen, mais rien n’encadre les conditions dans lesquelles la Commission nationale de l’informatique et des libertés est amenée à autoriser les traitements biométriques. Les critères sont laissés à sa seule appréciation, ce qui conduit aujourd’hui la CNIL à autoriser des traitements biométriques non plus simplement de sécurité, mais aussi de confort, par exemple la reconnaissance du contour de la main pour accéder à une cantine scolaire ou à un équipement sportif, ce qui banalise indiscutablement le recours à la biométrie et crée une situation nouvelle.
À cela s’ajoute le fait que, à plusieurs reprises, le Conseil constitutionnel – c’est vrai aussi pour le Conseil d’État – a été amené à refuser aux données biométriques une protection équivalente à celle qui prévaut pour le corps humain, les principes d’inviolabilité et d’indisponibilité ne s’appliquant pas, pour l’instant, à ces données. Or, comme je l’ai indiqué, ces dernières touchent à l’intimité de la personne. Leur utilisation et leur traitement posent, me semble-t-il, un problème extrêmement important d’ordre philosophique, et non pas simplement juridique ou économique : celui de l’objectivation de la personne.
Dans quelles conditions peut-on accepter que des éléments directement liés à la personne puissent être ainsi utilisés et traités ? Qu’est-ce qui nous paraît justifier le recours à ce type de données ? Ne peut-on pas considérer qu’il existe un risque, si la banalisation de l’usage de ces données devait s’installer, de mesurer la personne à la seule aune de critères quantifiables, numérisables, selon une logique purement économique, comme si, au fond, la valeur ou l’appréciation personnelle ne comptait plus ? Cela renvoie à ce que certains philosophes auraient autrefois appelé une « rationalité purement instrumentale ». N’y a-t-il pas là le risque d’un changement profond de notre société ?
Ce sont toutes ces questions que je souhaitais aborder au travers du texte que j’ai déposé, sans avoir le sentiment de pouvoir y apporter une réponse totalement satisfaisante, mais avec la conviction que ce débat devait se tenir dans nos assemblées, tant il a d’implications, non pas seulement sur les plans économique et juridique, mais aussi sur le plan philosophique.
La proposition de loi qui vous est présentée aujourd’hui ne vise donc pas à traiter de questions comme le développement de l’usage de la biométrie – je le regrette presque, mais il s’agit d’ouvrir le débat – dans le cadre des relations contractuelles unissant l’utilisateur d’un outil numérique à une société commerciale. Par exemple, on a vu qu’Apple avait la volonté de développer un nouveau type de téléphone mis en service par reconnaissance de l’empreinte digitale. Même si cet appareil n’a pas connu un grand succès, c’est un élément nouveau. On sait aussi que Facebook travaille actuellement sur un système de reconnaissance faciale, qui a pour objet non pas de faciliter l’activité des utilisateurs de ses services, mais d’améliorer le profilage, en essayant de repérer quelle est l’humeur de la personne au moment où elle entre une information ou passe une commande : s’agit-il d’un achat d’impulsion, d’un achat réfléchi, d’un achat fait sous l’emprise de la colère, d’une impatience ou d’un manque ? Tous ces éléments intéressent de grandes sociétés qui sont en train de transformer, à des fins commerciales, ce qui constitue notre vie même, en portant atteinte à notre droit à l’hésitation, à l’imprécision, à l’erreur, à l’errance, au secret…
Cette proposition de loi vise donc non pas, je le redis, à traiter de ces questions de relations contractuelles, mais simplement à marquer une borne : on ne doit pouvoir mettre en place un traitement de données biométriques qu’en cas d’exigence majeure de sécurité liée à la nature du site que l’on veut protéger, à la nature des personnes qui le fréquentent ou à la nature des informations concernées. Cette exigence doit dépasser le pur intérêt commercial et relever d’une préoccupation plus large.
Telle est, mes chers collègues, la motivation qui est la mienne. Je n’ignore évidemment pas que l’on s’expose à des critiques très vives en abordant ce sujet, puisque l’on peut donner l’impression de vouloir s’opposer à la marche inéluctable du progrès. J’ai pourtant le sentiment qu’en le faisant nous nous inscrivons dans la tradition de la Haute Assemblée, qui consiste à examiner les questions de fond avec patience et impartialité, en rappelant à notre société qu’elle ne doit pas simplement se conformer à des modes ou à la loi du marché, mais défendre des valeurs auxquelles elle reste attachée. (Applaudissements.)
M. le président. La parole est à M. le rapporteur.
M. François Pillet, rapporteur de la commission des lois constitutionnelles, de législation, du suffrage universel, du règlement et d'administration générale. Monsieur le président, madame la secrétaire d'État, mes chers collègues, parce que la biométrie embrasse l’ensemble des procédés qui identifient un individu à partir de la mesure de l’une ou de plusieurs de ses caractéristiques physiques, physiologiques, voire comportementales, parce que, produite par le corps, la donnée biométrique le désigne ou le représente de façon immuable, parce que ces données concernent la propriété la plus proche de l’immatérialité de chaque être, parce que les catégories classant ces techniques évoluent – la distinction entre données « à trace » et « sans trace » est ainsi bousculée par les progrès du traitement des images et la multiplication des engins vidéo, qui placent désormais la reconnaissance faciale parmi les techniques « traçantes » –, parce que ces évolutions peuvent inquiéter, la réflexion à laquelle nous invite Gaëtan Gorce est particulièrement opportune.
Le Sénat doit se donner une doctrine sur l’usage et la conservation des données biométriques, dans la perspective de l’examen prochain du projet de loi sur les libertés numériques.
Sur l’initiative de la CNIL, le législateur a soumis, par la loi du 6 août 2004, le traitement des données biométriques à un régime d’autorisation préalable. Afin de faciliter le travail de la CNIL, l’article 25 de cette loi dispose que les traitements identiques peuvent être autorisés par une décision unique : cela concerne, par exemple, la reconnaissance par le contour de la main pour l’accès à un restaurant scolaire.
La France s’est ainsi dotée de l’un des régimes les plus protecteurs en la matière, mais sans que le législateur se soit prononcé sur la pertinence des différents usages des techniques biométriques, laissant à la CNIL toute latitude pour élaborer une doctrine.
Or cette dernière est en cours d’évolution. Comme pour toute autre autorisation, l’examen par la CNIL consiste en l’analyse de la proportionnalité eu égard à la finalité envisagée. De 2005 à 2012, la CNIL a distingué les techniques biométriques « à trace » – les données sont susceptibles d’être capturées à l’insu de la personne – des techniques « sans trace », reposant par exemple sur la reconnaissance du contour de la main, de la voix, du réseau veineux du doigt ou de l’iris.
À partir de 2013, la CNIL a pris conscience de la faiblesse de cette classification et engagé une réflexion en envisageant trois cas.
Le premier cas est celui de la biométrie de sécurité, indispensable pour répondre à une contrainte de sécurité physique ou logique d’un organisme. Les personnes à qui elle est imposée doivent cependant être informées des conditions d’utilisation du dispositif : on peut penser, par exemple, à celui qui protège l’accès à l’Île-Longue.
Le deuxième cas est celui de la biométrie de service ou de confort, reposant sur le libre consentement de l’usager, qui se voit proposer, sans contrainte ni surcoût, un dispositif alternatif.
Enfin, le troisième cas a trait aux expérimentations, c’est-à-dire aux travaux de recherche fondamentale menés par des laboratoires ou au test de dispositifs avant leur mise en œuvre éventuelle.
Adaptant ses exigences aux finalités de chaque traitement, la CNIL ne s’autorise pas à juger de leur pertinence. Or l’utilisation de la biométrie se banalise et se répand dans tous les domaines de la vie quotidienne, notamment pour sécuriser les transactions financières.
La proposition de loi que nous examinons aujourd’hui peut faire office de première pierre à la construction de la réflexion sénatoriale. Gaëtan Gorce s’interroge sur la légitimité de certains usages, comme le contrôle de l’accès aux cantines scolaires. Sécurisante par son ergonomie, la biométrie de confort n’est, il est vrai, guère rassurante quant à la valeur du consentement des usagers : les parents ont-ils vraiment le choix de refuser l’application de ces techniques pour la fréquentation des cantines par leurs enfants ?
L’exposé des motifs de la proposition de loi invite à réfléchir à un statut spécifique pour les données biométriques qui ne peuvent bénéficier de la protection de l’article 16-1 du code civil. Le dispositif du texte vise à compléter l’article 25 de la loi du 6 janvier 1978, qui soumet à autorisation de la CNIL les traitements non étatiques. Les traitements mis en œuvre pour le compte de l’État seraient ainsi exclus du champ de la proposition de loi, qui n’encadrerait que le pouvoir de la CNIL, et non le pouvoir réglementaire. À ce propos, je rappelle que le Conseil constitutionnel, par sa censure partielle de la loi de 2012 relative à la protection de l’identité, n’a pas interdit l’usage de la biométrie, mais seulement restreint la portée de certains fichiers.
La proposition de loi ne définit pas un statut de la donnée biométrique, mais elle conditionne l’autorisation de son traitement par la CNIL à une « stricte nécessité de sécurité ». Cette formule pose problème ; nous y reviendrons.
Ne sont pas incluses dans le champ de la proposition de loi les activités exclusivement personnelles, comme l’ouverture de sessions sur les nouveaux iPhones par reconnaissance digitale ou faciale. Ce sujet mériterait pourtant réflexion.
Quant aux effets des mesures du texte proposé sur les dispositifs existants, la CNIL estime avec raison que toutes les autorisations ayant été délivrées jusqu’à présent ne seraient pas reconduites et que sa nouvelle doctrine ne pourrait être conservée. Enfin, la proposition de loi autorise implicitement les expérimentations.
Le problème fondamental est celui du rôle que nous voulons jouer : en 2004, le législateur n’a pas saisi l’occasion de se prononcer sur les usages légitimes de la biométrie ; j’estime que ce rôle lui revient et qu’il ne peut le laisser à un organisme comme la CNIL, si sérieux soit-il.
Or le Gouvernement devrait déposer un projet de loi sur les libertés numériques. Le Conseil de l’Europe s’apprête à réviser la convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, dite « convention 108 » : son article 6 inviterait le législateur à encadrer le traitement des données biométriques.
Je partage l’objectif de promouvoir un usage raisonné des techniques biométriques, sous quelques réserves.
Il faut que notre décision soit cohérente avec le règlement européen à venir sur la protection des données à caractère personnel, qui sera d’application directe. Toute contrainte a priori serait supprimée au bénéfice d’un contrôle a posteriori renforcé. La résolution législative du Parlement européen du 12 mars 2014 interdit le traitement des données biométriques en prévoyant des exceptions, en particulier si la personne y a consenti, à moins qu’une disposition nationale n’y fasse obstacle.
La notion de stricte nécessité de sécurité a semblé insuffisamment précise à de nombreuses personnes entendues lors des auditions. Je suggère qu’elle soit précisée et comprise de façon ni trop large ni trop étroite, car cela pourrait être contreproductif, les acteurs se trouvant incités à acheter à l’étranger des services pour échapper à la loi française. La notion d’intérêt excédant l’intérêt propre de l’organisme, introduite par une communication de la CNIL de 2007, pourrait nous y aider. Enfin, pour éviter que certaines dispositions ne se trouvent « hors la loi », un dispositif transitoire est nécessaire.
L’examen de cette proposition de loi ouvre donc un débat utile sur un patrimoine humain qui doit être protégé. Le Sénat doit se forger une opinion sur la question et affirmer que l’on ne peut faire n’importe quel usage des données biométriques, même pour des raisons de confort.
J’en viens maintenant au texte de la commission des lois. Sur mon initiative, celle-ci a adopté deux amendements.
Je commencerai par évoquer le second, qui crée un article 2 : il n’a, semble-t-il, posé aucune difficulté. Il prévoit un dispositif transitoire afin d’accorder un délai de trois ans aux responsables de traitements de données biométriques pour se mettre en conformité avec la nouvelle législation.
En revanche, le premier amendement, qui tend à récrire l’article 1er, a suscité des interrogations et des hésitations. Une critique a été émise à l’encontre de l’imprécision des expressions « enjeu majeur dépassant l’intérêt strict de l’organisme » et « préjudice grave et irréversible ». Je m’arrêterai donc un instant sur chacune d’entre elles pour expliquer mon intention ; nous pourrons ensuite en débattre sereinement.
La première condition est donc posée par l’expression « enjeu majeur dépassant l’intérêt strict de l’organisme ».
Ce qui motive l’emploi de cette expression, c'est la volonté de proclamer la nature particulière des données biométriques et d’affirmer que leur utilisation, loin d’être anodine, doit répondre à un intérêt en quelque sorte « supérieur ». Si la société accepte que soit utilisé ce type de données, c’est à la condition qu’elle y trouve son compte, soit en tant que collectivité, soit au travers de chacun de nous. Cette expression peut recouvrir, en particulier, le cas d’usage de la biométrie dans la sécurisation des transactions financières, car, au-delà de l’intérêt de la banque et du commerçant, il y va bien de l’intérêt même du citoyen consommateur. Cela étant dit, nous verrons à l’occasion de la discussion que la rédaction de cette condition peut être amendée.
En revanche, cette expression étant, en quelque sorte, issue de la jurisprudence de la CNIL, il ne peut lui être opposé le grief d’imprécision. Comment peut-on prétendre qu’il y a ici un risque d’insécurité juridique, alors même que nous disposons du corpus des délibérations de la CNIL pour nous assister dans son interprétation ?
J’invite ceux dont le doute persisterait à consulter la communication de la CNIL en date du 28 décembre 2007. Celle-ci nous fournit de nombreux exemples de dispositifs autorisés parce qu’ils relèvent d’un « enjeu majeur dépassant l’intérêt strict de l’organisme ». C'est notamment le cas pour la protection d’installations nucléaires, de sites classés SEVESO, d’entreprises travaillant pour la défense nationale, de salles contenant des informations classées « confidentiel défense », et même de bâtiments d’un service de l’éducation nationale contenant les sujets d’examen et de concours.
La seconde condition est contenue dans l’expression « préjudice grave et irréversible », issue de l’exposé des motifs de la proposition de loi de Gaëtan Gorce.
Je rappelle que nous nous situons ici dans le cadre de la loi Informatique et libertés, qui vise à protéger les personnes en matière de traitements de données à caractère personnel. Mes chers collègues, cette expression sera maintenue si vous l’acceptez, le Gouvernement l’acceptant pour sa part.
Je ferai en outre observer que, à l’heure du numérique, toute donnée est aisément reproductible et peut être stockée à moindre coût en de multiples endroits. En cas de fuite, les conséquences sont donc effectivement irréversibles.
Pour illustrer mon propos, je prendrai l’exemple de l’accès à mon « nuage ». Si j’avais recours, demain, à une technique biométrique pour accéder à mon espace sur un cloud et si celui-ci était piraté, le hacker pourrait disposer de mon identifiant et l’utiliser pour usurper mon identité. La conséquence serait grave : je ne pourrais plus utiliser cet élément biométrique pour m’identifier à l’avenir ; autrement dit, une partie de moi-même ne m’appartiendrait plus !
Sous réserve de l’adoption d’amendements tendant pour l’essentiel à affiner la rédaction du texte, et avec l’accord unanime des membres de la commission des lois, je propose au Sénat d’adopter cette proposition de loi. (Applaudissements.)
(M. Jean-Patrick Courtois remplace M. Jean-Léonce Dupont au fauteuil de la présidence.)