Sécurité des données

Comment les États privatisent la délivrance des visas

Sécurité des données

par Rachel Knaebel

La France et d’autres États confient à des prestataires privés une partie de la procédure des demandes de visas. De la prise de rendez-vous au recueil des données biométriques, ce n’est plus à un fonctionnaire que l’on s’adresse mais à une société privée. Un marché monopolisé par quelques entreprises. Conséquences : hausse du coût pour les demandeurs et risques pour la sécurité des données. Avec la généralisation du visa biométrique et la privatisation des procédures, la possibilité de voyager et les flux migratoires seront-ils bientôt sous le contrôle des multinationales ? Enquête.

La France a traité 2,6 millions de demandes de visas, pour des ressortissants étrangers en 2012. Un chiffre en hausse de 20% en dix ans. Plus d’une demande sur deux passe aujourd’hui entre les mains d’une entreprise privée. Demandes de rendez-vous, saisies des données personnelles, jusqu’à la prise des empreintes digitales et de la photo numérisée pour les visas biométriques, telles sont les missions désormais confiées à des entreprises privées. Une soixantaine de consulats délèguent ainsi une partie de ces tâches au privé.

L’externalisation se limite par exemple à la prise de rendez-vous par l’intermédiaire d’un centre d’appels à Abidjan, Yaoundé ou Dakar. Elle concerne la collecte des dossiers à Dubaï et New-Delhi. Et va jusqu’à la saisie des données personnelles des demandeurs dans une vingtaine de consulats. Sur trois sites, en Grande-Bretagne, Algérie et Turquie [1], la France expérimente la délégation au privé de la collecte des données biométriques – photos numérisées et empreintes digitales – et leur stockage temporaire.

Comment cette démarche, qui touche pourtant à la souveraineté de l’État, a-t-elle pu être privatisée ? Cette délégation au privé est justifiée par l’augmentation des demandes, et par la nécessité d’alléger les effectifs [2]. Pour privatiser une partie du processus de délivrance, la France a découpé la procédure en morceaux. Selon les ministères concernés (Affaires étrangères et Intérieur), seules les étapes non régaliennes sont externalisées. « L’instruction des dossiers et la prise de décision, qui constituent la partie régalienne de l’activité visa, continuent de relever de la compétence exclusive des services consulaires », explique le dernier rapport du directeur des Français de l’étranger et de l’administration consulaire.

Monopole des entreprises et dépendance des États

Les Français demandant un visa à un consulat étranger sont tout autant concernés. Car la France n’est pas seule dans ce cas. La délégation du traitement des demandes de visas se diffuse dans le monde entier et à grande vitesse. Le développement fulgurant de la firme VFS Global, spécialisée dans le domaine, illustre bien le phénomène. Crée en 2001, la filiale du voyagiste suisse Kuoni n’avait encore qu’un seul État client en 2005. Deux ans plus tard, elle gère les procédures de visas pour le compte de 11 États et employait près de 600 personnes. Aujourd’hui, VFS Global travaille pour 44 États (dont 25 membres de l’UE) dans plus de 800 centres de délivrance de visas sur tous les continents, et emploie 2 700 personnes.

La France aussi fait appel à VFS Global, dans dix pays [3]. Ailleurs, et surtout en Afrique du Nord, le Quai d’Orsay a délégué à TLS Contact, filiale du groupe Teleperfomance, spécialisé dans les centres d’appels, et... leader du marché des visas. « La croissance de l’externalisation n’a pas conduit à l’émergence de nouveaux prestataires, à l’exception de VisasFrance (devenu TLS Contact), elle a au contraire accentué les situations de monopole existantes », faisait déjà remarquer en 2009 Gérard Beaudu, dans la revue de sociologie politique Cultures et Conflits. Une évolution qui augmente la dépendance des États à l’égard d’un seul prestataire. « Dans des pays tels que l’Inde ou la Russie, l’ensemble de l’activité visas des États Schengen serait affectée au cas où le prestataire unique serait amené à réduire, suspendre ou cesser son activité, par exemple pour des raisons économiques ou stratégiques ». Le phénomène s’est encore amplifié depuis.

Appels surtaxés et frais supplémentaires

Cette pratique a-t-elle un impact sur le coût des visas ? « Le coût de ces activités sous-traitées est directement facturé par les prestataires aux demandeurs de visa et n’est donc pas supporté par l’État », note le dernier rapport de la Cour des comptes. Pour une demande de visa, il faut verser (sauf exceptions) des frais de dossier aux consulats : 60 euros pour un visa court séjour, 99 euros pour un long séjour. En cas d’externalisation, les demandeurs doivent en plus payer les sociétés privées, sous forme d’appels surtaxés ou de « frais de service ».

Au consulat de Yaoundé, le demandeur doit par exemple, pour pouvoir obtenir un rendez-vous, acheter une carte téléphonique spécifique au prix de 3.000 francs CFA (4,5 euros). À Ankara, le prix « des services d’information et de réservation » est de 21 livres turques (9 euros). A payer à chaque rendez-vous ! À Kiev et Alger, où l’externalisation est plus étendue, ces frais de service supplémentaires s’élèvent à 25 euros. La réglementation européenne (Code communautaire des visas) interdit de dépasser 30 euros. Tout comme les frais de dossiers, ces frais de service ne sont pas remboursés en cas de refus. En Algérie, le taux de refus frôlait les 20% en 2012.

Des services « premium » pour ceux qui en ont les moyens...

« Ces coûts supplémentaires supportés par les usagers sont une discrimination économique pour les familles les moins aisées et créent de fait une ségrégation », juge la section CGT du ministère des Affaires étrangères en novembre 2012. « Il est à craindre que cela ajoute aux risques d’arnaque », déplore Yannick Guidoux, de la CGT du Quai d’Orsay. En principe, les demandeurs ont toujours la possibilité de déposer leur demande directement au consulat, mais ceux-ci sont réticents et n’hésite pas à renvoyer l’usager vers le prestataire privé [4].

Certains prestataires ont même mis en place des services améliorés à destination des demandeurs les plus aisés financièrement. TLS Contact propose par exemple un service premium en Algérie et au Liban. Pour 30 euros environ (en plus des 25 euros de frais de service), cette offre propose entre autres un « accompagnement personnalisé et une assistance du début à la fin du dépôt ». A Pékin, le service premium inclue aussi l’aide de « téléconseillers qualifiés et dédiés à renseigner » et « une assistance pour remplir le formulaire sans erreur », le tout pour 250 yuans supplémentaires (31 euros).

Et service minimum pour les autres ?

Ce service premium ne donne droit ni à un visa, ni à un traitement plus rapide, précise la société... La manière dont TLS Contact vend ce service laisse pourtant penser que celui qui y recourt met plus de chance de son côté. « Alors que les conditions d’accueil des demandeurs de visa sont connues pour être spartiates et l’attente très longue, la mise en place d’un service optionnel différencié selon les moyens financiers amène à s’interroger sur l’égalité d’accès au service public », souligne le député socialiste Daniel Goldberg dans une question au gouvernement, en septembre 2012. « Il est à craindre que l’existence de ces services améliorés et fortement rémunérateurs pour les opérateurs privés ne les incitent aucunement à mettre en place des conditions d’accueil dignes, voire confortables, pour les personnes s’acquittant des frais légaux. Ainsi garantir moyennant des frais complémentaires un renseignement "sans erreur" laisse penser que des erreurs seraient tolérées au tarif normal », s’inquiète l’élu.

Réponse du gouvernement : « Certaines personnalités veulent en effet recevoir un accueil spécifique et disposer d’un espace dédié qu’elles jugent plus adapté à leur statut ». Pas de quoi s’alarmer, juge le Quai d’Orsay. De toute façon, pour l’État, l’externalisation est une bonne affaire. En 2011, l’activité des visas a généré 78 millions d’euros de marge bénéficiaire [5].

La délégation a-t-elle amélioré les conditions d’accueil des demandeurs ? Au-delà des bilans positifs mis en avant par les administrations de l’État, la Cimade notait en 2010 que « dans les pays où l’externalisation est mise en place, les conditions d’accueil ont globalement été améliorées ». L’association de solidarité avec les migrants nuance toutefois son appréciation : le développement de l’externalisation ayant diminué de façon considérable la charge de travail des agents consulaires, « il paraîtrait logique que le consulat utilise les sommes qui lui sont allouées pour le traitement des demandes de visas afin de payer le prestataire extérieur. Mais le choix a été tout autre, consistant à faire peser sur le demandeur les carences de l’administration, incapable d’organiser elle-même un accueil digne dans ses propres locaux et avec son propre personnel ! » Avec l’externalisation, l’État fait des économies de personnel, mais sur le dos du portefeuille des usagers.

Privatiser la collecte de données biométriques

Les prestataires privés sont amenés à collecter les données personnelles du demandeur – nom, âge, adresse des personnes l’accueillant en France – mais aussi, de plus en plus, photos numérisées et empreintes digitales. Avec la mise en place du système européen centralisé d’information sur les visas (VIS) fin 2011, le visa biométrique, avec empreintes digitales des dix doigts et photo numérisée, est devenu obligatoire dans tout l’espace Schengen (26 pays). Ces données hautement sensibles sont ensuite envoyées dans une base de données commune à tous les États membres.

Pour la France, plus de 170 des 193 postes consulaires délivrent déjà des visas biométriques. Plus de la moitié des visas accordés en 2011 comportaient empreintes digitales et photos numériques. Là aussi, le Quai d’Orsay se tourne vers le privé. La France a confié dès 2011 à des prestataires privés la collecte de ces données sensibles dans trois sites test, Alger, Istambul-Izmir et Londres. C’est l’entreprise Thales qui fournit le logiciel pour cette expérimentation en cours [6]. La même entreprise qui gèrera également la Plateforme nationale d’interceptions judiciaires (PNIJ), chargée de centraliser toutes les écoutes téléphoniques et informatiques en France, et qui doit être mise en place en septembre. Thales toujours qui vend des prestations et des systèmes de de surveillance aux frontières...

Quelles garanties pour la sécurité des données ?

« Quelles garanties en termes de non communication des données avons-nous, vis-à-vis d’entités extérieures à l’administration, voire vis-à-vis de certains États ? », s’interroge la CGT. « On s’apprête à confier de façon massive des données qui relèvent de la liberté individuelle à des prestataires dont on sait pertinemment qu’ils poursuivent des intérêts commerciaux vis-à-vis des usagers ». Le ministère assure que les données sont effacées automatiquement dès leur transfert crypté vers le système d’information de l’administration et que le prestataire ne conserve aucune donnée personnelle…

Soit. Mais comme partout ailleurs, des failles informatiques sont possibles. En 2007, VFS Global constate un défaut dans son application en ligne destinée aux demandeurs de visas vers le Royaume-Uni. Par une simple manipulation, il était possible d’avoir accès aux données personnelles d’autres demandeurs ! La sécurité des données personnelles est pourtant un sujet très sensible dans le domaine des migrations ou des demandes d’asile de personne fuyant une dictature. « La divulgation, volontaire ou pas, de ces informations aux autorités locales pourrait avoir des conséquences graves pour les personnes qui ont le projet de quitter leur pays d’origine pour s’installer en France, notamment les demandeurs d’asile », prévient la Cimade en 2010. Ces informations pourraient également être utilisées par des réseaux de passeurs, pointe l’association. Ceux-ci pourraient se servir des listes de refus de visa pour recruter des clients potentiels.

Ces possibles « utilisations détournées » des données biométriques ont fait l’objet d’un avis de la Commission nationale de l’informatique et liberté (Cnil) en 2009. En septembre 2012, après avoir contrôlé deux consulats qui expérimentent l’externalisation biométrique, elle conclut que les risques sont « maîtrisés » [7]. La Cnil estime néanmoins que les risques mentionnés en 2009, concernant notamment l’utilisation des données collectées par les autorités locales, « restent en tout point d’actualité »... Des réserves, mais pas assez pour freiner le mouvement. Depuis le dernier avis de la Cnil, de nouveaux consulats ont externalisé la collecte des empreintes digitales. L’Italie suit la même voie : TLS Contact a mis en place des stations de collecte de données biométriques dans les consulats au Maroc et au Liban.

Rachel Knaebel

Photos et illustrations CC Owni

Notes

[1A Alger depuis octobre 2011, Londres depuis février 2012, Istanbul et Izmir depuis mai 2012

[2Les effectifs dans les services des visas des consulats ont diminué de 77 postes (en équivalents temps plein) entre 2006 à 2011 (Source : Rapport annuel 2013 de la Cour des comptes).

[3Inde, Sri Lanka, Kazakhstan, Turquie, Nigeria, Ukraine, Russie, Abu Dhabi, Dubaï, Arabie saoudite.

[4Comme l’a constaté la Cour des comptes à Alger : « Le recours à des prestataires extérieurs conduit à certaines pratiques contestables dans certains postes : à titre d’exemple, celui d’Alger refusait, contrairement au code communautaire des visas, de recevoir la plupart des demandeurs et les renvoyait vers le prestataire extérieur, ce qui était plus coûteux pour les intéressés. Depuis le contrôle de la Cour, l’information donnée sur le site Internet de ce consulat général mentionne la possibilité de se rendre directement au poste consulaire. »(Source).

[5Source : Rapport de la commission des finances de l’Assemblée nationale sur le projet de loi de finance 2013.

[6« La France a choisi Thales pour le contrat Bionet portant sur la fourniture du système d’acquisition des données biométriques des demandeurs de visas Schengen. Thales est en charge du système central de stockage sécurisé des demandes et d’interface avec le système central biométrique Schengen, des stations d’acquisition d’enregistrement biométriques (empreintes et photo) installées à Alger, Londres, Izmir et Istanbul, ainsi que de la sécurisation des transferts via Internet intégrant de la cryptographie et la signature électronique », écrit le groupe français dans son rapport stratégique pour 2012 (Source, p18).

[7« La grande majorité des mesures prévues de sécurisation de cette modalité de collecte des données biométriques ont effectivement été mises en œuvre. »