Evergreen Trading System Limited ou un contrat de sécurité à haut risque

Le contrat prévoit d’abord un paiement initial de mobilisation d’environ 13,6 millions de dollars, destiné à financer le démarrage du projet, la mobilisation du personnel et le déploiement initial des équipements ; plus 15 millions de Stand-by Letter of Credit (garantie bancaire). Cependant, ces montants ne représentent qu’une petite partie du coût potentiel du contrat. La rémunération principale du prestataire repose en effet sur un mécanisme de partage des recettes douanières supplémentaires. Pendant les trois premières années du projet, l’entreprise Evergreen percevra 20 % des recettes nettes supplémentaires générées au-delà d’un seuil de référence annuel. Pour les sept années suivantes, cette part sera réduite à 15 %.

En théorie, ce modèle repose sur une logique de performance : si les recettes augmentent, l’entreprise est rémunérée en proportion des gains générés. Mais ce système pose plusieurs questions importantes. D’abord, la notion de « recettes nettes supplémentaires » peut être complexe à calculer et susceptible d’interprétations divergentes. Ensuite, le contrat ne semble pas fixer de plafond global clair à la rémunération du prestataire sur la durée totale de l’accord. Autrement dit, si les recettes douanières augmentent fortement, la somme versée au prestataire pourrait atteindre des montants très élevés. À ces coûts s’ajoutent d’autres éléments financiers :

• des exonérations fiscales et douanières sur l’importation d’équipements ;
• des coûts d’exploitation et de maintenance sur la durée du projet ;
• des frais liés aux garanties bancaires exigées par le contrat.

L’ensemble crée une structure financière difficile à évaluer précisément et susceptible d’entraîner un engagement budgétaire important pour l’État.

Cependant, malgré ces risques, le contrat présente certains éléments positifs. D’abord, il propose une approche intégrée combinant technologie, formation et assistance institutionnelle. Dans un contexte où l’administration publique souffre d’un manque de moyens techniques, cette approche peut contribuer à renforcer les capacités opérationnelles de l’État. Ensuite, le mécanisme de rémunération lié à la performance peut, en théorie, aligner les intérêts du prestataire avec ceux de l’État : plus les recettes augmentent, plus le prestataire est rémunéré. Enfin, le contrat prévoit que certains équipements et infrastructures seront transférés à l’État haïtien à l’issue du projet, ce qui pourrait permettre un renforcement durable des capacités nationales. Mais ces avantages doivent être mis en balance avec plusieurs faiblesses importantes.

Le premier problème concerne la transparence financière et la gouvernance du contrat. Le calcul des recettes supplémentaires qui serviront de base à la rémunération du prestataire dépendra de données fiscales complexes et potentiellement contestables. Sans mécanisme d’audit indépendant clairement défini, ce système peut générer des conflits ou des opacités.

Le deuxième problème concerne le risque de dépendance technologique. Si les systèmes déployés reposent entièrement sur l’expertise et les infrastructures du prestataire, l’État pourrait se retrouver dépendant de celui-ci pour l’exploitation, la maintenance ou l’évolution des technologies utilisées. Cette dépendance est un phénomène bien connu dans les grands contrats technologiques conclus par des États aux capacités administratives limitées.

La question de la protection des données personnelles

Ce contrat est un scandale en matière de la protection de données personnelles, de même pour la gouvernance des systèmes de surveillance. Le projet prévoit l’utilisation de technologies particulièrement sensibles : biométrie, reconnaissance faciale, surveillance aérienne et interconnexion de bases de données administratives. Or, le contrat n’établit pas de cadre détaillé pour la protection de ces données. Plusieurs éléments essentiels font défaut. D’abord, il ne définit pas clairement qui est responsable du traitement des données, ni quelles sont les obligations du prestataire en matière de sécurité et de confidentialité. Ensuite, les finalités de traitement des données sont formulées de manière très large, ce qui peut ouvrir la voie à des usages extensifs ou détournés des systèmes mis en place.

Le document ne précise pas non plus les règles de :

• conservation des données ;
• accès aux bases d’information ;
• audit des systèmes informatiques ;
• notification des incidents de sécurité ;
• transfert des données vers l’étranger.

Dans un système reposant sur la biométrie et la surveillance, ces questions sont pourtant centrales. Sans cadre juridique solide, le risque est double. D’une part, des atteintes aux droits fondamentaux des citoyens et,  d’autre part, une vulnérabilité accrue face aux cyberattaques ou aux fuites de données. Vous comprendrez que ces risques ne concernent pas uniquement les citoyens haïtiens mais toute personne susceptible de visiter Haïti ou d’utiliser un service afférent. En matière de protection des données, les Européens sont protégés par le RGPD (Règlement général sur la protection des données) et d’autres textes domestiques ou communautaires ; les canadiens ont PIPEDA ou, en français, LPRPDE (Loi sur la protection des renseignements personnels et les documents électroniques) et d’autres textes provinciaux ; les dominicains ont la Loi cadre (habeas data) n° 172-13 (2013) ; les américains n’ayant pas d’équivalent RGPD ont un ensemble de dispositifs d’origine fédérée.

Le cadre général de la protection des données personnelles en Haïti est incertain. Conservatrice et improductive comme elle seule, une bonne partie de l’élite haïtienne a fait de son mieux pour que le code pénal publié dans le Moniteur spécial n°10, 24 juin 2020 n’entre pas en vigueur. Il contient pourtant des dispositions sur des infractions liées aux systèmes informatiques et au traitement de données. Il nous reste l’arrêté du 15 mai 2018, qui fixe des règles relatives à la protection des données à caractère personnel (mais un arrêté est très limité sur le plan juridique), et le décret du 29 janvier 2016 sur l’administration électronique qui, dans ses principes généraux, pose le principe du respect de la vie privée et la protection des données à caractère personnel. Le gouvernement intérimaire devrait prendre un décret pour poser le cadre général (accès/rectification/suppression/transfert) de la protection des données de l’ensemble des usagers.

Au-delà de la question financière ou juridique, ce contrat soulève également un enjeu plus large qui est celui de la souveraineté technologique de l’État. Les systèmes de surveillance, de biométrie et d’analyse de données constituent aujourd’hui des infrastructures stratégiques. Confier leur conception et leur gestion à un prestataire privé étranger sans cadre juridique strict peut créer une dépendance durable. Dans plusieurs pays, des débats similaires ont déjà émergé autour de la gestion privée des systèmes de surveillance aux frontières ou des bases de données biométriques. Ces infrastructures ne sont pas seulement des outils techniques, elles sont aussi des instruments de pouvoir et de contrôle.

Le contrat signé avec Evergreen Trading System Limited illustre le dilemme auquel sont confrontés de nombreux États dits fragiles : comment renforcer rapidement leurs capacités sécuritaires et administratives sans compromettre leur souveraineté, leurs finances publiques et les droits fondamentaux des citoyens. S’il contient des éléments potentiellement utiles pour moderniser les infrastructures de contrôle aux frontières, il comporte également des zones d’ombre importantes, notamment en matière de transparence financière et de protection des données personnelles. Avant sa mise en œuvre complète, une révision ou un encadrement plus strict de certaines dispositions pourrait s’avérer nécessaire afin de garantir que la modernisation des institutions ne se fasse pas au détriment des principes fondamentaux de gouvernance et de protection des libertés.