Neuf jours après le renvoi de Semlex à Bruxelles, deux machines de capture volées à Kinshasa

Deux machines servant à la capture des passeports ont été volées dans la nuit du 9 au 10 septembre au Centre de capture Infinity, sur l’avenue de la Libération, ex-24 Novembre, à Kinshasa. L’information est rapportée par Top Congo FM, qui l’attribue à des sources proches du ministère des Affaires étrangères. Les circonstances du vol et l’identité de ses auteurs restent inconnues.

Au moment où nous écrivons, aucune autre rédaction n’a publié sur ce vol, et ni le ministère des Affaires étrangères, ni la police, ni le parquet n’ont réagi. Nous ne savons pas non plus si une plainte a été déposée.

La question que pose ce vol est simple : que peut-on faire avec une machine de capture volée ? La réponse, elle, dépend de quatre points que personne n’a encore éclaircis.

Ce qu’une machine de capture fait, et ce qu’elle ne fait pas

Le passeport congolais en vigueur depuis le 5 juin 2025 est délivré par le ministère des Affaires étrangères, avec l’opérateur allemand Dermalog. La procédure officielle, publiée par le ministère, compte six étapes : obtenir un numéro d’identification fiscale, s’inscrire sur la plateforme passeport.gouv.cd, payer les 75 dollars, présenter ses pièces à l’Agence nationale de renseignements, effectuer la capture biométrique dans un centre, puis retirer le document.

La capture et la fabrication sont deux opérations distinctes, et elles ne se font pas au même endroit. Un poste de capture enrôle : il scanne les empreintes et l’iris, photographie le visage, lit les documents, recueille la signature. Il ne contient ni livret vierge, ni page en polycarbonate, ni puce, ni presse d’impression. La production du passeport est centralisée, ce que confirme indirectement la livraison des documents finis par lots dans les provinces : l’ACP rapportait en décembre 2025 la réception d’un lot de passeports biométriques à Beni.

Un point technique décide du reste, et il vaut d’être expliqué. Selon l’Organisation de l’aviation civile internationale, chaque État émetteur dispose d’une seule autorité de certification nationale, qui crée les certificats de signature apposés sur la puce du passeport. Cette signature intervient au moment de l’émission du document, donc à la personnalisation, pas à l’enrôlement. Les certificats sont ensuite échangés entre États par le répertoire de clés publiques de l’OACI, ce qui permet aux polices aux frontières de vérifier l’authenticité d’une puce.

Deux postes d’enrôlement volés ne donnent donc pas le pouvoir de signer une puce, ni de fabriquer un passeport qui passerait un contrôle.

Les quatre questions sans réponse

Ce constat ne clôt pas le sujet, il le déplace.

Premièrement, que contenaient les mémoires de ces deux machines ? Des dossiers d’enrôlement en attente de transmission, c’est-à-dire des empreintes, des images d’iris, des photographies de visage, des signatures et des scans de pièces d’identité, ou rien du tout ? Personne ne l’a dit.

Deuxièmement, ces postes peuvent-ils fonctionner hors réseau, et les données y sont-elles chiffrées au repos ?

Troisièmement, des certificats, des jetons d’authentification ou des identifiants d’accès au serveur central y étaient-ils embarqués ? C’est l’hypothèse la plus sérieuse : une station volée qui resterait authentifiée auprès du système central permettrait, en théorie, d’enrôler frauduleusement.

Quatrièmement, le ministère et l’opérateur ont-ils révoqué les accès de ces deux postes depuis mercredi soir ?

Tant que ces quatre réponses manquent, l’ampleur de l’incident n’est pas mesurable. Nous avons sollicité le ministère des Affaires étrangères.

Ce que le code du numérique impose

Si des données d’enrôlement se trouvaient dans ces machines, une obligation légale s’applique immédiatement.

L’ordonnance-loi n° 23/010 du 13 mars 2023 portant code du numérique range la donnée biométrique parmi les données sensibles, et la définit comme celle qui « se rapporte aux caractéristiques physiques, biologiques ou comportementales permettant d’identifier une personne physique telles que les empreintes digitales, les images faciales, la voix, l’iris ou la démarche ».

Son article 244 est sans ambiguïté : « Le responsable du traitement doit notifier, sans délai, à l’Autorité de protection des données et à la personne concernée toute violation des données à caractère personnel ayant affecté les données à caractère personnel de la personne concernée. » La notification doit décrire la nature de la rupture, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises. Le texte prévoit une seule dispense, lorsque les données étaient rendues incompréhensibles, notamment par chiffrement.

L’article 243 impose au responsable du traitement des mesures techniques et organisationnelles appropriées, et l’article 245 rend l’analyse d’impact obligatoire avant tout traitement à grande échelle de données biométriques destiné à identifier une personne de manière unique.

Une difficulté demeure. L’Autorité de protection des données à laquelle cette notification doit être adressée est créée par les articles 262 et suivants du même code. Nous n’avons pas pu établir qu’elle est aujourd’hui opérationnelle.

Le code prévoit enfin des sanctions. Son article 351 punit d’un à cinq ans de servitude pénale et de 20 à 100 millions de francs congolais l’usurpation d’identité par système informatique, et de deux à cinq ans le fait de transférer, de posséder ou d’utiliser un moyen d’identifier autrui en vue d’une activité illégale.

Un document déjà encombré de contentieux

Le vol survient neuf jours après une décision de justice qui concerne directement le passeport congolais.

Le 1er septembre, la justice belge a renvoyé quatorze inculpés devant le tribunal correctionnel de Bruxelles dans l’affaire des passeports biométriques congolais, pour corruption, blanchiment d’argent et fraude fiscale. Deux noms sont publics, celui du dirigeant de Semlex Albert Karaziwan et celui d’Emmanuel Adrupiako, ancien conseiller financier de Joseph Kabila. Les parties civiles, cinquante et un citoyens congolais et des associations anticorruption, chiffrent à 60 dollars par passeport la somme détournée sur les 185 dollars alors facturés, soit environ 60 millions de dollars. Aucune date d’audience n’a été fixée, et le parquet fédéral belge a confirmé le renvoi.

L’histoire récente du document est aussi une histoire de disparitions. En décembre 2011, Radio Okapi révélait la disparition d’au moins 2 800 passeports biométriques, dont un millier de passeports diplomatiques, signalée au ministère des Affaires étrangères. C’était la quatrième disparition depuis avril 2009. Un an et demi plus tôt, en juillet 2010, 1 600 passeports avaient été volés.

Un guichet déjà sous tension

Le vol touche en outre une chaîne qui fonctionne mal depuis son changement d’opérateur.

En septembre 2025, Radio Okapi documentait la colère des requérants à Kinshasa : l’ancien prestataire traitait 3 000 à 5 000 dossiers par jour, le nouveau environ 500, et 126 000 dossiers antérieurs à la bascule restaient bloqués. Une cinquantaine de personnes avaient manifesté devant le centre de capture. En février 2026, le ministère ouvrait une enquête sur des passeports vendus jusqu’à 125 dollars au lieu des 75 officiels au centre mobile de Beni.

Un dernier élément de contexte mérite d’être versé, sans qu’aucun lien ne soit établi entre les deux affaires. Le matin même du vol rapporté, Radio Okapi publiait un article sur la recrudescence des cambriolages et des vols à main armée dans la commune de Barumbu, où des hommes armés et masqués, en tenue militaire et arrivés à moto, ont vidé des commerces au croisement des avenues Kasaï et Kabalo en moins de dix minutes.

BETO actualisera cet article dès que le ministère des Affaires étrangères ou les autorités judiciaires se seront exprimés.

À lire aussi

• 60 dollars par passeport vers Dubaï : Semlex renvoyée devant le tribunal correctionnel de Bruxelles
• Affaire Semlex : le parquet fédéral belge confirme le renvoi de quatorze inculpés
• Passeport congolais : 75 dollars et dix jours sur le papier, la réalité des guichets
• RDC : depuis 1964, quatre lois ont déplacé la date qui fait un Congolais