Le portefeuille d'identité numérique : de quoi s’agit-il vraiment ?

Initialement proposé en mai 2021 dans le cadre d’une réglementation européenne sur l’identité numérique, le nouveau système d’identification « eID » à l’initiative de la Commission européenne voit le bout de la navette législative. Le 9 novembre dernier, le Parlement européen et le Conseil de l'Union européenne sont finalement parvenus à un accord final sur la création d’un portefeuille européen d'identité numérique.

Derrière ce nom un peu barbare se cache l’ambition de fournir à chaque citoyen de l'UE un moyen sécurisé de s'identifier et d'authentifier son identité en ligne sans passer par des « fournisseurs commerciaux ». Cette forme d'identité numérique serait reconnue dans toute l'Union Européenne, facilitant ainsi les démarches administratives dans les pays de l’UE. Il faut voir ce passeport virtuel comme un FranceConnect à la sauce européenne.

« Grâce aux portefeuilles d'identité numérique de l'UE, les citoyens pourront prouver, dans toute l'UE », indique un communiqué de la Commission européenne.

Concrètement, ce nouvel outil d’identification permettra de nombreux usages tels que :

• Faire une demande de documents officiels tels que des extraits de naissance ou des attestations médicales
• Effectuer un changement d'adresse auprès des autorités compétentes
• Ouvrir un compte auprès d'une institution bancaire
• Compléter et soumettre les déclarations fiscales
• Candidater à des programmes universitaires, que ce soit dans le pays d'origine ou dans un autre pays membre
• Disposer d'une ordonnance médicale valide dans toute l'Europe
• Justifier de son âge à l'aide de documents appropriés
• Utiliser un permis de conduire dématérialisé pour la location de véhicules
• Procéder à l'enregistrement dans des établissements hôteliers

S'il promet de simplifier la vie quotidienne des citoyens en leur permettant d'accéder facilement à divers services en ligne, le nouveau portefeuille d’identité numérique alerte déjà certains experts…

Le portefeuille d'identité numérique européen : une modernisation à double tranchant

Alors que l’UE se dirige doucement mais sûrement vers cette solution numérique, beaucoup d’experts alertent sur les potentiels risques d’un tel système. Face à ces enjeux, des experts du milieu informatique ont exprimé leurs préoccupations dans deux lettres ouverte. Une première lettre signée par des géants d’internet dont The Linux Foundation et Mozilla a été envoyée le 2 novembre dernier.

Une autre, cette fois-ci signée par plus de 500 experts en cybersécurité comme l'Internet Society, l'European Digital Rights (EDRi), l'EFF, Epicentre.works, a fait état des nombreux risques de l'eID et des préoccupations concernant la vie privée des citoyens européens.

Les experts ont notamment souligné que, sans des mesures de sécurité robustes et une transparence totale, le portefeuille d'identité numérique pourrait potentiellement limiter les libertés des citoyens en ligne.

« Concrètement, le règlement permet à chaque État membre de l'UE (et aux pays tiers reconnus) de désigner des clés cryptographiques pour lesquelles la confiance est obligatoire ; cette confiance ne peut être retirée qu'avec l'autorisation du gouvernement (Article 45a(4)). Cela signifie que tout État membre de l'UE ou pays tiers, agissant seul, est capable d'intercepter le trafic web de tout citoyen de l'UE et il n'existe aucun recours effectif. Nous vous demandons instamment de reconsidérer ce texte et de clarifier que l'Article 45 n'interférera pas avec les décisions de confiance concernant les clés cryptographiques et les certificats utilisés pour sécuriser le trafic web. » peut-on lire dans cette lettre ouverte.

Techniquement, les deux articles 45 et 45a du règlement pourraient limiter l’accès à des sites web situés en dehors du territoire européen. Côté sécurité, le portefeuille d'identité numérique européen prévoit inévitablement de concentrer les données sensibles en un seul point. Ce qui pourrait également devenir un véritable souci si des entités malveillantes parvenaient à trouver une faille pour y accéder. Ils pointent aussi la surveillance potentielle de certains États à l’égard de leurs citoyens avec un tel outil. D'autres critiques estiments que, couplé au projet d’euro numérique, le portefeuille d'identité de l'UE pourrait théoriquement permettre à ceux qui en ont le pouvoir de suivre et de potentiellement agir sur les dépenses des citoyens. Un scénario qui inquiète évidemment la communauté crypto, attachée à la décentralisation de la monnaie.

Bien que l'eID européen représente une manière de moderniser les services numériques, il concentre pas mal de préoccupations concernant la sécurité et le respect de la vie privée des citoyens. L’identité sur le web est un sujet épineux et des mesures concernant cette problématique peuvent facilement déboucher sur des scénarios dystopiques à la sauce Black Mirror, à l’image de l’identité numérique chinoise qui permet d'évaluer les citoyens. Toutefois, il importe de préciser que l’accord de l’UE implique certaines règles pour ce portefeuille. L’eID devra être open source afin de garantir une certaine transparence vis-à-vis des citoyens et celui-ci ne pourra être imposé. De même, chacun pourra révoquer son identité numérique européenne lorsqu’il le souhaite.