L’UE souhaite que chaque citoyen dispose d’un portefeuille d’identité numérique d’ici la fin de 2026. Les groupes de défense des droits numériques préviennent que les garanties ne sont pas prêtes et qu’un système conçu pour protéger la vie privée pourrait au contraire faciliter le suivi des Européens.
D’ici fin 2026, chaque pays de l’UE devra légalement proposer à ses citoyens un portefeuille européen d’identité numérique. Cette application pour smartphone conserve la pièce d’identité gouvernementale, le permis de conduire, le diplôme et d’autres documents vérifiés d’une personne en un seul endroit et est conçue pour fonctionner dans les 27 pays de l’UE.
Les groupes de défense des droits numériques avertissent que la technologie et les garanties destinées à la protéger ne sont pas prêtes et que le portefeuille pourrait devenir exactement le type d’outil de surveillance qu’il a été conçu pour empêcher.
« Nous en sommes à peut-être 50 à 60 % des normes techniques nécessaires pour construire ce portefeuille », déclare Thomas Lohninger, directeur exécutif du groupe autrichien de droits numériques epicentre.works et membre du conseil d’administration d’European Digital Rights (EDRi). « Les 40 % restants ne sont pas encore là. Ils n’existent pas. »
Le problème du « pot de miel »
La centralisation de l’identité, des données de santé, du permis de conduire et des informations financières d’une personne sur un seul appareil augmente le coût d’une seule faille de sécurité. Un téléphone volé, une application malveillante ou une violation du cloud pourraient tout révéler d’un coup. Contrairement à un mot de passe divulgué, un identifiant compromis porte une signature cryptographique d’authenticité, ce qui rend toute utilisation abusive bien plus dommageable.
« Si vous mettez tous vos œufs dans le même panier, nous espérons que ce panier ne faillira jamais », déclare Lohninger. « Imaginez si ce petit portefeuille était piraté ou était indisponible pendant quelques heures ou une semaine seulement. Les gens n’auraient plus accès à leurs réseaux sociaux. Ils ne pourraient pas utiliser les transports en commun. Leur permis de conduire ne serait plus avec eux. » Il qualifie le portefeuille d’« infrastructure critique » reliant les secteurs public et privé « comme nous ne l’avons jamais fait en Europe » et de cible non seulement pour les cybercriminels mais aussi pour les acteurs au niveau étatique.
Le règlement impose des défenses techniques : un matériel cryptographique inviolable pour stocker les clés, des informations d’identification liées à un appareil spécifique afin qu’elles ne puissent pas être copiées, une authentification pour toute organisation demandant des données et une règle exigeant que les utilisateurs soient informés dans les 24 heures suivant la révocation d’une information d’identification. Le Contrôleur européen de la protection des données considère la sécurisation des éléments matériels comme une garantie clé contre le vol. Mais perdre un téléphone signifie toujours une course pour geler et récupérer un portefeuille avant qu’un criminel ne l’exploite. Les auditeurs de l’UE notent que la reprise n’est que partiellement testée.
Suivi dès la conception
L’engagement principal du portefeuille en matière de confidentialité est la divulgation sélective : une personne prouvant qu’elle a plus de 18 ans ne devrait pouvoir partager que ce fait, et non son nom, son adresse ou son numéro d’identification. Le CEPD appelle cela « l’autorisation sans identification », une défense contre le pistage et le profilage qu’une carte d’identité physique ne peut offrir.
Lohninger définit le risque comme une « suridentification ». La vérification de l’identité d’une personne en ligne est actuellement lente et coûteuse ; les banques et les opérateurs de téléphonie mobile paient pour le faire en vertu des règles anti-blanchiment d’argent. Le portefeuille pourrait rendre l’identification très rapide, peu coûteuse et largement disponible, prévient-il. Cela incite à supprimer l’anonymat qui existe actuellement sur les réseaux sociaux ou lors des inscriptions par courrier électronique.
Il évoque également ce qu’EDRi appelle le risque « panoptique ». Le même portefeuille pourrait être utilisé pour les impôts, les soins de santé, les transports publics, les opérations bancaires et la connexion à Facebook ; Des domaines de la vie auparavant séparés pourraient devenir reliés par un seul système. « Ces domaines de la vie pourraient devenir connectés », dit-il. « Il y a ce grand risque de panoptique où l’on peut vraiment tout voir de tout le monde. » EDRi a plaidé en faveur d’un principe juridique appelé inobservabilité, destiné à empêcher les fournisseurs de portefeuilles, les gouvernements, ou potentiellement Google, de voir ce que font les utilisateurs à l’intérieur du système. Selon EDRi, les projets de règles de mise en œuvre affaiblissent actuellement précisément cette garantie, tout en poussant à des contrôles faciaux biométriques obligatoires non prévus dans la loi originale.
Cryptographie inachevée
Une grande partie de la technologie destinée à rendre le portefeuille à la fois sécurisé et privé n’existe pas encore, dit Lohninger. Les preuves sans connaissance, les techniques cryptographiques qui permettent à quelqu’un de prouver un fait, comme avoir plus de 18 ans, sans révéler les données sous-jacentes, constituent « la frontière de la science cryptographique ». « Il existe un triangle entre confidentialité, sécurité et convivialité », dit-il. « Il est très difficile d’obtenir les trois à 100 %. Le portefeuille va certainement faire des économies ici. »
Cela laisse la question ouverte de savoir quel coin sera coupé en premier. Un système d’identification peut être cryptographiquement sécurisé, avec des clés fortes, des signatures valides, sans piratage évident, et néanmoins divulguer des informations sur le comportement d’une personne si le même identifiant ou attribut est réutilisé dans tous les services, permettant aux vérificateurs de lier des transactions distinctes à la même personne même sans nom attaché.
Le maillon faible transfrontalier
Étant donné que le portefeuille repose sur la reconnaissance mutuelle, une banque ou un bureau gouvernemental d’un pays doit faire confiance aux contrôles d’identité effectués conformément aux normes d’inscription, de certification et de sécurité d’un autre pays. Lohninger ne s’attend pas à ce que la plupart des systèmes nationaux soient aussi robustes d’ici la date limite. « Même les pays qui dépensent beaucoup d’argent dans ce domaine, comme la France et l’Allemagne, ne sont pas prêts », dit-il. « Ils n’atteindront pas complètement la ligne d’arrivée. »
Cette inégalité est en soi un risque pour la sécurité : un système construit pour 27 implémentations mutuellement fiables n’est aussi solide que son déploiement national le plus faible, sa réponse aux incidents la plus lente et son processus d’inscription le moins rigoureux. Le conseil de Lohninger est la prudence pour l’instant. « Attendons et ne soyons pas les premiers à adopter ce système. Je veux un audit, une enquête indépendante de la part des universitaires et de la société civile sur ce que les gouvernements nous apportent avant de nous lancer dans ces systèmes. »
Pourquoi les enjeux augmentent
Le débat sur la sécurité s’intensifie à mesure que les gouvernements de toute l’Europe, notamment la France, le Danemark, la Grèce et l’Autriche, poussent de nouvelles lois sur la vérification de l’âge pour les médias sociaux, avec une annonce attendue prochainement à l’échelle européenne de la présidente de la Commission, Ursula von der Leyen. Le portefeuille se positionne comme un outil de contrôle, associant un système d’identité de grande valeur avec, comme le dit Lohninger, « les entreprises les plus douteuses avec lesquelles nous interagissons quotidiennement ».
Pour surveiller la manière dont le système est utilisé une fois opérationnel, epicentre.works construit une plateforme de données ouvertes appelée « Qui m’identifie », conçue pour permettre aux journalistes et aux groupes de la société civile de savoir quelles entreprises et agences frontalières demandent des données sur les personnes, une fonction de surveillance que Lohninger considère comme essentielle une fois que de véritables incidents de sécurité commencent.
« La confiance du public est vraiment la ressource la plus rare dans tout cela », dit-il. « Nous avons vu dans certaines régions du monde, lorsque ces grands systèmes gouvernementaux d’identité numérique sont déployés et qu’ils rencontrent des problèmes, les gens s’enfuient. »
