L'UE souhaite que chaque citoyen dispose d'un portefeuille d'identité numérique d'ici fin 2026. Mais les ONG de défense des droits numériques alertent : les garde-fous ne sont pas prêts et un système censé protéger la vie privée pourrait au contraire faciliter la surveillance des Européens.
D'ici fin 2026, chaque pays de l'UE devra, en vertu de la loi, proposer à ses citoyens un portefeuille européen d'identité numérique. Cette application pour smartphone rassemble au même endroit la pièce d'identité officielle, le permis de conduire, les diplômes et d'autres documents vérifiés, et elle est conçue pour fonctionner dans les 27 pays de l'UE.
PUBLICITÉ
PUBLICITÉ
Des associations de défense des droits numériques avertissent que la technologie, comme les garde-fous censés la protéger, ne sont pas prêts et que ce portefeuille pourrait devenir précisément l'outil de surveillance qu'il est censé empêcher.
"Nous en sommes peut-être à 50 à 60 % des normes techniques nécessaires pour construire ce portefeuille", explique Thomas Lohninger, directeur exécutif de l'association autrichienne de défense des droits numériques epicenter.works et membre du conseil d'administration d'European Digital Rights (EDRi). "Les 40 % restants ne sont pas là. Ils n'existent pas".
Le problème du "honeypot"
Centraliser sur un seul appareil l'identité d'une personne, ses données de santé, son permis de conduire et ses identifiants financiers augmente le coût d'une seule défaillance de sécurité. Un téléphone volé, une application malveillante ou une fuite dans le cloud pourraient tout exposer d'un coup. Contrairement à un mot de passe qui aurait fuité, un justificatif compromis porte une signature cryptographique d'authenticité, ce qui rend son utilisation abusive beaucoup plus dommageable.
"Si vous mettez tous vos œufs dans le même panier, il faut espérer que ce panier ne casse jamais", souligne Lohninger. "Imaginez que ce petit portefeuille soit piraté ou en panne pendant seulement quelques heures ou une semaine. Les gens seraient coupés de leurs réseaux sociaux. Ils ne pourraient plus utiliser les transports publics. Leur permis de conduire ne serait plus avec eux." Il qualifie ce portefeuille d'"infrastructure critique" reliant les secteurs public et privé_"comme nous ne l'avons jamais fait en Europe"_, et donc de cible non seulement pour les cybercriminels mais aussi pour des acteurs étatiques.
Le règlement impose des protections techniques : des composants matériels cryptographiques résistants aux manipulations pour stocker les clés, des justificatifs liés à un appareil spécifique pour qu'ils ne puissent pas être copiés, une authentification de tout organisme qui demande des données, et une règle imposant d'avertir les utilisateurs dans les 24 heures lorsqu'un justificatif est révoqué. Le Contrôleur européen de la protection des données (CEPD) met en avant ces éléments matériels sécurisés comme un garde-fou clé contre le vol. Mais perdre un téléphone signifie toujours une course contre la montre pour geler et récupérer un portefeuille avant qu'un délinquant ne l'exploite. Les auditeurs de l'UE notent que les procédures de récupération n'ont été testées que partiellement.
Traçage intégré dès la conception
L'engagement central du portefeuille en matière de protection de la vie privée est la divulgation sélective : quelqu'un qui doit prouver qu'il a plus de 18 ans devrait pouvoir partager uniquement ce fait, sans donner son nom, son adresse ou son numéro d'identité. Le CEPD appelle cela une "autorisation sans identification", une protection contre le suivi et le profilage qu'une carte d'identité physique ne peut pas offrir.
Lohninger décrit le risque comme une "sur-identification". Vérifier l'identité d'une personne en ligne est aujourd'hui lent et coûteux ; les banques et les opérateurs mobiles paient pour le faire au titre des règles de lutte contre le blanchiment d'argent. Le portefeuille pourrait rendre cette identification très rapide, peu coûteuse et largement disponible, avertit-il. Cela crée une incitation à faire disparaître l'anonymat qui existe encore sur les réseaux sociaux ou lors de la création d'adresses électroniques.
Il évoque aussi ce qu'EDRi appelle le risque de panoptique. Le même portefeuille pourrait servir pour les impôts, la santé, les transports publics, les opérations bancaires et la connexion à Facebook ; des sphères de vie auparavant distinctes pourraient devenir reliées par un seul système. "Ces domaines de la vie pourraient se retrouver connectés", estime-t-il. "Il existe un grand risque de panoptique, où l'on peut réellement tout voir de tout le monde." EDRi plaide pour l'inscription dans la loi d'un principe d'inobservabilité, destiné à empêcher les fournisseurs de portefeuilles, les gouvernements ou potentiellement Google de voir ce que les utilisateurs font à l'intérieur du système. Selon EDRi, les projets de règles d'application affaiblissent justement cette protection, tout en imposant des contrôles biométriques faciaux obligatoires qui n'étaient pas prévus dans la loi d'origine.
Une cryptographie inachevée
Une grande partie des technologies censées rendre le portefeuille à la fois sûr et respectueux de la vie privée n'existent pas encore, souligne Lohninger. Les preuves à divulgation nulle de connaissance, des techniques cryptographiques qui permettent de prouver un fait, comme le fait d'avoir plus de 18 ans, sans révéler les données sous-jacentes, représentent "la frontière de la science cryptographique". "Il existe un triangle entre protection de la vie privée, sécurité et facilité d'utilisation", ajoute-t-il. "Il est très difficile d'atteindre 100 % sur ces trois aspects. Le portefeuille rognera forcément sur certains d'entre eux."
Reste une question ouverte : sur quel aspect fera-t-on des concessions en premier. Un système de justificatifs peut être cryptographiquement sûr, avec des clés solides, des signatures valides, aucune faille évidente, et malgré tout laisser fuiter des informations sur le comportement d'une personne si le même identifiant ou le même attribut est réutilisé sur plusieurs services, ce qui permet aux vérificateurs de relier des transactions distinctes à un même individu, même sans nom associé.
Le maillon faible transfrontalier
Comme le portefeuille repose sur la reconnaissance mutuelle, une banque ou un service administratif dans un pays doit faire confiance aux procédures d'enregistrement, de certification et de sécurité appliquées dans un autre pays. Lohninger ne s'attend pas à ce que la plupart des systèmes nationaux soient également robustes d'ici la date limite. "Même les pays qui dépensent beaucoup d'argent pour cela, comme la France et l'Allemagne, ne sont pas prêts", prévient-il. "Ils n'iront pas complètement jusqu'au bout."
Cette hétérogénéité constitue en elle-même un risque de sécurité : un système conçu pour 27 mises en œuvre se faisant mutuellement confiance n'est aussi solide que son déploiement national le plus faible, la réponse aux incidents la plus lente et les procédures d'enregistrement les moins rigoureuses. Pour l'instant, Lohninger recommande la prudence. "Attendons et ne soyons pas des adopteurs précoces. Je veux un audit, une enquête indépendante menée par des universitaires et la société civile sur ce que les gouvernements nous proposent, avant que nous ne nous précipitions sur ces systèmes."
Pourquoi les enjeux augmentent
Le débat sur la sécurité s'intensifie alors que des gouvernements partout en Europe, notamment en France, au Danemark, en Grèce et en Autriche, préparent de nouvelles lois sur la vérification de l'âge pour les réseaux sociaux, avec une annonce à l'échelle de l'UE attendue prochainement de la part de la présidente de la Commission, Ursula von der Leyen. Le portefeuille est présenté comme l'outil d'application de ces règles, en associant un système d'identité à forte valeur à ce que Lohninger décrit comme "les entreprises les plus douteuses avec lesquelles nous interagissons au quotidien".
Pour suivre la manière dont le système sera utilisé une fois lancé, epicenter.works développe une plateforme de données ouvertes baptisée "Who Identifies Me", conçue pour permettre aux journalistes et aux organisations de la société civile de savoir quelles entreprises et quelles agences aux frontières demandent les données des personnes, une fonction de surveillance que Lohninger juge essentielle dès que surviendront les premiers incidents de sécurité concrets.
"La confiance du public est vraiment la ressource la plus rare dans toute cette affaire", affirme-t-il. "Nous l'avons vu dans diverses régions du monde : lorsque ces grands systèmes d'identité numérique gouvernementaux sont déployés et qu'ils rencontrent des problèmes, les gens s'en détournent."