S’identifier dans le monde réel et numérique

La Suisse se dotera d’une e-ID à partir de 2026. Lors de la session de printemps 2024, le Conseil national a approuvé un projet de loi allant dans ce sens, suivi par le Conseil des États lors de la session d’automne. En 2021, le peuple avait encore rejeté la loi fédérale sur les services d’identification électronique (LSIE). Quant au projet de loi actuel, il est d’ores et déjà sous la menace d’un référendum lancé par plusieurs groupes d’intérêt. De nombreuses questions restent en suspens, à l’élucidation desquelles la BFH prend une part déterminante: Annett Laube, responsable de l’Institute for Data Applications and Security (IDAS) à la BFH-TI, est membre du Technical Advisory Circle de la Confédération. Avec son équipe, elle soutient les deux offices fédéraux en charge du développement de l’e-ID (l’Office fédéral de la justice et fedpol).

Dossier des patient-e-s et don d’organes

L’e-ID doit permettre de s’identifier aussi bien dans le monde réel que numérique. L’idée est que les utilisateurs et utilisatrices téléchargent une application sur leur smartphone et scannent une pièce d’identité suisse avec la caméra. Il faut ensuite télécharger un selfie, avant que fedpol ne vérifie les données. L’e-ID est ensuite enregistrée avec cette application sur le smartphone, qui dispose idéalement d’un élément sécurisé. La Confédération souhaite laisser en grande partie ouverte la question des domaines d’application concrets de l’e-ID. «Les réponses à ces questions sont entre les mains de l’économie et de la société», commente Annett Laube.

Ce qui est certain à ce stade: l’e-ID doit servir à prouver son âge lors de l’achat d’alcool. Sur internet, elle est requise pour commander un extrait de casier judiciaire. Elle sera également reliée au futur registre électronique relatif aux déclarations de dons d’organes et de tissus. Conformément à la solution dite de l’opposition, nous sommes tenu-e-s de la faire figurer dans ce registre si nous refusons expressément de donner nos organes après notre mort. L’e-ID doit également être utilisée dans le cadre du dossier électronique du ou de la patient-e (DPE). De même, elle doit s’appliquer dans le contexte de la plateforme «Service d’authentification des autorités suisses» (AGOV), qui doit permettre de s’identifier auprès de la Confédération et des autorités cantonales et communales, par exemple pour remplir sa déclaration d’impôts par voie électronique. Elle pourrait également se révéler intéressante pour la collecte électronique de signatures lors d’initiatives populaires et de référendums (e-collecting). Plusieurs motions ont déjà été déposées à ce sujet aux Chambres nationales.

Mais nous n’en sommes pas encore là. Un projet pilote est en cours: depuis le printemps dernier, le service des automobiles d’Appenzell Rhodes-Extérieures (AR) délivre des permis d’élève conducteur électronique (ePEC) que les apprenti-e-s conducteurs et conductrices conservent dans un portefeuille électronique (Wallet) sur leur smartphone. Les personnes qui doivent présenter leur ePEC peuvent le faire via un code QR. L’Office fédéral des routes (OFROU) et l’Association suisse des services des automobiles (asa) étendent l’ePEC à toutes les catégories de véhicules cette année et le déploient dans tous les cantons. En plus de répondre à des questions techniques, le projet pilote compte également fournir des informations sur la manière dont les utilisateurs et utilisatrices gèrent un justificatif d’identité numérique. Les expériences seront intégrées dans le développement des produits de l’e-ID.

À l’échelle internationale, l’e-ID ne s’est encore imposée nulle part. Une seule exception: les pays baltes, comme l’Estonie, où les citoyen-ne-s sont tenu-e-s d’utiliser l’e-ID. Toutefois, les données y sont centralisées, ce qui pose un problème de protection de la vie privée. Dans le modèle suisse, toutes les données sont exclusivement stockées sur le smartphone.

«Une chance inouïe»

Néanmoins, des questions subsistent concernant la sphère privée. «Deux approches technologiques pour la conception d’une e-ID s’affrontent», constate Annett Laube. «L’une insiste sur la transparence, l’autre sur la sphère privée.» L’approche adoptée par l’Union européenne (UE), par exemple, mise sur la transparence et attribue un numéro unique qui est fourni lors de chaque identification. Ce numéro peut être utilisé pour le profilage et augmente le potentiel d’abus. En effet, cette approche rend possible la mise en relation des différentes applications de l’e-ID. La deuxième approche fait appel à des technologies qui compliquent l’association abusive des identifications individuelles. En revanche, les deux approches technologiques ouvrent la voie à ce que l’on appelle la «Selective Disclosure». «On ne révèle que les données qui sont exigées», explique la professeure d’informatique de la BFH. «Par exemple, le nom et la date de naissance uniquement, et pas la couleur des yeux ou d’autres données personnelles.»

Dans un premier temps, la Suisse devra se rallier à la solution de l’UE en se concentrant sur la sécurité. «Toutefois, les mesures de sécurité ne seront probablement pas appliquées à l’identique», précise Annett Laube. On essaiera de mettre en œuvre le concept «Privacy by Design» inscrit dans la loi, dans la mesure où cela sera possible avec cette technologie. Parallèlement, il faudra élaborer une solution respectant mieux la sphère privée. Ce dernier point est essentiel aux yeux d’Annett Laube: «Nous pouvons montrer l’exemple et présenter les moyens de respecter la sphère privée dans un projet numérique aussi précurseur.» Relevons par ailleurs que le groupe de recherche de la BFH-TI est à la pointe en matière de création d’identités électroniques en Suisse. Il a par exemple effectué des travaux préparatoires conceptuels pour la plateforme AGOV dans le cadre de différents projets et a élaboré des normes eCH. En outre, l’équipe de recherche de la BFH-TI a montré dans de nombreux cas d’application pratique comment mettre en œuvre la divulgation sélective de données et la protection de la sphère privée dans la pratique numérique.

Quelle que soit la voie suivie, il reste encore de nombreux points à clarifier en ce qui concerne l’e-ID: comment rendre le processus d’émission de l’e-ID aussi sûr et convivial que possible? Que se passe-t-il en cas de perte du smartphone? Et que faire lorsque l’e-ID arrive à expiration? D’une manière générale, il est important de fournir à la population des informations sur l’emploi de l’e-ID et de la sensibiliser à l’utilisation des données numériques. «Si je montre ma carte d’identité au kiosque lorsque j’achète de l’alcool, cela ne laisse pas de traces. Dans le monde numérique, en revanche, nous laissons toujours des traces», relève Annett Laube. Bien sûr, le fait que l’État pourra se passer de cartes d’identité en plastique constitue un avantage. «Néanmoins, il faudra encore de nombreuses années avant qu’une e-ID ne s’impose à l’échelle nationale.»