Intervention de Gwendal Le Grand

L'identité électronique recouvre plusieurs sujets. Un Règlement européen impose aux États membres de déployer une carte d'identité électronique avant août 2021. Dans ce contexte, le décret TES a été modifié pour permettre à l'État de créer de nouvelles cartes d'identité intégrant un composant électronique, dans lequel se trouvent des données biométriques en application d'un Règlement européen.

La question de l'identité numérique est plus large. Le gouvernement a porté plusieurs initiatives telles que FranceConnect et Alicem, sur lesquelles la CNIL a été amenée à se prononcer. Des textes ont ensuite été publiés pour contrôler leur application.

Un certain nombre de critères sont importants par rapport à l'identité numérique. Premièrement, une personne n'a pas besoin d'avoir une identité unique en ligne. Dans le monde réel, elle peut interagir avec un certain nombre de personnes, qui n'ont pas besoin de connaître l'ensemble des données de son état civil pour lui faire confiance et réaliser des transactions avec elle.

Deuxièmement, il existe un certain nombre de principes en termes de protection des données. Il s'agit tout d'abord de se demander qui peut voir les transactions que la personne réalise avec un acteur du privé et quelle est la nature des données présentées lors d'une authentification. Par exemple, pour s'inscrire à la bibliothèque, une personne doit seulement prouver qu'elle habite la commune sans forcément donner l'ensemble des attributs de son identité. De la même manière, pour accéder à certains services, elle aura besoin de fournir une preuve d'âge sans pour autant décliner son identité complète.

Ces principes doivent être portés par les solutions d'identité électronique. La CNIL n'est bien sûr pas opposée à un renforcement de la sécurité en ligne, qui est essentielle pour protéger les données personnelles et prévenir les risques d'usurpation d'identité, mais les solutions d'identité électronique ne doivent pas aboutir à une identité numérique unique, quel que soit le service auquel la personne souhaite accéder. Le respect des règles du RGPD et de la Loi Informatique et Libertés est indispensable.