Intervention de Yann Haguet

M. Galesne-Fontaine l'a souligné, la CNIe est d'ores et déjà configurée et prête pour l'identité numérique. Son système d'exploitation (operating system) et sa puce comprennent deux compartiments.

L'un, le compartiment ICAO, équivaut à celui d'un passeport. Il contient l'identité régalienne. À la manière d'un passeport, il remplit la fonction que la réglementation européenne définit, celle qui permet à un citoyen de franchir les frontières internes à l'Europe. Son contrôle peut être automatisé.

L'autre, le compartiment d'identité numérique, respecte un standard français issu, entre 2019 et 2020, de l'intervention conjointe de l'ANTS, de France Identité numérique et des industriels, dont l'Imprimerie nationale, Thales et IDEMIA. Son déploiement ne suppose plus que son activation et, par un canal séparé et sécurisé, la transmission d'un code PIN à chaque citoyen français. Une fois activé, ce conteneur n'autorisera en effet son accès en lecture qu'à la condition que le possesseur du titre renseigne son code confidentiel.

Dès à présent, la CNIe contient donc un volet identité numérique. Il ne reste qu'à mettre en œuvre l'infrastructure d'un fournisseur d'identité. Ce fournisseur pourra être public ou, si la réglementation le prévoit, privé. Son rôle consistera à administrer l'identité numérique associée à la CNIe. Il interviendra par exemple si le titulaire de l'identité victime d'un vol souhaite révoquer sa carte.

Ainsi que le mentionnait Mme Coralie Héritier, il sera également possible d'étendre, ou « dériver », l'identité numérique associée à la CNIe à son utilisation à partir d'un smartphone. Une telle extension permettra deux types d'authentification pour des services publics ou privés.

La première, une identification de niveau élevé, au sens que lui donne la définition du Règlement européen eIDAS, se destine aux transactions les plus importantes, telles que l'ouverture d'un compte bancaire, la souscription à un emprunt bancaire ou la délivrance d'une procuration de vote. Elle impliquera que l'usager approche la carte de son téléphone et saisisse son code confidentiel.

La seconde servira à des transactions d'un niveau de sécurité substantiel. On estime qu'elles recouvrent 80 ou 85 % des cas de figure. Elles ne nécessitent pas de recourir à la carte, l'identité numérique dérivée contenue dans le téléphone étant alors jugée suffisante.

Vis-à-vis d'un fournisseur d'identité, ces possibilités techniques impliquent que la réglementation lui permette d'utiliser le conteneur, ou compartiment, siège de l'identité numérique. Le fait qu'une décision rapide d'activation de ce conteneur puisse intervenir dès la délivrance de la CNIe requiert encore que son possesseur dispose de la faculté de s'enregistrer sans délai auprès d'un fournisseur d'identité. L'activation de l'identité numérique s'effectuera soit à partir d'un ordinateur personnel, après renseignement du code confidentiel, soit auprès d'un guichet public. Par l'intermédiaire de FranceConnect, elle rendra possible la connexion aux portails publics ou privés qui auront autorisé son utilisation.

Le fait que le service FranceConnect fonctionne déjà, qu'il ait récemment obtenu de l'ANSSI la reconnaissance d'un niveau élevé d'authentification au sens du Règlement eIDAS, qu'il définisse le format dit « pivot » des données à transmettre par chacun des fournisseurs d'identité, permettra à l'avenir un recours des plus étendus à l'identité numérique issue de la CNIe.