SMART TECH - Emission du lundi 12 octobre

Bonjour

à tous, bienvenue dans Smartech, que vous regardez tous les jours sur la chaîne Bsmart. Aujourd'hui, notre sujet, c'est le portefeuille européen d'identité, le wallet. Que faut-il savoir à ce sujet ? Comment va-t-il s'imposer ? Si vous voulez tout comprendre, restez connectés.

Aujourd

'hui, Smartech s'arrête sur le futur portefeuille d'identité numérique européen, le UDI Wallet. Alors, est-ce que ce sera efficace contre la fraude numérique ? Ça fait partie des questions qu'on va se poser aujourd'hui avec mes invités. Bruno Buffenoir, directeur général de Keep Me Digital Trust Continuity. Bonjour, merci beaucoup d'être avec nous. Et Romain Santini, directeur du programme Wallet chez DocaPost, filial du groupe La Poste, faut-il le rappeler ? Merci aussi d'être ici. Je compte sur vous pour nous expliquer ce qu'il y a derrière cette dénomination de wallet, de portefeuille d'identité numérique européen. Qui veut commencer par me donner une définition déjà générale

?

Oui, Romain. Alors, je peux commencer effectivement. Donc, le portefeuille européen d'identité numérique, ou Wallet, il faut le voir comme une identité numérique enrichie. C

'est

-à

-dire

qu'on connaît tous l'identité numérique de La Poste, ou plus récemment France Identité, qui nous permet de prouver notre identité en ligne, d'accéder à des services sensibles. Eh bien, le Wallet, c'est la même idée,

avec

deux différences majeures. La première, c'est une véritable interopérabilité à l'échelle européenne, pouvoir s'en servir auprès d'organisations publiques, privées, dans toute l'Union européenne. Et la deuxième nouveauté, c'est la capacité de partager des données certifiées, attestées, un justificatif de revenu, une preuve de majorité, une preuve d'adresse.

Donc, c'est ce que j'allais dire. Dans ce portefeuille, on a quoi comme papier

?

Alors, vous avez ce que vous décidez d'y mettre. C'est-à-dire que, par défaut, vous avez votre carte d'identité. Et ensuite, en fonction de ce que les États veulent mettre à disposition, ou ce que des émetteurs privés veulent fournir, vous pourrez avoir

absolument

tout ce que vous pouvez imaginer. Un permis de conduire, une carte grise dans le domaine public, par exemple, ou une attestation de sécurité sociale, un justificatif de revenu, une carte de membre à une salle de sport, tout ce que vous pouvez imaginer qui a de la pertinence à être présenté à autrui.

Bruno,

quelque chose à rajouter ?

En fait, on s'appuie aujourd'hui sur une technologie qui préexiste, qu'on connaît tous, parce qu'on a déjà des wallets dans nos téléphones depuis un petit moment, qui sont proposés par des acteurs américains. Et en fait, la communauté européenne saisit cette opportunité, cette nouvelle technologie, pour apporter un espace de confiance

qui

permet de distribuer une identité digitale à tout le monde, d'authentifier,

by

design, cette identité, et ensuite de pouvoir mettre en place les véhicules qui vont permettre de la transmettre dans le cadre de toutes les transactions.

L

'objectif étant, in fine, la lutte contre la fraude.

Alors, en France,

on

a effectivement, parce que vous parlez des wallets américains, qu'on connaît bien surtout pour payer, en fait, c'est surtout très commercial. Pas simplement,

on pourrait héberger

d'autres documents

aussi, des documents de transport.

Là, on parle d'un contexte peut-être plus régalien, en tout cas sur vraiment des papiers d'identité numérique qu'on serait obligé de présenter à des administrations. On doit travailler dans un cadre de confiance supérieur. En France, on a effectivement, vous avez cité l'identité numérique de La Poste, mais on a aussi France Identité.

Ça

veut dire que

ça

va être une identité nouvelle, ça va se rajouter à ce qui existe déjà en France ? C'est une technologie différente ? Qu'est-ce que ça va changer pour les Français

?

Alors, c'est effectivement, en France, quelque chose de nouveau. Alors, en France, c'est un petit peu particulier. Parce que le wallet français officiel va se construire dans le prolongement de France Identité.

Donc,

ce sont des

nouveaux usages. Parce que déjà, aujourd'hui, si je veux me

connecter à mon CPF, mon compte professionnel de formation, je suis obligé de passer par une identité numérique régalienne ?

Certifié. C'est-à

-dire

soit l'identité numérique de La Poste, soit France Identité. En tout cas, vous êtes obligé de passer par une identité dont on a pu vérifier que le niveau de sécurité était adapté aux enjeux de fraude qui ont pu avoir lieu contre le CPF ou d'autres services sensibles

de l'État. Donc, est-ce

que

ça,

ça va continuer ? Ça,

c

'est vraiment ma question très pratique. Est-ce que ça,

ça

va continuer ? Et on va ajouter une autre solution, un autre wallet, une autre identité numérique ? Ou est-ce que l'identité numérique européenne va remplacer celle-ci ?

Alors, elle ne peut pas le remplacer. Le règlement européen est très clair sur un point, c'est que l'usage du wallet n'est pas obligatoire pour l'utilisateur final. Et les organisations qui l'acceptent doivent maintenir une alternative, quelle qu'elle soit, pour accéder aux services. Donc,

c'est

par définition un ajout et non pas un remplacement de ce qui existe.

D'accord.

Ce sera le

choix d

'un certain nombre d'acteurs d'exiger ce type d'authentification ou pas.

En

l'occurrence, plutôt les acteurs privés,

puisque

de manière légale, les acteurs publics ne pourront pas imposer

l

'utilisation de l'identité digitale.

C

'est un peu comme

les

moyens de paiement, finalement. On doit pouvoir proposer différents

moyens

de paiement. Donc, on peut imaginer qu'il y ait beaucoup plus de prestataires qui proposent demain des moyens de s'identifier numériquement en conformité avec les règles qu'imposera l'Union européenne.

Alors, aujourd'hui, celui qui est porteur de l'identité régalienne, c'est France Identité. Demain, comment est-ce que cette identité régalienne produite

par

France Identité ou par la NTS va être diffusée par différents acteurs ? Ça fait partie des choses que la norme est en train de définir, de manière à s'assurer qu'elle soit véhiculée correctement.

Alors,

cette norme, il

y

a un règlement, en fait, qui indique, justement, quels sont les standards, les normes, les techniques à utiliser au niveau européen. Est-ce que les solutions que nous avons déjà en France sont déjà conformes, en fait, à ce texte et à ces normes

?

Alors, c'est en train de se construire, c'est-à-dire que les normes

sont récentes. Pourquoi vous soyez tous les

deux ?

Pour le coup,

c'est un

défi ?

C'est un

défi, c'est un challenge, c'est-à-dire que l'ambition qu'on a sur le wallet est quand même très forte en termes de sécurité, de protection de la vie privée du citoyen, de fonctionnalité. Enfin, l'enjeu est très fort pour l'Europe et les États membres. Et on a un certain nombre de standards techniques qui sont encore peu matures. Certains qui sont sortis tout récemment, en fin d'année dernière, d'autres qui sont encore en cours d'élaboration. Donc, des solutions 100% conformes, aujourd'hui, on n'en a pas.

Par contre, très clairement, il y a tout un momentum qui est porté par la Commission européenne, au travers de grands projets européens, par l'agence France Titre, au travers d'une démarche qui dépasse les frontières françaises d'animation de l'écosystème, sur lesquelles on les accompagne. Et globalement, un effort collectif, public-privé, pour travailler ensemble, tester ensemble, et être prêts tous ensemble à relever ce défi-là. Donc, conforme aujourd'hui à 100% non, mais clairement en bonne voie pour l'être.

Après,

il y

a

un agenda qui a été défini, qui est assez clair.

L

'agenda, c'est que les États européens se sont engagés, à fin 2026,

à

fournir un véhicule

qui

permet d'héberger l'identité digitalisée.

Et

à fin 2027... Quand vous dites un véhicule,

c'est

-à

-dire

?

Un wallet, sur son téléphone, une application.

Exactement, une

application.

Qui porte cette identité régalée.

Les

différents pays ont fait des choix assez différents dans la manière dont cette identité est produite. En France, il y a un acteur, France Identité. En Allemagne, il y

en

a plusieurs, puisqu'il y

a

eu des délégations de services

qui

ont été mises en place. À fin 2027, un certain nombre d'acteurs listés, réglementés,

vont

devoir accepter le wallet,

dans

le cadre de preuves d'authentification qui peuvent être demandées.

Pas seulement des acteurs

publics ?

Non, des acteurs privés, de type institutions financières, ou des acteurs qui ont des très gros volumes de transactions digitales. Je pense

que

c

'est

la question de la lutte contre la fraude. Est-ce que ça vous semble, aujourd'hui, la bonne démarche pour lutter contre la fraude documentaire, la fraude numérique

? Alors,

il y a plusieurs

éléments

dans la fraude. Il y a la fraude à l'identité.

Il

y

a

la fraude documentaire. Documentaire au sens large.

Oui, je fournis des faux papiers.

Exactement. Et

il

y a aussi, dans la logique de lutte contre la fraude,

l

'architecture qui sous-tend la manière dont on gère les données. Historiquement, on a mis en place des systèmes d'information

qui

créent une très grande centralisation dans la gestion de l'information. Oui.

C

'est ce qu'on crée, finalement, des pots de miel dans lesquels les acteurs malveillants se servent.

L

'opportunité avec le wallet,

et

Romain pourra enrichir ça, c'est finalement de traiter ces trois sujets. Parce que l'architecture qui est proposée, c'est une architecture qui distribue l'information.

Donc,

il devient beaucoup plus compliqué pour un acteur

d

'aller se servir dans un seul et même pot de miel et de réconcilier l'information potentiellement demain.

Et

en plus de ça, ça peut permettre de traiter les autres.

Oui.

Enfin, effectivement, en phase avec ça, et puis ce qu'il faut voir aussi avec le wallet, je vais prendre l'exemple du justificatif de revenu pour illustrer. Oui. Aujourd'hui, on peut avoir, par exemple, de la fraude qui est liée au fait de déclarer des revenus qui ne sont pas ceux dont on dispose réellement, qui passent par du maquillage, de la modification de fiches de paie, par exemple. C'est un exemple. Avec le wallet demain, on pourrait imaginer de récupérer directement d'une source fiable, donc soit directement l'employeur, soit l'administration fiscale, un justificatif de revenu, qui n

'est

pas une fiche de paie, qui est vraiment un justificatif, qui dit, voilà, depuis moins de trois mois, mon salaire, c'est temps et je suis en CDI. Une donnée certifiée que même moi, en tant qu'utilisateur possesseur du wallet, je ne peux pas modifier et que je peux uniquement me contenter de transmettre. Donc ça, c'est un exemple qui montre qu'à partir

du moment où j

'utilise... qui va chercher le prestataire capable de me fournir cette preuve

numérique.

C

'est ça. Je vais chercher la preuve à la bonne source, de la même manière qu'aujourd'hui, si j'ai besoin de prouver mon revenu,

je

vais chercher ma fiche de paie ou une attestation d'emploi, etc. Donc là, je vais chercher la donnée à la bonne source, je la prends dans mon wallet et je la présente. La seule limite en termes de lutte contre la fraude, c'est que ça reste une action volontaire de l'utilisateur. Si je n

'ai pas

envie de me servir de mon wallet, si j'ai envie de frauder, je vais plutôt passer par un autre canal. Ça reste néanmoins intéressant pour les organisations,

ce

que ça veut dire que petit à petit, elles vont avoir des circuits en parallèle, des circuits qui s'appuient sur le wallet et sur des données vérifiées où elles vont minimiser le risque de fraude et le besoin de contrôle et potentiellement simplifier, fluidifier les process associés, et des circuits résiduels où on reste sur le contrôle documentaire actuel où il faut d'autres solutions technologiques, mais où la fraude reste potentiellement possible.

Vous nous dites que ce ne sera pas obligatoire de se servir de ce wallet, sauf dans certains cas, j'imagine. Et je pense notamment à un sujet qu'on adresse régulièrement dans Smartech, la vérification de l'âge pour se connecter à des plateformes sociales. On comprend que c'est dans l'ère du temps, que ça pourrait arriver. Dans ce cadre-là, j'imagine que le wallet sera l'outil privilégié et pourrait être rendu obligatoire. C'est ça qui pourrait se passer

?

Ça peut tout à fait se passer demain. Enfin, de même qu'un certain nombre d'acteurs privés

peuvent

décider, pour accéder à leur service, que l'utilisateur, le client, doit passer par ce biais pour s'authentifier. De manière à être capable de prouver que son activité est correctement contrôlée et que finalement, il travaille dans un modèle de transparence qui est supérieur à tout le monde. On pourrait imaginer ça aussi d'une banque, d'une assurance, de ce type de services qui proposent des services qui sont finalement sensibles, en manipulant des données

qui

peuvent être perçues comme étant des données très sensibles dans l'échange. Eh bien, ça peut être demain perçu par chacun d'entre nous comme finalement une valeur ajoutée et un choix de cet acteur d'utiliser ça. Un service public qui est dédié à tous les commandes et mortels, il ne

va

pas pouvoir faire ça, parce qu'il faudra forcément qu'il propose une alternative.

C

'est quand même l'arrivée, a priori, de nouvelles obligations de présentation, de certificats sur notre identité en ligne. Ça veut dire que ça doit se faire dans un cadre de confiance très important. Au sujet de la confiance numérique,

j

'imagine votre dada à tous les deux. Comment est-ce qu'on fait pour rassurer les concitoyens avec l'arrivée de ce wallet

? Alors

là, il

y

a plusieurs éléments de réponse. Le premier, c'est que par obligation, le code source des wallets est ouvert, à l'exception de certains dispositifs de sécurité qui ne sont pas déployés sur le téléphone utilisateur, mais tout ce qui est sur mon téléphone, le code source en est disponible. C'est une obligation réglementaire. Deuxième point, il est prévu une certification de sécurité fonctionnelle et de respect de la vie privée des wallets. Donc, dans chaque État membre, on a une ou plusieurs organisations qui vont être en charge d'animer ce processus et de le réaliser.

En France, l'ANSI, par exemple, y aura toute sa part, aux côtés de l'ADINUM, et qui ont obligation de communiquer leur cadre de certification à la Commission européenne et d'en donner visibilité aux autres États membres. Donc, on a un cadre de confiance qui se crée au sein de l'Union européenne pour garantir la certification des wallets. Et on a en parallèle l'Agence de cybersécurité européenne, qui travaille à l'harmonisation de tout ça et à la construction d'un schéma harmonisé, commun pour tous, à horizon de quelques années, parce qu'évidemment, tout ça va continuer à évoluer.

Donc,

ça, c'est pour la partie wallet. Et après, en parallèle de ça, il ne faut pas non plus négliger l'écosystème.

C

'est-à

-dire

qu'on a des organisations qui vont accepter le wallet, donc typiquement les auditeurs qui nous écoutent aujourd'hui, qui vont également devoir s'équiper de solutions pour gérer cette communication en toute sécurité. On a des organisations qui vont émettre des données dans les wallets, qu'elles soient publiques ou privées, qui, là aussi, vont devoir s'équiper de solutions pour réaliser cette opération-là. Et à chaque fois, dans tous ces cadres-là, on n'a pas toujours des certifications, mais on a des standards techniques, des bonnes pratiques,

et

effectivement, là, charge à l'écosystème et aux fournisseurs de technologies qu'on est de fournir des solutions de confiance.

Parce que sinon, on aura un problème d'adoption, ça, c'est certain.

Exactement.

Et

après, il y a un enjeu, c'est un énorme enjeu de pédagogie et de communication pour que tout le monde comprenne.

Eh bien, c'est ce que vous êtes venu faire, justement, Bruno Bufnoir, ici sur le plateau de Smartech, et je vous en remercie. Je rappelle que vous êtes le directeur général de KeepMe Digital Trust Continuity. Et merci également, Romain Santini, directeur du programme Wallet chez Docapost. Merci à vous de nous avoir suivis.

J

'espère que maintenant, tout est clair pour vous sur ce Wallet. Et évidemment, on continuera à le suivre, ce portefeuille d'identité européen numérique. Merci

à vous.