Comment le gouvernement anglais fait entrer le loup du big data dans la bergerie européenne
Il faut tout d’abord rappeler le mécanisme mis en place par le règlement en matière d’identité numérique. Chaque Etat membre peut, au niveau national, utiliser un moyen d’identification électronique. Ceci n’est pas nouveau, et est d’ores et déjà le cas pour ceux qui ont introduit cette fonction dans un titre d’identité officiel de type carte d’identité, comme la Belgique. Ce qu’ajoute le règlement est le mécanisme de reconnaissance mutuelle, qui commencera à produire ses effets dès le 18 septembre 2015. Un état membre peut notifier ce moyen d’identification à la commission européenne, et celui-ci sera publié au journal officiel de l’Union Européenne. Les autres Etats membres seront alors dans l’obligation de reconnaître ce moyen d’identification, pour un niveau de garantie donné, pour l’accès aux services en ligne de leur secteur public.
C’est là que la manœuvre britannique est fine. Car même si le mécanisme européen de l’identité numérique n’impose le principe de reconnaissance mutuelle que dans le secteur public, on peut bien imaginer que dès lors qu’il existera un schéma notifié reconnu au niveau de la Commission européenne, cela signifiera dès facto que le moyen d’identification considéré offre une forte légitimité en termes de conformité à l’état de l’art, et que le secteur privé – et notamment les acteurs bancaires – auront tout intérêt à y adhérer. C’est d’ailleurs très explicitement ce que suggère le blog « identity assurance » du site gov.uk.
C’est dans ce contexte que l’état britannique a annoncé que son système d’identification en ligne Gov.UK Verify serait prêt à être notifié à la Commission européenne dès le 18 septembre 2015.
Son fonctionnement, tel qu’il est expliqué sur le site du gouvernement britannique, est – vu de l’extérieur- très simple. Il n’existe pas de base de données identitaires centralisée au niveau du gouvernement. Pour acquérir une identité numérique, chacun doit s’enrôler auprès d’une compagnie privée certifiée, qui vérifie l’identité sur la base d’un questionnaire comprenant un certain nombre de questions dont seule la personne peut connaître la réponse, le tout étant complété par l’envoi d’un code OTP sur son portable. Cette phase d’enrôlement se fait à distance et dure environ un quart d’heure, ce qui est très acceptable.
Mais sur quoi repose ce fameux questionnaire ? On le devine assez bien lorsque l’on sait que GOV.UK Verify est issu d’une collaboration avec l’organisation OIX, qui regroupe tout ce qui compte en matière de big players internet, d’opérateurs télécoms et d’agrégateurs de données pour construire des services de confiance sur internet. Ces services reposent notamment sur l’exploitation du « big data » apporté par les uns et les autres, qui permet d’obtenir un profilage extrêmement précis des individus. D’où le questionnaire …
Au final, ce qui est en train de se passer est très simple. D’un côté, il y a le clan US/UK qui ne s’encombre pas outre mesure des réglementations contraignantes en matière de protection des données personnelles, et qui est en train de construire un système basé sur des initiatives du secteur privé, qui va nécessairement fonctionner.
De l’autre, il y a le clan des européens farouchement opposés à ce type d’initiatives, essentiellement franco-allemand, qui tente de sauvegarder les libertés individuelles contre vents et marée dans un monde digital qui échappe très largement au contrôle des états.
Et au milieu il y a le gouvernement britannique, qui a compris que le règlement EiDas lui permettait de faire rentrer sur un plateau d’argent le loup du big data dans la bergerie européenne…
LIRE L'ARTICLE SUR LA REVUE POINT BANQUE - N°104 - Septembre 2015
