Comparative Analysis of Technical and Legal Frameworks of Various National Digial Identity Solutions

Résumé Technique : Analyse Comparative des Cadres Techniques et Juridiques de Diverses Solutions d'Identité Numérique Nationales

Énoncé du Problème
Les systèmes nationaux d'identité numérique sont devenus essentiels pour l'accès aux services publics en ligne, un besoin exacerbé par la pandémie de Covid-19. Cependant, la conception, la mise en œuvre et la gouvernance de ces systèmes varient considérablement d'un pays à l'autre, entraînant des résultats divers en matière d'adoption par les utilisateurs, de sécurité et de confidentialité. Les solutions existantes reposent souvent sur des modèles centralisés ou fédérés qui créent une dépendance vis-à-vis des Fournisseurs d'Identité (IdP), soulevant des préoccupations concernant la souveraineté de l'État, l'autonomie des utilisateurs et le risque de surveillance de masse ou de corrélation des données. De plus, l'architecture technique de ces systèmes est inextricablement liée à leurs cadres juridiques ; sans une base juridique robuste traitant de la protection des données à caractère personnel et de la validité transactionnelle, les solutions techniques manquent de la confiance et de l'exécutabilité nécessaires. L'article identifie un manque de compréhension quant à la manière dont différents choix architecturaux (Silo, Fédéré, Centrée sur l'Utilisateur, Souveraine) interagissent avec des régimes juridiques spécifiques (par exemple, eIDAS, RGPD, lois nationales) pour soit permettre, soit entraver le succès d'un système national d'identité numérique.

Méthodologie
Les auteurs emploient une analyse comparative des solutions nationales d'identité numérique existantes et de leurs cadres juridiques associés. L'étude est structurée en trois phases analytiques principales :

1. Examen Technique et Architectural : L'article catégorise et évalue les solutions nationales selon quatre modèles de gestion d'identité : Identité en Silo, Fédérée, Centrée sur l'Utilisateur et Identité Souveraine (SSI). Des études de cas spécifiques incluent FranceConnect et UK Verify (Fédéré), Aadhaar en Inde, Singpass à Singapour et l'e-ID estonien (Centrée sur l'Utilisateur), ainsi que le Cadre Européen d'Identité Souveraine (ESSIF) (SSI).
2. Analyse du Cadre Juridique : Les auteurs examinent la législation régissant ces solutions techniques, en se concentrant sur deux piliers : la législation accordant une reconnaissance juridique à l'identité numérique et aux services de confiance électroniques (par exemple, eIDAS, loi Aadhaar, loi sur les documents d'identité) et la législation sur la protection des données à caractère personnel (par exemple, RGPD, loi DPA du Royaume-Uni, loi PDPA de Singapour, CCPA).
3. Synthèse et Formulation de Position : En croisant les capacités techniques avec les contraintes juridiques et les échecs historiques (par exemple, l'abandon de la carte d'identité au Royaume-Uni, l'affaire SAFARI en France), les auteurs tirent des conclusions sur la viabilité des différents modèles. Ils formulent ensuite une position spécifique sur l'architecture optimale pour les futurs systèmes nationaux.

Contributions Clés

• Taxonomie Comparative : L'article fournit une comparaison détaillée des modèles de gestion d'identité, mettant en évidence les compromis en matière d'interopérabilité, de confidentialité, de décentralisation et d'autonomie des utilisateurs. Il démontre que, bien que les modèles fédérés et centrés sur l'utilisateur offrent certaines améliorations par rapport aux systèmes en silo, ils souffrent toujours de risques de centralisation et d'une dépendance à l'égard d'IdP tiers.
• Interdépendance Juridique et Technique : L'analyse révèle que le succès technique est conditionné par la clarté juridique. Par exemple, l'échec de UK Verify est attribué non seulement à des problèmes techniques ou de logique commerciale, mais aussi à un paysage juridique fragmenté et à l'absence d'une base de données d'identité nationale unifiée, tandis que le succès de FranceConnect est lié à un décret juridique clair et à des bases de données centralisées existantes (RNIPP).
• SSI comme Modèle National Viable : L'article soutient que l'Identité Souveraine (SSI), construite sur la technologie Blockchain, offre l'architecture la plus adaptée aux systèmes nationaux d'identité numérique. Il postule que la SSI résout l'asymétrie de pouvoir entre les utilisateurs et les fournisseurs trouvée dans les autres modèles en plaçant le contrôle des données d'identité et des credentials entre les mains de l'utilisateur via des registres décentralisés.
• Recommandations de Gouvernance : Les auteurs proposent un modèle de gouvernance où l'État conserve sa souveraineté grâce à une infrastructure blockchain de consortium et à la régulation des « Fournisseurs de Portefeuilles » et des « Fournisseurs de Services de Confiance », plutôt que de déléguer l'ensemble du système à des entités privées.

Résultats et Constats

• Performance des Modèles : Les modèles fédérés (par exemple, FranceConnect) réussissent lorsqu'ils sont soutenus par une forte coordination du secteur public et des bases de données centralisées existantes, mais peinent lorsqu'ils dépendent d'IdP du secteur privé sans garanties d'interopérabilité (par exemple, UK Verify). Les modèles centrés sur l'utilisateur (par exemple, Aadhaar, Singpass) offrent une adoption élevée mais font face à des défis majeurs en matière de confidentialité en raison de bases de données biométriques centralisées et de pratiques d'enrôlement obligatoires.
• Impact Juridique : Les cadres juridiques technologiquement neutres (par exemple, eIDAS) permettent l'innovation mais nécessitent des décrets d'application spécifiques pour définir le périmètre et le traitement des données. À l'inverse, des cadres avec des spécifications techniques rigides (par exemple, loi Aadhaar) peuvent limiter l'évolution technologique future. Les lois sur la protection des données (RGPD, etc.) sont cruciales pour la confiance des utilisateurs mais varient en portée et en application, créant des défis d'interopérabilité pour les services transfrontaliers.
• Potentiel de la SSI : L'ESSIF (Cadre Européen d'Identité Souveraine) est identifié comme une mise en œuvre prometteuse de la SSI à grande échelle, utilisant une blockchain de consortium (EBSI) pour gérer les Identifiants Décentralisés (DID) et les Credentials Vérifiables (VC). Cette approche permet la reconnaissance transfrontalière des credentials (par exemple, diplômes) tout en préservant la confidentialité des utilisateurs grâce à la divulgation sélective et aux preuves à divulgation nulle de connaissance.
• Souveraineté de l'État : L'analyse conclut que pour qu'un système national assure la souveraineté, l'infrastructure sous-jacente (blockchain) doit être un consortium contrôlé par les autorités publiques et des entités de confiance, empêchant tout acteur privé unique de contrôler la racine de confiance.

Signification et Position des Auteurs
L'article se positionne comme un guide pour les décideurs politiques, les développeurs de logiciels et les utilisateurs afin de naviguer dans les complexités de la conception de systèmes nationaux d'identité numérique. Les auteurs déclarent explicitement leur position favorable envers les systèmes d'Identité Souveraine (SSI) basés sur la technologie Blockchain comme la solution la plus adaptée pour l'identité numérique nationale.

Leur importance réside dans l'argument selon lequel la SSI établit l'équilibre nécessaire entre :

1. Souveraineté de l'État : Atteinte grâce à une blockchain de consortium et à une certification réglementée des fournisseurs de portefeuilles et des émetteurs, garantissant que l'État conserve le contrôle de l'écosystème sans le déléguer entièrement au secteur privé.
2. Autonomisation des Utilisateurs : Les utilisateurs obtiennent le contrôle total de leurs données d'identité, peuvent choisir quels attributs divulguer (minimisant la collecte de données) et peuvent interagir avec les secteurs public et privé sans dépendre d'une autorité centrale pour chaque transaction.
3. Partenariat Public-Privé : La SSI permet un écosystème durable où les entreprises privées peuvent agir en tant qu'émetteurs, vérificateurs et fournisseurs de portefeuilles, réduisant le coût des procédures de connaissance du client (KYC) et facilitant l'intégration sécurisée, à condition qu'elles opèrent dans un cadre juridique strictement réglementé.

Les auteurs affirment que l'adoption de la SSI est essentielle pour empêcher le paysage de l'identité numérique de devenir un outil de surveillance de masse ou un mécanisme d'exploitation des données privées, restaurant ainsi la confiance entre les citoyens, l'État et l'économie numérique. Ils soulignent que, bien que la SSI soit le modèle technique préféré, son succès dépend d'un cadre juridique favorable définissant les rôles, assurant la certification et protégeant les données à caractère personnel.