Une réussite discrète mais réelle : France Connect

Si les difficultés de déploiement par l’État d’un schéma d’identité numérique régalien au niveau de sécurité élevé sont bien connues – la France est aujourd’hui le seul grand pays européen n’ayant pas notifié de schéma eIDAS à la Commission européenne - il faut par contre saluer la mise en place de FranceConnect, la plateforme d’échange de données d’identité gérée au sein de la DINUM [1] et offrant le choix du fournisseur d’identité numérique, qui gère 16 millions d’utilisateurs et assure un accès mutualisé à 750 services en ligne, encore essentiellement dans le secteur public.

FranceConnect fédère au sein d’un écosystème unique plusieurs fournisseurs d’identité susceptibles de renseigner des attributs d’une identité numérique pivot, interfacée avec le répertoire national d’identification des personnes physiques (RNIPP) pour renforcer sa fiabilité et qui, sur demande de l’utilisateur, sont transmis via FranceConnect à un fournisseur de service (demandeur d’identité numérique) avec lequel l’utilisateur souhaite rentrer en relation.

Sur le plan technique, la plateforme FranceConnect utilise le protocole OpenID Connect pour relier fournisseurs d’identité et fournisseurs de service et, lorsque la France s’ouvrira au schéma d’interopérabilité eIDAS, gérera le nœud eIDAS assurant les transferts entrants et sortants des identités numériques eIDAS entre la France et les autres pays de l’UE.

Le fournisseur de service définit librement le niveau de sécurité (faible-1, substantiel-2 ou élevé-3) dont il a besoin pour identifier à distance les usagers ou clients utilisant ses services, à charge pour ceux-ci de faire appel à un fournisseur d’identité susceptible de fournir une identité au niveau requis. Si la plateforme France Connect est longtemps restée centrée sur les usagers du secteur public, elle est maintenant ouverte au secteur privé et notamment aux établissements de crédit, lesquels ont besoin d’attributs d’identité au niveau substantiel, niveau minimum requis par la réglementation bancaire. À ce jour, seule L’Identité numérique de la Poste est qualifiée à ce niveau par l’ANSSI mais cette situation devrait toutefois évoluer avec la probable qualification au niveau substantiel d’autres fournisseurs français d’identité numérique. À terme, l’intégration de FranceConnect dans le schéma eIDAS permettra d’accéder à des fournisseurs d’identité étrangers habilités à fournir des identités qualifiées au niveau substantiel ou élevé pour des entrées en relation avec des établissements bancaires.

La protection des données personnelles est assurée à un triple niveau :

– le transfert des données intervient uniquement sur instruction de l’utilisateur et sous son contrôle ; il y a toujours consentement de l’utilisateur à l’échange des données ;

– la plateforme France Connect joue le rôle d’un intermédiaire assurant l’étanchéité des échanges entre fournisseurs d’identité et fournisseurs de services. Il en résulte que le fournisseur d’identité ne sait pas à quel fournisseur de service les données de l’utilisateur sont transmises ; la réciproque est également vraie ;

– France Connect ne conserve pas les données d’identité échangées au-delà de la session de l’utilisateur et si l’historique des connections et des données échangées peut être disponible pour l’utilisateur - par exemple sur le site service-public.fr - des contraintes sont mises à l’accès à ces données par les équipes de France Connect.