• 1 [https://www.ssi.gouv.fr/].

2Référentiel SecNumCloud. Le 21 septembre 2021, l’Autorité nationale de la sécurité des systèmes d’information (ANSSI) a publié une nouvelle version du référentiel d’exigences visant à la qualification de prestataires de services d’informatique en nuage, dénommé SecNumCloud. Ce document décrit les exigences qu’un prestataire fournissant un service d’hébergement externe partagé et désireux d’obtenir une qualification doit respecter afin de pouvoir être reconnu comme étant un prestataire de confiance. Son application permet de garantir les compétences du prestataire lui-même et de son personnel, mais également la qualité de la prestation fournie, et ainsi de susciter la confiance. Le nouveau référentiel apporte des modifications à la version précédente datant de 2016 « dans un souci de simplification et de prise en compte des besoins exprimés par les utilisateurs potentiels conduisant à la suspension du niveau avancé » de façon à retenir un niveau unique de garantie1. Il inclut en outre des exigences en matière de protection des données personnelles, pour faire face notamment à des législations étrangères imposant un accès aux données hébergées (de type Cloud Act). L’article 19.2 consacré à la localisation des données est renforcé pour indiquer désormais que « le prestataire doit stocker et traiter les données techniques (identités des bénéficiaires et des administrateurs de l’infrastructure technique, données manipulées par le Software Defined Network, journaux de l’infrastructure technique, annuaire, certificats, configuration des accès, etc.) au sein de l’Union européenne ».

• 2 [https://data.consilium.europa.eu/doc/document/ST-14337-2021-INIT/en/pdf].

3Directive NIS 2. Le 16 décembre 2020, la Commission européenne a publié une proposition de directive sur les mesures à prendre pour atteindre un haut niveau de cybersécurité au sein de l’Union. Cette directive, dénommée NIS 2 (Network Information System Security), devrait abroger la directive 2016/1148, dite NIS 1 ou SRI en français (Sécurité des réseaux et des systèmes d’information). Cette réglementation a permis d’accroître les capacités des États membres en matière de cybersécurité, mais sa mise en œuvre s’est en pratique révélée difficile et a donné lieu à une fragmentation du marché intérieur. La notion d’opérateurs de services essentiels n’a par exemple pas été appliquée de manière uniforme dans l’ensemble de l’Union, certains États reconnaissant l’existence d’un nombre important d’opérateurs de services essentiels quand d’autres n’incluent que peu d’acteurs dans la notion. L’explosion des cybermenaces justifiait en outre que des aménagements soient apportés à ce texte, en particulier pour embrasser plus largement la chaîne d’approvisionnement, et ainsi contraindre davantage d’acteurs au respect de règles de sécurité. À la suite de cette proposition, le Parlement européen a adopté sa position le 28 octobre 2021 et a ouvert la possibilité d’entamer le trilogue. Le Conseil de l’Union européenne lui a emboîté le pas en arrêtant sa propre position dans un document daté du 26 novembre 20212. Entre autres points, le Conseil conserve l’extension du champ d’application à de nouveaux acteurs, y compris les administrations publiques relevant de pouvoirs centraux.

• 3 [https://www.legifrance.gouv.fr/eli/loi/2021/11/30/AGRX2035381L/jo/texte], dernier accès le 6 janv (...)

23Après un long parcours parlementaire, la loi n° 2021-1539 du 30 novembre 2021 visant à lutter contre la maltraitance animale et à conforter le lien entre les animaux et les hommes a enfin été adoptée3. La thématique de la loi semble bien loin du numérique, pourtant ce dernier peut favoriser la maltraitance animale ou être le vecteur d’images de violence sur les animaux. Aussi, les dispositions relatives au numérique sont au nombre des mesures phares de la loi. Dans ce cadre, l’article 18 de la loi interdit dorénavant la cession en ligne d’animaux de compagnie, à l’exception des vendeurs professionnels dont le site internet le propose au sein d’une rubrique spécialement dédiée aux animaux de compagnie, laquelle doit comporter « des messages de sensibilisation et d’information du détenteur relatif à l’acte d’acquisition d’un animal ». Ainsi, les particuliers ne pourront plus vendre d’animaux en ligne. Par ailleurs, l’article 39 de la loi punit le fait de diffuser sur internet des images de sévices graves, actes de cruauté ou atteintes sexuelles sur un animal domestique, apprivoisé ou tenu en captivité. Cette diffusion sera passible de deux ans d’emprisonnement et de 30 000 euros d’amende, sauf si elle vise à « apporter une contribution à un débat public d’intérêt général ou à servir de preuve en justice » (article 521-1-2 du Code pénal).

• 4 [https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000044327272], dernier accès le 6 janvier 2022.
• 5 [https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000044125847], dernier accès le 6 janvier 2022.
• 6 [https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000044553569], dernier accès le 6 janvier 2022.
• 7 Cons. const., 13 août 2021, n° 2021-825 DC, loi portant lutte contre le dérèglement climatique et (...)

24Alors que les critiques adressées aux outils numériques visent généralement les atteintes à la vie privée ou à l’autonomie décisionnelle des individus, la question de leur poids environnemental est plus rarement mise en avant. Pourtant, le législateur vient de prendre en compte cet aspect en adoptant la loi n° 2021-1485 du 15 novembre 2021 visant à réduire l’empreinte environnementale du numérique en France4. La loi se repose essentiellement sur l’information des consommateurs et sur la formation, et se compose de cinq chapitres aux intitulés représentatifs du contenu et de l’esprit de la loi : « faire prendre conscience aux utilisateurs de l’impact environnemental du numérique », « limiter le renouvellement des terminaux », « faire émerger et développer des usages du numérique écologiquement vertueux », « promouvoir des centres de données et des réseaux moins énergivores », « promouvoir une stratégie numérique responsable dans les territoires ». L’adoption de cette loi n’est pas isolée. Il convient de la lire, dans la mesure du possible, à la lumière de l’ordonnance n° 2021-1247 du 29 septembre 2021 relative à la garantie légale de conformité pour les biens, les contenus numériques et les services numériques5, laquelle avait déjà modifié la rédaction de dispositions du Code de la consommation visées par la loi du 15 novembre 2021. Par ailleurs, le Parlement a adopté la loi n° 2021-1755 du 23 décembre 2021 visant à renforcer la régulation environnementale du numérique par l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse6 (ARCEP) qui fait de cette autorité le régulateur de la pollution numérique. Ce rôle lui était déjà confié par la loi n° 2021-1104 du 22 août 2021 Climat et Résilience, mais la disposition en question (article 16) avait été censurée par le Conseil constitutionnel7.

• 8 Observatoire de l’éthique publique, Livre blanc sur la digitalisation du service public, pour une (...)

25Publié en octobre 2021 sous la direction de M^me Lesquesne-Roth, le Livre blanc sur la digitalisation du service public (« pour une éthique numérique inclusive ») s’intéresse à « la dématérialisation des procédures et des relations entre le public et l’administration ». Ce phénomène toujours croissant conduit à imposer de facto les outils numériques aux usagers et peut constituer, selon les auteurs, « une entrave aux lois du service public ». Le Livre blanc revient de manière détaillée et fine sur cette réalité, et formule des recommandations visant notamment à faciliter l’accès aux services publics des plus vulnérables face au numérique8.

• 9 CNIL, Projet de Guide « Recrutement », sept. 2021, [https://www.cnil.fr/sites/default/files/atoms/ (...)

27Recrutement. La CNIL a publié en septembre 2021 un guide à l’attention des recruteurs9 cherchant à répondre à des questions récurrentes et essentielles comme : « Quelle est la durée de conservation des données collectées à des fins de recrutement ? », « Un recruteur peut-il avoir recours à des outils d’évaluation de la personnalité du candidat » (tests de personnalité, serious games, smart games, business games, etc.) ? », « Un recruteur peut-il avoir recours à des logiciels de tri, de classement et d’évaluation dans le cadre du recrutement ? ». « Peut-il mettre en œuvre des listes d’exclusion des candidats ? », « Quel cadre juridique s’applique à la collecte du casier judiciaire et aux vérifications obligatoires ? », Ouvert à la consultation à l’automne, le texte final de ce guide devrait être publié en février 2022.

• 10 Parlement européen, Rapport sur les nouvelles formes d’emploi liées au développement numérique,(...)
• 11 Commission européenne, Proposal for a directive on improving working conditions in platform work, (...)

28Travailleurs des plateformes numériques. Le Parlement européen a publié un rapport sur les conditions de travail, les droits et une protection sociale justes pour les travailleurs de plateformes (« nouvelles formes d’emploi liées au développement numérique »). Il y dresse le constat suivant : « Le travail via une plateforme suscite […] des inquiétudes concernant la précarité ou les mauvaises conditions de travail, l’impossibilité ou la difficulté d’accéder à une protection sociale adéquate, la concurrence déloyale, le travail non déclaré, des revenus et un emploi du temps fragmentés et instables, l’absence de mécanismes de résolution de litiges, la perte de compétences et l’absence d’avancement de promotion professionnelle, ainsi qu’un manque de mesures en matière de santé et de sécurité au travail, en particulier pour les travailleurs de plateformes peu qualifiés sur site et les travailleurs effectuant des micro-tâches ». Le document invite alors la Commission à se pencher sur les moyens de protection des travailleurs et de leurs droits10, laquelle Commission a, le 9 décembre 2021, publié sa proposition de directive en la matière11. La proposition invite les États membres à vérifier attentivement la qualification du lien unissant le travailleur et la plateforme (le travail via une plateforme est défini comme celui qui unit contractuellement la plateforme numérique au travailleur), et cela en se détachant de la qualification retenue par le contrat liant les deux parties. La directive propose de retenir une présomption d’existence d’un contrat de travail lorsque la plateforme remplit deux des conditions suivantes (article 4) :

• 12 CNIL, Covid-19 : questions–réponses sur la collecte de données personnelles sur le lieu de travail (...)

30Collecte de données personnelles par l’employeur. Dans le cadre de la pandémie, l’État et ses services ne sont pas les seuls acteurs à collecter des données personnelles de santé grâce à des outils numériques, les employeurs pouvant également recourir à de tels procédés afin de remplir leur obligation de sécurité envers les salariés. Ainsi, ils peuvent être amenés à collecter de telles données afin d’organiser le télétravail des salariés, d’identifier les cas contacts ou encore, pour les établissements soumis à la présentation d’un passe sanitaire, afin de conserver la preuve de la vérification du statut des salariés. Dans ce cadre, la CNIL a publié un vadémécum à leur attention12. L’autorité rappelle dans ce document que l’employeur ne doit collecter que des données nécessaires pour assurer la sécurité des salariés et, en conséquence, ne peut recourir à des logiciels ou autres applications qui collecteraient de nombreuses données personnelles pour évaluer la vulnérabilité individuelle du salarié face au Covid-19, données ne pouvant être traitées que par les services de santé au travail. La CNIL précise également que l’employeur ne peut pas davantage imposer l’utilisation de l’application TousAntiCovid.

• 13 Cons. const., 24 nov. 2021, n° 2021-948 QPC, Société Coyote system [Signalement des contrôles rout (...)
• 14 Question transmise par le Conseil d’État, n° 453763, 16 sept. 2021, [https://www.conseil-etat.fr/f (...)

31Le Conseil constitutionnel a jugé que la loi peut interdire la diffusion d’informations sur les contrôles routiers en cours via des plateformes collaboratives d’aide à la conduite ou de navigateurs13. Cette interdiction, qui porte atteinte à la liberté d’expression, est conditionnée et ne s’applique que pour les contrôles routiers qui interceptent des véhicules. La décision QPC du 24 novembre 202114 indique toutefois que l’interdiction de diffuser des messages sans rapport avec ces contrôles routiers porte une atteinte à la liberté d’expression et de communication qui, elle, n’est pas « adaptée, nécessaire et proportionnée au but poursuivi », ce qui justifie dès lors une non-conformité partielle des articles L. 130-11 et L. 130-12 du Code de la route issus de la loi n° 2019-1428 du 24 décembre 2019 d’orientation des mobilités.

• 15 Global Privacy Assembly, Adopted Resolution on children's digital rights, oct. 2021 [https://globa (...)

32Global Privacy Assembly. Le regroupement des autorités nationales de protection de la vie privée face aux traitements de données personnelles (Global Privacy Assembly) a adopté en octobre 2021 une série de résolutions dont la plus aboutie concerne « les droits digitaux des enfants ». Présentée par la CNIL française et par la Garante per la protezione dei dati personali italienne, la résolution indique que le numérique fait partie de manière croissante du quotidien des enfants, leur offrant des opportunités indéniables, mais présentant aussi de nombreux risques. Elle formule une série de propositions sur l’exercice des droits et libertés des enfants dans le contexte numérique, sur l’exploitation commerciale de leurs données personnelles ou encore sur leur inclusion dans les processus d’adoption de règles les concernant15.

• 16 F. Reynaud, « Reconnaissance faciale : une enquête demandée à la CNIL sur les pratiques de Clearvi (...)
• 17 CBS News, « Google, YouTube, Venmo and LinkedIn send cease-and-desist letters to facial recognitio (...)
• 18 V. pour l’enquête canadienne : [https://www.priv.gc.ca/en/opc-news/news-and-announcements/2021/nr- (...)
• 19 Cela après une enquête conjointe menée avec son homologue britannique, décision du 3 novembre 2021 (...)
• 20 CNIL, déc. n° MED-2021-134, 26 nov. 2021, mettant en demeure la société CLEARVIEW AI, [https://www (...)

33Affaire Clearview AI. L’entreprise américaine Clearview AI est au cœur d’actions menées auprès de différentes autorités de protection des données personnelles à travers le monde. En cause : son logiciel de reconnaissance faciale utilisant pour fonctionner des photos et des vidéos publiquement accessibles en ligne. Ces données à caractère personnel sont aspirées par l’entreprise, qui s’est constituée, par ce procédé, une gigantesque base de données pour entraîner et faire fonctionner son algorithme de reconnaissance faciale à destination des forces de police et de renseignement16. Les données proviennent de nombreux réseaux sociaux (facebook, Linkedin), mais aussi de moteurs de recherche (Google), le tout sans leur autorisation ni celle de leurs membres ou utilisateurs. Cela avait conduit ces entreprises à demander dès février 2020 au géant de la reconnaissance faciale d’arrêter de traiter des données provenant de leurs sites17. Face à ces révélations, les enquêtes nationales sur les activités de l’entreprise se sont multipliées18. C’est le cas en Australie, où l’autorité de protection des données personnelles a relevé que les activités de Clearview AI ne respectaient pas les règles nationales de protection de la vie privée19. L’autorité australienne imposa alors à l’entreprise de cesser d’utiliser des photos et autres données personnelles de personnes se trouvant sur le sol australien mais aussi de détruire les fichiers existants. Le 16 décembre, la CNIL a adopté la même décision pour la France20.

• 21 Règl. (UE), 27 avr. 2016, relatif à la protection des personnes physiques à l'égard du traitement (...)

34Le Règlement général de protection des données du 27 avril 2016 (RGPD)21 définit le traitement de données personnelles comme « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction » (article 4(2)). Ces traitements, fort divers et souvent combinés, ont envahi notre quotidien et peuvent être effectués pour le compte de l’État. L’actualité récente témoigne de cet intérêt étatique pour nos données personnelles dans le champ de la santé (A), mais aussi dans celui de la justice (B).

• 22 [https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000044041653], dernier accès le 6 janvier 2022.
• 23 [https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000044508815/], dernier accès le 6 janvier 2022.

• Décret n° 2021-1182 du 13 septembre 2021 portant création d’un traitement automatisé de données à caractère personnel dénommé Système d’information interministériel des victimes d’attentats et de catastrophes (SIVAC) et modifiant le Code de procédure pénale22.
• Délibération n° 2021-048 du 15 avril 2021 portant avis sur un projet de décret en Conseil d’État portant création d’un traitement automatisé de données à caractère personnel dénommé Système d’information interministériel des victimes d’attentats et de catastrophes (SIVAC) et modifiant le Code de procédure pénale23.

• 24 V. l’art. 60, L. n° 2016-1827, 23 déc. 2016, de financement de la sécurité sociale pour 2017, et l (...)

36SI-DEP, Contact-COVID, SIVAC, SIVIC, VAC-SI, SINUS… La liste des systèmes d’information, c’est-à-dire des bases de données à caractère personnel utiles pour la gestion de crises sanitaires, qu’elles soient liées à une catastrophe, un attentat ou une pandémie, ne cessent de s’allonger au point qu’il en devient parfois malaisé de distinguer les outils. Cela est particulièrement vrai pour les dispositifs aux intitulés proches que sont SIVIC (Système d’information des victimes d’attentats et de situations sanitaires exceptionnelles ) et le tout nouveau SIVAC (Système d’information interministériel des victimes d’attentats et de catastrophes) ; ce dernier étant lui-même à distinguer de VAC-SI, le système d’information dédié à la vaccination contre le Covid autrefois nommé SI-VAC. Face à ce grand méli-mélo, où les informations personnelles sensibles sont collectées à de multiples reprises, on en oublie presque que certains de ces outils sont anciens et avaient été créés avant la crise sanitaire. En effet, SIVIC a été créé après les attentats de Paris afin de faciliter la prise en charge sanitaire de futures victimes d’attentats24, et est aujourd’hui utilisé pour suivre les données d’hospitalisation relatives à l’épidémie de Covid-19 en complément du SI-DEP, dédié aux données relatives au dépistage du Covid et Contact-Covid qui, lui, répertorie les cas contacts.

• 25 A., 17 févr. 2010, portant création d'un traitement automatisé de données à caractère personnel dé (...)

37En parallèle, d’autres systèmes d’information peuvent être déclenchés. Il s’agit, par exemple, du système d’information SINUS (Système d’information numérique standardisé) permettant de comptabiliser les victimes prises en charge par les services de secours lors de situations exceptionnelles, notamment par les sapeurs-pompiers et les personnels du SAMU25.

• 26 [https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000044447330W], dernier accès le 6 janvier 2022.
• 27 [https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000044452149/], dernier accès le 6 janvier 2022.

• Le décret n° 2021-1584 du 7 décembre 2021 modifiant le décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé TousAntiCovid26.
• Délibération n° 2021-143 du 2 décembre 2021 portant avis sur un projet de décret modifiant le décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé TousAntiCovid (demande d’avis n° 21020211)27.

• 28 À l’heure où sont rédigées ces lignes il ne s’agit pas encore d’un passe vaccinal.
• 29 V. l’art. 2, I, 14°, D. n° 2020-650, 29 mai 2020.

42La modification en cause est peu détectable pour l’utilisateur : il s’agit du traitement des données contenues dans le passe sanitaire28. Alors que jusque-là le passe sanitaire ne faisait pas l’objet d’un traitement particulier, mais seulement de la possibilité pour l’utilisateur de le consigner et de l’afficher en cas de contrôle, le passe fera dorénavant l’objet d’un traitement visant à proposer des informations ciblées aux utilisateurs telles que sur la validité du passe ou sur la nécessité de prendre rendez-vous pour obtenir une dose vaccinale de rappel29. Dans son avis du 2 décembre 2021 sur le projet de décret, la CNIL avait souligné qu’il s’agissait « d’une modification importante, qui change la portée du traitement ». L’application conduit maintenant à lire et à traiter les données de santé. Toutefois, la Commission « estime que cette finalité, qui répond à un motif important d’intérêt public, est légitime », et ajoute que des garanties techniques ont été mises en place, le traitement se faisant sur le serveur local – le téléphone portable des utilisateurs – et non au niveau national sur un serveur central.

• 30 [https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000044506066], dernier accès le 6 janvier 2022.
• 31 [https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000044508755/], dernier accès le 6 janvier 2022.

• Décret n° 2021-1670 du 16 décembre 2021 modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions et le décret n° 2020-1690 du 25 décembre 2020 autorisant la création d’un traitement de données à caractère personnel relatif aux vaccinations contre le Covid-1930.
• Délibération n° 2021-144 du 2 décembre 2021 portant avis sur un projet de décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions et le décret n° 2020-1690 du 25 décembre 2020 autorisant la création d’un traitement de données à caractère personnel relatif aux vaccinations contre le Covid-19 (demande d’avis n° 21020478)31.

• 32 Art. 1, D. n° 2021-1670, 16 déc. 2021.

44De manière concomitante à la transformation de l’application TousAntiCovid, le gouvernement a également opté en décembre 2021 pour l’évolution du système d’information national de dépistage du virus du Covid-19 (SI-DEP) et du système d’information relatif aux vaccinations contre le Covid-19 (VAC-SI). En ce sens, le décret n° 2021-1670 du 16 décembre 2021 entend permettre d’utiliser les SI mentionnés afin de cibler les campagnes de rappel vaccinal et d’automatiser toujours davantage la création du passe vaccinal en utilisant directement les données contenues dans les fichiers. Dans cette perspective, le SI-DEP comprend dorénavant une nouvelle finalité légale : celle de « générer et d’envoyer aux personnes concernées un justificatif d’absence de contamination par le Covid-19 ou un certificat de rétablissement pouvant être présenté »32. Le SI permettra alors de produire deux QR codes : l’un comportant des données identifiantes (en cas de résultats d’examen négatifs) et l’autre n’en comportant aucune (en cas de résultats d’examen positifs). De son côté, le VAC-SI doit lui aussi permettre « la délivrance du justificatif de statut vaccinal ». Ainsi, une corde de plus vient se raccrocher aux arcs de ces SI : celle de la création de justificatifs.

• 33 CNIL, Référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins (...)

48Un entrepôt des données de santé est une plateforme technique, le plus souvent constituée à l’échelon local, comme au sein d’établissements de santé, et qui permet de regrouper les données de santé des patients de cet établissement, qu’il s’agisse de données médicales ou de données administratives. Ce regroupement des données de tous les services d’un établissement doit permettre alors d’engager des recherches statistiques sur ces dernières. Autorisés jusque récemment par la CNIL, ces entrepôts étaient en nombre limité (APHP, Hôpital de Nantes, etc.). Toutefois, l’intérêt suscité par de telles centralisations de données de santé est fort et encouragé par le législateur, le Code de la santé publique permettant même, pour la constitution de telles plateformes, d’utiliser les données du Système national des données de santé. Face à cette effervescence, la CNIL a publié un référentiel qui pourra être suivi par les institutions publiques désireuses de créer à leur tour un entrepôt des données de santé33. Le champ d’application du référentiel est toutefois restreint et ne s’applique pas aux entreprises privées cherchant à ouvrir un entrepôt pour leur « intérêt légitime ». Il ne concerne pas non davantage la création de systèmes informatiques pour la gestion des dossiers médicaux des patients.

• 34 V. la tribune de C. Babusiaux, « Données de santé : “Il est temps de sauver le soldat Health Data (...)
• 35 S. Rolland, « Coup d'arrêt pour le Health Data Hub, la plateforme controversée qui centralise les (...)

50Les responsables de traitement qui respectent ce référentiel n’ont alors plus à demander d’autorisation à la CNIL, malgré la sensibilité des données qui seront traitées, mais simplement de lui faire parvenir une déclaration de conformité au référentiel. Il s’agit donc d’un soutien supplémentaire au déploiement de ces espaces de collecte de données de santé à des fins de recherche scientifique. Par opposition, l’entrepôt national des données de santé, à savoir le Health Data Hub (plateforme nationale des données de santé), semble quant à lui peiner à entrer véritablement en fonctionnement. Outre les difficultés de la plateforme à récupérer des jeux de données de santé conservés au sein des hôpitaux ou d’institutions34, la presse relève en ce début d’année que le gouvernement ne présentera pas à la CNIL de demande d’autorisation pour que sa plateforme puisse traiter des données (notamment les hébergées). Les raisons officieuses invoquées sont diverses : choix politique à quelques mois de l’élection ; choix juridique, le contentieux de 2020 concernant l’hébergement des bases de données de la plateforme par l’entreprise américaine Microsoft ayant laissé des traces…35.

• 36 Comité national pilote d’éthique du numérique, Manifeste pour une éthique du numérique, avr. 2021, (...)

51Malgré ce qui est jugé comme étant un revers, l’orientation du droit positif est bien d’encourager la constitution d’entrepôts de données et de systèmes d’information à des fins de gestion diverses, mais aussi pour la recherche scientifique. Le droit de la santé se fait alors l’écho d’un « tout numérique », que l’on peut retrouver dans d’autres champs, notamment dans celui des services publics. Dans cette perspective, les outils numériques sont pensés comme des solutions face à des difficultés diverses, voire comme LA solution aux difficultés éprouvées. Dans son avis du 2 décembre 2021 sur le projet de décret relatif à l’application TousAntiCovid, la CNIL, malgré sa validation des dispositifs techniques et juridiques adoptés, souligne certaines réserves face à ce qu’elle nomme un « solutionnisme technologique ». L’autorité indépendante indique réitérer « ses alertes afin qu’une vigilance particulière soit accordée vis‑à‑vis de la tentation du solutionnisme technologique. À cet égard, la Commission rappelle que la multiplication des dispositifs numériques mis en œuvre dans le cadre de la gestion de l’épidémie rend absolument nécessaire une évaluation quantifiée et objective de leur efficacité dans la contribution à la lutte contre le Covid-19, ce qu’elle a rappelé à de nombreuses reprises depuis le début de l’épidémie, afin de s’assurer que le recours à ces dispositifs prendra fin dès que cette nécessité aura disparu ». Nous ajouterons à ce propos, auquel nous souscrivons par ailleurs, que l’évaluation de ces dispositifs devra également être utilisée pour repenser, le cas échéant, les systèmes d’information qui se veulent pérennes à l’image de SIVIC et SIVAC, et cela à l’aune des succès et des échecs des différents traitements de données personnelles mis en place pendant la pandémie. Cette évaluation pourrait alors porter sur l’efficacité des outils numériques dans la lutte effective contre le Covid, sur leurs niveaux de sécurité, mais pourrait également comprendre des aspects éthiques tels que ceux listés en avril 2021 par le Comité national pilote d’éthique du numérique dans son Manifeste pour une éthique du numérique36. Le document insiste en effet sur la nécessité de s’interroger notamment sur les moyens de respecter l’autonomie des personnes, ou sur la soutenabilité sociale, économique et environnementale des développements du numérique.

• 37 [https://www.courdecassation.fr/acces-rapide-judilibre], dernier accès le 6 janvier 2022.
• 38 [https://www.courdecassation.fr/acces-rapide-judilibre/open-data-et-api], dernier accès le 6 janvi (...)
• 39 V. [https://opendata.conseil-etat.fr], dernier accès le 6 janvier 2022.
• 40 [https://www.conseil-etat.fr/ressources/decisions-contentieuses/arianeweb] dernier accès le 6 janv (...)

53Pour contribuer à l’effort de diffusion dématérialisée des décisions de justice (open data) un nouveau décret a été publié à l’automne : le décret n° 2021-1276 du 30 septembre 2021 relatif aux traitements automatisés de données à caractère personnel dénommés Décisions de la justice administrative et Judilibre. Les deux traitements de données personnelles autorisés visent à mettre à disposition les « décisions de justice des ordres administratif et judiciaire ainsi que la conservation des données en vue de cette diffusion et du traitement des demandes d’occultation et de levée d’occultation » (article 1^er). Dans la foulée de cette publication la Cour de cassation a lancé sa plateforme de consultation des décisions de l’ordre judiciaire, Judilibre37, soit environ 480 000 documents librement accessibles38. Du côté du Conseil d’État, une plateforme a également été mise en ligne, mais elle est toutefois plus modeste et moins pratique, les fichiers disponibles étant à télécharger en bloc39. Il faut alors y préférer, ArianeWeb, la plateforme plus ancienne du Conseil d’État40. Les décisions peuvent être « enrichies », c’est-à-dire qu’elles peuvent se voir ajouter des liens et des annotations pour rediriger le lecteur, par exemple directement vers le texte de loi appliqué, vers les conclusions, avis et rapports sur la décision. Ces liens et annotations sont autant de métadonnées utiles à l’utilisateur humain, mais aussi aux algorithmes d’extraction de données et d’analyse de ces dernières qui pourront compiler les résultats extraits. À n’en pas douter elles alimenteront notamment le projet DataJust…

• 41 CE, 30 déc. 2021, n° 440376 (requêtes n^os 440376, 440976, 442327, 442361, 442935).

• CE, décision n° 440376, 30 décembre 202141.

• 42 D. n° 2020-356, 27 mars 2020, portant création d'un traitement automatisé de données à caractère p (...)

54Le 30 décembre 2021, le Conseil d’État a rendu une décision importante concernant le développement et le déploiement à venir de l’outil DataJust, un algorithme qui traite des données personnelles dans le champ de la justice. Plus particulièrement, DataJust est un traitement de données personnelles automatisé et autorisé par le décret n° 2020-356 du 27 mars 202042 portant sur les décisions de justice et ayant pour finalité :

• 43 CE, 26 mai 2020, n° 440378.
• 44 Règl. (UE), 27 avr. 2016, relatif à la protection des personnes physiques à l'égard du traitement (...)

56La mise en place de cet outil technique étatique, qui n’a pas d’équivalent à l’étranger, s’est toutefois confrontée à la critique. En effet, la publication de son décret au début du premier confinement avait été pointée du doigt, le ministère concédant alors une maladresse plus qu’une volonté d’imposer un outil algorithmique. Ces excuses n’avaient toutefois pas empêché ses opposants de déposer une demande de suspension du décret en référé, demande rejetée par le Conseil d’État jugeant que les conditions de mise en œuvre d’un référé n’étaient pas réunies43. En effet, pour les juges, il n’y avait aucune menace grave et immédiate justifiant cette suspension, l’algorithme expérimental n’étant « pas de nature à porter atteinte aux intérêts des justiciables recherchant devant les juridictions administratives ou civiles l’indemnisation d’un préjudice corporel, ni aux intérêts des avocats qui les défendent ». Par ailleurs, les juges avaient également écarté le fait que le non-respect, même s’il était avéré, du Règlement général de protection des données (RGPD)44 par le décret soit constitutif « d’une situation d’urgence justifiant, par elle-même, la suspension d’un acte administratif ». Rien à redire donc pour le Conseil d’État, mais sa décision appelait les parties à saisir sur le fond les juges administratifs pour tenter cette fois-ci d’obtenir l’annulation pour excès de pouvoir du décret. Chose faite en mai, juillet et août 2020, par différentes requêtes traitées ensemble par le Conseil d’État dans une décision du 30 décembre 2021.

• 45 M. A. Skzryerbak, Conclusion du rapporteur public, CE, 30 déc. 2021, n° 440376 (requêtes n^os  4403 (...)

57Comme l’a rappelé le rapporteur public, les parties contestent dans cette espèce la raison d’être de l’algorithme, qui est d’être un outil d’aide à la décision en matière d’allocation de dommages et intérêts pour les préjudices corporels, lequel pourrait avoir pour conséquence de déposséder le juge de ses prérogatives et de mettre à mal les droits des parties. Les requêtes contestent également la protection accordée à la vie privée lors des extractions et utilisations des données à caractère personnel, parfois sensibles, contenues dans les décisions analysées sans que le consentement des personnes intéressées n’ait été recherché45. Les critiques formulées par les requêtes portent, en effet, à la fois sur ce qui peut être fait de DataJust, tel que le gouvernement l’avait annoncé avant la parution du décret, et sur ce que fait DataJust, à savoir un traitement de données. Ces craintes formulées de manière pertinente sont pourtant repoussées parfois bien rapidement par le Conseil d’État, lequel offre dans cette décision une vision quelque peu idéalisée de l’usage des outils informatiques et de l’Intelligence artificielle dans le champ de la justice.

• 46 E. Marzolf, « Exclusif : le ministère de la Justice renonce à son algorithme DataJust », Acteurs p (...)

60L’arrêt témoigne ainsi d’une confiance dans les outils informatiques de traitement de données mis en place par le ministère de la Justice mais laisse place à certaines incohérences tenant à la fois à la mise en lumière de l’ambition du ministère avec cet outil, mais à la reconnaissance du fait que l’outil ne soit pas encore abouti. Par exemple, le Conseil d’État indique que : « Le décret attaqué a pour objet la mise au point d’un algorithme destiné à l’élaboration d’un référentiel indicatif d’indemnisation des préjudices corporels ayant vocation à être utilisé pour évaluer ces préjudices dans le cadre du règlement tant amiable que juridictionnel des litiges. Il tend ainsi à assurer un accès plus facile à la jurisprudence sur l’indemnisation des préjudices corporels afin de garantir l’accessibilité et la prévisibilité du droit » (pt. 12 de la décision). Il s’agit donc d’une mission d’intérêt public, mais le dispositif en cause est pour l’heure expérimental… Ce va-et-vient, qui montre toutes les ambiguïtés du projet DataJust, est à regretter, la discussion sur l’ambition de l’outil étant nécessaire et largement attendue. Cette dernière n’interviendra peut-être jamais. En effet, à l’heure où sont écrites ces lignes, les médias rapportent que le ministère de la Justice vient d’abandonner le projet, et cela malgré la décision du Conseil d’État. Il est rapporté que le mauvais accueil réservé au projet par les professionnels du droit ainsi que les difficultés techniques pour mener à bien le projet l’avait emporté sur l’intérêt même de développer l’algorithme46…

• 47 Proposition de règlement du PE et du Cons. modifiant le Règl. (UE) n° 910/2014, en ce qui concerne (...)
• 48 Règl. (UE) n° 910/2014 du PE et du Cons., 23 juill. 2014, sur l’identification électronique et les (...)
• 49 Dans son considérant 17, le règlement eIDAS prévoyait simplement une implication possible du secte (...)

61Le 3 juin 2021 a été publiée une proposition de règlement européen modifiant le règlement (UE) n° 910/2014 en ce qui concerne l’établissement d’un cadre européen relatif à une identité numérique47. Le texte actuellement applicable, datant du 23 juillet 2014 et connu sous le nom de règlement eIDAS48, est relatif à l’identification électronique et aux services de confiance pour les transactions électroniques au sein du marché intérieur. Il a pour objet de permettre l’identification électronique transfrontière des personnes accédant à un service public49 et d’organiser des services de confiance tels que la signature ou l’horodatage électronique à l’échelle de l’Union.

• 50 Un nœud est défini comme « un point de connexion qui fait partie de l'architecture de l'interopéra (...)
• 51 Les difficultés d’identification à distance se sont notamment matérialisées en France dans la cadr (...)
• 52 Exposé des motifs de la proposition de règlement visant à modifier le règlement eIDAS.
• 53 Conseil d’État, Puissance publique et plateformes numériques : accompagner l’« ubérisation », Étud (...)

62Le bilan de l’application de ce texte a fait émerger les lacunes dont il était affecté. Seuls quatorze États membres ont notifié au moins un système d’identification électronique à la Commission européenne, ce qui aboutit à ce que seulement 59 % des résidents de l’Union aient accès à un mécanisme d’identification fiable et sûr par-delà les frontières. Parmi les systèmes notifiés, seuls sept sont entièrement mobiles. Il a également été observé, à propos des nœuds50 techniques permettant d’assurer la connexion au cadre d’interopérabilité eIDAS, qu’ils n’étaient pas tous pleinement opérationnels, limitant de fait l’accès transfrontalier. En réalité, peu de services publics accessibles au niveau national le sont à partir d’un autre État de l’Union via le réseau eIDAS. En outre, le règlement ne permet pas de répondre aux nouvelles attentes des utilisateurs, désireux de pouvoir s’identifier auprès d’acteurs privés et de prouver certains attributs rattachés à la titularité d’un diplôme ou d’un permis de conduire51. Il a ainsi été observé que le texte actuel n’était pas en mesure de répondre « aux nouvelles demandes du marché, principalement pour les raisons suivantes : les limitations au secteur public qui lui sont inhérentes, les possibilités limitées et la difficulté pour les prestataires privés de services en ligne de se connecter au système, la disponibilité insuffisante de solutions d’identification électronique notifiées dans tous les États membres, et un manque de souplesse pour répondre à des cas d’utilisation variés »52. Cette situation a conduit à l’apparition d’une concurrence en matière d’identification, soulignée par le Conseil d’État dès 2017 quand il notait que « la fonction de certification de l’identité est aujourd’hui très largement exercée par des plateformes numériques – Facebook à titre principal et Google également – sans intervention aucune de l’État »53.

• 54 Conclusions adoptées par le Conseil européen lors de sa réunion extraordinaire des 1^er et 2 octobr (...)
• 55 Commission européenne, COM(2021) 118 final, p. 13 et 14.
• 56 Proposition de règlement du Parlement européen et du Conseil modifiant le règlement (UE) n° 910/20 (...)
• 57 C’est nous qui traduisons ainsi. Le document original mentionne que « The legal instrument aims to (...)
• 58 Ibid., p. 2.

63Pour remédier à cette situation le Conseil européen a invité la Commission européenne à présenter une proposition sur l’identification numérique européenne visant à mettre en place, « à l’échelle de l’UE, un cadre pour une identification électronique publique (e-ID) sécurisée »54. La Commission européenne a répondu, dans sa communication Une boussole numérique pour 2030 : l’Europe balise la décennie numérique du 9 mars 2021, que « d’ici à 2030, le cadre de l’UE devrait avoir conduit au déploiement à grande échelle d’une identité de confiance contrôlée par l’utilisateur, permettant à chaque citoyen de contrôler ses propres interactions et sa présence en ligne »55. La proposition modifiant le règlement eIDAS est parue en parallèle. Le but est clair : il s’agit d’établir « un cadre pour une identité numérique européenne »56 dans lequel les personnes physiques et morales sont mises en pouvoir d’utiliser les dispositifs d’identité numérique57. Ce cadre devra offrir à chacun les moyens de contrôler qui accède à quelles données58.

• 59 La présente contribution n’envisagera pas les modifications proposées en termes de services de con (...)

64À y regarder de plus près, un glissement s’est opéré entre le règlement eIDAS et la proposition visant à le modifier, consistant à placer la personne au centre du système d’identification (A) grâce, notamment, à la création d’un portefeuille européen d’identité numérique (B)59.

• 60 Art. 3 1) du règlement eIDAS.
• 61 L’article 3 4) du règlement eIDAS définit le schéma d’identification électronique comme « un systè (...)

66Le règlement eIDAS n’utilise pas l’expression « identité numérique ». À peine, trouve-t-on celle d’« identité électronique » dans le considérant 12, qui se réfère à la technique employée, sans s’attacher au contenu. Le règlement eIDAS s’intéresse en réalité davantage au processus visant à connaître l’identité à distance, à savoir l’identification électronique. Il la définit comme « le processus consistant à utiliser des données d’identification personnelle sous une forme électronique représentant de manière univoque une personne physique ou morale, ou une personne physique représentant une personne morale »60. L’objet du règlement eIDAS est ainsi de poser un cadre légal pour permettre l’adoption par les États membres de moyens d’identification électronique utilisables dans toute l’Union de façon à ce qu’un usager situé dans un État membre puisse utiliser un moyen d’identification de cet État pour accéder aux services publics d’un autre État. Pour ce faire, le texte organise une procédure de notification, laquelle doit permettre d’évaluer un niveau de garantie. Plus précisément, les États membres sont appelés à notifier un schéma d’identification électronique61 à la Commission européenne, en précisant s’il assure un niveau de garantie faible, substantiel ou élevé. Ce schéma fait l’objet d’une revue par des représentants d’autres États membres et, à l’issue de ce processus, il est considéré comme notifié. Les moyens d’identification électronique qu’il permet de délivrer peuvent alors être utilisés pour s’identifier auprès d’un service public, pour l’accès duquel un niveau de garantie aura été précisé en amont et correspondra au niveau de garantie assuré par le moyen d’identification. Ce texte organise ainsi un parcours sécurisé d’identification, sans envisager la personne comme un acteur décisionnaire à propos de ses données d’identification. Celle-ci n’est vue qu’à travers les éléments de justification qu’elle doit fournir à chaque étape du schéma d’identification. La proposition de règlement visant à modifier le règlement eIDAS est empreinte d’un esprit différent.

• 62 Communication du 19 février 2020, COM(2020) 67 final.
• 63 Commission européenne, Une identité numérique pour tous les Européens, v. les principes fondamenta (...)
• 64 Proposition de règlement du Parlement européen et du Conseil modifiant le règlement (UE) n° 910/20 (...)
• 65 Au niveau de l’Union, v. à ce sujet le document publié par la Commission européenne, « eIDAS suppo (...)
• 66 F. Wang, P. de Filippi, « Self-Sovereign Identity in a Globalized World: Credentials-Based Identit (...)
• 67 Ainsi, par exemple, le CNNum inscrit dans son rapport que : « Une des suites du droit à l’autodéte (...)

67La proposition de règlement s’inscrit dans les objectifs présentés par la Commission européenne dans sa communication Façonner un avenir numérique pour l’Europe62 dans laquelle la Commission appelle à « promouvoir une identité numérique fiable pour tous les Européens », et considère que « les citoyens devraient […] avoir la maîtrise de leur identité en ligne, lorsque l’accès à certains services en ligne nécessite une authentification ». En ce sens, le titre de la proposition de règlement visant à modifier le règlement eIDAS utilise expressément la notion d’« identité numérique », sans toutefois la définir. Elle s’attache à « permettre aux utilisateurs de choisir les aspects de leur identité, les données et les certificats qu’ils partagent avec des tiers, et de conserver l’historique de ces interactions »63. Pour ce faire, elle indique que le cadre fixé doit donner « à chacun les moyens de contrôler qui a accès à son jumeau numérique et à quelles données exactement »64. La personne est alors non seulement au cœur du dispositif mais surtout c’est elle qui décide quelle information fournir à qui et qui opère un contrôle sur les accès aux données. En cela, l’identité deviendrait « auto-souveraine »65. Classiquement, les auteurs s’accordent à considérer que l’identité « auto-souveraine » « vise à préserver le droit à la divulgation sélective de différents aspects et composantes de son identité, dans des domaines et des contextes différents », et qu’elle renvoie à l’idée selon laquelle « les individus doivent garder le contrôle sur leurs données personnelles et, jusqu’à un certain point, sur les représentations de leurs identités (ou personas) au sein d’un système de gestion d’identité particulier »66. Il s’agit dès lors de donner la possibilité à la personne de déterminer et de contrôler qui peut accéder à quelles informations la concernant. En France, la notion d’identité « auto-souveraine » est souvent rapprochée de celle d’autodétermination informationnelle67. Avec la proposition de règlement, elle pourrait se réaliser par la mise en œuvre d’un portefeuille d’identité numérique.

• 68 Cette notion est traduite de l’anglais « credentials » et vise « la preuve des aptitudes d’une per (...)
• 69 La notion d’attribut renvoie à « une particularité, une caractéristique ou une qualité d’une perso (...)
• 70 Art. 1^er, para. 3, point a) de la proposition de règlement, préc.

68Le portefeuille européen d’identité numérique est défini comme « un produit et un service qui permettent à l’utilisateur de stocker des données d’identification, des justificatifs68 et des attributs69 liés à son identité, de les communiquer aux parties utilisatrices sur demande et de les utiliser pour s’authentifier, en ligne et hors ligne, sur un service […] ; et de créer des signatures et cachets électroniques qualifiés ». Il a donc vocation à permettre aux citoyens, résidents et entreprises de l’Union qui le souhaitent de prouver leur identité et de partager des documents électroniques grâce à une application mobile. En ce sens, il constitue un nouveau moyen d’identification électronique, compris comme « un élément matériel et/ou immatériel […] qui contient des données d’identification personnelle et est utilisé pour s’authentifier sur un service en ligne ou hors ligne »70. Il impliquera l’intervention de divers acteurs. Parmi eux, trois seront particulièrement visibles : l’utilisateur/détenteur (« holder »), l’émetteur de titres/d’attestations (« issuer ») et le service tiers requérant des informations (appelé aussi partie utilisatrice ou « verifier »).

• 71 Art. 6 bis 1) de la proposition de règlement. Le point suivant précise que les portefeuilles europ (...)
• 72 D. n° 2021-279, 13 mars 2021, portant diverses dispositions relatives à la carte nationale d'ident (...)

69Le portefeuille sera émis sur la base d’un schéma d’identification assurant un niveau élevé de sécurité et devra faire l’objet de diverses certifications. Il devra obligatoirement être délivré dans l’année suivant l’entrée en application du futur règlement71 soit par un État membre, soit sur mandat d’un État membre, soit indépendamment d’un État membre tout en étant reconnu par l’un d’eux. Ce mode d’émission pose le souci du business model qui le sous-tend pour un organisme du secteur privé ainsi que des modalités d’une éventuelle concurrence qui pourrait s’élever entre un moyen d’identification délivré par l’État, tel que cela est le cas pour la carte nationale d’identité électronique par exemple, et les moyens d’identification émis par une entité privée. À ce jour, la carte nationale d’identité électronique a certes un champ d’utilisation limité, mais elle semble prévue pour permettre une identification plus large dans le futur72, venant ainsi en concurrence avec d’autres moyens d’identification. Les États membres devront informer la Commission européenne des portefeuilles délivrés et, le cas échéant, de leur annulation, afin que celle-ci établisse, publie et mette à jour une liste des portefeuilles certifiés.

• 73 Futur article 6a) point 3 a) proposé par la proposition de modification du règlement eIDAS.
• 74 Futur article 6a) point 4) proposé par la proposition de modification du règlement eIDAS.
• 75 Considérant 29 de la proposition de modification du règlement eIDAS.
• 76 Cette annexe a pour objet de lister les exigences relatives à l'ensemble minimal de données d'iden (...)
• 77 Règlement d’exécution n° 2015/1501, op. cit.
• 78 Futur article 11 a) proposé par la proposition de modification du règlement eIDAS.
• 79 Considérant 10 de la Recommandation (UE) 2021/946 de la Commission du 3 juin 2021 concernant une b (...)

70Le portefeuille poursuivra deux objectifs. Premièrement, il permettra à la personne « de demander, obtenir, stocker, sélectionner, combiner et partager en toute sécurité et de manière transparente et traçable pour elle, les données d’identification électronique reposant sur son identité civile et l’attestation électronique des attributs nécessaires à l’authentification en ligne et hors ligne afin d’utiliser des services publics et privés en ligne »73. Deuxièmement, il devrait permettre à la personne de signer au moyen d’une signature électronique qualifiée. Sans préciser l’architecture qui devra être adoptée pour ce portefeuille, la Commission européenne liste les fonctions et les exigences qui devront s’appliquer74. Le portefeuille devra fournir une interface permettant aux différents acteurs impliqués de requérir, obtenir, partager, délivrer ou encore valider des informations, attestations et certificats. Un mécanisme garantissant que la partie se fiant aux données est en mesure d’authentifier la personne et de recevoir des attestations électroniques d’attributs devra être mis en œuvre. Les données d’identification, attestations et justificatifs devront être stockés en local et, en application du principe de minimisation, une attention particulière devra être portée à ce que les destinataires des données ne puissent prendre connaissance que de celles dont ils ont besoin pour atteindre la finalité escomptée. À cet égard, le portefeuille devra permettre, sur le plan technique, la divulgation sélective des attributs aux services requérant une identification de la part du détenteur75. La proposition exige en outre qu’un niveau de garantie élevé soit assuré, notamment pour ce qui concerne la preuve et la vérification de l’identité et la gestion du portefeuille. Ce dernier intégrera les informations énumérées à l’annexe76 du règlement d’exécution 2015/150177 qui couvrent l’ensemble minimal de données d’identification personnelle représentant de manière univoque une personne physique ou morale. Il devra garantir que ces informations continuent à représenter la personne de manière unique dans le temps. La proposition renvoie ici à un identifiant persistant78. Finalement, le portefeuille devrait comporter plusieurs subdivisions. L’une d’elles devra contenir les données fournies ou utilisées pour émettre le portefeuille de façon à ce que celles-ci soient séparées physiquement et logiquement des autres données incluses dans le portefeuille. À ce jour, le fonctionnement de ce portefeuille reste à être précisé, et des spécifications techniques et opérationnelles ainsi que des normes de référence devront être définies par la Commission européenne dans le cadre d’un acte d’exécution dans un délai de six mois à compter de l’entrée en vigueur du règlement à venir. En parallèle, les États membres sont appelés à renforcer leur coopération et à définir une boîte à outils, laquelle « devrait déboucher sur une architecture technique et un cadre de référence, un ensemble de normes et de références techniques communes, ainsi que des bonnes pratiques et des lignes directrices pour la mise en œuvre du cadre européen relatif à une identité numérique »79.

• 80 Au sens de l’article 25, paragraphe 1, du règlement relatif à un marché intérieur des services num (...)
• 81 Considérant n° 28 de la proposition qui reprend cette idée dans un futur article 12 ter, paragraph (...)
• 82 Proposition de règlement à propos d’un futur article 12 ter, paragraphe 2, qui pourrait être insér (...)
• 83 Proposition de règlement à propos d’un futur article 12 ter, paragraphe 5, qui pourrait être insér (...)

71En pratique, l’adoption du portefeuille par les personnes sera facultative, et sa délivrance gratuite. En ce sens, la proposition prévoit que « les utilisateurs ne devraient pas être tenus d’utiliser le portefeuille pour accéder à des services privés ». En revanche, « lorsque l’utilisateur le souhaite, les très grandes plateformes en ligne80 devraient accepter que le portefeuille européen d’identité numérique soit utilisé à cette fin, dans le respect du principe de minimisation des données »81. Il en est de même des services privés pour lesquels il est exigé une authentification forte de l’utilisateur pour l’identification en ligne, ou lorsqu’une identification forte de l’utilisateur est imposée par une obligation contractuelle, y compris dans les domaines des transports, de l’énergie, des services bancaires et financiers, de la sécurité sociale, de la santé, de l’eau potable, des services postaux, des infrastructures numériques, de l’éducation ou des télécommunications. Dans ce cas en effet, ces services sont tenus d’accepter l’utilisation du portefeuille82. D’autres acteurs pourraient à l’avenir se voir imposer d’accepter ce moyen d’identification83. L’adoption de codes de conduite est ici envisagée pour de meilleures acceptation et utilisation de cet outil.

• 84 Art. 1^er, para. 11, de la proposition, sur l’insertion d’un article 10 bis dans le règlement eIDAS

72En cas d’atteinte à la sécurité du portefeuille d’une manière qui affecte sa fiabilité ou la fiabilité d’autres portefeuilles européens, une procédure a été prévue qui consiste pour l’État membre de délivrance à agir en trois temps. Premièrement, il s’agira de suspendre la délivrance du portefeuille en question ; puis, il faudra en révoquer la validité avant d’informer les autres États membres et la Commission européenne84. En fonction de la possibilité ou non de remédier à l’atteinte ou à la compromission, la délivrance du portefeuille pourra être rétablie ou son retrait décidé.

• 85 Le considérant 9 de la proposition expose en ce sens que « seules les autorités compétentes des Ét (...)
• 86 D. n° 2021-1538, 29 nov. 2021, relatif à l'expérimentation du téléservice dénommé « Mon FranceConn (...)
• 87 Art. 4, ibid.

73En conclusion, il faut admettre avec évidence que le cadre légal et technique proposé en matière d’identité numérique mérite d’être précisé. L’expression même d’identité numérique requerrait de faire l’objet d’une définition, de façon à bien spécifier que cette identité est en lien avec l’identité « réelle » et repose sur l’identité juridique85. La question de l’interopérabilité des dispositifs qui seront adoptés est également prégnante. En tout état de cause, la France devra être force de propositions. Elle pourra alors se baser sur les systèmes qui existent déjà, dont la carte nationale d’identité électronique, mais également sur la plateforme FranceConnect avec l’expérimentation récente du téléservice « Mon FranceConnect »86. En droite ligne avec la proposition de règlement en matière d’identité numérique « auto-souveraine » et de services offerts en ce domaine, ce téléservice « a pour finalité de mettre à disposition de l’usager un espace en ligne placé sous le contrôle de l’usager, ouvert et clos à sa demande ». Cet espace a vocation à permettre à l’usager : « 1° d’obtenir un accès aux informations ou données susceptibles de faire l’objet d’un échange entre administrations […] dès lors que cet échange peut se faire par interface de programmation ; 2° d’obtenir un accès à des informations utiles dans le cadre de ses échanges avec les autorités administratives, telles que le suivi de l’avancement de ses démarches, l’état des échanges avec ou entre les autorités administratives le concernant ; 3° de bénéficier […] de conseils utiles à l’exercice de ses droits et devoirs ; 4° de générer […] des justificatifs susceptibles de lui être demandés lors de l’accomplissement de ses démarches »87. Ces évolutions sont à n’en point douter à suivre avec, à l’esprit, une attention particulière portée au respect des droits et libertés fondamentaux. Celui-ci dépendra pour partie de l’équilibre qui sera trouvé entre les différents acteurs en présence.