Cycle de vie d’une identité : création, mise à jour, révocation
Un système d'identité se juge rarement au moment de l'enrôlement. Il se juge dix ans plus tard, quand il faut savoir si la personne inscrite a déménagé, changé de nom ou est décédée. Les décisions à prendre à chaque étape du cycle.
Un programme d’identité se présente presque toujours par ses chiffres d’enrôlement : tant de personnes inscrites, tant de titres délivrés. C’est la partie visible. La partie qui décide de la fiabilité du système vient après, pendant des décennies : une personne change de nom, d’adresse, de situation familiale, perd sa carte, meurt. Si le registre ne suit pas, il devient peu à peu une photographie ancienne. Penser le cycle de vie de l’identité dès la conception, c’est décider à l’avance ce qui se passe à chacune de ces étapes, et qui en est responsable.
Les cinq états d’une identité
Une identité, dans un registre, n’est pas « présente » ou « absente ». Elle traverse des états, et chaque passage d’un état à l’autre est un événement qui doit être justifié et tracé.
Le schéma paraît simple. Dans la pratique, la plupart des difficultés viennent de flèches qui n’existent pas : une suspension que personne ne sait lever, un décès jamais transmis, une mise à jour faite dans une base et pas dans l’autre.
Création : décider ce qui fait foi
L’enrôlement pose trois questions qui engagent tout le reste du cycle.
Sur quelle pièce s’appuie la création ? Un acte de naissance, un titre existant, une attestation de témoins, une décision judiciaire. Le niveau de confiance de l’identité ne peut pas dépasser celui de sa source. Là où l’état civil est lacunaire, le registre d’identité hérite de ses fragilités ; il faut alors le dire, et prévoir un statut « à consolider » plutôt que de faire comme si la pièce était solide.
Comment éviter les doublons ? La déduplication, biométrique ou fondée sur des données d’état civil, se décide à l’enrôlement. Elle a un coût et des risques pour la vie privée ; elle doit être proportionnée à l’usage. Un registre de bénéficiaires d’un programme social n’a pas les mêmes exigences qu’un fichier de titres de voyage.
Quel identifiant ? Un identifiant unique, non signifiant (il ne révèle ni la date de naissance ni le lieu), stable dans le temps et jamais réattribué. Les identifiants « parlants » posent problème dès qu’une donnée qu’ils contiennent change ou se révèle fausse.
Mises à jour : recevoir les événements plutôt que les attendre
La plupart des registres d’identité vieillissent parce que leurs mises à jour dépendent de la démarche volontaire de la personne. Or personne ne pense à signaler un mariage à l’organisme qui gère sa carte d’identité, et les décès, par définition, ne sont jamais déclarés par l’intéressé.
La réponse est structurelle : relier le registre d’identité aux sources qui produisent les événements. L’état civil, d’abord, pour les naissances, les mariages, les changements de nom et les décès ; puis, selon le pays, les registres de population, la justice ou les services consulaires. Chaque événement reçu déclenche une mise à jour, ou au moins une vérification.
| Événement | Source qui fait foi | Effet sur l’identité |
|---|---|---|
| Naissance | Acte de naissance | Création possible, rattachement aux parents |
| Mariage, divorce | Acte ou mention en marge | Nom d’usage, situation familiale |
| Changement de nom ou de prénom | Décision administrative ou judiciaire | Mise à jour, ancien nom conservé dans l’historique |
| Rectification d’une erreur | Décision de rectification | Correction tracée, sans effacement de la version antérieure |
| Décès | Acte de décès | Passage au statut « décédé », révocation des titres et moyens d’authentification |
Deux règles évitent les erreurs les plus coûteuses. On ne modifie jamais une identité sans pièce rattachée à la modification. Et on n’écrase jamais : l’ancienne valeur reste dans l’historique, datée, avec la référence de la pièce qui l’a remplacée. C’est ce qui permet, des années plus tard, de comprendre pourquoi un nom diffère entre deux documents.
Suspension et révocation : deux décisions, deux procédures
On confond souvent les deux. Elles n’ont pourtant ni les mêmes déclencheurs ni les mêmes conséquences.
La suspension est une mesure conservatoire : soupçon de fraude, signalement de perte ou de vol d’un titre, incohérence détectée lors d’un contrôle. Elle bloque l’usage le temps d’une vérification. Sa difficulté tient à sa sortie : il faut une procédure écrite pour la lever, un délai maximal, une personne responsable, et une information de l’intéressé. Une suspension sans issue définie devient une exclusion de fait, avec des conséquences lourdes sur l’accès aux droits.
La révocation est définitive pour un titre ou un moyen d’authentification : une carte déclarée volée, un certificat compromis, un titre remplacé. Elle doit se propager à tous ceux qui vérifient l’identité. C’est un point technique souvent négligé : si les services qui contrôlent une carte ou un certificat ne consultent pas une liste de révocation à jour, la révocation n’existe que sur le papier. Les cadres internationaux de l’identité numérique, comme les lignes directrices du NIST (SP 800-63-3) ou la norme ISO/IEC 24760, traitent explicitement cette gestion du statut et de sa diffusion.
Une précision s’impose enfin : révoquer un titre n’est pas supprimer une identité. Effacer l’enregistrement d’une personne décédée ou d’un titre révoqué ouvre la porte à l’usurpation, puisque rien n’empêche alors de réutiliser son identité. L’enregistrement change de statut et reste conservé, avec des accès restreints.
Archivage : la fin du cycle n’est pas la fin des données
Après un décès ou une révocation définitive, l’identité passe en archive. Elle reste nécessaire pour les successions, les pensions, les enquêtes, les recherches généalogiques selon les règles du pays. La durée de conservation, les personnes autorisées à consulter et les conditions de communication doivent être fixées par un texte, puis appliquées par le système, pas par la mémoire des agents.
C’est aussi là que s’applique le principe de minimisation : toutes les données collectées à l’enrôlement n’ont pas vocation à être conservées aussi longtemps que l’identité elle-même. Les données biométriques, en particulier, appellent des règles de conservation et d’accès spécifiques, que les autorités de protection des données examinent avec attention.
Qui fait quoi : la gouvernance du cycle
Un cycle de vie bien dessiné échoue encore si personne n’en porte les étapes. Pour chaque transition, il faut pouvoir répondre par écrit à quatre questions : qui peut la déclencher, sur quelle pièce, qui la valide, et comment la personne concernée en est informée et peut la contester.
- Chaque état de l’identité est défini, avec ses effets concrets (ce qui reste possible, ce qui est bloqué).
- Chaque transition a un déclencheur, une pièce, un auteur et une trace horodatée.
- Le registre reçoit automatiquement les événements de l’état civil, au moins les décès.
- Les modifications conservent l’historique ; rien n’est écrasé.
- Les suspensions ont une durée maximale et une procédure de levée.
- Les révocations sont diffusées aux services qui vérifient l’identité.
- Les durées de conservation et les accès aux archives sont fixés par un texte.
Cette liste sert aussi de grille d’audit pour un système existant : les cases qui restent vides désignent les endroits où le registre perd sa fiabilité. Pour aller plus loin, notre dossier de référence sur l’identité numérique replace ces choix dans l’ensemble d’un programme, et notre produit État civil part de la source de la plupart de ces événements : des registres fiables, dont chaque correction et chaque délivrance laissent une trace.
- Banque mondiale, initiative Identification for Development (ID4D), Principes relatifs à l’identification pour le développement durable.
- NIST, Special Publication 800-63-3, Digital Identity Guidelines.
- ISO/IEC 24760, Sécurité de l’information, cybersécurité et protection de la vie privée : cadre pour la gestion de l’identité.
Questions fréquentes
Quelle différence entre suspension et révocation d'une identité ?
La suspension est temporaire et réversible : on bloque l'usage d'une identité ou d'un titre le temps d'une vérification, par exemple en cas de soupçon de fraude ou de perte. La révocation est définitive pour le titre ou le moyen d'authentification concerné : il ne pourra plus être utilisé. L'identité elle-même, en tant qu'enregistrement, est rarement supprimée ; elle change de statut et reste conservée selon des règles d'archivage.
Faut-il supprimer l'identité d'une personne décédée ?
En général non. L'enregistrement passe à un statut « décédé », qui bloque tout nouvel usage, mais il reste nécessaire pour les successions, les droits sociaux et la lutte contre l'usurpation. La durée de conservation et les accès doivent être fixés par un texte et appliqués par le système.
Comment détecter qu'une identité n'est plus à jour ?
En recevant les événements plutôt qu'en les attendant : raccorder le registre d'identité à l'état civil (naissances, mariages, décès) et aux grands registres administratifs, et suivre des indicateurs simples, comme la part d'enregistrements sans aucune interaction depuis longtemps ou les incohérences relevées lors des contrôles.