Digital identity: the reference guide for decision makers

Selon les estimations de l’initiative Identification for Development (ID4D) de la Banque mondiale, environ 850 millions de personnes dans le monde ne disposent d’aucune pièce d’identité officielle. Elles se trouvent surtout en Afrique subsaharienne et en Asie du Sud, et ce sont souvent les plus pauvres, les femmes, les populations rurales. Sans identité reconnue, il est difficile d’ouvrir un compte, de recevoir une aide sociale, de s’inscrire à un examen ou de prouver ses droits sur une terre. L’identité numérique est présentée comme une réponse à ce problème, et elle peut l’être. Elle peut aussi devenir un instrument d’exclusion ou de surveillance si elle est mal conçue.

Ce dossier s’adresse aux responsables publics qui doivent décider d’un programme d’identité, et aux dirigeants d’organisations privées (banques, opérateurs, assureurs) qui doivent s’y raccorder. Il ne recommande pas une technologie. Il décrit les décisions à prendre et les questions à poser.

De quoi parle-t-on exactement ?

Le terme recouvre plusieurs réalités qu’il faut distinguer, car elles ne se décident ni par les mêmes personnes ni au même rythme.

L’enregistrement consiste à établir qu’une personne existe et à consigner ses attributs de base : nom, date et lieu de naissance, filiation. C’est la fonction de l’état civil, qui enregistre les naissances, les mariages et les décès, et du registre de population, quand il existe.

L’identifiant est un numéro ou un code unique attribué à chaque personne, qui permet de la retrouver dans les registres sans confusion.

La preuve d’identité est ce qui permet à une personne de démontrer qui elle est : une carte, un passeport, un certificat sur un téléphone, une vérification biométrique.

L’authentification est la vérification, lors d’une transaction, que la personne qui se présente est bien celle qu’elle prétend être : saisie d’un code, présentation d’une carte, réponse sur un téléphone, empreinte.

On distingue aussi les systèmes fondamentaux, conçus pour identifier toute la population à des fins générales (état civil, registre national, carte nationale), et les systèmes fonctionnels, créés pour un usage particulier : listes électorales, fichiers de santé, registres sociaux, fichiers fiscaux. Dans beaucoup de pays, les systèmes fonctionnels se sont multipliés faute de système fondamental fiable, avec des identités qui ne se recoupent pas.

Le socle oublié : l’état civil

Beaucoup de programmes d’identité ont été lancés comme des opérations d’enrôlement massif : des équipes parcourent le pays, collectent des données et des empreintes, délivrent des cartes. Le résultat est spectaculaire à court terme. Mais si les naissances et les décès ne sont pas enregistrés de façon continue et fiable, le registre se dégrade dès le lendemain : les nouveau-nés n’y entrent pas, les morts n’en sortent pas, et les erreurs d’état civil se propagent dans l’identité numérique.

Selon l’UNICEF, la naissance d’environ un enfant de moins de cinq ans sur quatre dans le monde n’est pas enregistrée. Ce chiffre recouvre de très fortes disparités entre pays et entre régions d’un même pays. Là où l’état civil est faible, le premier investissement d’un programme d’identité devrait souvent porter sur lui : numérisation des registres existants, enregistrement des naissances au plus près des familles (dans les centres de santé, lors des vaccinations), lien automatique entre l’acte de naissance et l’attribution d’un identifiant.

Un registre d’identité alimenté par une campagne d’enrôlement commence à vieillir le lendemain de la dernière carte délivrée. Seul un état civil vivant le tient à jour.

Les Nations unies défendent pour cette raison une approche intégrée de l’état civil, des statistiques vitales et de la gestion de l’identité : les trois fonctions partagent des données et se renforcent. Un décès enregistré à l’état civil désactive l’identité correspondante ; une naissance enregistrée crée un identifiant ; les statistiques de population s’en déduisent.

Les principes qui font consensus

En 2017, un ensemble d’organisations internationales, d’agences de développement et d’acteurs privés a adopté des principes pour l’identification au service du développement durable, depuis repris par de nombreux programmes. Ils s’organisent autour de trois exigences.

L’inclusion : une couverture universelle, dès la naissance, sans discrimination, et l’élimination des obstacles à l’accès, qu’ils soient financiers, géographiques, linguistiques ou liés au handicap.

La conception : des systèmes robustes, sûrs, réactifs et durables ; des plateformes ouvertes, fondées sur des standards, qui évitent la dépendance à un fournisseur ou à une technologie ; la protection de la vie privée et le contrôle des personnes sur leurs données intégrés dès la conception ; une soutenabilité financière et opérationnelle.

La gouvernance : la confiance par un cadre juridique et réglementaire complet, des mécanismes clairs de responsabilité et de recours, et une supervision indépendante.

Ces principes semblent évidents. Les appliquer est une autre affaire : chacun se traduit par des arbitrages concrets, que les sections suivantes passent en revue.

Choisir les supports et les moyens d’authentification

La question la plus visible est celle du support : carte à puce, application mobile, simple numéro avec vérification biométrique. Elle doit être tranchée en fonction des usages et de la population, pas de la modernité perçue.

Dans la pratique, les systèmes durables combinent plusieurs moyens, gradués selon l’enjeu de la transaction. Consulter un horaire ne demande rien ; déposer une demande d’aide sociale demande une garantie substantielle ; signer un acte notarié ou ouvrir un compte bancaire demande une garantie élevée. Le règlement européen eIDAS définit ainsi trois niveaux de garantie (faible, substantiel, élevé) ; les lignes directrices du NIST américain (série SP 800-63) distinguent la solidité de la vérification d’identité initiale, celle de l’authentification et celle de la fédération. Ces cadres sont utiles même hors de leur zone d’origine, pour structurer les exigences.

Nous avons détaillé les options et leurs compromis pour les services publics dans notre guide sur l’authentification des usagers, et les raisons pour lesquelles une carte électronique ne suffit pas dans notre note sur la carte d’identité électronique.

La biométrie : utile, puissante, irréversible

La biométrie (empreintes digitales, visage, iris) est au cœur de nombreux programmes d’identité, en particulier là où l’état civil est incomplet. Elle permet une chose qu’aucune autre technique ne permet aussi bien : la déduplication, c’est-à-dire vérifier qu’une personne n’est pas déjà enregistrée sous un autre nom. Elle permet aussi l’authentification de personnes qui ne savent pas lire ou n’ont pas de téléphone.

Les garanties à prévoir sont connues. Limiter par la loi les finalités pour lesquelles la biométrie peut être utilisée. Stocker les gabarits biométriques séparément des données d’état civil, chiffrés, avec des accès journalisés. Préférer, quand c’est possible, une vérification « un à un » (cette personne est-elle bien celle qu’elle prétend être ?) à une recherche « un à plusieurs » dans toute la base. Prévoir systématiquement une procédure de repli pour les personnes dont la biométrie ne se capte pas, faute de quoi le système exclut ceux qu’il devait inclure. Exiger des formats ouverts et normalisés (les normes ISO/IEC 19794 et 39794 pour les données biométriques), pour pouvoir changer de fournisseur de moteur sans réenrôler la population.

La minimisation, principe de conception

Un système d’identité devient, par construction, l’une des bases de données les plus sensibles d’un pays. Chaque donnée collectée est une donnée à protéger pendant des décennies ; chaque vérification est une trace de la vie d’une personne. La minimisation n’est pas une contrainte juridique ajoutée après coup : c’est un choix de conception.

Elle se traduit par des décisions concrètes. Ne collecter à l’enregistrement que les attributs nécessaires à l’identification, pas la religion, l’ethnie ou la profession. Permettre aux services de vérifier un attribut sans recevoir toute l’identité : une pharmacie a besoin de savoir qu’une personne est majeure, pas sa date de naissance complète. Utiliser des identifiants sectoriels dérivés de l’identifiant principal, pour éviter qu’un même numéro ne permette de relier tous les fichiers d’une personne. Ne pas conserver plus longtemps que nécessaire le journal des vérifications, mais le rendre consultable par la personne concernée. Nous avons développé ce point dans notre note sur la minimisation des données comme principe.

Les portefeuilles d’identité : le modèle européen

Le règlement (UE) 2024/1183, dit eIDAS 2, entré en vigueur le 20 mai 2024, impose à chaque État membre de proposer à ses citoyens et résidents un portefeuille européen d’identité numérique d’ici la fin de 2026. Ce portefeuille, sur téléphone, permettra de s’identifier en ligne et hors ligne, de conserver des attestations (diplômes, permis, justificatifs) et de les présenter de façon sélective, ainsi que de signer électroniquement. Son usage restera facultatif pour les personnes, et certaines catégories de services devront l’accepter.

Ce modèle déplace le centre de gravité : la personne détient ses attestations et choisit ce qu’elle partage, plutôt que chaque service n’interroge une base centrale. Il pose aussi des questions nouvelles : que se passe-t-il quand le téléphone est perdu, comment inclure ceux qui n’en ont pas, comment éviter que le partage sélectif ne devienne, sous la pression des services, un partage systématique. Les pays hors Union peuvent s’en inspirer sans l’adopter ; ses spécifications techniques, publiques, constituent une référence utile.

Nous avons présenté le texte dans notre note sur eIDAS 2.

Souveraineté et fournisseurs

Un programme d’identité national est un marché important, souvent attribué à un intégrateur qui fournit à la fois le matériel d’enrôlement, le logiciel central, le moteur biométrique et la production des cartes. Ce modèle clé en main a l’avantage de la simplicité. Il a souvent un coût caché : une dépendance durable, des formats propriétaires, des prix de renouvellement imposés, et parfois des données hébergées hors du pays.

Plusieurs leviers permettent de garder la maîtrise. Découper le système en composants (enrôlement, registre, moteur biométrique, authentification, production des titres) reliés par des interfaces documentées, pour pouvoir remplacer l’un sans tout refaire. Exiger des standards ouverts et la remise du code source ou de la documentation complète des interfaces. Considérer les plateformes logicielles ouvertes conçues pour l’identité, comme MOSIP, développée à l’origine par un institut universitaire indien et adoptée par plusieurs pays, qui réduisent la dépendance aux licences. Prévoir des clauses de réversibilité et de transfert de compétences. Et former une équipe nationale capable de piloter les fournisseurs plutôt que de les subir.

Ces questions d’achat sont détaillées dans notre panorama des programmes d’identité numérique en Afrique, qui montre la diversité des choix faits par les pays.

Le cadre juridique et la confiance

Un système d’identité ne peut fonctionner sans une loi qui en fixe les finalités, les données collectées, les personnes autorisées à y accéder, les durées de conservation et les recours. Cette loi doit s’appuyer sur un cadre général de protection des données, appliqué par une autorité indépendante disposant de vrais moyens. Au niveau international, la convention 108+ du Conseil de l’Europe, ouverte aux États non européens, et la convention de l’Union africaine sur la cybersécurité et la protection des données à caractère personnel, dite de Malabo, entrée en vigueur en 2023, offrent des références.

La confiance se construit aussi par la transparence : publier l’architecture, les règles d’accès, les statistiques d’utilisation et d’incidents ; permettre à chacun de consulter les données le concernant et l’historique des vérifications ; offrir une procédure simple de correction des erreurs. Les erreurs d’identité ont des conséquences graves pour les personnes : allocation suspendue, inscription refusée, compte bloqué. Un recours rapide et humain fait partie du système, pas de ses marges.

Financer l’exploitation, pas seulement le lancement

Les programmes d’identité sont souvent financés par des investissements initiaux importants, parfois avec l’appui de bailleurs. Le coût de l’exploitation (renouvellement des titres, maintenance des équipements, mises à jour logicielles, personnel des points d’enregistrement, sécurité) est moins visible et plus souvent négligé. Un système dont le budget de fonctionnement n’est pas garanti se dégrade : les points d’enregistrement ferment, les délais s’allongent, les données vieillissent.

Plusieurs pays font contribuer les utilisateurs du système, en particulier les banques et opérateurs qui y vérifient l’identité de leurs clients, sous forme de redevance par vérification. Ce modèle peut financer une partie de l’exploitation ; il ne doit pas conduire à faire payer aux personnes l’accès à leur propre identité, au risque d’exclure les plus pauvres.

Une feuille de route pour décider

1. Faire l’état des lieux. Couverture et qualité de l’état civil, systèmes d’identité fonctionnels existants, populations sans identité, cadre juridique, capacités techniques nationales.
2. Définir les usages prioritaires. Quels services doivent accepter l’identité en premier : protection sociale, santé, banque, éducation, élections. Les usages déterminent les niveaux de garantie et les moyens d’authentification.
3. Renforcer le socle. Numérisation et continuité de l’état civil, lien entre naissance et identifiant, procédure de mise à jour des décès.
4. Adopter le cadre juridique. Loi sur l’identité, loi de protection des données, autorité de contrôle, règles d’accès et de recours, avant le déploiement et non après.
5. Concevoir une architecture ouverte. Composants séparés, standards ouverts, minimisation, identifiants sectoriels, journal des accès consultable.
6. Acheter en gardant la maîtrise. Lots séparés, propriété des données et des formats, réversibilité, transfert de compétences, équipe nationale de pilotage.
7. Déployer par étapes, en mesurant l’inclusion. Suivre qui est enregistré et qui ne l’est pas, par région, genre, âge, handicap, et corriger les écarts.
8. Garantir l’exploitation. Budget de fonctionnement pluriannuel, indicateurs de service, audits de sécurité réguliers.

L’identité numérique n’est pas un projet informatique : c’est une institution, qui doit inspirer confiance à toute une population pendant des générations. Elle commence par un acte simple et ancien, l’enregistrement d’une naissance. Notre programme État civil porte sur ce socle, et notre expertise identité numérique accompagne les décideurs dans les choix d’architecture et d’achat.

1. Banque mondiale, initiative Identification for Development (ID4D), estimations mondiales de la population sans identité officielle.
2. Principles on Identification for Sustainable Development: Toward the Digital Age, 2017.
3. UNICEF, données sur l’enregistrement des naissances dans le monde.
4. Règlement (UE) n° 910/2014 (eIDAS) et règlement (UE) 2024/1183 établissant le cadre européen relatif à une identité numérique.
5. NIST, Special Publication 800-63-3, Digital Identity Guidelines.
6. Conseil de l’Europe, convention 108+ ; Union africaine, convention sur la cybersécurité et la protection des données à caractère personnel.
7. ISO/IEC 19794 et ISO/IEC 39794, formats d’échange de données biométriques.

Questions fréquentes

Une carte d'identité électronique suffit-elle à créer une identité numérique ?

Non. La carte est un support de preuve. L'identité numérique suppose aussi un registre fiable, un moyen de s'authentifier en ligne utilisable par la population, et des services qui l'acceptent. Beaucoup de pays ont distribué des cartes à puce que presque personne n'utilise en ligne, faute de lecteurs, d'applications ou de services.

Faut-il collecter des données biométriques ?

La biométrie aide à garantir qu'une personne n'est enregistrée qu'une fois, ce qui est précieux là où l'état civil est incomplet. Elle crée aussi des risques durables, car une empreinte compromise ne se remplace pas. La décision doit être proportionnée, encadrée par la loi, et assortie de garanties : finalités limitées, stockage protégé, alternatives pour ceux dont la biométrie se capte mal.

Peut-on éviter la dépendance à un fournisseur ?

En grande partie, oui : en exigeant des standards ouverts, la propriété des données et des formats, la documentation complète des interfaces, et des clauses de réversibilité. Des plateformes logicielles ouvertes existent pour les composants centraux. La dépendance naît surtout de contrats mal négociés, pas de la technique.

Quel lien entre identité numérique et protection des données ?

Un système d'identité centralise des données sensibles sur toute une population. Il doit reposer sur une loi de protection des données appliquée par une autorité indépendante, minimiser les données collectées et partagées, et permettre à chacun de savoir qui a vérifié son identité et quand.