Identité numérique : la minimisation des données comme principe

Pour prouver qu’on a l’âge requis à l’entrée d’une salle ou au moment d’un achat en ligne, on présente le plus souvent une pièce qui révèle bien davantage : nom, date de naissance exacte, parfois adresse, numéro de document. La question posée tenait en un oui ou un non ; la réponse livre une fiche complète. Ce décalage résume la tension entre identité et vie privée, et la façon dont l’identité numérique peut la résoudre, ou l’aggraver.

Numériser une pièce d’identité telle quelle, c’est reproduire ce décalage à grande échelle, avec en plus la possibilité de copier, de conserver et de recouper. Concevoir un système d’identité numérique autour de la minimisation, c’est au contraire répondre à chaque question par la seule information nécessaire.

Un principe déjà écrit, rarement appliqué

La minimisation n’est pas une nouveauté. L’article 5 du règlement général sur la protection des données (RGPD) exige que les données soient « adéquates, pertinentes et limitées à ce qui est nécessaire » au regard des finalités. L’article 25 ajoute la protection des données dès la conception et par défaut. Au niveau international, les principes sur l’identification pour le développement durable, publiés en 2017 sous l’égide de la Banque mondiale (initiative ID4D) et endossés par de nombreuses organisations, font de la protection de la vie privée par la conception du système l’une de leurs exigences.

Le règlement eIDAS 2, entré en vigueur en mai 2024, va plus loin en inscrivant dans le fonctionnement même du portefeuille européen d’identité numérique la divulgation sélective : l’usager choisit les attributs qu’il présente, et le portefeuille ne doit pas permettre à son fournisseur de suivre ses usages. Nous en avons détaillé les conséquences pour les services en ligne dans notre note sur eIDAS 2.

La meilleure protection d’une donnée d’identité est de ne jamais l’avoir demandée.

De la question à la donnée suffisante

Appliquer la minimisation commence par une discipline simple : pour chaque démarche, écrire la question réellement posée, puis chercher la donnée la plus réduite qui y répond.

Trois techniques rendent ces réponses possibles. La divulgation sélective permet de ne présenter qu’une partie des attributs d’une attestation. La preuve d’un prédicat répond à une condition (« plus de 18 ans ») sans révéler la valeur (la date de naissance). Les identifiants sectoriels donnent à chaque service un identifiant différent pour la même personne, ce qui empêche de recouper ses usages d’un service à l’autre. Certaines de ces techniques s’appuient sur des mécanismes cryptographiques avancés ; d’autres relèvent simplement de choix d’architecture.

La minimisation commence au registre

On parle souvent de minimisation au moment de la présentation de l’identité. Elle se joue aussi en amont, dans le registre qui fonde cette identité : l’état civil, le registre de population, le fichier des titres. Qui peut consulter quoi ? Quelles données sont transmises aux autres administrations, et pour quelle finalité ? Chaque consultation est-elle tracée ?

Un registre qui répond à ces questions par des règles écrites et des traces vérifiables protège mieux les personnes que n’importe quelle technique de présentation. À l’inverse, un portefeuille d’identité parfaitement conçu, adossé à un registre consulté sans contrôle, ne fait que déplacer le problème.

C’est le point de départ de notre produit État civil : des registres protégés, une délivrance tracée, des échanges avec les autres services publics selon des règles écrites. Notre expertise identité numérique applique la même logique aux systèmes d’identification : pour chaque usage, la question d’abord, la donnée suffisante ensuite.

1. Règlement (UE) 2016/679 (RGPD), articles 5 et 25.
2. Règlement (UE) 2024/1183 (eIDAS 2) modifiant le règlement (UE) n° 910/2014.
3. Banque mondiale, initiative ID4D, Principles on Identification for Sustainable Development (2017).