Pourquoi le projet d'identité numérique nationale s'est effondré

Il y a à peine deux mois, le projet du gouvernement britannique d'un système d'identité numérique à l'échelle nationale a été abandonné après une opposition croissante du public et du monde politique. L'idée, qui aurait donné à chaque citoyen et résident légal un titre numérique permettant de prouver son identité, son âge et son statut de résidence, s'est heurtée au même mur qui a fait trébucher des propositions similaires par le passé : une inquiétude généralisée à l'idée de confier à un système unique lié au gouvernement le pouvoir de suivre qui sont les gens et ce qu'ils font.

Les critiques craignaient une dérive des missions, le risque qu'une base de données centralisée devienne une cible pour les pirates informatiques, et le précédent que représenterait l'obligation pour les citoyens de porter un titre numérique simplement pour vaquer à leurs occupations quotidiennes. Quel qu'ait été le point de bascule précis, le projet a été tué avant même d'avoir atteint le public.

Pourtant, à peine deux mois plus tard, l'identité numérique a discrètement refait surface, non pas comme une obligation gouvernementale, mais comme un outil pratique à la caisse. Les applications d'identité numérique peuvent désormais être utilisées pour prouver que vous êtes en âge d'acheter de l'alcool, selon les reportages sur le déploiement. Le projet national est mort. La technologie sous-jacente, il s'avère, est bien vivante.

Comment fonctionnent les nouvelles applications de vérification de l'âge pour l'alcool

Le principe de base est simple : au lieu de chercher à tâtons un permis de conduire physique ou un passeport à la caisse, un client peut présenter une identité numérique sur son smartphone qui confirme qu'il a l'âge légal pour acheter de l'alcool. Pour les détaillants, cela promet une vérification plus rapide et moins sujette aux erreurs que l'examen à l'œil nu d'une carte en plastique. Pour les clients, c'est présenté comme une commodité : aucun risque de perdre une pièce d'identité physique, pas besoin de tendre un document rempli de détails personnels supplémentaires juste pour acheter une bouteille de vin.

Ce n'est pas la première fois que le Royaume-Uni s'appuie sur des vérifications d'âge numériques. Les plateformes en ligne sont déjà tenues de vérifier l'âge des utilisateurs en vertu de la loi sur la sécurité en ligne, et l'Ofcom, le régulateur britannique des communications, a passé l'année écoulée à évaluer comment ces systèmes fonctionnent en pratique. Cet examen d'un an des vérifications d'âge a signalé des préoccupations en matière de vie privée directement pertinentes ici : les outils de vérification de l'âge, aussi bien intentionnés soient-ils, ont tendance à soulever des questions sur les données qu'ils collectent, qui peut y accéder, et combien de temps elles restent sur un serveur quelque part.

Le cas d'usage de l'achat d'alcool suit le même schéma, avec simplement un détaillant différent et un produit différent sur l'étagère.

Quelles données personnelles ces systèmes capturent et stockent

La tension fondamentale avec toute application de vérification de l'âge est que prouver que vous avez plus de 18 ans, ou plus de 25 ans, ne nécessite pas de révéler votre date de naissance exacte, votre adresse ou votre nom légal complet. Un système bien conçu ne devrait avoir besoin que de confirmer une réponse par oui ou non : assez âgé, ou pas. En pratique, cependant, de nombreux outils de vérification capturent bien plus que ce minimum, car il est techniquement plus facile de vérifier un document d'identité complet que de construire un système qui ne partage que le seul fait qui compte.

Cet écart entre ce qui est nécessaire et ce qui est réellement collecté est exactement la question soulevée par l'examen de l'Ofcom concernant les outils de vérification de l'âge de manière plus générale. Lorsqu'une application scanne un permis de conduire ou un passeport pour confirmer l'âge, des questions suivent naturellement : cette image du document est-elle conservée ensuite ? La vérification est-elle liée à un compte unique qui peut être relié à l'historique d'achat d'une personne ? Qui exploite l'infrastructure, et qu'advient-il de ces données si l'entreprise change de mains ou subit une violation ?

Rien de tout cela ne signifie que chaque application de vérification de l'âge pour l'alcool gère mal les données. Mais le projet national d'identité numérique a été abandonné précisément parce que les gens étaient mal à l'aise avec les compromis en matière de vie privée d'un système d'identité centralisé. Une application de vérification de l'âge en commerce de détail construite sur une technologie similaire mérite le même examen, même si elle est commercialisée comme une simple fonction de commodité plutôt qu'une politique nationale de grande envergure.

Ce que cela signifie pour vous

Si l'on vous propose l'option d'utiliser une application d'identité numérique pour acheter de l'alcool, vous n'êtes pas obligé de l'utiliser. Une pièce d'identité physique fonctionne toujours, et elle ne nécessite pas d'installer une application, de créer un compte ou de confier à une entreprise tierce un scan de vos documents officiels.

Avant d'adopter tout outil numérique de vérification de l'âge, il vaut la peine de poser quelques questions de base : quelles données l'application collecte-t-elle au-delà d'une simple confirmation d'âge ? Stocke-t-elle votre document d'identité, ou seulement un résultat de vérification ? Qui a construit le système sous-jacent, et est-il soumis à une quelconque surveillance réglementaire ? L'examen en cours de l'Ofcom sur les systèmes de vérification de l'âge en vertu de la loi sur la sécurité en ligne offre un point de référence utile pour la façon dont ces outils ont tendance à se comporter une fois dans le monde réel, et c'est un bon endroit où se renseigner avant de décider si une nouvelle application de vérification brillante vaut le compromis.

L'essentiel

L'effondrement du projet national d'identité numérique du Royaume-Uni a montré que les gens se soucient de la façon dont les outils de vérification d'identité gèrent leurs données. Le retour discret de l'identité numérique pour la vérification de l'âge, cette fois pour acheter de l'alcool, montre que la demande sous-jacente pour ces outils n'a pas disparu, elle s'est simplement déplacée vers un contexte plus restreint et moins politiquement chargé. Cela ne signifie pas pour autant que les questions de vie privée ont disparu.

Avant de toucher « vérifier » sur n'importe quelle application de contrôle de l'âge, prenez un moment pour vérifier quelles données elle collecte réellement, lisez la politique de confidentialité si elle est disponible, et demandez-vous si une pièce d'identité physique ne serait pas simplement le choix le plus sûr pour l'instant. Rester informé sur le fonctionnement de ces systèmes, plutôt que de supposer qu'ils sont inoffensifs parce qu'ils sont pratiques, est la meilleure façon de garder le contrôle sur vos propres données personnelles.