e-ID: les bases d’un crédit social à la chinoise?

Quatre ans après le «non» de 2021, la Suisse revote une e-ID dite 100% étatique. Mais le projet s’appuie sur des briques privées (ELCA pour la reconnaissance faciale) et pose des questions de sécurité, de gouvernance et d’«obligation de fait». De l’Estonie au Danemark, les précédents montrent des gains réels… et des angles morts qui nourrissent la crainte d’un crédit social.

© DR

Pour écouter cet article 🗣️, souscrivez un abonnement Premium ou VIP 👑 en cliquant ICI

En mars 2021, le premier projet d’identité électronique (e-ID) est massivement rejeté par le peuple suisse avec 64% de «non». La délégation de son émission et de sa gestion à des entreprises privées avait cristallisé les critiques, nourries par la crainte de revente des données, d’usages commerciaux ou, pire, de fuites incontrôlées.

Aujourd’hui, les citoyens sont rappelés aux urnes pour voter sur un projet remanié, entièrement géré par la Confédération, nous dit-on. Ce qui aurait permis de faire basculer les intentions de vote vers le «oui».

Or, le recours à des prestataires privés est inévitable. C’est notamment le cas de la société ELCA, de Cédric Moret. Le même qui dirige Serafe AG, chargée de récolter la redevance audiovisuelle, dont les larges bénéfices dévoilés par la NZZ ont suscité quelques éclats courroucés cet été. Sans que rien ne change. Le même Cédric Moret qui a travaillé pendant près de 13 ans pour le cabinet de conseil controversé McKinsey, jusqu’à en devenir le directeur du bureau genevois. Son crédo? La Suisse doit se digitaliser si elle veut conserver sa prospérité, écrivaient, en mars, nos collègues de PME Magazine, dans un portrait. «La stratégie d’ELCA: offrir une palette de technologies aux entreprises suisses, privées ou publiques, aux administrations cantonales et fédérales... afin qu’elles puissent relever le défi. Avec d’autres dirigeants d’entreprise, Cédric Moret se pose également en champion de la souveraineté numérique helvétique.»

Après la polémique, Cédric Moret s'était expliqué dans Le Temps.

ELCA a été mandatée, à la suite d’un appel d’offres, pour mettre à disposition le volet de reconnaissance faciale de swiyu, le portefeuille numérique sécurisé pour smartphone de la Confédération. Alors, confier nos données à une entreprise privée – qui n’est pas à l’abri d’un rachat – est-il vraiment plus rassurant que de les voir stockées à l’étranger? Nous avons posé la question à Rolf Rauschenbach, chef adjoint de l'unité e-ID.

«Les données ne sont pas stockées chez ELCA, assure-t-il. Elle fournit uniquement un logiciel. Celui-ci est exploité par la Confédération. ELCA n’a donc pas accès aux données des titulaires de l’e-ID. Toutes les données générées dans le cadre de l'e-ID par la Confédération sont également stockées uniquement par la Confédération. Les logiciels et les droits qui s'y rapportent sont également protégés contre les événements exceptionnels (faillite d'ELCA, etc.) par des mécanismes juridiques appropriés.»

Reste que signer un tel contrat (une enveloppe de 182 millions pour des projets pilotes) avant même que l’outil ne soit approuvé par la population fait hausser les sourcils. La Confédération a-t-elle de quoi être sûre de son coup le 28 septembre prochain?

«Le contrat prévoit plusieurs causes de résiliation, notamment si la loi n’entre pas en vigueur, ou si le produit ne remplit plus les critères spécifiés, explique Rolf Rauschenbach. Dans plusieurs décisions, le Parlement a alloué un total de 182,5 millions de francs suisses au développement et à l'exploitation de l'e-ID et de l'infrastructure de confiance pour la période 2024-2028. À ce jour, environ 50 millions de francs suisses ont été dépensés. La majeure partie des fonds a été utilisée en interne par la Confédération. Conformément à la publication sur SIMAP, le produit de ELCA coûtera environ 12,8 millions de francs sur dix ans.»

Recours inévitable à des intermédiaires privés

«Le risque, c’est une obligation de fait, avec de moins en moins de services facilement accessibles, sans coût additionnel, ni pénalité.» Dans La Liberté et Le Nouvelliste, l’experte internationale en cybersécurité Solange Ghernaouti plaide pour inscrire dans la Constitution un «droit à la vie hors ligne», à l’image de la garantie du maintien de l’argent liquide. «La souveraineté numérique de la Suisse est encore illusoire», prévient-elle, rappelant que la Confédération ne prévoit un cloud souverain complètement opérationnel qu’à l’horizon 2032.

Elle pointe également l’opacité qui entoure les prestataires techniques du projet et le recours inévitable à des intermédiaires privés – services de QR codes, Apple Store ou Google Play – pour faire fonctionner l’application, écrivent nos confrères. «Le recoupement des données est toujours possible, les conditions d’utilisation ne sont pas garanties dans la durée et si le service est gratuit, c’est que le client est le produit.»

Rolf Rauschenbach rappelle qu’il s’agit d’une prestation facultative et que toutes les démarches administratives resteront accessibles pour les réfractaires à l’e-ID.

Exemples européens

En Europe, deux pays sont en avance. Pionnière de l’identité numérique, l’Estonie a aussi connu plusieurs accrocs notables: en 2017, la faille ROCA liée aux puces Infineon a conduit le gouvernement à bloquer environ 760'000 certificats et à organiser une mise à jour massive; en 2021, l’exfiltration d’environ 280'000 photos d’identité a ravivé les préoccupations de confidentialité et de gouvernance. Comme ailleurs, la numérisation peut exclure les publics moins à l’aise (personnes âgées, handicap, faibles compétences), d’où l’importance d’alternatives physiques accessibles. Enfin, le vote par Internet, adossé à l’e-ID, demeure salué mais discuté: des chercheurs pointent des risques techniques.

Au Danemark, le système NemID a été lancé en 2010. Au départ, c'était surtout un moyen pratique pour la banque en ligne et les services publics – facultatif de facto tant que les canaux papier/physiques existaient. Le tournant vient quand le courrier administratif numérique (Digital Post) devient obligatoire: d’abord pour les entreprises (1ᵉʳ nov. 2013), puis pour tous les résidents (1ᵉʳ nov. 2014). Or l’accès à Digital Post et à la plupart des démarches en ligne se fait via NemID, ce qui l’a rendu indispensable dans la pratique.

Dès 2021-22, NemID s'est progressivement muée en MitID. Le basculement a été planifié et progressivement rendu indispensable. Le 31 octobre 2023, NemID a été définitivement fermé, faisant de MitID la seule e-ID utilisable pour les services numériques courants. Après une phase de cohabitation «facultative», l’accès aux services bancaires et publics est devenu de facto conditionné à MitID.

Au Danemark, celle-ci est critiquée surtout pour trois choses: l’exclusion de publics (personnes âgées ou peu à l’aise avec le numérique, Danois·es à l’étranger, nouveaux arrivants sans passeport/CPR) à cause des démarches en présentiel et de l’exigence de smartphone, qui ont créé files d’attente et pertes d’accès au moment de la bascule; des vulnérabilités et incidents de sécurité (dont un cas où des utilisateurs ont accédé par erreur au compte bancaire d’autrui, sévèrement épinglé par l’autorité de protection des données, et des failles signalées par des médias/experts); et la dépendance à une infrastructure centralisée opérée par des prestataires privés, avec pannes, frictions techniques et changements de politique de confidentialité qui alimentent la défiance. En face, l’État reconnaît ces défis et a mis en place des programmes d’inclusion numérique, mais les critiques persistent sur l’accessibilité et la résilience du système.

Dépendance informatique et vol de données

Tant que l’e-ID reste facultative, l’utilisation des documents physiques reste possible. Cependant, le passé nous a donné des raisons de redouter une obligation déguisée, comme avec le pass sanitaire. La perte de confiance dans nos gouvernements depuis la période Covid constitue un tournant décisif de l’histoire récente, qui ne saurait être ignoré. Nous y reviendrons dans un prochain billet.

Selon notre expert numérique, Fabrice Epelboin, l’e-ID est une idée «idiote», d’un point de vue de cybersécurité. Tous ces systèmes, sans exception, ont fini par être victimes d’une cyberattaque. Pas plus tard que vendredi dernier, une base de données liées à l’état civil a été piratée en France. Douze millions de citoyens sont concernés. «À partir de votre identité, le nombre d'arnaques faisables dépasse l'entendement. La meilleure façon d'éviter ce genre d'inconvénients à toute une population, c'est d'éviter de recueillir de façon centralisée – j'insiste sur le centralisé – les identités des citoyens, explique-t-il. Tant que ce n'est pas centralisé, vous minimisez les fuites. Quant à l'argument de la sécurité, il est faux. Il n'y a pas de sécurité à 100% dans le monde de la cybersécurité. C'est une loi de la nature. Ça s'est toujours vérifié, ça se vérifiera toujours. À partir du moment où vous récoltez de l'information, il faut anticiper le fait qu'il va y avoir une attaque tôt ou tard. Et plus l'information a de la valeur, plus la certitude que l'attaque va arriver assez rapidement est forte. Or, de l'information privée de cette nature, ça vaut cher. Ça vaut très cher.

Regardez l'interview complète de notre chroniqueur numérique, Fabrice Epelboin.

Plus inquiétant encore, l’ombre du contrôle social à la chinoise. «Ça arrive à travers l'euro numérique, à travers les scores que l'on attribue à la Caisse d'Allocations Familiales en France, prévient Fabrice Epelboin. Ça arrive un peu partout. Et la meilleure façon de se préserver de ça et de préserver la démocratie qui va avec, c'est d'éviter que cela soit possible. Or, l'identité est la pierre angulaire de tout ça. Sans identité centralisée, il devient très compliqué de construire un crédit social.»

«Quel est l'intérêt de rendre possible un avenir dystopique si on peut éviter qu’il soit techniquement réalisable?»

Fabrice Epelboin

Et de conclure: «On peut anticiper très facilement le fait qu'il y aura des fuites. Ainsi que l'avenir dystopique à l'horizon. Même en Suisse, où vous avez une position très privilégiée, ça commence à se voir. En France, ça saute aux yeux. Pareil en Angleterre. Il n'est donc pas très compliqué pour le voisin suisse d'anticiper que ce genre de possibilités peut arriver chez vous. La question est: quel avenir aimeriez-vous éviter? En empêchant qu'il soit possible?»

Rappelons que, pour le moment, un crédit social à la chinoise est illégal en Europe: l’AI Act interdit explicitement les systèmes de social scoring. En Suisse, il n’existe pas d’interdiction explicite comparable. En revanche, le Préposé fédéral à la protection des données estime que la LPD permet, par interprétation, d’interdire la surveillance faciale de masse et le social scoring, tout en soulignant que, contrairement à l’UE, cette interdiction n’est pas inscrite noir sur blanc dans la loi suisse. La Suisse a par ailleurs signé, en mars 2025, la Convention-cadre du Conseil de l’Europe (dirigé par Alain Berset) sur l’IA et le Conseil fédéral a décidé d’opter pour une régulation sectorielle et de ratifier cette convention, en adaptant le droit suisse au besoin.

Contrôle étatique

Qu’on le veuille ou non, la période Covid a laissé des traces dans les esprits. Lorsque l’on demande à notre chef de l’unité e-ID, Rolf Rauschenbach, si la Confédération pourrait bloquer l’accès à ces services en cas de situation «exceptionnelle» ou d’état d’urgence, sa réponse nous laisse dubitatifs: «Non, le droit de nécessité est un instrument extraordinaire du Conseil fédéral. Ce dernier ne peut recourir à sa compétence constitutionnelle en matière de droit d'urgence que dans des situations exceptionnelles, si la sauvegarde des intérêts du pays l'exige, ou pour faire face à des troubles graves de l'ordre public ou de la sécurité intérieure ou extérieure, qui se sont produits ou qui menacent d'apparaître immédiatement (art. 184, al. 3 et art. 185, al. 3 de la Constitution fédérale). Le droit de nécessité ne s'applique que si le Conseil fédéral ne peut pas remplir autrement ses obligations de protection envers la population.» Comme lors d'une pandémie, par exemple?