Vérification d’identité en ligne : quel cadre juridique ?

L’ère numérique a vu une explosion sans précédent des dispositifs de vérification d’identité en ligne, une transformation rendue impérative par la dématérialisation croissante des services. Cette révolution touche un large éventail de secteurs, des banques aux ressources humaines, en passant par les réseaux sociaux et les services administratifs, tous confrontés à la nécessité de s’assurer de l’identité de leurs utilisateurs à distance. Les chiffres sont éloquents : le marché mondial de la vérification d’identité devrait atteindre plusieurs dizaines de milliards de dollars dans les prochaines années, témoignant de l’ampleur de ce phénomène et de l’investissement massif des entreprises dans ces technologies.

Mais qu’est-ce que la vérification d’identité en ligne ? Il s’agit d’un ensemble de processus technologiques et juridiques visant à confirmer qu’une personne est bien celle qu’elle prétend être sur internet. Concrètement, cela peut aller de la simple vérification d’une adresse email ou d’un numéro de téléphone à des procédés plus complexes comme le contrôle de pièces d’identité officielles (passeports, cartes d’identité) via des systèmes de reconnaissance faciale ou d’analyse documentaire. Par exemple, lors de l’ouverture d’un compte bancaire en ligne, l’utilisateur pourra être invité à télécharger une photo de sa pièce d’identité et à réaliser un selfie vidéo pour attester de sa conformité. De même, les plateformes de covoiturage ou de location entre particuliers peuvent exiger une vérification d’identité pour garantir la sécurité des transactions et des utilisateurs.

La raison d’être de cette vérification est multiple : lutter contre la fraude, le blanchiment d’argent et le financement du terrorisme, assurer la sécurité des transactions, protéger les données personnelles des utilisateurs, et plus largement, garantir la confiance dans l’économie numérique. Cependant, cette expansion rapide et la complexité des technologies déployées soulèvent une problématique juridique majeure : "vérification d’identité en ligne : quel cadre juridique pour une pratique en constante évolution ?"

Cet article se propose d’explorer en profondeur ce questionnement essentiel en décomposant les différents aspects juridiques de la vérification d’identité en ligne.

Nous aborderons d’abord l’encadrement juridique français et européen applicable à ces dispositifs, en nous appuyant sur les textes fondamentaux et la jurisprudence pertinente. Ensuite, nous analyserons les enjeux liés à la régulation des acteurs impliqués notamment les prestataires de services, en vue d’assurer la conformité de leurs pratiques.

A. L’encadrement juridique de la vérification d’identité en ligne : entre fondements et principes.

La vérification d’identité en ligne, pratique désormais ancrée dans le paysage numérique, n’opère pas dans un vide juridique. Au contraire, elle s’inscrit dans un ensemble de règles protectrices, issues du droit français et européen, dont la compréhension est essentielle tant pour les acteurs qui la mettent en œuvre que pour les individus qui y sont soumis.

1. Des fondements juridiques pluriels et sectoriels pour le traitement des données.

La licéité de la vérification d’identité numérique repose sur différentes bases juridiques, principalement tirées du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE [1]. L’article 6 du RGPD énumère les conditions de licéité du traitement, autorisant le traitement de données personnelles notamment lorsqu’il est nécessaire à l’exécution d’un contrat, à une obligation légale, ou fondé sur le consentement explicite de la personne concernée.

Ces fondements se déclinent ensuite de manière spécifique selon les secteurs d’activité, reflétant la diversité des impératifs réglementaires.

Dans le secteur bancaire et financier, la nécessité de vérifier l’identité des clients est une obligation légale impérative, imposée par la Directive (UE) 2015/849 du Parlement européen et du Conseil du 20 mai 2015 relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme, modifiant le règlement (UE) n° 648/2012 du Parlement européen et du Conseil et abrogeant la directive 2005/60/CE du Parlement européen et du Conseil et la directive 2006/70/CE de la Commission (dite Directive LCB-FT). Il s’agit ici de prévenir et de détecter les activités illicites, conformément aux recommandations du Groupe d’action financière (GAFI).

Pour les services publics et administratifs, la vérification d’identité est souvent justifiée par l’accès à un service réglementé ou la nécessité de sécuriser des démarches sensibles (par exemple, l’ouverture d’un compte Ameli, l’activation de FranceConnect). L’authentification forte est ici un gage de sécurité et d’intégrité des données, essentielle pour la confiance des usagers dans l’administration électronique.

S’agissant des réseaux sociaux ou des plateformes privées, en l’absence d’obligation légale spécifique pour la vérification d’identité systématique, la principale base juridique mobilisable reste le consentement libre et éclairé des utilisateurs, tel que défini à l’article 7 du RGPD. Des exceptions peuvent exister pour des motifs d’intérêt public (par exemple, la protection des mineurs) ou pour l’accès à certains contenus sensibles, où la vérification de l’âge ou de l’identité peut être requise par la loi.

Quel que soit le fondement juridique, il est crucial de souligner que les opérateurs doivent se conformer au principe de minimisation des données, énoncé à l’article 5, paragraphe 1, point c, du RGPD. Ce principe cardinal impose de limiter le traitement aux données strictement nécessaires à la finalité poursuivie. La Commission Nationale de l’Informatique et des Libertés (CNIL) rappelle d’ailleurs régulièrement que la simple consultation d’un service ne saurait justifier une vérification d’identité invasive et disproportionnée, soulignant l’importance de l’analyse de proportionnalité.

2. Des exigences de proportionnalité et de sécurité technique rigoureuses.

Même lorsque la vérification d’identité est juridiquement fondée, elle doit impérativement respecter les principes de proportionnalité et d’adéquation. Ces principes garantissent que le moyen mis en œuvre est nécessaire et adapté à l’objectif recherché, sans excès, et qu’il porte l’atteinte la moins forte possible aux droits et libertés des personnes.

Le Conseil d’état, dans son avis du 6 mai 2021 relatif à l’identification à distance, a ainsi rappelé avec force que l’exigence d’une pièce d’identité ne peut être généralisée sans un fondement spécifique et une justification solide, insistant sur le caractère subsidiaire de tels dispositifs. Parallèlement, la Cour de justice de l’Union européenne (CJUE), notamment dans l’arrêt "Schrems II" [2] du 16 juillet 2020, a souligné l’impératif d’un haut niveau de vigilance concernant les transferts de données d’identification en dehors de l’Union européenne, renforçant les exigences en matière de garanties adéquates pour la protection des données, notamment face à des législations de pays tiers permettant un accès large par les autorités publiques.

La sécurité des données collectées constitue une obligation centrale et non négociable pour tout responsable de traitement. L’article 32 du RGPD impose la mise en œuvre de mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, incluant la pseudonymisation et le chiffrement des données à caractère personnel, la garantie d’une confidentialité, d’une intégrité, d’une disponibilité et d’une résilience constantes des systèmes et des services de traitement. En cas de violation de données personnelles, les opérateurs ont l’obligation de le notifier à l’autorité de contrôle compétente (la CNIL en France) dans un délai de 72 heures après en avoir pris connaissance [3], et aux personnes concernées si le risque est élevé pour leurs droits et libertés [4]. Des cas récents d’usurpation d’identité ont malheureusement mis en lumière des défaillances critiques chez certains prestataires, soulignant l’importance de cette obligation. Une attention particulière doit être portée aux données biométriques (photographie, reconnaissance faciale), considérées comme des catégories particulières de données par l’article 9 du RGPD, dont le traitement est soumis à des conditions strictes, nécessitant notamment le consentement explicite de la personne concernée ou l’existence d’une base légale solide.

B. Une régulation en constante évolution : garanties pour les personnes et statut des prestataires.

La dynamique de la vérification d’identité en ligne ne se limite pas à ses fondements initiaux. Elle s’inscrit dans un mouvement de régulation progressive qui vise à renforcer les garanties pour les individus et à clarifier le rôle et les responsabilités des acteurs du marché.

1. La garantie des droits fondamentaux des personnes vérifiées.

Toute personne dont l’identité est soumise à une vérification numérique bénéficie d’un ensemble de droits fondamentaux, solidement ancrés dans le RGPD, qui visent à assurer la maîtrise de ses données personnelles et à garantir la transparence des traitements :

• Le droit à l’information [5] : les individus doivent être informés de manière claire, concise et transparente sur les finalités du traitement, les catégories de données collectées, les destinataires de ces données, la durée de conservation, l’existence d’un transfert hors UE et l’existence de leurs droits.
• Les droits d’accès [6] et de rectification [7] : Chacun peut obtenir la confirmation que ses données sont traitées, y accéder et, le cas échéant, demander leur rectification si elles sont inexactes ou incomplète.
• Le droit à l’effacement, communément appelé "droit à l’oubli" [8].

Dans certaines situations spécifiques (par exemple, lorsque les données ne sont plus nécessaires à la finalité initiale, ou lorsque le consentement est retiré), les personnes peuvent demander l’effacement de leurs données.

Les droits à la portabilité [9] et à la limitation du traitement [10] : ces droits permettent respectivement de récupérer ses données dans un format structuré, couramment utilisé et lisible par machine, et de demander la suspension du traitement de ses données dans l’attente d’une vérification ou d’une rectification.

La CNIL insiste régulièrement sur la nécessité pour les opérateurs de rendre l’exercice de ces droits facilement accessible et effectif, notamment au sein des applications mobiles et interfaces en ligne. Un défaut d’accessibilité ou une complexité excessive des démarches pourraient être interprétés comme une violation du principe de loyauté du traitement [11], qui impose un traitement des données de manière licite, loyale et transparente.

Par ailleurs, l’article 21 du RGPD reconnaît un droit d’opposition au traitement, permettant à la personne concernée de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement de données la concernant, sauf si ce dernier est imposé par une obligation légale impérieuse (comme la lutte contre le blanchiment d’argent) ou des motifs légitimes et impérieux du responsable de traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée. Le refus de transmettre une pièce d’identité ne peut donc légitimement entraîner un refus de service que s’il est justifié par un intérêt légitime ou légal strictement démontré et proportionné à l’objectif poursuivi, respectant le principe de la nécessité.

2. Le statut et la régulation des prestataires de vérification d’identité numérique.

Le paysage des prestataires de vérification d’identité en ligne est également l’objet d’une régulation croissante, visant à encadrer leurs activités, à qualifier leurs services et à renforcer la confiance dans les solutions qu’ils proposent.

Le Règlement (UE) n°910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE (eIDAS) a établi un cadre européen harmonisé pour l’interopérabilité et la reconnaissance mutuelle des moyens d’identification électronique et des services de confiance. Il définit notamment trois niveaux d’assurance (faible, substantiel, élevé) pour les moyens d’identification électronique, garantissant la fiabilité et la robustesse des identités numériques. En France, l’Ordonnance n° 2021-1779 du 22 décembre 2021 portant diverses dispositions d’adaptation au droit de l’Union européenne en matière de services numériques a transposé et complété ce cadre, fixant les conditions d’accréditation et de qualification des prestataires de services de confiance et des fournisseurs de moyens d’identification numérique. L’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) joue un rôle clé dans l’évaluation et la qualification de ces solutions, garantissant leur conformité aux standards de sécurité les plus élevés et leur interopérabilité.

La question de la responsabilité des prestataires est également fondamentale dans la chaîne du traitement de données. Selon qu’ils déterminent ou non les finalités et les moyens du traitement des données personnelles, ces prestataires peuvent être qualifiés de responsables de traitement ou de sous-traitants, avec des obligations et des responsabilités distinctes définies par le RGPD [12]. La jurisprudence "Fashion ID" de la CJUE [13] du 29 juillet 2019 a apporté des éclaircissements majeurs sur la notion de "responsabilité conjointe". Elle a rappelé qu’une entité peut être co-responsable du traitement même si elle ne participe qu’à une étape du processus ou n’a pas un contrôle total sur l’ensemble, soulignant l’importance de la contractualisation et de la répartition claire des rôles et des responsabilités entre les différents acteurs (le client demandeur de la vérification et le prestataire).

La CNIL dispose de pouvoirs de sanction étendus, pouvant prononcer des amendes administratives pouvant aller jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu, en cas de violation du RGPD [14]. En 2023, la CNIL a effectivement sanctionné des prestataires de vérification d’identité pour des manquements aux obligations de sécurité et de conservation des données, illustrant la vigilance de l’autorité.

Enfin, la régulation s’inscrit dans une perspective plus large avec les initiatives de la Commission européenne, qui travaille activement à la mise en place d’un portefeuille d’identité numérique européen. Ce projet ambitieux, en cours de développement, vise à harmoniser les pratiques au sein de l’Union, à simplifier les démarches transfrontalières pour les citoyens et les entreprises, et à renforcer durablement la confiance dans les échanges numériques à l’échelle du continent, en offrant une identité numérique sécurisée et reconnue partout en Europe.