Cadre d'identité numérique du Royaume-Uni – Pierre angulaire d'une identité fiable

À l'ère du numérique, l'identité numérique est devenue incontournable. Les interactions physiques peuvent sembler risquées, surtout en pleine pandémie de COVID-19. Particuliers et entreprises se tournent vers le numérique pour respecter la distanciation sociale et adopter des méthodes de communication intelligentes et efficaces. vérification d'identitéLe cadre de confiance relatif à l'identité numérique au Royaume-Uni a récemment fait l'objet de nombreux débats, et ce à juste titre. Cette loi représente une avancée importante dans la gestion des identités numériques au Royaume-Uni.   

Un cadre pour gouverner le paysage numérique

En février de cette année, le gouvernement britannique a publié un document officiel intitulé «Cadre de confiance pour l'identité et les attributs numériques du Royaume-UniCe cadre définit des lignes directrices pour les entités qui créent et utilisent les identités numériques des utilisateurs finaux. Les entreprises qui respectent ces règles obtiennent un label de confiance spécifique, gage de leur réputation de prestataire de services fiable auprès du public. Ce cadre a été élaboré en collaboration avec différentes organisations publiques et privées afin de définir des principes efficaces pour l'identité numérique. 

identité numérique 

Conformément à ce cadre réglementaire, l'identité numérique est la représentation d'une personne dans l'espace numérique qui lui permet de prouver son identité lors de transactions et d'interactions en ligne. Voici quelques exemples d'identités numériques pouvant être créées en vertu de la loi :

• Un portefeuille numérique stocke des informations confidentielles – également appelées attributs – relatives à l'utilisateur. Ce dernier décide à qui et quand divulguer ses données personnelles. Les portefeuilles numériques contiennent des informations telles que le nom complet, la date de naissance et le droit de travailler ou de résider. 
• Une identité numérique permettant l'authentification pour l'achat d'un produit ou d'un service en ligne. Par exemple, les sites de commerce électronique peuvent demander aux acheteurs de vérifier leur âge avant de vendre des produits soumis à des restrictions d'âge. Dans ce cas, les clients doivent simplement se connecter à un service de vérification d'identité qui autorise automatiquement leur âge et leurs informations personnelles, tout en garantissant le respect des normes de protection des données. 

Attributs    

Le Trusted Framework définit les attributs comme des fragments d'information fournissant des détails sur une personne ou une entité. Combinés, les attributs forment une identité numérique complète permettant d'authentifier les transactions numériques. Les attributs peuvent correspondre à l'état de santé d'une personne, à son historique de crédit bancaire ou encore à un numéro d'immatriculation d'entreprise. À titre d'exemples, on peut citer l'âge d'une personne, son adresse de domicile ou son code postal. 

Lignes directrices à l'intention des entités participantes

Entités qui développent des produits ou offrent des services liés à identité numérique sont autorisées à participer au Cadre de confiance pour l'identité et les attributs numériques. Les organisations individuelles, ainsi que celles qui font partie d'un système de vérification d'identité, sont tenues d'assumer les rôles suivants, chacun étant associé à un ensemble de responsabilités différent.  

Protection et minimisation des données 

Le cadre de confiance pour l'identité numérique intègre des normes de protection des données obligatoires pour les fournisseurs de services d'identité et d'attributs lors du développement de leurs produits et services. La mise en place de ces mesures garantit aux utilisateurs le contrôle des informations personnelles utilisées pour créer leur identité numérique. Ils peuvent ainsi mieux gérer leurs attributs et décider quelles organisations ont accès à leurs données et peuvent les partager. 

Conformément aux politiques du cadre, les utilisateurs ont le droit de ne partager que les informations nécessaires et de restreindre l'accès au reste. Les normes de minimisation des données reposent sur le « droit d'accès aux données personnelles » défini par le RGPD. À titre d'exemple, lorsqu'un utilisateur consulte une plateforme soumise à une restriction d'âge, il doit fournir des informations pour verification de l'AGEGrâce à l'identité numérique, les utilisateurs peuvent vérifier qu'ils ont l'âge légal sans avoir à fournir d'informations. 

Respect des protocoles de confidentialité

Le cadre de confiance exige que les entités participantes respectent deux normes de conformité en matière de protection de la vie privée, à savoir :

• La norme ISO/IEC 27701:2019 est une extension de la norme ISO/IEC 27001 relative à la protection de la vie privée. Elle met l'accent sur les droits de contrôle d'accès des responsables du traitement et des sous-traitants des données à caractère personnel (DCP) afin de réduire les risques d'atteinte à la vie privée des consommateurs. Cette norme a été élaborée par l'Organisation internationale de normalisation (ISO). 
• La norme BS 10012:2017 de la British Standards Organisation est un cadre permettant aux fournisseurs de services de développer des systèmes de gestion des informations personnelles.  

En plus de cela, le cadre de confiance en matière d'identité numérique enjoint aux entités conformes de créer leur propre infrastructure de conformité en matière de protection de la vie privée, de nommer un délégué à la protection des données (DPO), d'élaborer une politique de protection des données et de formuler un processus d'évaluation d'impact sur la protection des données (EIPD).  

Consentement et accord de l'utilisateur

Lorsqu'elles accèdent à l'identité numérique d'une personne, les entreprises doivent disposer d'une base légale pour l'utilisation de ces informations. Le consentement est obligatoire après que les utilisateurs aient été informés des conditions de partage et d'accès aux données. Le cadre réglementaire interdit aux prestataires de services d'utiliser les informations personnelles identifiables à des fins de marketing. Les personnes concernées sont des personnes physiques identifiables conformément à la loi. GDPR – ont également le droit de mettre à jour ou de supprimer les attributs correspondant à leur identité numérique dans le cadre de leur accord avec fournisseur de services d'identité numérique. 

Octroi des droits d'accès

Conformément aux lignes directrices, les organismes participants doivent mettre en place un mécanisme permettant à leurs clients de savoir quelles données personnelles sont consultées, partagées et utilisées, et à quelles fins. Ces données doivent être à jour et exemptes d'erreurs, afin de ne pas engendrer d'ambiguïté quant à l'identité numérique de l'utilisateur final. 

Délégué à la protection des données

Le cadre de confiance relatif à l'identité et aux attributs numériques (Digital Identity and Attributes Trust Framework) exige que les organisations désignent un délégué à la protection des données (DPO) officiel. Les responsabilités du DPO comprennent la garantie du respect des exigences énoncées dans la réglementation britannique. Article 39 du RGPDDe plus, la mise en place d'un processus de protection des données est également nécessaire pour garantir la conformité réglementaire à la norme ISO/IEC 29100.    

Points clés à retenir

• Le cadre de confiance pour l'identité numérique au Royaume-Uni réglemente la manière dont les fournisseurs de services d'identité traitent les données personnelles disponibles numériquement des individus.  
• Ce cadre définit l'identité numérique comme un ensemble d'attributs – des informations sur l'utilisateur – permettant aux individus d'interagir dans l'espace en ligne.
• Les entités participantes à ce cadre doivent garantir le respect des normes en matière de protection des données et de confidentialité, désigner un délégué à la protection des données (DPO), obtenir le consentement des utilisateurs et proposer des services inclusifs et accessibles.