Administration numérique - Le lancement de FranceConnect est avalisé après les correctifs demandés par la Cnil

Le dispositif national d'identification et d'authentification FranceConnect a été confirmé lors de la publication de son arrêté de création (1) au Journal officiel, le 6 août dernier. Ce chantier, piloté depuis une quinzaine de mois par la direction interministérielle des systèmes d'information et de communication (Disic), vise à créer un accès aux téléservices proposés par les administrations nationales et locales, via un mécanisme d'authentification unique. En cliquant sur le bouton "FranceConnect", qui sera implémenté sur les sites partenaires, les usagers seront en mesure de se connecter sans avoir à créer de compte personnel, en s'authentifiant auprès du fournisseur d'identité de leur choix (les impôts, Ameli, la Poste) et avec les identifiants/mots de passe qu'ils utilisent pour ces comptes. 
Au-delà de la simplification, de la traçabilité et du suivi des démarches et des formalités administratives effectués par les usagers, FranceConnect assure deux autres fonctions complémentaires : d'une part "sécuriser le mécanisme d'échange d'information entre autorités administratives" qui sera notamment utilisé dans le cadre du programme "dites-le nous une fois" (2) et d'autre part, assurer l'interopérabilité avec les téléservices des Etats membres au sein de l'Union européenne.

Avis favorable de la Cnil

Comme le dispositif effectue des traitements s'appuyant sur un identifiant des personnes physiques (3), requérant lui-même une consultation du répertoire national d'identification des personnes physiques (RNIPP), la publication de l'arrêté ministériel de création du projet a préalablement été soumise à un avis motivé de la Commission nationale de l'informatique et des libertés (Cnil). Dans sa délibération du 16 juillet 2015, la Cnil donne un avis favorable : elle considère le traitement "de nature à simplifier les démarches administratives et à améliorer les relations entre les usagers et l'administration" et estime à ce titre "que les finalités poursuivies sont déterminées, explicites et légitimes", conformément aux dispositions de la loi du 6 janvier 1978 modifiée.
Ainsi le système d'authentification unique s'appuie sur des données personnelles obligatoires (nom, prénoms, sexe …), facultatives (numéro de téléphone, numéro de Siret pour les entreprises), sur des "clés de fédération" générées lors de la première connexion de l'usager et sur un alias technique obtenu par hachage de toutes les informations. Enfin, certaines données  (adresse IP, heure/date de connexion ...) sont conservées pour une durée de 6 mois après la dernière connexion pour assurer la traçabilité des transactions.

Réserves sur le mécanisme appliqué aux portails de téléservices des collectivités

Mais l'avis est aussi assorti de quelques rappels et demandes de modifications contraignants. Sur le volet "accès simplifié aux téléservices de l'administration" et dans le cas des portails de téléservices réalisés par une même autorité administrative – cas qui concerne directement les collectivités territoriales et leurs établissements publics -, "une diversification de la clé de fédération FranceConnect en fonction des secteurs pourrait être nécessaire" précise la Cnil qui devrait sensiblement alourdir les mécanismes à développer lors de l'installation du bouton "FranceConnect". La Commission cite en exemple les conditions prévues par l'arrêté du 4 juillet 2013 autorisant la mise en œuvre par les collectivités territoriales, de traitements automatisés de données à caractère personnel dans le cadre d'un ou de plusieurs téléservices. Celles qui souhaiteront implémenter le bouton FranceConnect sur leur site web devront éviter la génération d'un identifiant unique afin de rester conformes aux dispositions de l'arrêté du 4 juillet.
D'une manière générale, des réserves sont formulées sur la nature des informations transmises à chaque téléservice. Aussi la Cnil demande aux opérateurs de mettre en oeuvre des mécanismes permettant à un téléservice de ne recevoir qu'un "sous-ensemble" des données d'identité nécessaires au traitement de la demande.
Sur le plan de la procédure, la Cnil recevra une déclaration de conformité de la part des autorités partenaires du projet. De son côté l'Insee sera chargé de certifier les données personnelles en les confrontant au répertoire national d'identification des personnes physiques, pour le compte des autorités partenaires n'étant pas habilitées à le faire elles-mêmes directement. 

FranceConnect accueillera progressivement les collectivités

FranceConnect est un des dispositifs clé de l'Etat plateforme. Il remplacera à partir de janvier 2016 la fédération de comptes proposée par mon.service-public.fr et ses partenaires et accueillera progressivement d'autres acteurs publics, dont les collectivités territoriales. Pour l'heure les préparatifs se poursuivent.
Côté des fournisseurs d'identité, la DGFIP (pour impôts.gouv.fr), a déjà signé la convention de partenariat, la Poste devrait suivre à la mi-octobre, l'objectif étant que le troisième partenaire, l'assurance maladie (Ameli) signe d'ici la fin de l'année.
Coté expérimentations, deux collectivités territoriales, le conseil départemental des Alpes-Maritimes et la communauté d'agglomération de Nîmes, participent à la mise au point "in vivo" du dispositif en "Open Lab" avec les services de la Disic et du SGMAP. Le chantier consiste essentiellement à intégrer le bouton FranceConnect sur le site, développer un formulaire d'enrôlement et implémenter un dispositif de conservation des clés de fédération (anonymes), transmises la première fois par FranceConnect, le tout à partir d'un kit de développement fourni par la Disic.

Complexité plus chronophage que prévue

Le temps de développement annoncé initialement - entre 2 et 10 jours homme de développement -, selon la complexité du système d'information et du parcours de l'usager pour s'enrôler - semble difficilement atteignable mais possible. Selon nos informations, trois semaines auraient été nécessaires aux services informatiques des Alpes-Maritimes pour effectuer la mise en place et les réglages, ce qui semble un peu au-dessus des standards établis. Quant à la partie tiers de confiance, lors des échanges de données entre administrations, elle sera déployée ultérieurement, d'autant que le lancement de "dites-le nous une fois", le programme phare de ce dispositif, reste subordonné à la publication d'un décret fixant la liste des informations "mutualisées" et les modalités d'échanges de données entre administrations. Gageons que la Cnil restera également vigilante sur ce dernier point.

Philippe Parmantier / EVS

(1) Arrêté N° 0180 du 24 juillet
(2) Programme national qui vise à éviter qu'une même information ne soit demandée plusieurs fois aux citoyens grâce à la mutualisation des informations détenues par les administrations.
(3) En réalité les éléments d'identité réunis (nom, prénom, sexe...) servent à constituer un alias technique dans le but de mettre en oeuvre des mécanismes de liaison d'identité. Cet alias est non signifiant, propre à chaque usager, régénéré à chaque connexion et illisible de manière irréversible puisque obtenu par hachage des données d'identité de l'usager.