Construire une vérification d’identité sécurisée et conforme dans l’ère de l’eIDAS 2.0

À travers l’Union européenne, eIDAS (identification électronique, authentification et services de confiance) est l’une des principales réglementations qui définit la manière dont les citoyens, les entreprises et les autorités doivent interagir les uns avec les autres dans l’environnement numérique. Adopté en 2016, l’eIDAS établit des normes pour l’identification électronique et crée une sécurité juridique pour les interactions numériques dans l’ensemble de l’Union.

La version mise à jour (eIDAS 2.0) a apporté plusieurs fonctionnalités cruciales au cadre d’origine de l’eIDAS. Tout d’abord, elle a introduit le Portefeuille d’identité numérique européen que chaque État membre de l’UE doit mettre à la disposition de ses citoyens d’ici la fin de 2026. Le portefeuille est destiné à simplifier encore les interactions numériques transfrontalières, car il permet aux personnes de s’identifier, de stocker et de partager des données vérifiées, ainsi que d’accéder à la fois à des services publics et privés.

Cependant, à mesure que l’intégration numérique devient plus standardisée, les entreprises doivent réfléchir non seulement à la conformité, mais également à la manière dont leurs systèmes de vérification sont construits. Ce qui compte vraiment, c’est si les données sensibles des utilisateurs peuvent être traitées sans jamais quitter le périmètre sécurisé dans l’architecture sur site ou sur appareil. Pour les entreprises, cela signifie que l’alignement des flux de travail KYC sur le nouveau cadre n’est qu’une partie de la tâche. Tout aussi important est le choix des technologies qui soutiennent la conformité sans stocker et transmettre des données sensibles partout.

Comprendre les niveaux d’assurance de l’eIDAS

Les règles de l’eIDAS ont standardisé la manière dont les moyens d’identification électroniques doivent être délivrés et utilisés, ce qui a rendu l’intégration dans les services numériques transparente pour les clients, quelle que soit leur pays d’origine dans l’UE. Le cadre définit trois niveaux d’assurance (LoA) – chacun contenant un ensemble de normes pour l’identification électronique. Ces normes sont exactement ce dont les fournisseurs de services de vérification d’identité et les fournisseurs de solutions de vérification d’identité ont besoin pour s’aligner s’ils veulent se présenter comme conformes à l’eIDAS.

Le niveau “faible” offre un degré de base de certitude quant à une identité revendiquée, le niveau “substantiel” exige des vérifications plus rigoureuses avec moins de chances d’abus, et le niveau “élevé” est destiné à fournir une assurance maximale, étayée par les protections les plus solides contre la fraude d’identité. Les entreprises choisissent le niveau dont elles ont besoin en fonction de leur exposition aux risques, de la sensibilité des données qu’elles traitent et de toute autre obligation réglementaire qui s’applique à leurs services.

La principale force et faiblesse des normes de vérification d’identité de l’eIDAS

L’une des principales forces des normes de vérification d’identité de l’eIDAS est qu’elles créent un cadre commun pour l’ensemble de l’Union européenne. Dans la pratique, cela signifie que une approche de vérification d’identité conçue pour s’aligner sur l’eIDAS peut servir de base solide pour opérer dans différents États membres de l’UE, plutôt que d’être reconstruite à partir de zéro pour chaque pays.

La principale faiblesse des normes de vérification d’identité de l’eIDAS, à notre avis, est qu’elles ne soutiennent pas activement le développement de technologies de vérification sur site / sur appareil – celles qui protègent vraiment les données personnelles des citoyens contre les violations et assurent des flux de travail de vérification d’identité sans friction. Les cadres qui réglementent le stockage et la transmission peuvent réduire les risques, mais ils n’éliminent pas la surface de risque elle-même. Chaque fois que des données d’identité sont collectées ou transmises, cela crée une nouvelle opportunité de fuite, et la conformité réglementaire seule ne peut pas éliminer complètement cette vulnérabilité.

Il peut sembler que l’eIDAS crée un écosystème de vérification d’identité unifié et sécurisé à travers l’Europe. À bien des égards, il crée certainement un écosystème plus cohérent et plus pratique. Mais cela signifie-t-il vraiment la sécurité ? Chez OCR Studio, nous croyons que la véritable protection ne peut être fournie que par des technologies qui n’exigent pas que les données personnelles soient stockées ou transmises en premier lieu. Dans la vérification d’identité, l’architecture la plus sûre n’est pas celle qui gère les données sensibles avec plus de soin, mais celle qui élimine la nécessité de les manipuler en premier lieu.

Comment construire une vérification d’identité sécurisée et conforme

Puisque chaque niveau d’assurance de l’eIDAS est largement construit autour du principe de minimisation du stockage et de la transmission de données personnelles, les technologies sur site / sur appareil sont la manière la plus efficace de construire un système de vérification d’identité qui est à la fois conforme et réellement sécurisé. D’un point de vue technologique, de tels systèmes surpassent les architectures qui s’appuient sur les infrastructures cloud ou les serveurs externes, car ils ne sont pas vulnérables aux défaillances de tiers et peuvent fonctionner même sans connexion Internet stable.

Ci-dessous, en utilisant trois des principales normes de l’eIDAS comme exemples, nous montrons comment les technologies modernes sur appareil sont pleinement conformes à ces exigences de vérification d’identité:

“La personne peut être présumée être en possession d’une preuve reconnue par l’État membre dans lequel la demande de moyens d’identification électroniques est faite et représentant l’identité revendiquée”

Afin de vérifier que l’utilisateur est le détenteur légitime du document, les systèmes de vérification effectuent généralement des vérifications de selfie à l’ID en comparant la photo de l’utilisateur avec la photo de l’ID. Les systèmes sur appareil effectuent les mêmes vérifications avec la même précision sans transmettre de données biométriques sensibles partout. Certains systèmes sur appareil sont également capables de détecter les attaques de présentation lorsque les fraudeurs utilisent des recaptures d’écran et des photocopies – cela garantit que l’utilisateur est réellement présent.

“La preuve peut être présumée être authentique, ou exister conformément à une source autoritaire et la preuve paraît être valable”

Pour répondre à cette exigence, un système de vérification d’identité doit être capable d’évaluer si le document présenté par l’utilisateur paraît authentique et valide. Certaines solutions sur appareil le font en combinant la reconnaissance d’ID avec des technologies de forensique de documents. Sur la base d’une seule photo de document, ils peuvent détecter diverses manipulations, y compris les deepfakes, les ID générées par IA et les ID morphées. Ils peuvent également vérifier les périodes de validité et valider les données à partir du VIZ, du MRZ et du NFC pour identifier les incohérences qui peuvent indiquer une falsification ou une fraude.

“Conserver, dans la mesure où cela est autorisé par la loi nationale ou d’autres dispositions administratives nationales, et protéger les enregistrements aussi longtemps qu’ils sont nécessaires à des fins d’audit et d’enquête sur les violations de sécurité, et conserver, après quoi les enregistrements doivent être détruits de manière sécurisée”

Cette exigence ne concerne pas le stockage de toutes les données personnelles par défaut, mais la conservation de la traçabilité du système. Le véritable défi est architectural : comment les données d’identité peuvent-elles être traitées localement tout en préservant la traçabilité ? À notre avis, les données ne devraient pas être transférées pour traitement, mais uniquement à des fins d’audit strictement limitées et sécurisées. Les approches futures peuvent inclure la journalisation sélective, les enregistrements d’audit chiffrés ou des mécanismes qui préservent la traçabilité sans exposer les données personnelles brutes. Il ne s’agit pas d’une limitation du modèle sur appareil, mais d’un défi plus large pour la prochaine génération de systèmes de vérification d’identité.

Comme vous pouvez le voir, les technologies sur site répondent pleinement aux principales exigences de l’eIDAS tout en évitant la principale faiblesse du cadre. Puisqu’elles n’exigent pas de stockage ou de transmission de données, elles offrent une protection beaucoup plus solide contre les fuites de données personnelles que les approches alternatives. De telles technologies peuvent prendre en charge les flux de travail de vérification d’identité à tout niveau d’assurance requis, du “faible” au “haut”.

L’architecture sur site va au-delà de la conformité à l’eIDAS

Répondre aux exigences de l’eIDAS est essentiel pour toute entreprise opérant dans l’UE. Cependant, la conformité seule n’est pas suffisante pour garantir une véritable protection des données client. Pour construire une véritable KYC sécurisée, les entreprises doivent regarder au-delà de la conformité formelle et prêter une attention particulière aux caractéristiques techniques des solutions de vérification d’identité qu’elles utilisent. À notre avis, le choix le plus sûr n’est pas un fournisseur qui minimise simplement la collecte de données personnelles, mais celui qui élimine la nécessité de collecter et de transmettre ces données à chaque étape.