La plate-forme FranceConnect adoubée par l’ANSSI

LES FAITS

• Le téléservice FranceConnect vient d’être officiellement reconnu par l’ANSSI comme conforme aux exigences de la réglementation eIDAS, pour les deux niveaux substantiel et élevé.

• Cette qualification ne concerne que la plate-forme de fédération d’identité gérée par la DINUM (Direction Interministérielle du NUMérique), indépendamment du moyen d’identification électronique choisi par l’utilisateur parmi ceux proposés par FranceConnect (6 dont 2 par des acteurs privés).

• Pour le besoin d’un service requérant une identification électronique en ligne au niveau eIDAS substantiel ou élevé, l’utilisateur devra sélectionner un moyen d'identification au niveau correspondant.

• Pour l’heure, l’ANSSI n’a qualifé qu’un moyen d’identification électronique au niveau substantiel, celui de La poste. FranceConnect ne pourra donc garantir l'identification électronique à ce niveau substantiel qu'avec ce seul moyen.

ENJEUX

• Accroître la confiance des utilisateurs. C'est l'un des principaux enjeux de l’adoubement de conformité par l’ANSSI de FranceConnect. A ce jour, selon le baromètre de l’ACSEL sur la confiance numérique, la confiance dans FranceConnect stagne à 65 % ; le taux d’utilisation est encore limité à 33 % de ceux qui connaissent la solution, même si la marge de progression de 9 points est très forte par rapport au baromètre de l’an passé.

• Sécuriser des cas d'usage administratifs très sensibles : enrôlement ou modification d’un IBAN sur le site des impôts (avec un moyen eIDAS substantiel au lieu d’un simple login/mot de passe).

• Développer de nouveaux cas d’usage avec de nouveaux fournisseurs de services publics (comme la justice) ou privés (comme les banques, assureurs, prestataires de services sur actifs numériques). Un nouvel usage pourrait être celui de la signature électronique. En effet, une signature électronique avancée ou qualifiée nécessite une identification du signataire ; et de pouvoir démontrer le lien univoque avec le signataire dans le cadre de cette relation contractuelle à distance. Si lors du parcours de signature numérique, l’utilisateur pouvait s’authentifier en ligne via FranceConnect avec un moyen d’identification électronique au niveau substantiel (équivalent d’un face-à-face), ce critère de fiabilité de l’identification serait validé très simplement.

• Permettre à la France de lancer la procédure de demande de notification européenne eIDAS du schéma d'identification électronique français. Alors que 19 pays européens ont déjà été notifiés eIDAS pour permettre une intéropérabilité des identités numériques entre les pays notifiés, la France n’avait pas encore initié la démarche de prénotification. Stephane Mavel, Responsable business developpement et relations partenaires chez FranceConnect nous a confirmé cette démarche, avec une notification qui pourrait intervenir en mai prochain. Cette démarche de notification était fortement attendue par le secteur bancaire pour le KYC. En effet, l’ouverture de compte à distance peut se faire de façon équivalente au face-à-face en utilisant son moyen d’identification électronique eIDAS, qualifié a minima au niveau substantiel ; ce qui est dorénavant possible avec la fédération FranceConnect et le moyen d’identité de La Poste. Mais le code monétaire financier impose également que ce moyen soit notifié. En l’attente de cette notification, le secteur bancaire doit donc recourir à deux mesures (parmi une liste de six) ce qui peut rendre le parcours numérique plus long et contraignant.

MISE EN PERSPECTIVE

• Le nouveau référentiel PVID va devoir être finalisé par l'ANSSI, proposé à la CNIL pour avis et faire l’objet d’un décret ministériel après signature des autorités gouvernementales. L’ANSSI pourra alors reprendre les procédures de qualification de moyens d’identification électroniques qu’elle avait mis en suspens. Ainsi, d’autres moyens d’identification pourraient être qualifés et proposés sur FranceConnect comme alternative de niveau substantiel à la solution de La Poste : MobileConnect par Ariadnext ou encore l'Application Mobile par Sesam Vitale.

• Quant au niveau eIDAS élevé, il requerra la mise en œuvre opérationnelle du nouveau Système de Gestion d’Identité Numérique (SGIN) de l’ANTS, pour offrir aussi bien au format Web que mobile une identité numérique dérivée d’un titre d’identité à puce (passeport biométrique ou future carte d’identité électronique à puce). Cette carte d’identité à puce comprendra :
  • la fonctionnalité régalienne de document de voyage qui est requise par la nouvelle réglementation européenne pour les cartes d’identité,
  • mais aussi une fonctionnalité d’identité numérique.
• Avant l’attribution de ce marché SGIN et l’émission de cette nouvelle fonctionnalité d’identité numérique de la carte, une loi incluant l’avis de la CNIL devra être soumise au vote du parlement français. Cela devrait être effectif très prochainement. La France envisage de pouvoir livrer cette future carte en août 2021.

FICHE D’IDENTITÉ

• FranceConnect est née en 2015 après avis et recommandations de la CNIL
• Objectif : usages simplifiés d’accès aux services publics (administrations ou collectivités territoriales) ou de délégataires du service public.
• En 2018 FranceConnect a été ouverte à des fournisseurs de services privés, dans un cadre limité à des besoins de service nécessitant une identification soumise à des contraintes légales (ouverture de compte bancaire ou changement d’adresse)
• Depuis 2020, une expérimentation plus large au secteur privé : une centaine de fournisseurs privés du domaine de la santé et des transports (mais pas du e-commerce) travaillent avec la plate-forme. Cette expérimentation, intialement prévue pour 6 mois, devra faire l’objet d’une revue avec la CNIL.
• Chiffres à fin 2020 : 20 M d’utilisateurs et plus de 800 fournisseurs de services, essentiellement publics. Dans le secteur privé, on retrouve des banques telles que  Boursorama, LCL, ING, Hello Bank!, BNP Paribas et des assureurs comme Generali ou Wedou assurances.
• Le service est gratuit pour tous les usagers et pour tous les fournisseurs de services publics.
• Pour les fournisseurs de services privés, le service est gratuit si la connexion se fait par un fournisseur d'identité public mais devient payante quand elle est réalisée via un moyen d'un fournisseur d'identité privé et cela dans le cadre d'une offre commerciale bilatérale directe.