QUESTION ÉCRITE E-1724/02

posée par Bart Staes (Verts/ALE) à la Commission

(13 juin 2002)

Objet: Carte d'identité électronique et protection des données à caractère personnel

Dans le cadre de l'initiative e-gouvernement, le gouvernement fédéral belge a décidé à l'automne 2000 que chaque Belge disposerait, d'ici 2005, d'une carte d'identité électronique. Afin de sécuriser au mieux l'échange des données tant entre les autorités qu'entre les autorités et leurs clients, FEDICT (service public fédéral des technologies de l'information et des communications) a mis en place l'infrastructure à clef publique (Public key infrastructure PKI), également appelée règlement de certification et de services. La carte disposera d'une clef personnelle stockée sur une puce et protégée par un code secret.

Selon un article paru le 12 mai 2002 dans le New York Times, cette technologie peut être copiée. Deux chercheurs dans le domaine de la sécurité informatique de l'Université de Cambridge, MM. Sergei Skorobogatov et Ross Anderson, ont montré qu'un simple flash d'appareil photographique et un microscope suffisait à se procurer les informations stockées sur la puce. Il serait facile aux criminels de se saisir d'informations à caractère privé. Cette technologie utilisée pour les cartes d'identité électroniques trouve par ailleurs de nombreuses applications, notamment dans le domaine des cartes de crédit et de débit ou des cartes SIM des téléphones portables. Un article de la société IBM, intitulé Les attaques par les canaux secondaires, ou comment cloner rapidement certaines cartes de GSM (Partitioning attacks: or how to rapidly clone some GSM cards) confirme la vulnérabilité de cette technologie, les chercheurs démontrant qu'ils sont parvenus à copier beaucoup plus rapidement les informations de la carte SIM.

La Commission est-elle en mesure de confirmer la véracité de cette inquiétante information?

Dans l'affirmative, l'usage de la technologie PKI est-il compatible avec la législation européenne sur la protection des données à caractère privé? Les États membres ne doivent-ils pas mettre en oeuvre des mesures techniques et organisationnelles de protection des données personnelles, notamment dans les cas ou le traitement des données implique leur mise sur un réseau? Que compte entreprendre la Commission contre cette violation de la vie privée?

Dans la négative, sur quels arguments se base la Commission pour affirmer que l'enquête n'est pas valide et que la technologie en cause n'est pas vulnérable?

Réponse communeaux questions écrites E-1723/02 et E-1724/02donnée par M. Bolkestein au nom de la Commission

(26 septembre 2002)

La Commission a eu connaissance de projets de réglementations belges visant à l'introduction d'une carte d'identité digitale, et cela à l'occasion d'une notification effectuée en application de la directive 98/34/CE(1) (directive imposant la notification de projets de réglementations nationales notamment aux services de la société de l'information). La Belgique a notifié la législation en projet (référence no 2001/474/B) en demandant que les textes soient traités de manière confidentielle, en application de l'article 8, paragraphe 4 de la directive précitée. Comme suite à l'analyse de la réglementation en projet, la Commission a émis un avis circonstancié et des observations. L'avis circonstancié portait essentiellement sur les annexes techniques afin d'assurer la compatibilité de celles-ci avec les directives 73/23/CEE du Conseil, du 19 février 1973, concernant le rapprochement des législations des États membres relatives au matériel électrique destiné à être employé dans certaines limites de tension(2) et 89/336/CEE du Conseil du 3 mai 1989 concernant le rapprochement des législations des États membres relatives à la compatibilité électromagnétique(3). Les observations concernaient, quant à elles, les aspects liés à la protection des données.

La Commission relève qu'en l'état actuel, bien qu'une simplification de certaines procédures existantes relatives à l'accès ou à la communication de données à caractère personnel soit envisagée, la législation en projet ne prévoit pas spécifiquement l'interconnexion de banques de données médicales ou fiscales.

Toutefois, la Commission a conscience de l'importance des préoccupations évoquées par l'Honorable Parlementaire et elle en tiendra compte dans le contexte du processus d'évaluation de la mise en oeuvre de la directive 95/46/CE du Parlement et du Conseil, du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données(4), processus qui devrait aboutir à la fin de l'année 2002.

En tout état de cause, les traitements de données à caractère personnel, en ce compris les interconnexions, qui seront mis en oeuvre dans le contexte de la carte d'identité électronique devront être conformes à la directive 95/46/CE. Cette directive, dont le champ d'application est limité au droit communautaire, énonce les principes et conditions dans lesquels des données à caractère personnel peuvent être traitées. Elle impose notamment l'obligation de traiter les données à caractère personnel loyalement et licitement et de ne pas les traiter ultérieurement de manière incompatible avec les finalités pour lesquelles elles ont été collectées. La directive 95/46/CE contient également un principe d'interdiction de traiter des données relatives à la santé, principe assorti de diverses exceptions. Elle impose, en outre, de déterminer les conditions d'utilisation d'identifiants uniques.

Par ailleurs, la directive 95/46/CE prévoit l'obligation de garantir la protection des données contre la destruction accidentelle ou illicite, la perte accidentelle, l'altération, la diffusion ou l'accès non autorisé, ainsi que contre toute autre forme de traitement illicite. La directive 97/66/CE du Parlement et du Conseil du 15 décembre 1997 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des télécommunications, qui sera remplacée à partir du 31 octobre 2003 par la directive 2002/58/CE,(5) contient également des obligations spécifiques de sécurité en ce qui concerne les réseaux de télécommunications publics et les services de télécommunication accessibles au public.

La Commission suit avec une attention particulière les développements technologiques en ce qui concerne la sécurité des échanges de données. Elle relève dans ce contexte que le niveau de sécurité offert à travers l'utilisation d'une infrastructure à clef publique dépend non seulement

du niveau de sécurité offert par les composantes techniques de l'infrastructure mais aussi de la qualité des procédures de sécurité et surtout de la rigueur de leur mise en oeuvre (carte à puce, génération des clefs, autorité délivrant les certificats, validité des certificats, etc.).

La Commission est spécialement attentive aux technologies de sécurité utilisées pour transférer des données à caractère personnel. Elle souligne néanmoins qu'un niveau de sécurité absolu n'existe pas et que conformément à la directive 95/46/CE, le niveau de sécurité approprié au regard des risques présentés par le traitement de données à caractère personnel et la nature des données à caractère personnel à protéger, doit s'apprécier compte tenu de l'état de l'art et des coûts liés à la mise en oeuvre des mesures de sécurité.

En termes de composition des autorités de contrôle chargées de surveiller l'application des dispositions adoptées par les États membres, la directive 95/46/CE prévoit que ces autorités exercent leurs missions en toute indépendance. La directive ne fournit toutefois aucune indication supplémentaire sur la manière dont cette indépendance doit être garantie. La Commission relève à ce propos qu'en vertu de la loi belge du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel, l'autorité belge compétente en matière de protection des données est un organe collégial dont les membres sont désignés par le Parlement. Cette loi prévoit par ailleurs que les membres doivent offrir toutes les garanties leur permettant d'exercer leur mission avec indépendance. Différentes mesures sont prévues à cette fin dont l'interdiction pour les membres d'être présents lors de la délibération sur les objets pour lesquels ils ont un intérêt personnel.

La Commission rappelle par ailleurs qu'elle soutient des projets de recherche dans le domaine de la sécurité des cartes à puce. Les chercheurs Ross Anderson et Sergei Skorobogatov participent au projet G3CARD (IST-1999-26328). Ce projet poursuit un double objectif. En premier lieu, il vise à identifier l'ensemble des attaques possibles à l'encontre d'une carte (l'attaque par flash constitue effectivement un exemple d'attaques visées par ce projet). Le second objectif du projet est de développer une nouvelle génération de puce capable de résister à ces nouvelles attaques.

La carte à puce présente l'avantage d'augmenter très sensiblement le niveau de sécurité des systèmes en rendant les attaques à la fois techniquement complexes et onéreuses, et dès lors, pendant un certain laps de temps, inaccessibles aux criminels. Il est cependant clair que de nouvelles attaques seront découvertes, attaques qui nécessiteront le développement d'autres générations de puce.

Le niveau de sécurité du GSM a été adapté aux applications qui avaient été prévues par les concepteurs de la norme il y a une quinzaine d'années, applications essentiellement de téléphonie. Les nouvelles normes pour le téléphone sans fil de troisième génération prévoient une sécurité renforcée, et ce en vue de permettre des applications sensibles. Par ailleurs, la sécurité des transactions sans fil sera un des thèmes prioritaires de l'IST dans le 6e Programme cadre de recherche et développement technique de la Communauté. Dès maintenant, un des objectifs du projet de recherche Embedded Finread (IST-2000-30091) est de transposer la sécurité des terminaux de paiement à la téléphonie sans fil dont l'actuel GSM.

D'autres projets comme PKI Challenge (IST-2000-25012) et Digisec (IST-1999-20981) travaillent au développement de la signature électronique et de son infrastructure PKI corollaire. Le projet NESSIE (IST-1999-12324) définit de nouveaux algorithmes cryptographiques et Verificard (IST-2000-26328) se concentre sur la vérification de la sécurité du logiciel embarqué sur la carte. Des projets comme UFACE (IST-1999-11587) ou BANCA (IST-1999-11159) se concentrent, quant à eux, sur les aspects techniques de la biométrie.

Le projet Smartcities (IST-1999-12252) se consacre à une carte urbaine. Cependant il a le mérite d'inventer des mécanismes pour garantir la sécurité des données. Smartcities considère que la protection des données deviendra un argument commercial. Ses mécanismes pourraient ensuite être réutilisés par d'autres projets.

(1) Directive 98/34/CE du Parlement et du Conseil du 22 juin 1998 prévoyant une procédure d'information dans le domaine des normes et réglementation techniques, JO L 204 du 21.7.1998.

(2) JO L 77 du 26.3.1973.

(3) JO L 139 du 23.5.1989.

(4) JO L 281 du 23.11.1995.

(5) JO L 24 du 30.1.1998 et JO L 201 du 31.7.2002.