QUESTION ÉCRITE E-1723/02

posée par Bart Staes (Verts/ALE) à la Commission

(13 juin 2002)

Objet: Protection de la vie privée et traitement des données électroniques

Dans le cadre de l'initiative e-gouvernement, le gouvernement fédéral belge a décidé à l'automne 2000 que chaque Belge disposerait, d'ici 2005, d'une carte d'identité électronique. Selon un article paru le quotidien De Morgen et intitulé Nieuwe identiteitskaart brengt Big Brother erg dichtbij (La nouvelle carte d'identité électronique nous rapproche dangereusement de Big Brother), de superbanques de données fiscales, médicales et policières seraient en préparation. En outre, des données biométriques seraient également stockées pour permettre l'identification authentifiée des personnes grâce aux traits du visage. Un site portail permettra l'accès à ces données éminemment personnelles à l'aide du code secret de la carte d'identité. Il suffira d'introduire une combinaison de quatre chiffres. Toujours selon cet article, ces banques de données seront interconnectées, ce qui en rendra l'accès particulièrement lucratif.

Il n'existe pour l'heure aucun moyen de contrôle du contenu des données. L'autorité de contrôle (commission pour la protection de la vie privée) ne fait l'objet d'aucun contrôle parlementaire et ne dispose pas des ressources humaines suffisantes pour remplir correctement sa mission. Enfin, un membre de cette commission se trouve également à la tête de l'organe responsable du projet de carte d'identité électronique.

Quel regard porte la Commission sur l'interconnexion des banques de données fiscales, médicales et policières?

La législation européenne permet-elle d'être à la fois membre de la commission pour la protection de la vie privée et de diriger le projet de carte d'identité électronique? Quelles explications la Commission peut-elle donner à ce propos?

Un code secret donnant l'accès aux données et connu du responsable de leur traitement n'est-il pas insuffisant aux plans technique et organisationnel pour garantir la protection de la vie privée et quels sont les arguments de la Commission à ce sujet?

Réponse communeaux questions écrites E-1723/02 et E-1724/02donnée par M. Bolkestein au nom de la Commission

(26 septembre 2002)

La Commission a eu connaissance de projets de réglementations belges visant à l'introduction d'une carte d'identité digitale, et cela à l'occasion d'une notification effectuée en application de la directive 98/34/CE(1) (directive imposant la notification de projets de réglementations nationales notamment aux services de la société de l'information). La Belgique a notifié la législation en projet (référence no 2001/474/B) en demandant que les textes soient traités de manière confidentielle, en application de l'article 8, paragraphe 4 de la directive précitée. Comme suite à l'analyse de la réglementation en projet, la Commission a émis un avis circonstancié et des observations. L'avis circonstancié portait essentiellement sur les annexes techniques afin d'assurer la compatibilité de celles-ci avec les directives 73/23/CEE du Conseil, du 19 février 1973, concernant le rapprochement des législations des États membres relatives au matériel électrique destiné à être employé dans certaines limites de tension(2) et 89/336/CEE du Conseil du 3 mai 1989 concernant le rapprochement des législations des États membres relatives à la compatibilité électromagnétique(3). Les observations concernaient, quant à elles, les aspects liés à la protection des données.

La Commission relève qu'en l'état actuel, bien qu'une simplification de certaines procédures existantes relatives à l'accès ou à la communication de données à caractère personnel soit envisagée, la législation en projet ne prévoit pas spécifiquement l'interconnexion de banques de données médicales ou fiscales.

Toutefois, la Commission a conscience de l'importance des préoccupations évoquées par l'Honorable Parlementaire et elle en tiendra compte dans le contexte du processus d'évaluation de la mise en oeuvre de la directive 95/46/CE du Parlement et du Conseil, du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données(4), processus qui devrait aboutir à la fin de l'année 2002.

En tout état de cause, les traitements de données à caractère personnel, en ce compris les interconnexions, qui seront mis en oeuvre dans le contexte de la carte d'identité électronique devront être conformes à la directive 95/46/CE. Cette directive, dont le champ d'application est limité au droit communautaire, énonce les principes et conditions dans lesquels des données à caractère personnel peuvent être traitées. Elle impose notamment l'obligation de traiter les données à caractère personnel loyalement et licitement et de ne pas les traiter ultérieurement de manière incompatible avec les finalités pour lesquelles elles ont été collectées. La directive 95/46/CE contient également un principe d'interdiction de traiter des données relatives à la santé, principe assorti de diverses exceptions. Elle impose, en outre, de déterminer les conditions d'utilisation d'identifiants uniques.

Par ailleurs, la directive 95/46/CE prévoit l'obligation de garantir la protection des données contre la destruction accidentelle ou illicite, la perte accidentelle, l'altération, la diffusion ou l'accès non autorisé, ainsi que contre toute autre forme de traitement illicite. La directive 97/66/CE du Parlement et du Conseil du 15 décembre 1997 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des télécommunications, qui sera remplacée à partir du 31 octobre 2003 par la directive 2002/58/CE,(5) contient également des obligations spécifiques de sécurité en ce qui concerne les réseaux de télécommunications publics et les services de télécommunication accessibles au public.

La Commission suit avec une attention particulière les développements technologiques en ce qui concerne la sécurité des échanges de données. Elle relève dans ce contexte que le niveau de sécurité offert à travers l'utilisation d'une infrastructure à clef publique dépend non seulement

du niveau de sécurité offert par les composantes techniques de l'infrastructure mais aussi de la qualité des procédures de sécurité et surtout de la rigueur de leur mise en oeuvre (carte à puce, génération des clefs, autorité délivrant les certificats, validité des certificats, etc.).

La Commission est spécialement attentive aux technologies de sécurité utilisées pour transférer des données à caractère personnel. Elle souligne néanmoins qu'un niveau de sécurité absolu n'existe pas et que conformément à la directive 95/46/CE, le niveau de sécurité approprié au regard des risques présentés par le traitement de données à caractère personnel et la nature des données à caractère personnel à protéger, doit s'apprécier compte tenu de l'état de l'art et des coûts liés à la mise en oeuvre des mesures de sécurité.

En termes de composition des autorités de contrôle chargées de surveiller l'application des dispositions adoptées par les États membres, la directive 95/46/CE prévoit que ces autorités exercent leurs missions en toute indépendance. La directive ne fournit toutefois aucune indication supplémentaire sur la manière dont cette indépendance doit être garantie. La Commission relève à ce propos qu'en vertu de la loi belge du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel, l'autorité belge compétente en matière de protection des données est un organe collégial dont les membres sont désignés par le Parlement. Cette loi prévoit par ailleurs que les membres doivent offrir toutes les garanties leur permettant d'exercer leur mission avec indépendance. Différentes mesures sont prévues à cette fin dont l'interdiction pour les membres d'être présents lors de la délibération sur les objets pour lesquels ils ont un intérêt personnel.

La Commission rappelle par ailleurs qu'elle soutient des projets de recherche dans le domaine de la sécurité des cartes à puce. Les chercheurs Ross Anderson et Sergei Skorobogatov participent au projet G3CARD (IST-1999-26328). Ce projet poursuit un double objectif. En premier lieu, il vise à identifier l'ensemble des attaques possibles à l'encontre d'une carte (l'attaque par flash constitue effectivement un exemple d'attaques visées par ce projet). Le second objectif du projet est de développer une nouvelle génération de puce capable de résister à ces nouvelles attaques.

La carte à puce présente l'avantage d'augmenter très sensiblement le niveau de sécurité des systèmes en rendant les attaques à la fois techniquement complexes et onéreuses, et dès lors, pendant un certain laps de temps, inaccessibles aux criminels. Il est cependant clair que de nouvelles attaques seront découvertes, attaques qui nécessiteront le développement d'autres générations de puce.

Le niveau de sécurité du GSM a été adapté aux applications qui avaient été prévues par les concepteurs de la norme il y a une quinzaine d'années, applications essentiellement de téléphonie. Les nouvelles normes pour le téléphone sans fil de troisième génération prévoient une sécurité renforcée, et ce en vue de permettre des applications sensibles. Par ailleurs, la sécurité des transactions sans fil sera un des thèmes prioritaires de l'IST dans le 6e Programme cadre de recherche et développement technique de la Communauté. Dès maintenant, un des objectifs du projet de recherche Embedded Finread (IST-2000-30091) est de transposer la sécurité des terminaux de paiement à la téléphonie sans fil dont l'actuel GSM.

D'autres projets comme PKI Challenge (IST-2000-25012) et Digisec (IST-1999-20981) travaillent au développement de la signature électronique et de son infrastructure PKI corollaire. Le projet NESSIE (IST-1999-12324) définit de nouveaux algorithmes cryptographiques et Verificard (IST-2000-26328) se concentre sur la vérification de la sécurité du logiciel embarqué sur la carte. Des projets comme UFACE (IST-1999-11587) ou BANCA (IST-1999-11159) se concentrent, quant à eux, sur les aspects techniques de la biométrie.

Le projet Smartcities (IST-1999-12252) se consacre à une carte urbaine. Cependant il a le mérite d'inventer des mécanismes pour garantir la sécurité des données. Smartcities considère que la protection des données deviendra un argument commercial. Ses mécanismes pourraient ensuite être réutilisés par d'autres projets.

(1) Directive 98/34/CE du Parlement et du Conseil du 22 juin 1998 prévoyant une procédure d'information dans le domaine des normes et réglementation techniques, JO L 204 du 21.7.1998.

(2) JO L 77 du 26.3.1973.

(3) JO L 139 du 23.5.1989.

(4) JO L 281 du 23.11.1995.

(5) JO L 24 du 30.1.1998 et JO L 201 du 31.7.2002.