POINTS ESSENTIELS À RETENIR
Par Dr. Joseph J. Atick, PDG, ID4Africa.
C’était la fin parfaite d’une Réunion Annuelle très réussie. Une fois encore, la dernière session plénière d’ID4Africa 2019 — L’identité format Fishbowl — a été un événement fort attendu, comme chaque année depuis son lancement à ID4Africa 2016. Pour ceux qui débutent avec ce terme, il s’agit d’une session débat où l’audience est le panel. Pendant deux heures passionnantes, le Fishbowl permet à un public motivé de faire part de ses commentaires sur les questions et thèmes abordés au cours de la conférence de trois jours. Ce faisant, il offre le potentiel de fournir un résumé rassemblant les principaux messages à retenir de la Réunion Annuelle.
Bien que je modère le Fishbowl ID4Africa depuis le début, c’est une session qui continue de susciter mon enthousiasme en raison de sa nature imprévisible et énergique qui ne manque jamais d’attirer les fans fidèles et les débutants désireux de faire partie de ce qui ne peut qu’être décrit comme une expérience purement unique. J’ai rejoint la séance avec une préoccupation majeure: la focalisation. Bien que la canalisation de la dynamique de la foule soit un domaine familier pour moi, la discussion risque toujours de dérailler. Dans une salle de plus de 500 participants désireux d’intervenir, on ne peut jamais déterminer si la foule partagera une perspective cohérente sur les sujets prioritaires à discuter. Le public pourrait simplement prendre la conversation dans des directions aléatoires, au lieu de la faire avancer vers une volonté collective claire et présente.
POUR MOI, LA FACILITÉ AVEC LAQUELLE LA CONVERSATION S’EST DÉROULÉE AU FISHBOWL DE CETTE ANNÉE ÉTAIT LE REFLET DE LA MATURITÉ ATTEINTE PAR LA COMMUNAUTÉ IDENTITAIRE AUTOUR DES QUESTIONS D’IDENTITÉ EN AFRIQUE.
Pourtant, il y avait quelque chose de radicalement nouveau cette année. Dès le début de la session, il devint clair que je n’avais pas besoin de diriger la conversation avec rigueur - elle coulait naturellement et une énergie collective envahissait la salle et faisait avancer la conversation. La conversation n’était pas alimentée par des curiosités décousues, mais par un besoin urgent de savoir. Cet effet a été alimenté par des professionnels qui cherchaient à obtenir les commentaires de leurs pairs afin d’affiner leurs plans pour les programmes qu’ils étaient sur le point de lancer ou d’élargir.
CE QUI SUIT SONT LES PRINCIPALES CONCLUSIONS QUI ONT ÉMERGÉ DE LA SESSION FISHBOWL.
STRATÉGIES EFFICACES POUR LA PRESTATION DE SERVICES
Dès le départ, le public cherchait des stratégies efficaces pour la fourniture de services liés à l’identité. L’affaire de l’État d’Andra Pradesh (AP) en Inde a immédiatement été citée comme une expérience riche en enseignements précieux à cet égard. Au cours des dernières années, AP avait réussi à associer un large éventail de services à une identité unique (Aadhaar), à la satisfaction et à la participation élevée de la population. Alors, quelle a été la clé de ce succès? Heureusement, des chercheurs (du Center for Global Development) ayant une connaissance directe de cette expérience, étaient présents dans l’auditoire et ont pu éclairer la discussion. Ils ont révélé que la clé du succès de l’AP résidait dans le fait que leur stratégie de prestation de services reposait sur quatre principes:
Inclusion totale: Rendre les services accessibles à tous.
Plan B: s’assurer que chaque service peut être utilisé universellement, avec des plans alternatifs mis en place en cas de panne.
Portabilité: permettre aux gens de choisir leur fournisseur de services.
Voix: écouter les réactions des utilisateurs et de la société civile afin de résoudre les problèmes et d’améliorer la prestation de services en temps réel.
Un consensus s’est rapidement dégagé autour de l’importance de mettre en place des mécanismes permettant aux utilisateurs d’évaluer et de rendre compte de manière transparente de la qualité de service reçue. L’idée étant que ces informations devraient être surveillées et utilisées par le fournisseur pour améliorer continuellement la fourniture de services, ce que font précisément les autorités de AP.
LE CITOYEN COMME CLIENT
L’expérience de l’Andra Pradesh est un bon exemple à suivre mais, rétrospectivement, elle n’a rien d’étonnant. Les personnes expérimentées dans la fourniture de services de tous types - pas seulement en relation avec l’identité - témoigneraient que le succès passe par la création de services hautement disponibles, par le choix qui s’offre et par le retour d’informations client pour améliorer en permanence les performances. Mais quelque chose de nouveau est apparu dans ce dialogue Fishbowl, qui avait trait à la manière dont les autorités de l’identité percevaient leurs rôles. Un changement clair est devenu visible au cours des années précédentes; les autorités commencent à considérer les citoyens comme des clients et sont maintenant conscientes que leur succès sera mesuré à l’aune du critère de satisfaction de la clientèle.
Dans ce contexte, la question est passée de la création de services hautement disponibles à celle d’inciter les clients à participer au moyen d’une proposition de valeur pratique et convaincante. Mais voici alors qu’un cercle vicieux a fait surface. Pour créer des services liés à l’identité, il faut d’abord mettre en place un système d’identité couvrant une partie substantielle de la population. La question a ensuite été abordée: qu’est-ce qui vient en premier: des services pour inciter les gens à s’inscrire? Ou des schémas d’identité pour promouvoir le développement de services?
C’EST LE DÉBUT D’UNE ÉVOLUTION, OÙ LES AUTORITÉS DE L’IDENTITÉ DEVIENNENT FACILITATEURS DE SERVICE, ET CETTE PRISE DE CONSCIENCE ÉTAIT PALPABLE DANS LA DISCUSSION QUI A SUIVI.
MISE EN PLACE D’INCITATIONS
L’audience a convenu que le fait de motiver les citoyens à s’inscrire lorsqu’il n’existe pas de services prêts à cela, est un défi de taille. Certains pays, dans l’espoir d’amorcer le système, ont décidé d’adopter des lois rendant obligatoire l’enregistrement des cartes d’identité. C’est le cas du Nigéria par exemple. Mais même dans ce cas, il y a un changement dans la manière dont on parle d’identité dans les campagnes de sensibilisation, afin de mobiliser la population. Plutôt que de permettre au public de considérer cela uniquement comme une exigence de la loi, on lui rappelle - par l’intermédiaire de fournisseurs de services publics tels que ceux qui délivrent des passeports, des permis de conduire, etc. - que leur numéro d’identité national (NIN) peut leur permettre de disposer de nombreux services, à portée de main. La leçon à retenir est que, même pour les systèmes d’identité de base tels que ceux proposés par NIMC au Nigéria, le gouvernement doit veiller à ce que des services fonctionnels de grande valeur utilisant l’identité de base soient prêts, afin d’encourager les inscriptions.
Cela est particulièrement évident dans les cas où des registres d’identité fondateurs sont établis par le biais de campagnes d’enregistrement en masse. Celles-ci sont notoires pour le stress qu’elles ont tendance à causer à la population, les gens faisant souvent la queue pendant de longues heures sans être enregistrés à cause de diverses défaillances techniques et opérationnelles, ou à cause d’une mauvaise planification des capacités.
EN RÉSUMÉ, LES GOUVERNEMENTS DOIVENT S’ASSURER QUE LES SERVICES ESSENTIELS SONT PRÊTS AVANT DE LANCER DES CAMPAGNES D’ENREGISTREMENT MASSIVES, SOUS PEINE DE PERDRE LA BONNE VOLONTÉ DU PUBLIC.
SERVICES PRIORITAIRES
Heureusement, de nombreux services dans la société actuelle sont hautement appréciés par les citoyens ou les organisations (tels que les partis politiques) qui en dépendent, et leur développement devrait être une priorité. Ceux-ci incluent:
Elections
Services sociaux
Inclusion financière
Santé
Si ces fonctions sont liées à un système d’identité fondamental, elles offrent une excellente occasion de motiver la population à s’inscrire. Mais ici, il y a deux points à garder à l’esprit:
Délimitation des données: il est nécessaire de clarifier quelles données d’identification sont collectées, stockées dans les systèmes de base et fonctionnels, comment le lien entre elles est établi et comment les données sont mises à jour. Cela peut être une tâche non triviale et souvent controversée, en particulier dans des contextes politiques.
Eviter l’exclusion: en liant des fonctions aussi fondamentales que le vote, la santé ou l’inclusion financière à un système fondamental, le gouvernement doit mettre en place des mécanismes sur place pour inscrire les personnes en quête de services qui ne seraient pas déjà inscrites au système d’identité fondamental. Le fait de rediriger les demandeurs de service vers des bureaux d’inscription hors site risque de les priver de certains droits. Le processus doit être sans friction et capable d’inscrire automatiquement les personnes cherchant un service fonctionnel au sein du schéma de base, sans causer de soucis ni de coûts supplémentaires.
RISQUES LIÉS À L’IDENTITÉ
Même lorsque les services ont une grande valeur et sont souhaitables, il reste un obstacle très important que les gouvernements doivent surmonter, à savoir gagner la confiance des utilisateurs. Le problème de la confiance est plus critique pour les systèmes d’identité car ceux-ci exploitent et génèrent des données personnelles très sensibles, ce qui crée plusieurs risques, identifiés dans la discussion:
Agrégation de données: la somme est plus importante que les parties. Les numéros d’identité uniques permettent l’agrégation de données dans lesquelles les actions d’un individu peuvent être consolidées pour extraire un profil personnel invasif. Il est donc facile de comprendre la peur que les gens peuvent avoir au sujet de l’abus potentiel d’épuisement des données dans les pistes d’audit, en particulier des données qui ne sont pas générées par une inscription contrôlée (où le consentement peut être recueilli) mais par une utilisation basée sur l’identité. L’inquiétude s’est accrue avec l’avènement des outils d’intelligence artificielle et d’exploration de données capables d’extraire des informations prédictives. À l’extrême, cette crainte pourrait avoir un effet dissuasif, inhibant les actions courantes des citoyens - un résultat que l’Assemblée a décidé de ne pas laisser se produire.
Vente de données: on sait que les gouvernements, faute de budgets appropriés, vendent des données à des entreprises du secteur privé avides d’informations qui voient dans ces données des mines d’or destinées à cibler des clients. Plusieurs exemples ont été cités au cours de la session et quelques jours seulement après le Fishbowl, il a été annoncé que la Commission électorale du Ghana avait vendu sa base de données d’identité à des entités commerciales en violation de la loi.
Failles de sécurité: les pirates ciblent les référentiels d’identités, en particulier les identifiants d’identité numérique, car ils sont perçus comme la clé d’un monde de services. La sécurisation des données d’identité contre les atteintes à la confidentialité s’est révélée être un défi majeur pour la communauté informatique et une source de préoccupation légitime pour les citoyens ordinaires qui se demandaient si leurs informations personnelles pourraient être protégées des fraudeurs d’identité cherchant à leur nuire.
L’audience a convenu que le niveau de risque variait en fonction de l’architecture de l’ensemble du système, et plus particulièrement de la manière dont les données d’identité étaient stockées et de la manière dont l’authentification était effectuée. À cet égard, les points suivants ont été soulevés:
Les bases de données centralisées constituent le risque le plus élevé, en particulier si elles sont accessibles en ligne à distance (utilisées pour effectuer une authentification en ligne directement). Leurs risques peuvent être internes (malversations, abus de la part du gouvernement) ou externes (piratage). Ces bases de données créent des tentations et des opportunités faciles pour envahir la vie privée et menacer le libre arbitre. Comment sécuriser des bases de données centralisées a été identifié comme une activité hautement prioritaire pour la communauté identitaire.
Les jetons de session ou les informations d’identification et d’accès limitées, dérivés d’une base de données d’identité centralisée, ont été identifiés comme des concepts prometteurs pouvant être utilisées pour protéger la base de données principale contre les risques identifiés, tout en permettant simultanément l’accès au service. Le sujet est encore en développement et mérite des explorations plus approfondies.
Les cartes d’identité sécurisées traditionnelles ont été identifiées comme hautement souhaitables pour des raisons de confidentialité lorsqu’elles sont utilisées pour l’authentification. Celles-ci permettent d’effectuer des transactions sécurisées hors ligne sans que les données soient transmises du point de service à un emplacement centralisé. Ces cartes peuvent être à puce ou sans puce, grâce à la technologie d’impression et à des hologrammes, dans la mesure où elles sont liées à une identité (par exemple, au moyen d’un code QR unique lié à un élément biométrique). L’authentification peut se faire via un périphérique au point de service ou peut être effectuée par un agent humain. Un problème identifié avec les informations d’identification traditionnelles hors connexion provient du fait que l’utilisateur ne peut pas contrôler les données qui sont partagées au moment de l’authentification, car les données stockées dans les informations d’identification hors connexion ne sont pas dynamiques. Elles sont codées au moment de l’émission et, afin d’améliorer la polyvalence, peuvent contenir des informations qui dépassent le strict minimum nécessaire pour un service spécifique. Par exemple, pour acheter de l’alcool, il suffit de procéder à une vérification de l’âge et il n’est pas nécessaire de fournir la date de naissance de l’individu ou son lieu de naissance.
Les identifiants mobiles stockés sur l’élément sécurisé des téléphones mobiles pourraient offrir une solution renforcée de protection de la confidentialité, tant que l’utilisateur est assuré que ni les identifiants d’identité ni les données de transaction ne sont transmis à un référentiel central. Ces jetons peuvent permettre à l’utilisateur de contrôler les informations accessibles par une application donnée (vérification de l’âge au lieu de partager une date de naissance complète, par exemple).
CONSTRUIRE LA CONFIANCE
La motivation, les opportunités et les moyens d’abuser des bases de données d’identité sont clairs et présents. Ils représentent l’obstacle le plus important à surmonter pour que les systèmes d’identité soient acceptés par la population, même si leur proposition de valeur pour la prestation de services est clairement établie. Le public s’est engagé dans un débat houleux sur des mécanismes efficaces pour établir la confiance dans ces systèmes. Parmi les questions abordées figuraient:
L’engagement national en matière de protection des données et de la vie privée: aucun système d’identité ne devrait fonctionner en l’absence de lois protégeant le droit fondamental des personnes à la vie privée. Ce fut un moment décisif pour une Réunion Annuelle qui a accueilli un nombre important d’autorités chargées de protection des données (APD) en tant que parties prenantes de la communauté de l’identité et où l’attention à la protection des données et à la vie privée était une priorité absolue. Le sujet a fait l’objet de plusieurs activités, notamment la Table ronde des autorités africaines de la protection des données (acronyme de l’anglais RADPA) qui s’est tenue le premier jour de la Réunion Annuelle, le panel Pleins feux sur la protection des données et de la vie privée le deuxième jour et le panel spécial Utilisations appropriées de l’identité, qui a précédé le Fishbowl le troisième jour.
Autonomisation juridique: la population doit comprendre la loi afin de comprendre ses droits et les recours qui s’offrent à elle si elle estime avoir été lésée. Cela a été identifié comme l’un des rôles importants que la société civile pourrait jouer. En accompagnant les personnes et en leur donnant la possibilité de connaître et de faire valoir leurs droits, elles peuvent aider à renforcer la confiance dans ces systèmes.
Protection de la vie privée dès la conception (Privacy by Design en anglais, ou PbD): il est important de créer une PbD afin que, même lorsque les gouvernements vont mal, leur capacité à exploiter les données soit limitée. L’utilisation d’identifiants intelligents hors connexion pouvant permettre des transactions anonymes sans générer de données de trace d’audit est un exemple de PbD. Le public a ressenti le besoin de poursuivre la R & D et la mise en place de normes autour de ce sujet pour guider les efforts nationaux visant à mettre en place des systèmes d’identité responsables au-delà du simple déploiement d’informations de connexion hors ligne.
Transparence: il est important que le gouvernement collabore directement avec le public et s’associe à la société civile pour expliquer les objectifs pour lesquels les données seront collectées, leur bénéfice pour la population, et comment les données seront traitées et stockées, ainsi que pour combien de temps. Ce sont les ingrédients de cadres de protection des données responsables qui sont maintenant répandus dans le monde entier, et l’Afrique ne devrait pas faire exception.
Vaste étendue de la protection: la question de la protection des données et de la vie privée doit couvrir non seulement les autorités de l’identité et les agences gouvernementales, mais doit être exhaustive pour inclure le secteur privé, les ONG et les agences de développement, qui collectent des données sur des individus.
Limitation des exceptions relatives à la sécurité nationale: l’accès aux bases de données d’identification par les organisations de sécurité nationale, qui cherchent souvent à échapper à la réglementation sur la protection des données au nom des intérêts de la sécurité nationale, a également été évoqué. Il s’agit d’un problème qui ne se limite pas à l’Afrique, dans la mesure où des exceptions à la sécurité nationale dans l’utilisation des systèmes d’identité existent dans le monde entier. Il n’est pas clair comment aborder cette question dans un contexte de menace non spécifique, mais la discussion a clairement montré la nécessité d’une proportionnalité pour justifier un accès irrégulier et un équilibre par rapport aux droits de l’homme pour restreindre les actions de ces agences au sein de limites acceptables.
FAIRE CONFIANCE MAIS VÉRIFIER QUAND MÊME
Il est clair que l’obtention de la confiance n’est pas le résultat d’une seule action (même si elle peut être perdue par une seule mauvaise action). Comme toute relation, cela nécessite un engagement continu et une concentration constante sur le renforcement de la confiance. Pour cela, l’audience a estimé qu’il était nécessaire de mettre en place des mécanismes permettant aux individus de vérifier que les pratiques gouvernementales continuent de mériter leur confiance. Parmi les idées soulevées:
Responsabilité: les agences gouvernementales qui détiennent des données doivent répondre en temps voulu aux citoyens leur demandant quelles données sont stockées à leur sujet et qui a accédé à ces données au cours d’une certaine période.
Notifications automatiques (ou notifications push): plus important encore, les notifications automatiques sont apparues comme un moyen plus efficace de créer un climat de confiance, dans la mesure où elles n’imposent pas un fardeau d’action aux individus. Si l’on accède à un enregistrement de données concernant une personne, celle-ci doit être informée - par un canal ou un choix de communication donné, un courrier électronique, un texto, etc., de cet accès et de son objectif. En Estonie, par exemple, un médecin peut accéder au dossier médical numérique d’un patient se présentant pour une consultation. Ceci est considéré comme un accès acceptable. Mais si le dossier est rouvert 10 jours après la consultation, le patient en serait automatiquement informé et le médecin serait obligé de répondre aux questions que le patient pourrait poser sur cet accès.
Audits: tous les systèmes d’identité - ainsi que leurs opérateurs, agences gouvernementales et fournisseurs - devraient être accessibles pour les audits tiers légitimes, indépendants et périodiques, ainsi que pour les rapports aux APD, afin de vérifier leur conformité avec les lois sur la protection des données et autres lois.
Application: la question des audits a également soulevé la question de la mise en vigueur. Les autorités chargées de la protection des données devraient être habilitées à appliquer la loi par des sanctions et des actions en justice. Cela implique que les autorités de protection des données aient la capacité d’agir à cet égard.
IL Y A EU UN CONSENSUS SUR LE FAIT QUE LA VÉRIFICATION PEUT ÊTRE BÉNÉFIQUE POUR TOUS, CAR ELLE AIDE L’INDIVIDU À FAIRE CONFIANCE AU SYSTÈME, PERMET À L’AUTORITÉ DE L’IDENTITÉ DE MAINTENIR LA TRANSPARENCE (GAGNANT AINSI DE LA BONNE VOLONTÉ) ET PERMET À L’AUTORITÉ DE PROTECTION DES DONNÉES DE MAINTENIR UN ÉCOSYSTÈME DE DONNÉES PERFORMANT POUVANT CONTRIBUER AU DÉVELOPPEMENT, PLUTÔT QUE DE L’ENTRAVER.
RENFORCEMENT DES CAPACITÉS
DE L’AVIS GÉNÉRAL, LE CONTINENT N’A TOUJOURS PAS LES CAPACITÉS NÉCESSAIRES POUR CONCEVOIR, CRÉER ET EXPLOITER DES SERVICES ÉLECTRONIQUES APPROPRIÉS FONDÉS SUR L’IDENTITÉ.
La question du renforcement des capacités est devenue la principale préoccupation de nombreux organismes gouvernementaux en Afrique. Il ne suffit pas d’importer des technologies, des solutions ou des plates-formes. L’Afrique a besoin de ressources pour utiliser, personnaliser et développer davantage ces plates-formes. Par exemple, avant que les logiciels libres (opensource) ne deviennent une option intéressante pour l’Afrique, il faut investir dans le renforcement des capacités sur tout le continent afin d’accroître le nombre de talents disponibles pour traiter avec des systèmes aussi complexes.
Dans un sens, le problème de blocage du fournisseur ou de la technologie, identifié comme un obstacle majeur l’année dernière, est intimement lié au manque de capacité. Pour résoudre ce problème, il est souhaitable de lancer des programmes pouvant fournir une formation initiale et continue, ainsi qu’une certification, afin de garantir un niveau constant de talents. Cela nécessite une coopération renforcée avec les donateurs et les agences de développement.
Certaines des agences présentes ont corroboré leurs propos en témoignant de la fuite des cerveaux qui se produit en particulier dans les départements informatiques, où employeurs internationaux et du secteur privé continuent d’attirer les talents avec de meilleurs salaires et avantages.
HARMONISATION RÉGIONALE
Bien qu’il y ait encore des frontières en Afrique, la croissance des entreprises exige des marchés sans frontières, ce qui crée des attentes quant aux systèmes d’identité nécessaires. Il est clair que ces systèmes doivent interagir au sein des régions et permettre ainsi une authentification en dehors du pays d’origine.
Des normes de confiance au sein d’une région doivent être développées afin que les niveaux de confiance puissent être comparables d’un pays à l’autre. Le “Cadre de confiance pancanadien” en matière d’identification est un bon exemple à explorer. Il constitue une étape importante pour l’écosystème canadien de l’identité numérique. Le Règlement européen eIDAS en est un autre. Les deux représentent les pierres angulaires des tentatives de construction de zones économiques fondées sur une identité et des normes de confiance solides. Il a été révélé que la Commission économique des Nations Unies pour l’Afrique (CEA) travaille sur un cadre de confiance p anafricain q ui s era p résenté en 2020 à l’Union africaine (UA) à l’appui de l’Accord de libre-échange continental africain (APECA), un jalon important pour l’Afrique, signé le 7 juillet 2019, quelques semaines après le Fishbowl, et qui devrait créer la plus grande zone de libre-échange au monde. La CEA s’est déclarée intéressée par une collaboration avec le Conseil ID4Africa pour l’identité pour valider le cadre et le peaufiner avant de le présenter pour adoption à l’UA. Bien qu’il s’agisse d’une étape politique très importante, la question de l’intégration régionale et de l’harmonisation de l’identité demeurera un défi, car elle soulève une multitude de problèmes opérationnels qui doivent être réglés avant l’émergence d’un écosystème véritablement interopérable, comme nous avons pu le constater en Europe. ID4AFRICA s’engage à soutenir cet effort et consacrera une session aux cadres de confiance et à l’identité interopérable à la Réunion Annuelle de 2020. De tels cadres de confiance traiteraient idéalement de la confidentialité transfrontalière et de la protection des données, même lorsque les normes juridiques en matière de protection des données ne sont pas encore harmonisées.
SI VOUS AVEZ AIMÉ CE BLOG, RESTEZ À L’ÉCOUTE POUR LE PROCHAIN CHAPITRE, OÙ JE M’INTERROGE SUR CE QUE J’AI ENTENDU AU SUJET DU TYPE D’IDENTITÉ QUE RECHERCHE L’AFRIQUE.