L’Agence espagnole de protection des données (AEPD) a récemment émis une résolution de sanction à l’encontre du gouvernement régional de Castille-La Manche (exp. EXP202406805) qui met une fois de plus en lumière un problème récurrent : Est-il correct que la carte d'identité des employés du secteur public apparaisse dans les signatures électroniques et les documents signés ?
Nous expliquons ci-dessous les aspects juridiques et l'impact pratique de cette résolution, ainsi que la situation actuelle des certificats numériques tels que T-CAT.
Qu’a résolu l’AEPD ?
La résolution examine si le fait de contenir, dans des documents signés électroniquement par des fonctionnaires, des données telles que… nom, prénom et pièce d'identité du signataire, accessible aux tiers.
Selon l'AEPD :
- Le DNI est une donnée grande sensibilité, car elle permet d'identifier une personne directement et sans équivoque et comporte des risques élevés tels que l'usurpation d'identité.
- Son inclusion dans des signatures ou des marques visibles peut représenter un traitement excessif des données.
Elles sont potentiellement violées :
- el principe de minimisation des données (art. 5.1.c RGPD)
- et le début de protection des données dès la conception et par défaut (art. 25 RGPD)
Pour cette raison, l'AEPD conclut qu'il serait nécessaire Évitez d'inclure le numéro d'identification national (DNI) dans les informations visibles des documents signés., en optant pour des mécanismes d'identification moins intrusifs.
Ce n'est pas un débat nouveau.
L’AEPD s’était déjà exprimée dans le même sens dans le rapport 0088/2020, où elle déclarait que :
- Le DNI Il ne s'agit pas de données qui doivent figurer dans les actes administratifs.
- Il ne doit pas figurer dans la signature électronique ni dans les certificats.
Il serait nécessaire d'adapter la réglementation et de promouvoir des solutions alternatives telles que :
- identifiants professionnels
- informations sur la position ou l'unité
- ou même des pseudonymes dans certains cas
En d'autres termes, l'AEPD elle-même souligne que la solution réside dans une modification réglementaire du système de certification numérique.
Que s'est-il passé dans ce cas précis ?
Dans le cas de Castille-La Manche, l'AEPD constate une infraction, mais n'inflige pas de sanction (étant donné qu'il s'agit d'une administration publique).
Il requiert en revanche :
- retirer la carte d'identité de la propriétés visibles lors de la vérification des documents
- adapter les systèmes pour qu'ils se conforment au principe de minimisation
- accréditer les mesures adoptées dans un délai de 6 mois
Quel est le problème sous-jacent ?
Voici le point essentiel : Il existe un conflit entre les réglementations en matière de protection des données et les réglementations en matière de certification numérique.
- La loi 6/2020 du 11 novembre 2020, réglementant certains aspects des services de confiance électroniques, oblige les prestataires de services de confiance à inclure le numéro d'identification national (DNI) dans les certificats numériques.
- De plus, les profils de certificat de l'Administration générale de l'État exigent que le DNI figure dans plusieurs champs du certificat (tels que Nom commun)
- Ces données constituent une partie structurelle du certificat et sont nécessaires à son fonctionnement. validation et interopérabilité
Pour cette raison, les prêteurs comme l'AOC ne peut être modifié unilatéralement le contenu des certificats sans enfreindre la réglementation en vigueur. L'AEPD elle-même admet que la solution nécessite une amendement législatifIl ne s'agit pas d'une décision technique des prêteurs.
Et les certificats avec pseudonyme ?
Bien que la réglementation prévoie des certificats comportant des identifiants professionnels ou des pseudonymes, ceux-ci :
- ne peut être émis que dans cas très spécifiques (sécurité publique, informations classifiées, etc.)
- ne s'appliquent pas généralement à tous les employés du secteur public
De quelles solutions pratiques disposent les administrations publiques ?
En attendant la modification de la réglementation, les administrations peuvent appliquer des mesures visant à réduire la visibilité de la carte d'identité:
1. Ne pas afficher la pièce d'identité dans l'image de signature
Les programmes de signature vous permettent de configurer les données affichées. ne supprime pas le DNI du certificatmais l'empêche d'apparaître visiblement dans le document. Voyez comment éviter l'identifiant d'image de signature
2. Générer des copies électroniques authentiques
Ils permettent :
- masquer l'ID dans les propriétés de l'image et de la visibilité
- remplacer par les données minimales du signataire
Ces copies ont valeur légale si elles sont accompagnées du sceau de l'organisation. Voir comment générer un còpia authentifier et masquer l'identifiant de l'image et des propriétés visibles:
3. Utiliser d'autres mécanismes
Par exemple, les scellés électroniques et les codes de vérification sécurisés (CSV).
Conclusions
- L'AEPD considère que l'affichage du numéro d'identification national (DNI) dans les documents signés peut constituer une violation du RGPD.
- La réglementation actuelle relative aux certificats nécessite de l'inclure, engendrant un conflit réglementaire.
- Des prestataires de services de confiance comme AOC Ils ne peuvent pas supprimer le DNI des certificats..
- La solution définitive passe par un réforme réglementaire étatique et européenne.
- Parallèlement, les administrations doivent mettre en œuvre des mesures pour minimisation dans la visualisation et l'accès aux données.
