L'ignorance n'est pas une excuse, même de bonne foi

Vous l’ouvrez plusieurs fois par semaine : pour votre banque, votre déclaration d’impôts, un dossier médical, la signature d’un contrat.

Savez-vous à qui il appartient ?

itsme n’appartient pas à l’État. L’application a été construite par le consortium Belgian Mobile ID, qui réunit quatre banques (Belfius, BNP Paribas Fortis, KBC/CBC et ING) et trois opérateurs télécoms (Orange Belgium, Proximus et Telenet). L’État n’y est entré qu’à la mi-2021 : la Société fédérale de participations et d’investissement a alors pris 20 % du capital, et elle reste actionnaire.

Regardez dans quel ordre les choses se sont faites.

Les banques et les télécoms ont construit d’abord. L’État est arrivé ensuite, comme actionnaire minoritaire.

En 2025, itsme a dépassé les huit millions d’utilisateurs. Environ 80 % des Belges de plus de seize ans en ont un, et il traite 594 millions d’opérations par an.

Pendant ce temps, l’État construit une autre application, MyGov.be, portée par le SPF Stratégie et Appui, qui a choisi Zetes en juillet pour l’infrastructure de signature électronique. Dans les tableaux de suivi européens, la Belgique est rangée parmi les pays qui disposent déjà d’une application, avec une mise à niveau confirmée. Selon la presse, itsme devrait s’y raccorder.

L’une ne remplace donc pas l’autre : les deux vont se chevaucher.

L’échéance du 24 décembre

D’ici au 24 décembre 2026, chacun des vingt-sept États membres doit proposer à ses citoyens au moins un portefeuille d’identité numérique certifié. Le compte à rebours a commencé avec l’entrée en vigueur des premiers règlements d’exécution, en décembre 2024, et il s’arrête la veille de Noël.

Il reste quatre mois. Et au 3 août 2026, aucun pays n’a livré de portefeuille certifié.

Le Danemark est le plus avancé : AltID est en production depuis le 3 juin. Mais son registre des parties utilisatrices, c’est-à-dire des services qui accepteront le portefeuille, ne répond pas encore à la définition d’eIDAS 2.0. À l’échelle européenne, l’infrastructure de certification elle-même est encore en construction.

En début d’année, l’ENISA, l’agence européenne de cybersécurité, a résumé la situation ainsi : aucun portefeuille EUDI n’a été déployé ni certifié, et la spécification est encore en cours d’élaboration.

Certains pays ont déjà prévu d’arriver en retard. L’Allemagne, qui a engagé 79,3 millions d’euros, vise le 2 janvier 2027, soit neuf jours après la date limite. Selon une évaluation de janvier, 12 États membres sur 27 seulement étaient en bonne voie pour la fin de l’année.

Et même là où le portefeuille arrivera à temps, un autre problème demeure. Dans une enquête menée auprès de 2 000 adultes en France et en Allemagne, 51 % n’avaient pas entendu parler du portefeuille EUDI. Et 27 % en avaient entendu parler sans savoir à quoi il sert. Seul un sur cinq en a une idée un tant soit peu claire.

Une infrastructure que la loi rend obligatoire arrive donc dans quatre mois, et la moitié des personnes concernées ignorent qu’elle existe.

De quoi s’agit-il, au juste

D’après ces chiffres, quatre personnes sur cinq ne savent pas ce que c’est. Commençons donc par là.

C’est une application sur votre téléphone. On peut y ranger une carte d’identité, un permis de conduire, une attestation d’assurance, un diplôme. Quand un service doit vérifier quelque chose, le portefeuille ne montre que ce dont il a besoin.

Au bar, il indique que vous avez plus de dix-huit ans, rien de plus : ni votre nom, ni votre date de naissance, ni votre adresse. À l’hôpital, il transmet vos droits à l’assurance, et le reste ne bouge pas.

C’est du moins ce que prévoit sa conception. Ce texte cherche à savoir si cette promesse est tenue.

itsme ne vérifie pas qui vous êtes

Ici, le problème tient moins à un malentendu qu’à une information qui n’est pas passée. L’explication n’a pas atteint son public, et beaucoup d’entre nous, moi y compris, ont comblé le vide par des suppositions.

itsme ne vérifie pas votre identité : il confirme votre présence.

Concrètement, quand vous vous connectez, le système ne se demande pas qui est cette personne. Il vérifie deux choses : le lien enregistré au départ est-il encore valable, et quelqu’un est-il en train de l’utiliser en ce moment ?

La vérification d’identité n’a eu lieu qu’une fois, à l’inscription, par la procédure de connaissance client de votre banque ou par la carte d’identité électronique. Ensuite, chaque connexion confirme une présence, pas une identité.

On objectera, à juste titre, que tout cela repose quand même sur l’eID. C’est vrai : en tant que système, itsme dépend d’une vérification d’identité.

Ce qui compte, c’est où se situe cette dépendance. Elle intervient à l’inscription, et c’est la banque qui s’en charge. L’État n’a pas cessé de vérifier les identités ; son rôle consiste désormais à reconnaître ce qu’une banque a vérifié.

[Prémisse] Et si prouver que l’on existe, sans dire qui l’on est, était déjà la norme dans la vie courante ?

Ce n’est pas une prédiction. La suite du texte part de cette hypothèse pour regarder le présent autrement.

Pourquoi un État ne peut pas construire cela

Un État ne peut pas construire un tel système. Ce n’est pas une question de volonté, mais de structure.

Une infrastructure d’identité ne survit que si l’on s’en sert souvent. Un identifiant dont on a besoin une fois par an s’oublie : le mot de passe se perd, l’application finit supprimée. Ne survit que ce qu’on utilise chaque semaine.

Or un État n’a pas affaire à ses citoyens chaque semaine. Une banque, si. Un opérateur télécom aussi.

Ces quatre systèmes sont nés dans le privé, et aucun ne s’est imposé parce qu’un gouvernement l’exigeait. Chacun est devenu le moyen le plus rapide de se connecter à sa banque, à son assurance ou à un site marchand. Il est ainsi devenu indispensable, puis la norme de fait.

Pour un seul pays, on pourrait invoquer la culture. Quand cela se produit dans quatre, l’explication est structurelle.

Dans ce tableau, le cas le plus parlant est celui de la Suède.

Alors que BankID y atteint 99 %, la Suède a programmé la certification de son portefeuille public pour 2029 : prêt à être certifié en 2028, certifié en 2029. Soit trois ans après l’échéance légale. La Suisse, elle aussi, regarde au-delà de 2026.

Difficile de parler de négligence. Quand 99 % des gens utilisent déjà quelque chose qui marche, un portefeuille public n’a rien d’urgent. Plus un système d’identité privé fonctionne bien, plus le portefeuille de l’État recule. Le règlement n’avait pas prévu cela.

Ce que la loi demandait, et ce que la conception a livré

Jusqu’ici, on n’a fait que remettre en ordre des faits connus. C’est maintenant que le bât blesse.

eIDAS 2.0 ne se contente pas de recommander la protection de la vie privée : il l’impose.

L’article 5 bis, paragraphe 16, prévoit qu’une fois une attestation d’attributs délivrée, le cadre ne doit pas permettre au prestataire, ni à aucune autre partie, d’obtenir des données qui permettraient de suivre, relier ou corréler les transactions ou le comportement de l’utilisateur, sauf si celui-ci l’a explicitement autorisé. Le même paragraphe exige de rendre possibles des techniques de protection de la vie privée qui garantissent l’inchaînabilité lorsqu’il n’est pas nécessaire d’identifier l’utilisateur. Le paragraphe 4 exige que la divulgation sélective soit possible.

En clair : si un bar vérifie que quelqu’un a plus de dix-huit ans et qu’un hôpital vérifie l’assurance de cette même personne, les deux ne doivent pas pouvoir croiser leurs fichiers et découvrir qu’il s’agit de la même personne.

Voilà ce que la loi a demandé. Plus précisément, elle l’a demandé là où l’identification de l’utilisateur n’est pas nécessaire. La condition est bien réelle, mais l’exigence aussi.

En juin 2024, la Commission a réuni des cryptographes et leur a demandé d’examiner la conception telle qu’elle était alors. Leur réponse : la conception n’atteint pas les exigences de vie privée fixées par le règlement, parce qu’elle repose sur des méthodes cryptographiques qui n’ont pas été conçues pour y répondre. Ils concluaient qu’une refonte en profondeur était nécessaire et renvoyaient aux accréditations anonymes, la famille BBS, connue des chercheurs depuis plus de vingt ans.

Deux ans plus tard, le 15 avril 2026, la Commission annonçait que l’application de vérification de l’âge était techniquement prête. La documentation technique de la même période indique, elle, que la prise en charge d’une preuve à divulgation nulle de connaissance est à venir.

On est tenté, ici, de chercher des intentions : qui a bloqué, et pourquoi.

Ce n’est pas nécessaire. La structure en dit assez.

• Celui qui a besoin de l’anonymat, c’est le citoyen.
• Ceux qui doivent le mettre en œuvre, ce sont les banques, les opérateurs, les établissements de santé et les très grandes plateformes en ligne, qui seront tenus d’accepter le portefeuille à partir de 2027.

Leurs intérêts ne vont pas dans le même sens.

À cela s’ajoute un problème technique. Les données agrégées, une analyse par tranche d’âge par exemple, sont censées être anonymes et paraissent sans danger. Mais au-delà d’un certain niveau de détail, l’agrégat permet à lui seul d’identifier les gens. La réidentification à partir de données agrégées est étudiée depuis longtemps, et les résultats vont constamment dans le même sens. Effacer quelques champs ne suffit pas à rendre des données anonymes.

Pourquoi si peu de gens le connaissent : deux explications

Revenons à l’enquête : la moitié des personnes interrogées en France et en Allemagne n’avaient pas entendu parler du portefeuille.

On peut l’expliquer de deux façons.

Première explication : l’information n’est pas passée. Non que rien n’ait été publié, mais ce qui l’a été n’a pas atteint les personnes concernées.

Deuxième explication : l’information existait quelque part, mais les gens n’avaient pas, dans leur journée, le temps d’aller la chercher.

Avant de trancher, il faut, par honnêteté, citer un autre chiffre de la même enquête. Une fois informés que le portefeuille pouvait confirmer leur âge sans révéler leur nom, leur date de naissance ni leur adresse, 63 % se sont dits plus enclins à l’utiliser.

Les gens ne sont donc pas indifférents. Quand on leur explique, ils disent vouloir s’en servir. Ce chiffre plaide pour la première explication.

Reste qu’entendre une explication au détour d’un questionnaire et trouver, dans une journée ordinaire, le temps d’en chercher une, ce n’est pas la même chose. La question reste donc ouverte. Mais si l’on retient la deuxième explication, un point laissé en suspens plus haut s’éclaire.

itsme ne s’est pas imposé parce qu’on l’a bien expliqué, mais parce qu’il est lié à la banque.

Impossible d’éviter sa banque, impossible d’éviter sa déclaration d’impôts. Quand on n’a aucune marge, on ne lit pas les explications : on utilise ce qu’on a déjà sous la main. Si le privé l’a emporté, ce n’est donc ni grâce à une meilleure technologie ni grâce à une meilleure communication. C’est parce que les gens vivent à flux tendu.

Que les gens n’aient pas le loisir d’examiner les institutions, on peut le constater. Qui a créé cette situation, on ne peut pas le dire. Je m’arrête donc là.

Il faut ajouter une chose. Participer n’est pas facultatif.

À partir de 2027, les banques, les opérateurs, les établissements de santé et les très grandes plateformes devront accepter ce portefeuille. Il deviendra alors un passage obligé. Qui n’en a pas ne sera pas simplement un peu gêné : il restera sur le carreau.

Ne pas participer, c’est être mis à l’écart. Non que ceux qui restent en arrière l’aient mérité : c’est que, structurellement, les voies d’accès se réduisent à une seule.

Si c’est bien le cas, que la moitié des gens n’en sachent rien n’a rien d’anodin. Laisser des gens dans l’ignorance face à un passage qui devient obligatoire, c’est moins un défaut d’explication qu’une façon de les laisser de côté.

Alors non, l’ignorance n’est pas une excuse, même de bonne foi. Mais c’est à ceux qui ont mis en place ce passage sans l’annoncer de s’expliquer, pas à celui qui s’y retrouve confronté sans le savoir.

[Position de l’auteur] J’éprouve ici une forme d’exaspération, et elle n’a rien de simple.

Cette structure est d’une perfection presque agaçante, elle a ses excès, et elle protège aussi des vies. Que quatre banques et trois opérateurs détiennent la vérification d’identité de la plupart des adultes d’un pays, c’est un oligopole. Mais cet oligopole est aussi gratuit et sûr, et il facilite réellement le quotidien. Les deux sont vrais, et c’est ce qui rend impossible une opposition simple.

Ce n’est pas une conclusion : c’est l’endroit d’où je parle. À vous de juger.

La réglementation est déjà passée une fois

Voici une autre chronologie.

itsme a été conçu et lancé après l’adoption du RGPD et avant son entrée en application, précisément au moment où l’ensemble des entreprises européennes revoyaient leurs systèmes pour s’y conformer.

Et la façon dont itsme se décrit lui-même (ne pas collecter plus de données personnelles que nécessaire, ne pas suivre les comportements à des fins publicitaires, utiliser une clé distincte pour chaque partenaire) épouse la logique de minimisation des données qu’exigeait le RGPD.

Je n’affirme ici aucun lien de cause à effet. Il n’est pas établi qu’itsme ait été conçu ainsi à cause du RGPD. Ce qui l’est, c’est que la chronologie et la conception coïncident. Les faits sont posés ; à chacun d’en juger.

Ce qu’il faudrait d’abord

Il faudrait que les géants du numérique, la finance et l’État soient dans le même camp.

Ce n’est pas le cas. Leurs intérêts divergent, et il arrive que l’échec des uns profite aux autres.

C’est là qu’apparaît quelque chose qu’on ne voyait pas au début de ce texte.

L’obligation d’acceptation de 2027 est précisément la disposition qui les met dans le même camp.

Obliger les banques, les opérateurs, les établissements de santé et les grandes plateformes à accepter le portefeuille, c’est une façon de mettre l’ensemble des parties prenantes dans le même bateau. Le règlement avait compris dans quel ordre il fallait procéder.

Sauf que la première étape, le privé l’a franchie il y a dix ans.

Objections prévisibles

« Zéro portefeuille certifié, c’est un simple retard administratif. Vous surinterprétez. » C’est l’objection la plus sérieuse, et le retard en lui-même n’est pas mon propos. Mon propos, c’est que pendant tout ce retard, la preuve de présence a fonctionné chaque jour. Un système qui marche est arrivé avant la réglementation, et celle-ci vient le consigner plutôt que le construire.

« Alors, quelle alternative ? » Une piste : stocker le contexte plutôt que l’identité, traiter ce contexte comme l’identité présente de la personne, et le laisser évoluer selon ses comportements futurs. Si la présence est confirmée, aucune information sur la personne qui se trouve là n’est utilisée.

Cette piste a un coût, et rien ne justifie de le cacher. Stocker le contexte, c’est créer une base de données de contextes. L’identité se résume à quelques attributs fixes ; le contexte est une accumulation de comportements, et il peut être plus sensible. Et si le contexte évolue selon les comportements futurs, qui décide de ce changement ? Dès qu’un arbitre existe, un nouveau pouvoir apparaît. En supprimant le pouvoir de délivrer une identité, on peut créer celui de juger les conduites.

Ce problème n’est pas résolu. Mieux vaut ne pas faire semblant.

Alors, qu’est-ce qui commence le 24 décembre ?

Pas une nouvelle ère de la preuve d’identité. Cette ère a commencé il y a déjà un moment en Belgique, et à peu près en même temps en Norvège, en Suède et au Danemark.

Ce n’est pas non plus simplement la réglementation qui arrive en retard. Vu ainsi, on en conclurait que la réglementation ne sert à rien et que le privé fait tout, ce que la chronologie ci-dessus interdit.

La réglementation n’est pas en retard. C’est la deuxième fois qu’elle vient.

La première fois, en 2016 avec le RGPD, elle a fixé le cadre dans lequel les banques et les télécoms ont construit. Elle revient maintenant, en décembre 2026 avec eIDAS 2.0, pour entériner ce qu’ils ont construit.

Il est plus juste de dire que le privé a construit à l’intérieur d’un cadre fixé par la réglementation que de dire qu’il l’a devancée.

Mais ce second passage s’accompagne d’une condition. La loi a demandé l’anonymat, et la conception ne l’a pas encore livré. Et cela, la moitié des citoyens l’ignorent.

L’application qui vous sert chaque jour à prouver que vous existez sait déjà qui vous êtes. La réglementation qui arrive en décembre vient-elle changer cela, ou l’entériner ?

Le jugement vous appartient.