La faisabilité des schémas de certification de protection de la vie privée

Section 2. Certification des produits de protection de la vie privé et des DP

(I) Parallèle avec les problèmes rencontrés par les standards de signature électronique

Ce chapitre fait suite au stage suivi à l'ADETEF comme indiqué plus haut et ayant pour objet l'étude de la mise en place d'une plateforme de signature électronique dans la zone méditerranéenne.

Nous évoquons ci-dessous certains des problèmes auxquels se heurte la standardisation des produits de signature électronique et qu'il nous semble pertinent de mettre en avant dans le cadre plus général de la certification de produits issus des technologies de l'information et des communications.

De même nous évoquerons le modèle économique de la signature électronique dont les résultats ne peuvent encore être qualifiés à ce jour de franc succès.

Les régimes d'accréditation ou de certification pour l'authentification électroniques sont généralement « volontaires » ; dans l'U.E. chaque état établit un système adéquat de contrôle des prestataires et de vérification des systèmes sécurisés. Il est nécessaire que les prestataires de service de certification respectent la législation sur la protection des données et qu'ils respectent la vie privée. 

Dans les transactions avec le gouvernement, il est souvent imposé l'utilisation de la certification des fournisseurs de services accrédités ("CSP"), ce qui peut avoir un rôle incitatif pour les entreprises.

Alors que la majeure partie des lois reconnaissent la validité juridique à la signature électronique de base et ce indépendamment de la technologie utilisée, très souvent les effets juridiques les plus importants dépendent de l'existence d'un certificat issu d'un fournisseur agréé ou certifié ou répondent à certains standards. Telle est la cas de l'approche dite des 2/3 en Europe : selon l'approche minimaliste la directive interdit de denier tout effet juridique à la signature électronique du seul fait qu'elle ne remplisse pas les standards de la signature avancée basés sur le certificat qualifié et créée par un système de signature sécurisée. Mais les signatures sécurisées sont présumées intègres.

De même une certification de protection des DP et de la vie privée pourrait octroyer un avantage de « présomption de conformité ».

En pratique, la multiplication des signatures électroniques et de leurs modalités d'implémentation n'ont pas permis une optimisation de l'utilisation de la signature électronique.

La majorité des pays ont au moins initié un système d'accréditation ou certification ou standardisation pour les produits et services, ce qui à ce jour ne permet pas l'interopérabilité internationale.

Les standards adoptés au niveau national et basés sur les normes internationales, sont rarement complètement conformes et ont souvent des variantes nationales.

Une grande partie des divergences viennent du fait que les technologies doivent encore évoluer et les politiques doivent tenir compte de la future utilisation plutôt que de réagir à la façon dont elles sont utilisées pour le moment.

D'après une enquête ^{(*)REF _Ref278271812 \r \h \* MERGEFORMAT} menée sur la standardisation de la signature électronique, les réponses exprimées par les personnes interviewées font état des insuffisances du système :

- Plutôt ou trop complexes ;

-Trop nombreux (avec néanmoins des manques identifiés) ;

-Manque de prise en compte des besoins des professionnels ;

- Explications sur la cohérence entre standards difficile à trouver ;

- La documentation relative aux guidelines et à l'implémentation ne sont pas suffisants ;

Les résultats du sondage font apparaitre que les standards souffrent des inconvénients suivants :

-Trop de possibilités d'implémentations ce qui réduit les chances d'interopérabilité;

-Trop d'interprétations possibles;

-Trop académiques et pas assez orientés «business» ;

-Pas assez de description directe et explicite de niveau élevé pour aider les nouveaux venus dans l'exécution ;

-Manque de lien clair avec la loi.

D'après cette enquête, les standards idéaux devraient fournir les lignes directrices d'implémentation techniques et économiques afin d'obtenir une bonne qualité d'application (pas la plus haute mais appropriée au regard des coûts et bénéfices et de la limitation des risques dans le domaine d'activité concerné) avec un niveau maximum d'interopérabilité.

Le modèle économique devrait résoudre l'équation suivante :

Besoins des professionnels par secteur + cadre légal général et sectoriel = spécifications techniques (standards).

Il s'agit certes selon nous d'une équation à résoudre pour tout schéma de certification, encore faut-il que le marché soit en mesure d'exprimer ses besoins.

* REF _Ref278271812 \r \h \* MERGEFORMAT Study on the standardisation aspects of eSignature, By SEALED, DLA Piper and Across communications november 2007