Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Octobre 2017 - n°428 - 323

Focus

'Estonie, qui a pris la présidence
de l'Union européenne le 1er
juillet dernier pour six mois, a
fait de la création d'un marché
unique numérique une des priorités
de son mandat. Ce marché ne peut
s'établir sans une libre circulation des
données entre Etats membres, estime
ce pays qui œuvre pour l'instauration
d'une cinquième liberté fondamentale,
au même titre que celle des personnes,
des biens, des services ou capitaux.
La Commission européenne est d'ailleurs en phase avec la présidence
estonienne. Elle a effectivement mis un
coup d'accélérateur à l'édification de
cette nouvelle liberté en adoptant, le 13
septembre dernier, une proposition de
règlement sur la libre circulation des
données non personnelles. Pendant
du règlement européen sur la protection des données (RGPD), le texte vise
à améliorer les flux transfrontières des
données non personnelles dans le
marché unique, ceux-ci étant jusqu'à
présent limités par de nombreux États
membres de l'UE qui imposent des
restrictions de localisation.
Ce n'est pas un hasard si l'Estonie a
choisi le numérique comme priorité de
sa présidence. Ce pays balte est un
champion mondial dans ce domaine.
Tous les services de l'Etat y sont dématérialisés. A part se marier, divorcer ou
acheter un bien immobilier, un Estonien
peut tout faire depuis son ordinateur ou
son smartphone. Le système repose sur
la pierre angulaire de la carte d'identité
numérique, sésame qui permet d'accéder à tous les services dématérialisés.
Les Estoniens n'ont, semble-t-il, pas
notre peur de l'identifiant unique qui
a abouti en 1978 à la loi Informatique
et libertés. Autre pays, autre culture,
autre histoire.
L'Estonie, ancien Etat membre de
l'Union soviétique, a dû très vite s'adapter au capitalisme, malgré un Etat et
une économie exsangues. Il devait faire
table rase de l'ancienne administration
et repartir de zéro. Ce qui représentait
une chance pour la révolution numérique qu'il a décidé très tôt de mettre en
place. N'oublions pas que cet Etat balte
était le spécialiste informatique de l'empire soviétique. D'ailleurs, Skype a été
créé par trois développeurs estoniens,
qui après avoir vendu cette formidable
application, se sont mis au service

Données
Vers la libre circulation
L'Estonie, en charge de la présidence de l'UE, est
le meilleur ambassadeur de l'instauration de la
liberté de circulation des données. Ce pays a su
bâtir un Etat numérique où les systèmes d'information échangent massivement des données de
manière sécurisée et décentralisée.
de leur pays pour mettre en place
l'e-gouvernement.
En 2000, le pays érige l'accès de chacun
à l'internet en droit fondamental. En
2001, le système d'échange de données
X-Road est mis en place. Et en 2002,
une loi est votée qui rend obligatoire la
détention d'une carte d'identité numérique pour tout citoyen de plus de 15 ans.
Elle permet l'accès à tous les services
publics : elle fait office de carte d'identité, de carte de santé, de carte de transport, de carte électorale, de carte de
fidélité, etc. Elle sert à payer aussi bien
les impôts qu'à régler les factures ou
le parking, à avoir accès aux données
bancaires personnelles ou aux bulletins scolaires des enfants. Elle centralise toutes les actions de la vie courante,
y compris le vote électronique qui est
introduit en 2005.
Cette dématérialisation du pays repose
sur un système décentralisé, X-Road,
qui permet à des systèmes d'information
différents d'échanger et de partager des
données de manière sécurisée. Toutes
les données sortantes d'X-Road sont
signées électroniquement et chiffrées. Et
les données entrantes sont authentifiées
et enregistrées dans les autres systèmes
d'information. Le citoyen n'a pas besoin
d'entrer ses identifiants ou ses données
à chaque opération. Pour instaurer
confiance en ce dispositif, qui pourrait
se révéler orwellien, une parfaite transparence a été mise en place. La donnée
est tracée : le citoyen peut savoir qui a
consulté ses informations et dans quel
but. Il est d'ailleurs affirmé que le citoyen
est propriétaire de ses données personnelles. Même sécurisé, tout système
reste vulnérable. L'Estonie en a, du
reste, eu la preuve concrète lorsqu'il a
subi la première cyberattaque massive
au monde en 2007. Le système a résisté mais le gouvernement a décidé de

EXPERTISES OCTOBRE 2017

repenser son infrastructure et d'intégrer
la technologie de la blockchain pour
authentifier et sécuriser les échanges
de données.
Pour mettre toutes les données à l'abri,
l'Estonie a, par ailleurs, imaginé de les
dupliquer et de les stocker à l'étranger
dans des sites considérés comme une
extension du territoire estonien. C'est
ainsi que le concept d'ambassade
numérique est né. Un accord a été signé,
le 20 juin dernier, avec le Luxembourg
qui a été choisi parce qu'il possède des
banques appartenant à l'Etat certifiées
Tier 4, de façon à offrir une disponibilité
de 99,95 %, soit le plus niveau de sécurité actuellement.
Mais le risque zéro ne fait pas partie de
ce monde. Le 5 septembre dernier, une
équipe internationale de chercheurs
a informé l'autorité estonienne en
charge du système d'information (RIA)
d'une vulnérabilité potentielle affectant l'usage de 750 000 cartes d'identité
numériques, celles mises en circulation
depuis octobre 2014. La RIA a pris cette
alerte très au sérieux, a confirmé le
risque et est en train d'y remédier.
L'exemple estonien fascine néanmoins.
C'est notamment pour voir cette expérience de plus près qu'Edouard Philippe
a choisi l'Estonie pour sa première
visite à l'étranger. Quant à Emmanuel
Macron, il a promis que 100 % des
démarches administratives seraient
dématérialisées en 2022. Si on peut
s'inspirer de l'expérience estonienne,
on ne peut cependant pas la reproduire
plus ou moins à l'identique. Notamment
parce que ce pays n'a que 1,3 millions
d'habitants. En tout cas, l'Union européenne ne pouvait avoir un Etat plus
motivé que l'Estonie pour mettre au
monde cette nouvelle liberté.

Sylvie ROZENFELD

323

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Octobre 2017 - n°428