Projet de loi n°81681 portant modification de la loi modifiée du 19 juin 2013 relative à l’identification des personnes physiques. (6315DMO) Saisine :

Luxembourg, le 4 août 2023 Objet : Projet de loi n°81681 portant modification de la loi modifiée du 19 juin 2013 relative à l’identification des personnes physiques. (6315DMO) Saisine : Ministre délégué à la Digitalisation (28 février 2023) Le projet de loi sous avis (ci-après le « Projet ») a pour objet de créer le cadre réglementaire en vue de l’introduction du concept de portefeuille numérique personnel (en anglais « e-wallet ») disponible sur une application étatique de téléphonie mobile et d’autres appareils, aux fins de permettre aux citoyens de s’identifier en ligne et hors ligne. Le e-wallet permettra d’héberger entre autres l’attestation électronique de la carte d’identité. Cette initiative s’inscrit dans le contexte d’un e-wallet européen en cours d’adoption au niveau des institutions européennes. 1 Lien vers le projet de loi sur le site de la Chambre des Députés 2 En bref ➢ La Chambre de Commerce salue l’initiative de mise en place d’un portefeuille numérique luxembourgeois permettant l’hébergement et la présentation d’une attestation numérique de la carte d’identité en lieu et place de la carte d’identité physique, dans un contexte où l’Union européenne prévoit également la mise en œuvre d’un portefeuille numérique européen. ➢ Néanmoins, la Chambre de Commerce appelle notamment à préciser le caractère facultatif de cette nouvelle option dans le texte de loi (pas seulement dans les commentaires), à préciser son périmètre d’application, à assurer une mise à jour des données automatique et en temps réel, à s’assurer de la sécurité des données au travers de toutes les étapes et notamment au regard du fait que l’application de contrôle peut être téléchargée par quiconque et à suivre autant que possible les recommandations techniques déjà existantes au niveau européen. ➢ La Chambre de Commerce est en mesure d’approuver le Projet sous avis sous réserve de la prise en compte de ses commentaires. Considérations générales Le Projet vise à créer une base légale en vue de l’introduction d’un portefeuille numérique personnel qui pourrait contenir dans le cas du présent Projet une attestation numérique de la carte d’identité. A cet effet, l’Etat pourra créer : - d’une part, une application mobile destinée à héberger le portefeuille numérique personnel des citoyens, destiné à contenir des attestations numériques de documents de voyage, de pièces d’identité, de titres de séjour, de permis de conduire et d’autres documents administratifs, émises par l’Etat ; - d’autre part, une application mobile, différente du portefeuille numérique, destinée à lire les identifiants numériques des attestations numériques de carte d’identité et les informations y contenues. Elle est librement téléchargeable par toute personne. La Chambre de Commerce salue une telle initiative qui s’inscrit résolument dans la digitalisation et dématérialisation des documents administratifs et qui permet d’anticiper la mise en œuvre du portefeuille numérique personnel européen en cours d’adoption, sous réserve des commentaires exposés ci-après. 3 Commentaire des articles Concernant l’article 1er L’article 1er du Projet introduit un article 2bis dans la loi modifiée du 19 juin 2013 relative à l’identification des personnes physiques (ci-après la « Loi de 2013 sur l’identification des personnes physiques »). Il vise à créer la base légale afin de permettre à l’Etat de mettre en place « un portefeuille numérique personnel, destiné à contenir des attestations numériques de documents de voyage, de pièces d’identité, de titres de séjour, de permis de conduire et d’autres documents administratifs, tels que visés à l’article 4, paragraphe 2, alinéa 2, émises par l’Etat ». Concernant les documents pouvant être contenus dans le portefeuille numérique personnel, la Chambre de Commerce appelle à clarifier et préciser les documents éligibles, car l’usage des termes « … tels que visés à l’article 4 » peut avoir un double sens de lecture soit exhaustif ou non exhaustif. De même « documents administratifs » est très large et imprécis ; il conviendrait de les définir. L’article 1er du Projet définit le portefeuille numérique comme une « application mobile conçue et développée par l’Etat, téléchargeable par des appareils mobiles en vue d’être utilisée par le grand public, destinée à recueillir, conserver, utiliser et échanger des informations mises à disposition de l’usager par l’Etat via la plateforme d’échange du guichet unique électronique ». La Chambre de Commerce attire l’attention des auteurs sur l’absence de disposition prévoyant la mise à jour automatique des données qui peuvent évoluer périodiquement en fonction du document concerné (documents de voyage, carte d’identité et passeport, titre de séjour…), voire même, la désactivation d’une attestation qui ne reposerait plus sur un document valable et en cours de validité. La confiance dans le portefeuille numérique personnel doit reposer sur la fiabilité et l’exactitude des données en temps réel. Concernant l’article 2 L’article 2 du Projet introduit un article 15bis dans la Loi de 2013 sur l’identification des personnes physiques. Le paragraphe 1er de l’article 15bis permet au titulaire d’une carte d’identité en cours de validité de créer et de détenir une attestation numérique de sa carte d’identité. La Chambre de Commerce appelle à clarifier expressément dans le texte de loi qu’il est purement facultatif pour chaque usager de créer et détenir une attestation numérique de sa carte d’identité. Le paragraphe 2 de l’article 15bis énumère les données qui seront intégrées sur initiative de l’usager dans l’attestation numérique de la carte d’identité, à savoir les données visibles sur la face avant de la carte d’identité physique définies à l’article 12, paragraphe 2, alinéa 1er, points

1. a)à
2. e)et
3. g)à
4. h)de la Loi de 2013 sur l’identification des personnes physiques. Les commentaires de l’article 2 précisent que la photographie n’est pas incluse dans ces données, que les données sont transmises à l’Etat par lecture de la puce de la carte d’identité, et que l’attestation est ensuite transmise à l’appareil mobile de l’usager. Les données seront présentées sous forme d’un identifiant numérique et affichées en lettres visibles à l’œil nu. La Chambre de Commerce s’interroge sur la sécurité des données au travers de toutes ces étapes. Par ailleurs, quid si une personne utilisait le téléphone mobile d’une autre personne (prêt, 4 vol, etc.) et présentait (usurpait) l’identité de cette personne (par exemple, un mineur utilisant le téléphone de son aîné pour aller acheter des boissons alcoolisées) ? Il n’y aurait aucun moyen de détecter la fraude pour la personne qui vérifie les données. La photographie n’est pas non plus toujours un indice décisif, mais elle peut quand même aider à l’identification d’une personne. Le paragraphe 4 de l’article 15bis prévoit la mise en place d’une seconde application mobile, téléchargeable par des appareils mobiles et différente du portefeuille numérique personnel. Les commentaires de l’article 4 précisent qu’à partir du moment où cette application mobile est disponible, le titulaire de l’attestation numérique ne pourra se voir refuser la vérification de l’attestation numérique au profit de la présentation de la carte d’identité physique. Les commentaires et l’exposé des motifs précisent également que l’application de lecture est librement téléchargeable de sorte que la présentation de l’attestation numérique de la carte d’identité peut être étendue à toute situation dans laquelle une personne peut être amenée à présenter son identité ou son âge. Cette disposition permettra en effet que l’attestation numérique puisse constituer une réelle alternative à la présentation de la carte d’identité physique. Toutefois, la Chambre de Commerce s’interroge encore sur la sécurité des données puisque n’importe quelle personne pourrait avoir accès à des données personnelles en téléchargeant l’application de lecture. Il y a lieu d’éviter également tout risque que ces données soient enregistrées et conservées par la personne contrôlant les données. Par conséquent, la Chambre de Commerce s’interroge sur l’opportunité de prévoir un encadrement, des règles ou des critères quant aux personnes ayant accès à l’application de lecture permettant de contrôler l’identité de citoyens (ex : métiers de la banque, vente d’alcool, activités soumises à des conditions d’âge…). Les personnes exerçant le contrôle d’identité devraient, à tout le moins, être en mesure de justifier d’un motif et s’engager à respecter des règles de sécurité (en ce compris le RGPD). Le paragraphe 5 de l’article 15bis prévoit que la présentation par l’usager d’une attestation numérique de la carte d’identité, dans son portefeuille numérique personnel est équivalente à la présentation de sa carte d’identité. Les commentaires de l’article 5 précisent que la personne qui se fera présenter par un citoyen dont elle vérifie l’identité, l’attestation numérique de sa carte d’identité en cours de validité, ne sera pas en droit de lui réclamer parallèlement la carte d’identité physique. La Chambre de Commerce s’interroge sur l’opportunité de permettre en cas de doutes dûment justifiés par écrit, une représentation du document physique à certaines autorités telles que la police (comme dans le projet de règlement grand-ducal modifiant l’arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques, concernant l’attestation numérique de permis de conduire). Le paragraphe 6 de l’article 15bis prévoit que l’Etat est autorisé à contrôler la conformité des données susceptibles d’être représentées par l’identifiant numérique, via le compte personnel de l’usager auprès de la plateforme d’échange du guichet unique électronique. L’Etat détruit les données contrôlées immédiatement après la création de l’attestation numérique. La Chambre de Commerce souhaiterait voir clarifier le contrôle de l’Etat et l’efficacité de ce contrôle, car comme mentionné ci-dessus la mise à jour en temps réel des données semblerait plus efficace qu’un contrôle ponctuel et ad hoc de l’Etat. 5 En outre, la Chambre de Commerce relève que selon l’exposé des motifs, les contrôles d’identité par une attestation numérique sont limités à des contrôles ayant lieu sur le territoire du Grand-Duché de Luxembourg, ce qui n’est nullement précisé dans le texte de loi. La Chambre de Commerce estime qu’il est nécessaire pour une plus grande clarté et sécurité juridique de préciser le périmètre d’application de la mesure. Par ailleurs, il n’est pas non plus précisé si seules les cartes d’identité luxembourgeoises sont concernées ou également les cartes d’identité étrangères. Ce point nécessite d’être clarifié. La Chambre de Commerce s’interroge également sur la situation des mineurs. Sont-ils inclus dans le périmètre du Projet et autorisé à recourir à l’attestation numérique de carte d’identité pour justifier leur identité ou leur âge ? Dans ce cas, les parents peuvent-ils télécharger une attestation numérique de la carte d’identité de leurs enfants sur leur portefeuille numérique personnel ? Les enfants auront-ils leur propre portefeuille numérique personnel mais géré par leurs parents ? Ces points ne sont pas évoqués dans le Projet. La Chambre de Commerce considère qu’il pourrait également paraître opportun de prévoir qu’en cas de divergence entre l’attestation numérique de carte d’identité et la carte d’identité physique, seule la version physique prévaudra et fera foi. La Chambre de Commerce attire enfin l’attention sur l’importance de suivre en parallèle les avancements au niveau du texte européen sur l’identité numérique et les recommandations disponibles, telle que la boîte à outils axée sur les aspects techniques (mise à jour régulièrement), en vue de mettre au point un prototype d'application de portefeuille européen d'identité numérique (dont les spécifications seront, quoiqu’il en soit, obligatoires après l’entrée en vigueur du texte européen). Cela permettra au portefeuille numérique luxembourgeois d’être le plus en ligne possible avec le dispositif européen et éviter par là même trop de remaniements futurs, ce qui est source de complexité administrative, juridique et comporte des risques de dysfonctionnements pratiques. * * * Après consultation de ses ressortissants, la Chambre de Commerce est en mesure d’approuver le projet de loi sous avis, sous réserve de la prise en compte de ses commentaires. DMO/DJI