Identité auto-souveraine

Ce que ça change pour une organisation

Le Contrôleur européen de la protection des données (EDPS) distingue quatre modèles d’identité numérique : isolé, centralisé, fédéré et décentralisé. Dans le modèle centralisé, les justificatifs sont stockés chez un fournisseur d’identité, qui devient un point de défaillance unique, peut apprendre l’ensemble des transactions d’un utilisateur et constitue une cible de choix pour les attaques. Dans un modèle centré sur l’utilisateur, comme celui du portefeuille d’identité numérique, le fournisseur n’a plus besoin d’être sollicité à chaque vérification, ce qui limite à la fois le risque de profilage et celui de voir ce fournisseur concentrer un trésor de justificatifs, même si un émetteur subsiste pour délivrer et révoquer les attestations.

L’identité auto-souveraine pousse cette logique plus loin. Selon l’EDPS, le concept, formalisé par Christopher Allen en 2016 dans un manifeste de dix principes, repose à l’origine sur l’absence de tiers de confiance central : l’utilisateur peut faire des déclarations sur lui-même, à charge pour chaque partie qui s’y fie de décider si elle leur accorde sa confiance. Pour une organisation qui vérifie des justificatifs, cela change la nature de la demande : elle contrôle des attestations présentées plutôt que de collecter et de conserver des données d’identité, et elle peut ne demander que les attributs utiles, la divulgation sélective étant définie par le W3C comme la capacité d’un détenteur à décider finement des informations qu’il partage. En contrepartie, la gouvernance se complexifie : il faut décider qui émet les attestations, qui les révoque et à quelles autorités chaque cas d’usage accorde sa confiance.

La blockchain n’est pas une condition du modèle. L’EDPS indique que les mécanismes de confiance peuvent reposer sur la cryptographie et des règles organisationnelles, comme dans les systèmes fondés sur une blockchain, ou sur un réseau de confiance, et que certains projets de portefeuilles recourent à une blockchain à accès contrôlé comme registre décentralisé. Le modèle de données des justificatifs vérifiables du W3C ne cite d’ailleurs les registres distribués que comme l’un des exemples de registres de données vérifiables, et précise que les identifiants décentralisés (DID) sont facultatifs.

Exemple

La Commission européenne indique que les citoyens auront le pouvoir de choisir les aspects de leur identité et des données qu’ils partagent avec des tiers, et que les États membres doivent leur proposer un portefeuille d’identité numérique d’ici la fin de 2026. Dans son analyse publiée fin 2025, l’EDPS estime que ce cadre permet l’essentiel des principes de l’identité auto-souveraine, tout en s’en écartant sur un point central : pour les usages exigeant un haut niveau de confiance, comme l’accès aux services de santé ou d’impôts, la source ultime de confiance reste généralement l’État membre, de sorte que le portefeuille permet à l’utilisateur de contrôler ses données sans lui conférer l’autorité ultime sur son identité.

À ne pas confondre avec

• L’identité centralisée ou fédérée : modèles dans lesquels un ou plusieurs fournisseurs d’identité conservent les justificatifs et vérifient la connexion (principe de l’authentification unique), alors que l’identité auto-souveraine laisse les attestations à l’utilisateur.
• Le portefeuille européen d’identité numérique : application concrète d’un modèle centré sur l’utilisateur, qui reprend plusieurs principes de l’identité auto-souveraine sans en adopter l’autorité ultime de l’utilisateur sur son identité (voir la fiche eIDAS 2.0).
• La souveraineté numérique : capacité d’un État ou de l’Europe à maîtriser ses technologies, alors que le terme « auto-souveraine » désigne ici le contrôle d’une personne sur ses propres données d’identité.