Dans le cadre du règlement eIDAS, les États membres de l'Union européenne doivent mettre à la disposition de la population un portefeuille européen d'identité numérique, conforme aux spécifications européennes. Celui-ci est censé permettre aux citoyens d'accéder à des services publics à l'aide de leur identité numérique. Ce portefeuille numérique se présente sous la forme d'une application pour smartphones. Il donnera également accès à des services en ligne d'autres États membres, l'échange transfrontalier de données entre la Belgique et les autres États membres de l'UE ayant été testé. Les services d'authentification gouvernementaux seront par ailleurs étendus. 1. Pouvez-vous expliquer ce que les normes européennes de cybersécurité, telles que définies dans la directive NIS2, prévoient en ce qui concerne les applications mobiles? 2. Quelles procédures garantiront la sécurité de ce portefeuille numérique? 3. Pouvez-vous donner plus d'informations sur les tests effectués en matière d'échange transfrontalier de données entre la Belgique et les autres États membres de l'UE? 4. Quelles procédures garantiront une sécurisation adéquate des données à caractère personnel des citoyens belges à l'étranger également? 5. Quelles méthodes d'identification supplémentaires sont prévues sur le Federal Authentication Service, la plateforme des systèmes de connexion aux sites internet gouvernementaux? 6. L'application myID.be® sera-t-elle relancée? 7. Quels systèmes d'alerte, protocoles de sécurité, sauvegardes et garanties sont-ils prévus en cas de cyberattaques? 8. Le SPF Stratégie et Appui désignera un chief data officer. Pouvez-vous expliquer les procédures de sélection et la situation actuelle? 9. Pouvez-vous préciser la teneur des tâches du chief data officer et la place qu'il occupera dans l'organigramme hiérarchique? 10. Quand l'application web MyData4 sera-t-elle opérationnelle et quelles en seront les modalités? 11. Dans quels pays les données seront-elles conservées et traitées physiquement? Avec quels services web et partenaires d'hébergement travaillez-vous déjà?
B020
1, 2 et 7. Les standards de sécurité du Digital Identity Wallet sont définis dans le règlement eIDAS, complétées par une certification conformément au Cybersecurity Act. En appliquant les normes de, entre autres, ETSI, ENISA, ISO/IEC et EUCC/EUCS, ainsi qu'en intégrant des logiciels de sécurité spécifiques dans l'application, nous proposons une solution Wallet robuste, résiliente et pérenne, prête pour l'avenir. Ces composants de sécurité spécifiques permettent de prévenir les reverse engineering, root detection, code injection et les manipulations non autorisées. Cela contribue à l'intégrité de l'application et empêche les abus directement sur l'appareil. Les attaques en temps réel peuvent également être détectées et bloquées, telles que les tentatives de débogage, les appels d'API non autorisés ou l'inspection de la mémoire. Les fonctionnalités de sécurité et de confidentialité des EU Digital Identity Wallet sont décrites ici?: https://ec.europa.eu/digital-building-blocks/sites/display/EUDIGITALIDENTITYWALLET/Security+and+privacy 3 et 4. Depuis sa publication en 2014, le règlement eIDAS a introduit une série de règles permettant de garantir la protection des données. Les utilisateurs belges ont déjà la possibilité de s'authentifier sur des applications publiques des autres pays de l'UE depuis 2018 avec le FAS/eID et depuis 2019 avec le FAS/itsme®. Le GDPR est bien sûr aussi d'application, notamment le principe de minimisation des données. Concernant plus précisément l'utilisation du Wallet, les organisations qui vont utiliser les données doivent être authentifiées et enregistrées et doivent indiquer l'usage fait de ces données. L'utilisateur doit marquer son consentement préalablement à l'échange d'attributs. L'usage de pseudonymes est également possible. Le processus de certification des Wallets contribuera à l'efficacité de ces mesures. Les fonctionnalités de sécurité et de confidentialité des EU Digital Identity Wallet sont décrites ici: https://ec.europa.eu/digital-building-blocks/sites/display/EUDIGITALIDENTITYWALLET/Security+and+privacy 5. L'application MyGov.be étant par définition, un moyen d'identification, elle sera aussi disponible pour l'authentification via le FAS. Les fournisseurs privés de moyens d'identification peuvent soumettre leur candidature pour un agrément via l'arrêté royal du 22 octobre 2017 fixant les conditions, la procédure et les conséquences de l'agrément de services d'identification électronique pour applications publiques. Dans ce cas, ces moyens agréés seront aussi disponibles via le FAS. 6. Pour U2U Consult, le fournisseur de MyID.be®, la procédure de faillite a été ouverte le 20 août 2024 et un curateur a été nommé. En conséquence, U2U Consult ne satisfait plus aux conditions de reconnaissance (Section 3 - article 27 de l'arrêté royal fixant les conditions, la procédure et les conséquences de l'agrément de services d'identification électronique pour applications publiques du 22 octobre 2017). MyID.be® ne sera pas relancé en tant que clé numérique dans le FAS. 8 et 9. La mise en place d'une data governance complète, avec un cadre de données correspondant, sous la direction d'un chief data officer, nécessite une préparation approfondie et des consultations avec divers acteurs concernés. Cela s'inscrit également dans le cadre plus large d'une stratégie fédérale numérique et des données visant à établir une administration fortement axée sur les données, ces deux points étant inscrits dans l'Accord de gouvernement ainsi que dans ma note de politique générale. Pour garantir le succès de cette démarche, il est crucial de procéder dans le bon ordre, afin que la structure de gouvernance et les responsabilités soient clairement définies, et que nous puissions ensuite désigner la personne appropriée pour assumer le rôle de chief data officer fédéral. 10. Le projet MyData a été livré en 2024 et se compose de quatre éléments (https://mydata.belgium.be/): - le registre des traitements de données (RGPD); - le registre des sources authentiques; - une interface privée pour le citoyen permettant d'accéder à ses propres données; - une interface privée affichant les consultations de ses données effectuées par une institution connectée à notre intégrateur de services (au cours des 12 derniers mois). Outre l'entretien habituel et le développement continu des fonctionnalités de cette application, il existe un grand potentiel pour enrichir davantage son contenu, en fonction de la collaboration de toutes les institutions gouvernementales concernées et de la priorité qu'elles peuvent y accorder. 11. Pour ce qui concerne les données distribuées via le Digital Identity Wallet: - les données personnelles sont conservées dans le portefeuille numérique, sur le smartphone du citoyen. Les composants de l'application MyGov.be et du site web MyGov.be sont gérés et coordonnés par le SPF Stratégie et Appui (BOSA), dans les data centers fédéraux en Belgique. - les données traitées par le SPF BOSA ne sont pas stockées de manière centralisée et ne sont conservées que pendant la durée nécessaire pour permettre l'accès technique, conformément au mandat légal de BOSA en tant qu'intégrateur de services fédéraux.