Les abonnements mobiles permettent de temps à autre de bénéficier de promotions et de réductions lors de l'achat d'un téléphone portable. Soucieux de préserver leurs clients d'une arnaque liée au vol des cartes d'identité, les vendeurs de service de télécommunication se montrent vigilants lors de la vente d'un de leur service. Cependant, cette même vigilance n'est pas de mise en ligne. En effet, lorsque vous souhaitez contracter un abonnement ou réaliser un achat avec une autre identité aucun contrôle n'est effectué si ce n'est que l'envoi d'un code par SMS. Inutile de préciser que si le téléphone a été dérobé, l'usurpation est très simple. 1. Comment expliquer cette différence de traitement? 2. Envisagez-vous de renforcer les mesures de protection des consommateurs contre l'usurpation d'identité en ligne?
B049
L'obligation d'identifier de façon fiable les abonnés d'un service de communications électroniques accessible au public constitue en effet un enjeu essentiel, puisqu'elle permet notamment de garantir aux autorités judiciaires une trace fiable dans le cadre de leurs enquêtes et de la lutte contre la criminalité. Vous indiquez dans votre question qu'un degré moindre de vigilance serait applicable en ligne comparativement à la vigilance applicable dans les points de vente physiques. Ceci ne correspond pas à ce que prévoit le cadre légal. 1. Absence de différence de traitement Le cadre légal fixé par l'article 127 de la loi du 13 juin 2005 relative aux communications électroniques (LCE) et par l'arrêté royal relatif à l'identification de l'utilisateur final de services de communications électroniques mobiles fournis sur la base d'une carte prépayée (AR cartes prépayées), impose en effet à tout opérateur l'obligation d'identifier ses abonnés de manière fiable (via un point de vente physique ou en ligne). Pour ce qui concerne les services de communications électroniques payants, l'opérateur peut choisir entre une méthode d'identification directe (l'opérateur conserve lui-même l'identité civile et une copie du document d'identification) ou indirecte (l'opérateur conserve les données nécessaires pour permettre aux autorités d'identifier l'abonné via un tiers). Cependant, seules les méthodes visées par la LCE, et strictement encadrées par l'AR cartes prépayées, peuvent être employées. En fonction du canal utilisé pour souscrire au service, les méthodes d'identification habituellement employées diffèrent: Dans un point de vente physique Plusieurs situations peuvent se produire. Le vendeur demande au client d'introduire le code PIN lors de la lecture de sa carte d'identité. Ou il effectue lui-même un contrôle visuel pour vérifier que le document d'identité est l'original, qu'il est valide et qu'il appartient bien à la personne présente. Une autre manière de procéder est de mettre en oeuvre un outil de comparaison biométrique avec reconnaissance faciale préalablement autorisé par arrêté ministériel dans le point de vente, étant donné que le client doit d'abord donner son consentement. En l'absence de consentement, le vendeur devra mettre en oeuvre une des méthodes susmentionnées. Outre ce contrôle, et pour les cartes prépayées uniquement, l'article 11 de l'AR cartes prépayées impose aux opérateurs de vérifier systématiquement via l'outil "Checkdoc" que le document n'est pas signalé comme volé ou expiré avant d'activer le service. De plus, les articles 6 et 8 de cet AR prévoient respectivement que: "Dans les 24 heures du vol ou de la perte de la carte prépayée, l'abonné en informe l'opérateur", et qu'"immédiatement après avoir été informé par l'abonné du vol ou de la perte de sa carte prépayée, l'opérateur rend cette carte inutilisable". Le respect de ces mesures permet d'éviter l'usurpation d'identité et de renforcer la sécurité des abonnés. Identification à distance (en ligne) En cas de vente en ligne, un contrôle visuel par le point de vente n'étant pas possible, des méthodes alternatives d'identification sont prévues afin de garantir la fiabilité des données d'identité?présentées. Il s'agit d'abord des méthodes d'identification directes suivantes: - la lecture de la puce de l'eID et l'introduction du code PIN, avec vérification via l'outil checkdoc; - avec le consentement de l'abonné, le recours à un outil de comparaison biométrique avec reconnaissance faciale préalablement autorisé par arrêté ministériel; - l'utilisation d'un outil permettant de s'identifier auprès d'une application numérique des pouvoirs publics belges (p. ex. ITSME). En cas de choix d'une méthode d'identification indirecte, l'opérateur peut?soit: - pour ce qui concerne l'accès à point d'accès à un wifi d'un opérateur, conserver le numéro de téléphone de l'abonné attribué dans le cadre d'un autre service de communications électroniques payant pour lequel le même opérateur l'a déjà identifié; - conserver la référence de paiement en ligne. Dans ce cas, l'opérateur s'appuie sur le fait que l'institution financière a déjà identifié le titulaire du compte bancaire conformément aux lois anti-blanchiment. Il en ressort que, quel que soit le mode de souscription (physique ou en ligne), l'envoi d'un code par SMS ne constitue pas une méthode d'identification valide pour un nouvel abonné. Cette technique est généralement utilisée soit comme facteur d'authentification supplémentaire, soit dans le cadre d'une extension de produit chez le même opérateur où le client est déjà identifié. L'article 18, § 1er de l'AR cartes prépayées prévoit,?à cet égard, que "L'opérateur peut identifier une personne en reliant la carte prépayée acquise auprès de cet opérateur à un produit du même opérateur auquel elle a souscrit. L'opérateur s'assure, en mettant en place des mesures techniques et opérationnelles, que la personne qui demande l'extension ou la migration du produit est effectivement la personne identifiée pour ce produit". Un exemple de mesures techniques et opérationnelles en vigueur est l'authentification du client dans son espace personnel en ligne via un identifiant et un mot de passe, avant la souscription ou la résiliation à un produit. Si un opérateur utilise uniquement un SMS pour identifier un nouveau client, il se trouve donc en infraction avec l'article 127 de la LCE. 2. Contrôle du respect des mesures Le contrôle du respect de ce cadre légal et réglementaire fait partie des priorités opérationnelles de l'Institut belge des services postaux et des télécommunications (IBPT) pour l'année 2026. Cette mission pourrait amener l'IBPT à effectuer des contrôles de certains points de vente, des audits des sites web des opérateurs ou encore un contrôle des données conservées. En cas de manquements avérés, l'IBPT dispose de pouvoirs de sanction importants.