Loi n° 1.483 du 17 décembre 2019 relative à l'identité numérique

Au sens de la présente loi, on entend par :

• « Authentification » : un processus électronique qui permet de confirmer l'identification électronique d'une personne physique ou morale, ou de confirmer l'origine et l'intégrité de données sous forme électronique ;

• « Donnée à caractère personnel ou donnée personnelle » : information se rapportant à une personne physique identifiée ou identifiable, ci‑après dénommée « personne concernée ». Est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;

• « Données biométriques » : données à caractère personnel résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales ou des données dactyloscopiques ;

• « Données d'identification personnelle » : un ensemble de données qui sont délivrées conformément à la présente loi et qui permettent d'établir l'identité d'une personne physique ou morale, ou d'une personne physique représentant une autre personne physique ou une personne morale ;

• « Données sensibles » : données à caractère personnel qui révèlent, directement ou indirectement, des opinions ou des appartenances politiques, raciales ou ethniques, religieuses, philosophiques ou syndicales, ou encore des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique ou des données concernant la santé, la vie sexuelle ou l'orientation sexuelle d'une personne physique ;

• « Fournisseur d'identité » : un prestataire de service de confiance qualifié ou non qualifié responsable de l'identification des personnes physiques ou morales, chargé de l'émission des moyens d'identification électronique ainsi que de la maintenance et la gestion du cycle de vie des données d'identification correspondant auxdits moyens d'identification ;

• « Identifiant numérique » : combinaison de lettres, de chiffres ou de symboles fournis par le fournisseur d'identité qui, considérés isolément ou non, permettent de représenter une personne physique ou morale de manière univoque ;

• « Identification électronique » : processus consistant à utiliser des données d'identification personnelle sous une forme électronique représentant de manière univoque une personne physique ou morale, ou une personne physique représentant une autre personne physique ou une personne morale ;

• « Label de confiance pour le portefeuille d'identité numérique » : une indication vérifiable, simple et reconnaissable qui est communiquée d'une manière claire, selon laquelle un portefeuille d'identité numérique a été fourni conformément à la présente loi ;

• « Mise en correspondance des identités » : un processus selon lequel les données d'identification personnelle ou les moyens d'identification électronique sont mis en correspondance avec un compte existant appartenant à la même personne ou sont reliés à celui‑ci ;

• « Mode hors ligne », en ce qui concerne l'utilisation de portefeuilles d'identité numérique : une interaction entre un utilisateur et un tiers dans un lieu physique, au moyen de technologies de proximité étroite, sans qu'il soit nécessaire que le portefeuille d'identité numérique accède à des systèmes distants par des réseaux de communication électronique aux fins de l'interaction ;

• « Moyen d'identification électronique » : un élément matériel et/ou immatériel qui contient des données d'identification personnelle et est utilisé pour l'authentification pour un service en ligne ou, le cas échéant, pour un service hors ligne ;

• « Partie utilisatrice » : une personne physique ou morale qui se fie à une identification électronique, aux portefeuilles d'identité numérique ou à d'autres moyens d'identification électronique, ou à un service de confiance ;

• « Portefeuille d'identité numérique » : un moyen d'identification électronique qui permet à l'utilisateur de stocker, de gérer et de valider en toute sécurité des données d'identification personnelle et des attestations électroniques d'attributs, afin de les fournir aux parties utilisatrices et aux autres utilisateurs des portefeuilles d'identité numérique et de signer au moyen de signatures électroniques qualifiées ou d'apposer des cachets au moyen de cachets électroniques qualifiés ;

• « Schéma d'identification numérique » : un système pour l'identification électronique en vertu duquel des moyens d'identification électronique sont délivrés à des personnes physiques ou morales, ou à des personnes physiques représentant d'autres personnes physiques ou des personnes morales ;

• « Service de confiance » : un service électronique fourni à titre onéreux ou non tel que défini à l'article premier de la loi n° 1.383 du 2 août 2011, modifiée, précitée ;

• « Utilisateur » : une personne physique ou morale, ou une personne physique représentant une autre personne physique ou une personne morale, qui utilise des services de confiance ou des moyens d'identification électronique conformément à la loi n° 1.383 du 2 août 2011, modifiée, précitée.

L'identité numérique d'une personne est constituée de données d'identification personnelle sous la forme d'un identifiant numérique représentant de manière univoque une personne physique ou une personne morale.

L'identification des personnes physiques peut être établie notamment sur la base de données biométriques transformées en données numériques. Dans ce cas, lesdites données ne sont conservées que pendant la durée nécessaire à la réalisation de leur inscription sur le support de l'identité choisi, quelle qu'en soit sa forme, électronique ou non.

L'authentification des personnes est réalisée sur la base des éléments relatifs à l'identité numérique de ces dernières.

L'identité numérique comporte trois niveaux de garantie :

• le niveau de garantie « faible », qui correspond à un moyen d'identification électronique dans le cadre d'un schéma d'identification électronique accordant un degré limité de fiabilité à l'identité revendiquée ou prétendue d'une personne, et qui est caractérisé par des spécifications techniques, des normes et des procédures y afférents, y compris les contrôles techniques, dont l'objectif est de réduire le risque d'utilisation abusive ou d'altération de l'identité ;

• le niveau de garantie « substantiel », qui correspond à un moyen d'identification électronique dans le cadre d'un schéma d'identification électronique qui accorde un degré substantiel de fiabilité à l'identité revendiquée ou prétendue d'une personne, et est caractérisé sur la base de spécifications techniques, de normes et de procédures y afférents, y compris les contrôles techniques, dont l'objectif est de réduire substantiellement le risque d'utilisation abusive ou d'altération de l'identité ;

• le niveau de garantie « élevé », qui correspond à un moyen d'identification électronique dans le cadre d'un schéma d'identification électronique qui accorde un niveau de fiabilité à l'identité revendiquée ou prétendue d'une personne plus élevé qu'un moyen d'identification électronique ayant le niveau de garantie substantiel, et est caractérisé sur la base de spécifications techniques, de normes et de procédures y afférents, y compris les contrôles techniques, dont l'objectif est d'empêcher l'utilisation abusive ou l'altération de l'identité.

Une identité numérique apportant un niveau de garantie élevé tel que défini à l'article précédent est créée et est attribuée :

• 1) à toute personne physique inscrite sur le sommier de la nationalité monégasque ;

• 2) à toute personne physique titulaire d'un titre de séjour dans les conditions fixées par l'Ordonnance Souveraine n° 3.153 du 19 mars 1964 relative aux conditions d'entrée et de séjour des étrangers dans la Principauté, modifiée.

Les modalités d'application du présent article sont fixées par ordonnance souveraine*^[1].

Une identité numérique est créée et est attribuée à toute personne physique ou morale enregistrée dans un registre d'un service public, tenu pour l'application d'une disposition législative ou réglementaire dont la liste est publiée par ordonnance souveraine.

Nonobstant les dispositions du premier alinéa, une identité numérique peut être créée et attribuée à des personnes physiques ou morales par des personnes relevant du secteur privé.

Les spécifications de l'identité numérique ainsi créée et attribuée sont déterminées par ordonnance souveraine en fonction des niveaux de garantie visés à l'article 3*^[1].

Il est créé un Registre National Monégasque de l'Identité Numérique qui a pour finalités :

• l'identification des personnes physiques et morales avec l'attribution d'un identifiant numérique lié à une identité numérique ;

• la participation à la réalisation des documents d'identité ou d'autres documents permettant d'établir celle-ci ;

• la participation à la prévention et à la lutte contre la fraude à l'identité ;

• la mise à disposition de données de personnes physiques ou morales aux responsables des fichiers des services publics dans les limites des missions qui leur sont légalement conférées aux fins de faciliter leur exercice ;

• la préservation de l'historique de ces données à des fins administratives ou, à condition que les données soient anonymisées, à des fins statistiques ;

• la simplification des formalités administratives exigées par les autorités publiques ;

• la mise à disposition de données de personnes physiques ou morales aux responsables des fichiers des personnes relevant du secteur privé dans les limites des missions qui leur sont légalement conférées.

Les fichiers d'où proviennent les données à caractère personnel et les données d'identification personnelle enregistrées et conservées dans le Registre National Monégasque de l'Identité Numérique sont interconnectés et interopérables avec ce dernier.

Les modalités d'application du présent article sont fixées par ordonnance souveraine*^[2].

Les données contenues dans le Registre National Monégasque de l'Identité Numérique ne peuvent être utilisées aux fins de déterminer les opinions, les appartenances raciales ou ethniques, les adhésions politiques, religieuses, philosophiques ou syndicales, ni d'obtenir les données relatives à la santé, aux particularités génétiques, à la vie sexuelle ou l'orientation sexuelle et aux mesures à caractère social.

Seules les données à caractère personnel et les données d'identification personnelle strictement nécessaires à l'identification des personnes auxquelles une identité numérique a été créée et attribuée en application des articles 4 et 5 sont enregistrées et conservées dans le Registre National Monégasque de l'Identité Numérique.

L'enregistrement et la conservation des données sensibles sont interdits.

La liste des données à caractère personnel et des données d'identification personnelle, enregistrées et conservées dans le Registre National Monégasque de l'Identité Numérique, est publiée par ordonnance souveraine*^[2].

L'exactitude des données enregistrées sur la base de pièces justificatives dans le Registre National Monégasque de l'Identité Numérique est garantie. Toute autre donnée y sera traitée comme donnée purement informative.

La durée de conservation des informations enregistrées dans le Registre National Monégasque de l'Identité Numérique ne peut être supérieure à celle nécessaire à la finalité pour laquelle elles ont été collectées.

Au-delà de cette période, les informations sont conservées uniquement à des fins d'archivage d'utilité publique, à savoir à des fins archivistiques dans l'intérêt du public, à des fins de recherche scientifique ou historique ou à des fins statistiques présentant un caractère d'intérêt général.

Il est créé un service du Registre National Monégasque de l'Identité Numérique.

Ledit Registre est placé sous l'autorité d'un responsable du Registre qui veille à prendre toutes les mesures permettant la mise à jour des données contenues dans ledit Registre.

En outre, le responsable du Registre en assure la sécurité s'agissant des fonctions de disponibilité, intégrité, confidentialité et traçabilité conformément à la réglementation en vigueur en la matière.

Seules les personnes dûment et spécialement habilitées par le responsable du Registre National Monégasque de l'Identité Numérique peuvent accéder audit Registre aux fins d'exploitation, de réalisation, de consultation, de modification ou de radiation.

Cette habilitation précise la ou les informations contenues dans le Registre auxquelles elle autorise l'accès. Ces informations sont celles qui sont strictement nécessaires à l'exercice des prérogatives dévolues au service.

Les personnes qui, dans l'exercice de leurs fonctions, assurent la gestion du Registre National Monégasque de l'Identité Numérique, sont tenues au secret professionnel dans les conditions de l'article 308 du Code pénal.

Les services publics et les personnes relevant du secteur privé qui souhaitent prendre connaissance d'une ou plusieurs des données enregistrées et conservées dans le Registre National Monégasque de l'Identité Numérique adressent une requête au service chargé de la gestion dudit Registre.

Le service chargé de la gestion du Registre National Monégasque de l'Identité Numérique détermine, en fonction de la finalité du traitement mis en œuvre par le requérant, la ou les données du Registre National Monégasque de l'Identité Numérique qui lui sont communiquées, ainsi que le degré de précision de cette communication.

Toutefois, le service chargé de la gestion du Registre National Monégasque de l'Identité Numérique peut communiquer au requérant d'autres données que celles qui ont été déterminées en application de l'alinéa précédent, dès lors que la personne concernée y a préalablement consenti de façon expresse.

Les modalités d'application du présent article sont déterminées par ordonnance souveraine*^[2].

Le service public ou la personne relevant du secteur privé qui collectent une ou plusieurs des informations enregistrées et conservées dans le Registre National Monégasque de l'Identité Numérique informent la personne physique ou morale concernée qu'elle dispose d'un droit d'accès et de rectification sur ces informations qu'elle peut exercer auprès du service chargé de la gestion dudit Registre.

Afin de pouvoir assurer la traçabilité des consultations effectuées par les personnes habilitées visées à l'article 11 et des requêtes adressées conformément à l'article 13, le service chargé de la gestion du Registre National Monégasque de l'Identité Numérique tient un répertoire.

Les éléments figurant dans le répertoire sont conservés dix ans à compter de la date de leur inscription.

Les personnes physiques ou morales concernées disposent d'un droit d'accès et de rectification sur les informations contenues dans le répertoire, dans les conditions prévues par la législation relative à la protection des données à caractère personnel.

Le répertoire est tenu à la disposition de la Commission de Contrôle des Informations Nominatives.

Dès lors qu'une information a été communiquée en vue d'être enregistrée dans le Registre National Monégasque de l'Identité Numérique, la personne concernée n'est pas tenue de la communiquer aux services exécutifs de l'État, de la Commune ou d'un établissement public dont les fichiers sont interconnectés et interopérables avec ledit Registre conformément à l'article 6.

Un fournisseur d'identité est un prestataire de services de confiance qui délivre un moyen d'identification en garantissant l'identité des utilisateurs et gère la procédure d'authentification.

Sans préjudice des dispositions législatives et réglementaires en matière de responsabilité, le fournisseur d'identité est responsable dans les conditions définies par la loi n° 1.383 du 2 août 2011 sur l'économie numérique, modifiée.

L'attribution par un fournisseur d'identité d'identifiants numériques permanents ou temporaires, permet à une personne physique ou morale à qui une identité numérique a été attribuée d'accéder à des plateformes de services et d'administration électronique.

Les identifiants numériques visés à l'alinéa précédent peuvent être délivrés sur tous types de supports, électroniques ou non. Ils sont centralisés dans le Registre National Monégasque de l'Identité Numérique.

Les modalités d'application du présent article sont fixées par ordonnance souveraine*^[4].

Il est instauré un portefeuille d'identité numérique pour garantir à toute personne physique ou morale un accès sécurisé, fiable, continu et transfrontalier à des services publics et privés, tout en exerçant un contrôle total sur leurs données.

Le portefeuille d'identité numérique est fourni par l'État ou par un fournisseur privé reconnu par lui.

Les modalités de fourniture ou de reconnaissance dudit portefeuille sont fixées par Ordonnance Souveraine.

Les modalités techniques et opérationnelles du portefeuille d'identité numérique sont fixées par arrêté ministériel.

Le portefeuille d'identité numérique est un moyen d'identification numérique qui permet à l'utilisateur, d'une manière conviviale, transparente et qui garantit la traçabilité pour l'utilisateur :

• de demander, d'obtenir, de sélectionner, de combiner, de stocker, de supprimer, de partager et de présenter en toute sécurité, sous le seul contrôle de l'utilisateur, des données d'identification personnelle et, lorsqu'il y a lieu, en combinaison avec les attestations électroniques d'attributs, de s'authentifier à l'égard de parties utilisatrices, en ligne et, le cas échéant, en mode hors ligne, en vue d'accéder à des services publics et privés, tout en veillant à ce qu'une divulgation sélective de données soit possible ;

• de générer des pseudonymes et de les stocker localement sous forme chiffrée, dans le portefeuille d'identité numérique ;

• d'authentifier de manière sécurisée le portefeuille d'identité numérique d'une autre personne, et de recevoir et partager des données d'identification personnelles et des attestations électroniques d'attributs de manière sécurisée entre les deux portefeuilles d'identité numérique ;

• d'accéder à un journal de toutes les transactions effectuées avec le portefeuille d'identité numérique au moyen d'un tableau de bord dont les caractéristiques sont détaillées par arrêté ministériel ;

• de signer au moyen de signatures électroniques qualifiées et d'apposer des cachets au moyen de cachets électroniques qualifiés ;

• de télécharger, dans la mesure où cela est techniquement possible, les données des utilisateurs, l'attestation électronique des attributs et des configurations ;

• d'exercer les droits de l'utilisateur à la portabilité des données.

Les modalités d'application du portefeuille d'identité numérique sont déterminées par Ordonnance Souveraine.

En particulier, le portefeuille d'identité numérique :

• a) prend en charge des protocoles et interfaces communs pour :

  • délivrer des données d'identification personnelle, des attestations électroniques d'attributs qualifiées et non qualifiées ou de certificats qualifiés et non qualifiés au portefeuille d'identité numérique ;

  • permettre aux parties utilisatrices de demander et valider des données d'identification personnelle et des attestations électroniques d'attributs ;

  • partager avec les parties utilisatrices et présenter aux parties utilisatrices des données d'identification personnelle, des attestations électroniques d'attributs, ou des données connexes divulguées de manière sélective en ligne et, le cas échéant, également en mode hors ligne ;

  • permettre à l'utilisateur d'autoriser une interaction avec le portefeuille d'identité numérique et d'afficher un « label de confiance pour le portefeuille d'identité numérique » ;

  • que l'utilisateur puisse de manière sécurisée être enrôlé grâce aux moyens d'identification numériques associés ;

  • permettre l'interaction entre les portefeuilles d'identité numérique de deux personnes afin de recevoir, de valider et de partager des données d'identification personnelle et des attestations électroniques d'attributs de manière sécurisée ;

  • authentifier et identifier des parties utilisatrices par la mise en œuvre de mécanismes d'authentification tels que fixés par Ordonnance Souveraine ;

  • permettre aux parties utilisatrices de vérifier l'authenticité et la validité des portefeuilles d'identité numérique ;

  • demander à une partie utilisatrice l'effacement de données à caractère personnel conformément à la réglementation en vigueur en matière de données personnelles ;

  • signaler une partie utilisatrice à l'Autorité de Protection des Données Personnelles lorsqu'une demande de données présumée illégale ou suspecte est reçue ;

  • la création de signatures ou de cachets électroniques qualifiés au moyen de dispositifs de création de signature ou de cachet électroniques qualifiés ;

• b) ne fournit aucune information aux prestataires de services de confiance chargés de la fourniture d'attestations électroniques d'attributs concernant l'utilisation de ces attestations électroniques ;

• c) veille à ce que les parties utilisatrices puissent être authentifiées et identifiées par la mise en œuvre de mécanismes d'authentification tels que fixés par Ordonnance Souveraine ;

• d) satisfait aux exigences énoncées dans l'Annexe à l'Arrêté Ministériel n° 2020‑462 du 6 juillet 2020 quant au niveau de garantie « élevé », tel qu'il est appliqué en particulier aux exigences concernant la preuve et la vérification d'identité, et à la gestion des moyens d'identification électronique et à l'authentification ;

• e) fait en sorte que les données d'identification personnelle qui sont disponibles dans le schéma d'identification électronique dans le cadre duquel le portefeuille d'identité numérique est fourni, représentent de manière univoque la personne physique, la personne morale ou la personne physique représentant la personne physique ou morale et soient associées au portefeuille ;

• f) dans le cas de l'attestation électronique d'attributs intégrant des politiques de divulgation, mettent en œuvre le mécanisme approprié pour informer l'utilisateur que la partie utilisatrice ou l'utilisateur du portefeuille d'identité numérique qui demande cette attestation électronique d'attributs a l'autorisation d'accéder à cette attestation ;

• g) offre à toutes les personnes physiques la possibilité, par défaut et gratuitement, de signer au moyen de signatures électroniques qualifiées ;

• h) permet l'interopérabilité avec les moyens d'identification électronique monégasques.

Le fournisseur de portefeuille d'identité numérique prévoit des procédures permettant à l'utilisateur de signaler toute perte, faille ou utilisation abusive éventuelle, totale ou partielle, de son portefeuille et d'en demander la révocation.

Ledit fournisseur informe les utilisateurs dans les meilleurs délais de toute atteinte à la sécurité susceptible d'avoir compromis, en tout ou partie, son portefeuille d'identité numérique ou son contenu, en particulier en cas de suspension ou de révocation du portefeuille.

Les modalités d'application du présent article sont déterminées par Ordonnance Souveraine.

Le fournisseur de portefeuille d'identité numérique met en œuvre des mécanismes de validation gratuits pour le portefeuille d'identité numérique pour :

• a) veiller à ce que son authenticité et sa validité puissent être vérifiées ;

• b) permettre aux utilisateurs de vérifier l'authenticité et la validité de l'identité des parties utilisatrices enregistrée, tels que fixés par Ordonnance Souveraine.

Le portefeuille d'identité numérique est délivré dans le cadre d'un schéma d'identification électronique de niveau de garantie élevé.

La délivrance, l'utilisation pour l'authentification et la révocation de portefeuille d'identité numérique sont gratuites pour les personnes physiques.

Le portefeuille d'identité numérique garantit la sécurité dès la conception.

Le fournisseur de portefeuilles d'identité numérique garantit que les utilisateurs peuvent facilement demander une assistance technique et signaler des problèmes techniques ou tout autre incident ayant une incidence négative sur l'utilisation des portefeuilles d'identité numérique.

La révocation immédiate du portefeuille d'identité numérique peut être effectuée dans l'un des cas suivants :

• a) à la demande explicite de l'utilisateur ;

• b) lorsque la sécurité du portefeuille d'identité numérique a été compromise ;

• c) en cas de décès de l'utilisateur ou de cessation d'activité de la personne morale.

Les modalités d'application du précédent alinéa sont déterminées par arrêté ministériel.

Les utilisateurs exercent un contrôle total sur l'utilisation de portefeuille d'identité numérique et des données qui y figurent.

Le fournisseur de portefeuille d'identité numérique ne collecte pas les informations sur l'utilisation du portefeuille d'identité numérique qui ne sont pas nécessaires à la fourniture des services qui y sont attachés.

De même il ne combine pas des données d'identification personnelle et d'autres données à caractère personnel stockées ou relatives à l'utilisation du portefeuille d'identité numérique avec des données à caractère personnel provenant de tout autre service offert par ce fournisseur ou de services tiers qui ne sont pas nécessaires à la fourniture des services liés au portefeuille, à moins que l'utilisateur n'en ait fait expressément la demande contraire.

Les données à caractère personnel relatives à la fourniture de portefeuille d'identité numérique sont maintenues séparées, de manière logique, de toute autre donnée détenue par le fournisseur des portefeuilles d'identité numérique.

L'utilisation de portefeuille d'identité numérique a lieu sur une base volontaire. Les personnes physiques ou morales qui n'utilisent pas le portefeuille d'identité numérique ne sont en aucune façon limitées ou désavantagées dans l'accès aux services publics et privés ou dans l'accès au marché du travail et la liberté d'entreprise. Il reste possible d'accéder aux services publics et privés par d'autres moyens d'identification et d'authentification existants.

Tout traitement de données à caractère personnel effectué par le fournisseur de portefeuille d'identité numérique en tant que moyen d'identification numérique est effectué dans le respect de la réglementation en vigueur en matière de protection des données personnelles.

Aux fins de la fourniture de portefeuille d'identité numérique, lesdits portefeuilles et les schémas d'identification électronique dans le cadre desquels ils sont fournis ne sont pas soumis aux exigences prévues à l'article 3 de l'Ordonnance Souveraine n° 8.693 du 17 juin 2021 portant application des articles 4 et 5 de la loi n° 1.483 du 17 décembre 2019 relative à l'identité numérique.

L'utilisation de portefeuille d'identité numérique est accessible aux personnes en situation de handicap, conformément à l'article 1-2 de la loi n° 1.383 du 2 août 2011 pour une Principauté numérique, modifiée.

Quiconque aura sciemment fait usage d'informations anonymisées ou pseudonymisées issues du Registre National Monégasque de l'Identité Numérique en vue de réidentifier une personne sera puni d'un emprisonnement d'un à six mois et de l'amende prévue au chiffre 4 de l'article 26 du Code pénal.

Lorsque les termes « électronique » et « numérique » sont utilisés, dans les lois et règlements, en matière d'identité et de services de confiance, ils sont considérés comme ayant un sens équivalent.