Rapport explicatif

internationaux, les spécifications font essentiellement référence à des normes internationales, ce qui garantit que les documents sont reconnus et lisibles partout dans le monde. Citons notamment les normes de l'Organisation internationale de normalisation (ISO) et celles de l'Organisation de l'aviation civile internationale (OACI). Sur la base de ces normes, les décisions de la Commission fixent:

- le format sous lequel l'image du visage (jpeg et jpeg 2000) et les empreintes

digitales (WSQ) doivent être stockées;

- le type de support de stockage des données (architecture à puce RFID¹⁶);

- la structure logique des données sur la puce;

- les spécifications concernant la sécurité des données numérisées dans la puce.

L'image du visage et les empreintes digitales (index gauche et index droit) seront enregistrées comme des images. S'il n'est pas possible de relever les empreintes de ces doigts, toute une série de possibilités de remplacement, à essayer dans l'ordre établi, sont définies.

La décision de la Commission de l'UE fournit des prescriptions contraignantes dans des domaines - et notamment celui de la protection des données - où les normes internationales offrent différentes options. Citons en particulier la protection, grâce à un contrôle d'accès de base (Basic Access Control; BAC), des données stockées dans la puce contre une lecture à distance non autorisée et la restriction d'accès et de lecture aux empreintes digitales qui seront stockées, à l'avenir, dans la puce grâce à un contrôle d'accès étendu (Extended Access Control; EAC).

L'image du visage enregistrée électroniquement est le seul élément biométrique interopérable et reconnu au niveau international exigé par l'OACI et les Etats-Unis. Pour cette raison, tous les services qui contrôlent les documents d'identité (p. ex. les autorités douanières) doivent aussi pouvoir lire l'image du visage enregistrée électroniquement. Il s'agit de la même image que celle figurant dans le passeport et pouvant être reconnue à l'œil nu. Comme il serait techniquement possible de lire à distance les puces RFID sans en avertir le titulaire du passeport, la Commission de l'UE prescrit dans ses spécifications l'utilisation du BAC. Pour pouvoir lire un document d'identité protégé par BAC, il faut le remettre à l'autorité de contrôle, qui l'ouvre et lit la zone de lecture optique (MRZ) du document. Après cela, les données contenues dans la puce peuvent être lues. Les données enregistrées dans la puce sont en outre protégées par une signature numérique garantissant et permettant de vérifier leur authenticité. Les pays impliqués doivent échanger entre eux les certificats permettant de vérifier l'authenticité des clés. Cet échange doit avoir lieu, dans un premier temps, par la voie diplomatique et, au besoin, par voie électronique dans un deuxième temps. Il est nécessaire de mettre en place et d'exploiter une infrastructure à clé publique (ICP) et un répertoire de clés publiques (RCP) pour pouvoir générer ces clés, signer les documents d'identité et échanger avec les autres Etats.

S'agissant des empreintes digitales, la Commission de l'UE prévoit dans ses spécifications une protection d'accès encore plus poussée, l'EAC: des droits d'accès particuliers sont nécessaires pour lire les empreintes digitales. Ainsi, chaque pays peut déterminer quels autres pays ont le droit de lire les empreintes digitales figurant