Según el Ministerio del Interior, ALICEM es la primera solución segura de identidad digital soberana. Esta aplicación ha sido desarrollada por el Ministerio del Interior y la Agencia Nacional de Títulos Garantizados (ANTS). ALICEM es una aplicación para móviles diseñada para permitir a las personas autenticar su identidad en servicios online públicos y privadas y las transacciones digitales que realicen.

El usuario debe disponer de un teléfono inteligente y de pasaporte o tarjeta de residencia con chip. La aplicación reemplaza así la tarjeta de identidad que utilizan los ciudadanos en la vida cotidiana y permite el uso de servicios online ya sean públicos o privados. No se trata sin embargo de una aplicación de uso obligatorio, todo el mundo es libre de utilizar o no la aplicación.

¿Cómo funciona?

Una vez instalada ALICEM en el móvil, el usuario registra su pasaporte o tarjeta de residencia.

1. La aplicación realiza la lectura del chip del documento oficial de identidad mediante el protocolo NFC (tecnología inalámbrica de corto alcance), es decir, sin contacto.
2. A continuación se procede a efectuar el reconocimiento facial del individuo comparando la foto del documento con identidad con su rostro para autenticar que el usuario es titular del documento de identidad oficial que porta.

¿Qué supone?

La aplicación forma parte del reglamento europeo «elDAS» aprobado el 23 de julio de 2014 y relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior. Un reglamento con el objetivo de garantizar las interacciones electrónicas en la Unión Europea (UE) entre empresas, ciudadanos y autoridades públicas. «elDAS» define 3 niveles de garantía: baja, sustancial y alta; ALICEM apunta a los dos niveles superiores y antecede a identidad electrónica que se prevé entre en funcionamiento en Francia en agosto de 2021.

La aplicación ALICEM fue validada mediante un decreto aprobado en mayo de 2019 que autoriza la creación de un medio de identificación electrónica denominado «Autenticación online certificada en el móvil» . El artículo 3-2 del reglamento eIDAS define, por un lado, la «identificación personal para medios electrónicos» que contiene datos de identificación personal y que se utilizan para autenticarse para un servicio en línea y, por otro lado, «identificación electrónica» que consiste en utilizar datos de identificación personal en formato electrónico que representen de manera inequívoca a una persona física o jurídica, o una persona física que represente a una persona jurídica (art. 3-1).

Por su parte, la «autenticación» es un proceso electrónico que permite confirmar la identificación electrónica de una persona física o jurídica, o el origen e integridad de los datos en formato electrónico. La protección de datos está garantizada de acuerdo con la ley modificada de 1978 y el RGPD, por ejemplo: no hay almacenamiento de datos extraídos del documento de identidad y los datos no se procesan.

La biometría, en este caso el reconocimiento facial con fines de autenticación segura, impone obligaciones especiales cuando da lugar al procesamiento de datos (como la evaluación del impacto en la privacidad). Este aspecto está contemplado por ALICEM. Sin embargo, la aplicación ha suscitado inquietudes con respecto a las posibilidades que ofrece a los Estados o empresas en términos de trazabilidad de personas.

La asociación La Quadrature du Net solicitó al Consejo de Estado la anulación del decreto por extralimitación de poder y, subsidiariamente, plantear cuestiones preliminares al Tribunal de Justicia de las Comunidades Europeas.

El Consejo de Estado rechazó el recurso de la asociación que se oponía a la fase de reconocimiento facial al abrir la cuenta del usuario, alegando que la solución debía ofrecer una alternativa a este proceso de verificación de identidad biométrica. Su respuesta advierte en primer lugar que el usuario móvil no tiene la obligación de registrarse en el servicio ya que, como subraya el Consejo de Estado, siempre tiene la posibilidad de utilizar otros dispositivos de identificación online de France Connect. Conecte «cuyo uso no presupone el consentimiento para el procesamiento del reconocimiento facial».

Además, el Consejo de Estado recuerda que la ley modificada de 1978 (art. 8) y el RGPD (art. 9) prohíben el tratamiento de datos biométricos, a menos que el interesado haya dado su consentimiento explícito y que, en el procesamiento por razones de interés público importante, dicho procesamiento es proporcionado. Sin embargo, el consentimiento debe haberse otorgado libremente.

¿Podríamos prescindir del reconocimiento facial? ¿Había otras formas de acceder al servicio ALICEM?

Según el Consejo de Estado:

No se desprende de los documentos del expediente que, para la creación de identificadores electrónicos, a la fecha del decreto impugnado existieran otros medios para autenticar la identidad del usuario de forma totalmente desmaterializada presentando el mismo nivel de garantía que el sistema de reconocimiento facial.

Así, el uso de biometría autorizado por el decreto «debe ser considerado como requerido por el propósito de este procesamiento». Es evidente que la asociación no había proporcionado pruebas de que existieran tales medios.

Y además:

De los documentos del expediente se desprende que los servicios accesibles a través de la aplicación Alicem también eran accesibles, en la fecha del decreto impugnado, a través de FranceConnect, cuyo uso no presupone el consentimiento para el tratamiento de reconocimiento facial.

Por tanto, de ello se desprende que el consentimiento de los usuarios de ALICEM se otorga libremente. Por último, se deja de lado la cuestión de la recogida de datos adecuados, relevantes y no excesivos en relación con el objeto y finalidades del tratamiento.

Esta decisión del Consejo de Estado es una buena noticia para la seguridad y la confianza digital; aunque solo sea para luchar contra el fraude y el robo de identidad.