LI pour les MVNO utilisant l'eSIM : défis spécifiques et solutions pratiques

Le modèle économique des MVNO utilisant l’eSIM pose des défis spécifiques en matière d’interception légale par rapport aux MVNO traditionnels. Les MVNO exclusivement basés sur l’eSIM représentent un segment en pleine croissance du marché des télécommunications. En supprimant totalement la carte SIM physique, ces opérateurs peuvent proposer une souscription entièrement numérique, une activation instantanée et une gestion transparente des profils — autant d’atouts qui séduisent les consommateurs férus de technologie et les marques axées sur le numérique. Cependant, le modèle exclusivement basé sur l’eSIM pose des défis spécifiques en matière d’interception légale qui vont au-delà de ceux rencontrés par les MVNO traditionnels. La nature dynamique des profils eSIM, la facilité de changement de profil et l’absence de points de contact physiques pour la vérification d’identité créent autant de complexités auxquelles il faut remédier pour conformité réglementaire.

Cet article examine les défis spécifiques en matière de LI auxquels sont confrontés les opérateurs mobiles virtuels (MVNO) proposant uniquement des eSIM et propose des solutions pratiques pour y remédier dans le cadre réglementaire et technique actuel.

Le défi de la conformité des MVNO en matière d'eSIM

Les opérateurs mobiles virtuels (MVNO) « eSIM-only » fonctionnent sans carte SIM physique. Les abonnés téléchargent un profil d’opérateur directement sur l’UICC intégrée à leur appareil via l’architecture RSP (Remote SIM Provisioning) de la GSMA. L'ensemble du parcours client — de l'inscription à la gestion du service en passant par l'activation — est entièrement numérique. Ce modèle élimine les contraintes logistiques liées à la fabrication, à la distribution et à la vente au détail des cartes SIM, permettant ainsi une exploitation plus légère et plus évolutive.

Du point de vue de l'interception légale, le modèle « eSIM uniquement » présente de nombreuses similitudes avec les déploiements eSIM traditionnels, mais accentue certains défis. L'absence totale de distribution de cartes SIM physiques signifie qu'il n'existe aucun point de contact physique permettant de procéder à une vérification d'identité. La facilité de gestion des profils permet aux abonnés d'activer, de désactiver et de changer de profil avec un minimum de difficultés. De plus, la clientèle privilégiant le numérique peut être plus avertie sur le plan technique et plus encline à utiliser des technologies renforçant la protection de la vie privée.

Vérification d'identité et défis liés au KYC

Les exigences en matière de « Know Your Customer » (KYC) varient selon les juridictions, mais sur de nombreux marchés européens, les opérateurs doivent vérifier l'identité de leurs abonnés avant d'activer le service. Pour les MVNO proposant exclusivement des eSIM, cette vérification doit être effectuée entièrement par voie numérique : il n'est pas possible de procéder à des contrôles en personne des pièces d'identité dans un point de vente. Les méthodes de vérification d'identité numérique comprennent l'identification par vidéo, la vérification électronique des pièces d'identité, l'authentification par carte d'identité électronique (eID) et la vérification du compte bancaire.

The quality of identity verification directly affects the effectiveness of lawful interception. If a subscriber’s identity is not reliably established, law enforcement may be unable to find out which number or profile belongs to a suspect, and therefore which identifier to name in an interception order. eSIM-only MVNOs must implement robust digital KYC processes that meet the standards required by their regulatory framework and that provide a reliable link between the subscriber’s real-world identity and their network identity (IMSI, MSISDN).

Some jurisdictions have specific requirements for digital identity verification that operators must comply with. Germany’s TKG requires identity verification for prepaid mobile services before activation (§ 172 TKG). Remote procedures must be ones the Bundesnetzagentur has approved and must be certified by an accredited conformity assessment body. eSIM-only MVNOs must ensure that their digital KYC processes meet these specific national requirements.

Gestion du cycle de vie des profils

Dans un opérateur mobile virtuel (MVNO) fonctionnant exclusivement avec des eSIM, le cycle de vie des profils — téléchargement, installation, activation, désactivation et suppression — est entièrement géré par des processus numériques. Chaque étape de ce cycle de vie a des implications en matière d’interception légale. Lorsqu’un nouveau profil est téléchargé et activé, l’abonné devient visible sur le réseau avec un nouvel ensemble d’identifiants. Lorsqu’un profil est désactivé ou supprimé, l’abonné disparaît du réseau. Ces transitions doivent être suivies par le système d’interception légale afin de garantir que les interceptions puissent être maintenues ou ajustées à mesure que le statut du profil de la cible évolue.

The reliable source for identifier changes is the MVNO’s own provisioning chain (BSS, HSS/UDM): every new profile and its IMSI is created there before download. SM-DP+ notifications (GSMA SGP.22) can add context, but they are best-effort and should not be the basis for interception. Integrating the LI system with the provisioning chain lets it show which profile and IMSI belong to an identifier named in an order, so the team can answer the agency’s follow-up requests quickly.

Les opérateurs mobiles virtuels (MVNO) proposant uniquement des eSIM doivent également tenir compte des implications liées à la portabilité des profils. Un abonné peut télécharger des profils provenant de plusieurs MVNO proposant uniquement des eSIM sur un même appareil, et passer de l’un à l’autre selon ses besoins. L’opérateur mobile virtuel ne peut intercepter les communications que sur son propre profil : lorsque l’abonné bascule vers le profil d’un autre opérateur mobile virtuel, le premier perd toute visibilité. La coordination des interceptions entre plusieurs opérateurs mobiles virtuels proposant uniquement des eSIM nécessite que les forces de l’ordre émettent des mandats distincts à l’intention de chaque opérateur, ce qui peut s’avérer difficile sur le plan opérationnel.

Identification des cibles dans un environnement exclusivement eSIM

L'identification des cibles pour les MVNO proposant uniquement des eSIM suit les mêmes principes généraux que pour les autres opérateurs, mais avec quelques nuances spécifiques. Le ciblage basé sur le MSISDN est simple si le client conserve le même numéro. Cependant, les MVNO proposant uniquement des eSIM peuvent offrir des services facilitant les changements fréquents de numéro — numéros virtuels, numéros temporaires ou services multi-numéros —, ce qui complique le ciblage basé sur le MSISDN.

IMSI-based targeting is tied to the specific profile. Each eSIM profile has its own IMSI, and if the target obtains a new profile (even from the same MVNO), the IMSI will change. If the target obtains a new profile, the IMSI named in the order stops producing traffic, and the existing interception reports the deregistration. The agency can then request the new identifiers through the national subscriber-data procedure (in Germany § 174 TKG) and obtain an amended order. Interception must never be extended to new identifiers automatically.

IMEI-based targeting provides device-level identification that is independent of the eSIM profile. This can be particularly valuable in the eSIM-only context, as the IMEI remains constant even when profiles are changed. However, IMEI-based targeting identifies the device, and dual-SIM devices use a separate IMEI for each active SIM or eSIM profile. An operator can only intercept traffic on its own network, so profiles of other operators on the same device are not captured; agencies must address those operators separately.

Solutions techniques

eSIM-only MVNOs should implement several technical measures to address the LI challenges specific to their model. First, integrate the LI system with your own provisioning chain (BSS, HSS/UDM), which is where every new profile and its IMSI is created; SM-DP+ notifications are best-effort and only add context. This is the foundation for recognising profile changes that affect a target. Second, make sure the LI system can task every identifier named in the order (MSISDN, IMSI, IMEI) and reports the IP addresses assigned to the target’s sessions, so that each intercepted session is attributed to the order it belongs to. Third, ensure that registration and deregistration events of the target are reported as standard IRI. Any additional eSIM-related information should only be delivered where the national handover specification provides for it.

Fourth, implement fast processes for handling profile changes: answer the agency’s requests for the target’s new identifiers promptly, and add a new IMSI or number only when an amended order names it. Interception must never be extended to new identifiers automatically.

Cinquièmement, veillez à ce que vos processus KYC numériques fournissent des informations d'identité fiables pouvant être utilisées pour aider les forces de l'ordre à identifier leurs cibles. La qualité de vos données des abonnés Cela a une incidence directe sur l'efficacité des interceptions légales et sur votre capacité à répondre aux demandes des forces de l'ordre concernant les informations relatives aux abonnés.

Dialogue avec les autorités réglementaires

Les opérateurs mobiles virtuels (MVNO) proposant exclusivement des services eSIM devraient dialoguer de manière proactive avec leur autorité de régulation nationale afin d’aborder les défis spécifiques liés à l’interception légale (LI) que pose le modèle exclusivement eSIM. Il se peut que les autorités de régulation n’aient pas encore pleinement pris en compte les implications des opérations exclusivement basées sur l’eSIM en matière d’interception légale ; un dialogue proactif témoigne d’une volonté de conformité de bonne foi tout en contribuant à définir des attentes réglementaires réalistes. Les opérateurs devraient documenter leur approche en matière de conformité aux exigences d’interception légale dans le contexte de l’eSIM, y compris les éventuelles limites et les mesures qu’ils prennent pour y remédier.

Conclusion

eSIM-only MVNOs face unique LI challenges related to digital identity verification, profile lifecycle management, target identification, and the dynamic nature of the eSIM environment. These challenges are addressable through a combination of technical integration, well-defined processes, robust KYC procedures, and proactive regulatory engagement. Which of these measures you need depends on your model: a light MVNO relies on its host’s interception, while travel eSIMs that use a foreign operator’s profile are intercepted, if at all, in that operator’s country or as inbound roamers. By building LI considerations into the design of their eSIM-only operations from the outset, MVNOs can achieve compliance while maintaining the operational agility and digital-first experience that define their business model.

Considérations opérationnelles

Au-delà de l’infrastructure technique, les opérateurs mobiles virtuels (MVNO) proposant exclusivement des eSIM doivent mettre en place des processus opérationnels tenant compte des caractéristiques spécifiques de leur modèle économique. La formation du personnel doit couvrir le cycle de vie de l’eSIM et ses implications pour le LI, notamment la manière dont les téléchargements de profils, les activations, les désactivations et les suppressions affectent les interceptions en cours. L’équipe opérationnelle chargée de l’interception légale doit comprendre la relation entre la plateforme de gestion des eSIM et le système d’interception légale, et doit être capable de résoudre les problèmes survenant à l’intersection de ces systèmes.

Les procédures d'intervention en cas d'incident doivent prendre en compte les scénarios spécifiques à l'eSIM, tels qu'une cible passant rapidement d'un profil à l'autre, un événement impliquant un grand nombre de profils affectant les performances du système LI, ou encore une défaillance de l'intégration entre la plateforme de gestion des eSIM et le système LI. Ces scénarios sont propres à l'environnement eSIM et nécessitent des procédures d'intervention spécifiques que les plans traditionnels d'intervention en cas d'incident LI ne couvrent pas nécessairement.

La documentation revêt une importance particulière pour les MVNO proposant exclusivement des services eSIM, compte tenu de la nouveauté de ce modèle économique et de l’évolution du cadre réglementaire. Veillez à conserver une documentation exhaustive sur l’architecture, les processus et les résultats des tests de votre capacité LI eSIM. Cette documentation atteste de votre conformité auprès des autorités de régulation et constitue une base solide pour répondre aux questions concernant la manière dont votre capacité LI répond aux défis spécifiques du modèle exclusivement basé sur l’eSIM. À mesure que le cadre réglementaire de l’eSIM évolue, les opérateurs disposant d’une documentation rigoureuse seront mieux placés pour s’adapter aux nouvelles exigences et pour démontrer qu’ils ont adopté une approche réfléchie et proactive en matière de conformité.

The relationship between the eSIM-only MVNO and its host MNO also requires specific attention in the eSIM context. The host MNO’s network does not see eSIM profile events as such, only the registration and deregistration of each profile’s IMSI, so the interception mechanisms work as for physical SIMs; the LI arrangements should still be tested with profile switches and replacements. eSIM-only MVNOs should work closely with their host MNOs to ensure that the LI arrangements cover the full range of eSIM-specific scenarios and that the capacité d'interception est validée par des tests exhaustifs qui incluent les événements liés au cycle de vie du profil eSIM ainsi que des scénarios d'interception classiques.

Le marché des opérateurs mobiles virtuels (MVNO) utilisant la technologie eSIM connaît une croissance rapide, et les exigences réglementaires évoluent en conséquence. Chaque MVNO eSIM doit s'assurer que son infrastructure LI est capable de relever les défis spécifiques liés à l'identification dans le cadre de l'activation à distance des cartes SIM.

Articles connexes

Pour en savoir plus sur des sujets connexes, consultez les articles suivants :

Ressources externes

Les ressources externes suivantes fournissent un contexte supplémentaire et une documentation officielle :