Qu’est-ce que l’identité numérique européenne et comment va-t-elle modifier vos procédures ?

L’ identité numérique européenne n’est plus un projet lointain ni de la science-fiction : c’est la nouvelle « identité numérique » que l’Union européenne met en œuvre pour permettre à toute personne, entreprise ou résident de s’identifier, de partager des documents et de signer en ligne en toute sécurité dans toute l’UE. Elle prend la forme d’une application mobile, d’un portefeuille numérique, qui centralise les informations d’identification et les données officielles dans un cadre juridique très précis : le règlement eIDAS.

Ce changement majeur intervient à un moment où de plus en plus de procédures et de services sont effectués en ligne , tant dans le secteur public que privé, et où la sécurité, la confidentialité et le contrôle des données personnelles sont devenus des enjeux cruciaux. Cet article vous présentera en détail ce qu'est l'identité numérique européenne , comment fonctionne le portefeuille numérique EUDI, ce que prévoit le règlement eIDAS2, comment l'utiliser au quotidien, ses avantages, ses risques et le calendrier de déploiement prévu jusqu'en 2026.

Qu’est-ce que l’identité numérique européenne et le portefeuille EUDI ?

L’ identité numérique européenne (EUDI) est un système d’identification électronique commun permettant aux citoyens, résidents et entreprises de prouver leur identité de manière sécurisée, interopérable et légale dans tous les pays de l’Union européenne . Elle va bien au-delà d’un simple nom d’utilisateur et d’un mot de passe : conçue comme une identité électronique robuste, valable pour les services publics et privés et encadrée par la législation européenne, elle constitue une solution d’identification électronique fiable.

Le cœur pratique de ce système est l' EUDI Wallet , un portefeuille numérique sous forme d'application mobile qui stockera et gérera en toute sécurité diverses informations d'identification numériques : documents d'identité, permis de conduire, diplômes universitaires, ordonnances médicales, certificats, moyens de paiement, etc. L'idée est que cette application devienne votre « portefeuille numérique personnel » sur votre téléphone portable, vous permettant de vous identifier et de signer des documents sans avoir recours à des solutions propriétaires comme Apple Wallet ou Google Pay.

Concrètement, ce portefeuille fonctionnera comme un conteneur chiffré pour les attestations électroniques d'attributs , émises par des prestataires de services de confiance (voir la gestion des certificats numériques ) : administrations publiques, universités, établissements de santé, banques, compagnies d'assurance ou autres tiers autorisés. Chaque État membre devra proposer au moins une version officielle du portefeuille, gratuite pour ses citoyens, avant fin 2026, garantissant ainsi un niveau minimal commun d' interopérabilité et d'expérience utilisateur dans toute l'UE.

Cette nouvelle identité numérique n'est pas apparue ex nihilo : elle s'appuie sur le cadre établi par le règlement eIDAS de 2014 (règlement (UE) n° 910/2014) et l'étend . Ce dernier réglementait déjà l'identification électronique et les services de confiance (signatures électroniques, cachets numériques, etc.). La version actualisée, eIDAS2 , introduite par le règlement (UE) 2024/1183, corrige de nombreuses lacunes du règlement initial et y ajoute l'élément manquant : un portefeuille numérique européen standardisé , obligatoire pour de nombreux services et disponible dans tous les pays.

Du point de vue juridique et des droits fondamentaux, l'identité numérique européenne est directement liée au droit à la reconnaissance de la personnalité juridique (article 6 de la Déclaration universelle des droits de l'homme), à ​​la définition des « données à caractère personnel » du RGPD (article 4.1) et au principe énoncé au considérant 7 : les individus doivent maîtriser leurs données à caractère personnel . Dans des pays comme l'Espagne, l'identité est également protégée par la législation nationale, notamment par la loi organique relative à la protection de la sécurité publique.

Relation entre eIDAS2, le RGPD et le cadre technique du portefeuille

Le règlement eIDAS2 , entré en vigueur le 20 mai 2024, vise à renforcer la sécurité, l'utilisabilité et l'interopérabilité des services d'identification électronique et de confiance au sein de l'UE. L'une de ses principales caractéristiques est de rendre obligatoire l' acceptation des moyens d'identification électronique notifiés par un État membre pour tous les autres États membres, ce qui dynamise considérablement les interactions numériques transfrontalières, par exemple lors de l'ouverture d'un compte bancaire ou de l'accès à un service public dans un autre pays.

D’un point de vue technique, la mise en œuvre du portefeuille EUDI s’articule autour du Cadre d’architecture et de référence (ARF) , un cadre qui établit des normes techniques communes, des exigences de sécurité et des bonnes pratiques que les États membres doivent respecter. L’ARF (actuellement en version 1.4.1, avec des révisions prévues) définit comment les portefeuilles doivent être conçus pour être interopérables, sécurisés et capables d’évoluer au rythme des innovations technologiques futures.

Par ailleurs, la Commission européenne approuve une série d' actes d'exécution , dont le premier a été adopté en novembre 2024. Ces règlements précisent en détail les spécifications techniques, les protocoles de sécurité, les formats d'identifiants et les règles d'interopérabilité , traduisant ainsi les objectifs généraux d'eIDAS² en exigences pratiques et juridiquement contraignantes pour tous les États membres. Le cadre réglementaire applicable (ARF) sert de base à ces règlements, qui doivent garantir la conformité des portefeuilles électroniques avec la réglementation sur la protection des données.

La conception d'eIDAS2 a été adaptée pour être en parfaite conformité avec le RGPD , garantissant ainsi que le traitement des données personnelles au sein du portefeuille respecte des principes tels que la minimisation des données, la limitation des finalités, la transparence et l'exercice des droits. Par exemple, les prestataires de services agissant en tant que parties utilisatrices (entités qui s'appuient sur le portefeuille pour identifier un utilisateur) sont tenus de réaliser une analyse d'impact relative à la protection des données lorsque le traitement est susceptible d'engendrer un risque élevé, et de consulter les autorités de contrôle compétentes dans de tels cas.

Le règlement stipule que le portefeuille numérique doit inclure des mécanismes permettant aux utilisateurs de suivre et de consulter toutes leurs transactions : date et heure, identité du service utilisé, données demandées et données effectivement partagées. De plus, le portefeuille EUDI doit proposer un tableau de bord unique où les utilisateurs peuvent consulter la liste actualisée des fournisseurs connectés, les données échangées et demander la suppression de leurs données auprès d’un fournisseur (article 17 du RGPD) ou saisir l’autorité de protection des données s’ils estiment avoir été sollicités pour des informations illicites ou suspectes.

Afin de prévenir les abus et le profilage indésirable, eIDAS2 exige que les données personnelles liées à la création d'un portefeuille numérique soient logiquement séparées des autres données du fournisseur de portefeuille , et que le portefeuille lui-même ne révèle pas aux émetteurs d'identifiants comment ni où leurs certificats sont utilisés. Il impose également des propriétés de non-liaison entre les différentes transactions et des mécanismes de révocation tant pour le portefeuille que pour les identifiants, afin qu'un identifiant compromis puisse être supprimé sans paralyser l'ensemble du système.

Malgré ce cadre réglementaire, un large consensus se dégage parmi les chercheurs, les autorités et les professionnels : la version actuelle du Règlement sur la protection des données (RPD) présente encore des lacunes quant à la garantie pleine et entière du respect de la vie privée et de la sécurité. Il est donc essentiel que les autorités de protection des données surveillent de près la manière dont ces principes sont intégrés dans la mise en œuvre des réglementations et les futures mises à jour du RPD, et que la certification des portefeuilles conformes au RGPD soit encouragée.

Usages et cas d'usage quotidiens de l'identité numérique européenne

L’identité numérique européenne (EUDI) est conçue pour couvrir un large éventail de situations quotidiennes , en ligne comme hors ligne. Grâce au portefeuille EUDI, les utilisateurs peuvent s’identifier de manière fiable sans avoir à envoyer de photocopies de leur carte d’identité par courriel ni de scans non sécurisés. Voici quelques-uns des usages les plus précis envisagés par la réglementation et les documents explicatifs de la Commission :

Dans le secteur public, ce portefeuille permettra d'accéder aux services gouvernementaux dans tous les pays de l'UE : de la demande de passeport ou de permis de conduire à la déclaration de revenus, en passant par le téléchargement d'actes de naissance ou la déclaration d'un changement d'adresse. Il facilitera également l'accès aux informations et aux prestations de sécurité sociale , ainsi que la gestion des documents de santé, notamment la carte européenne d'assurance maladie.

Dans le secteur financier, l'identité numérique européenne permettra d' ouvrir des comptes bancaires et de souscrire à des services à l'étranger sans avoir à se déplacer en agence. La vérification d'identité, actuellement complexe lorsqu'elle n'est pas effectuée en personne, sera réalisée électroniquement, ce qui améliorera des processus tels que la prévention du blanchiment d'argent et permettra d' acquérir une clientèle transfrontalière avec une sécurité juridique renforcée.

Une autre utilisation spécifique concerne l'enregistrement des cartes SIM . En associant une carte SIM à une identité numérique, on réduit la fraude et on diminue les coûts pour les opérateurs de réseaux mobiles . De même, le portefeuille numérique permettra aux utilisateurs d'afficher un permis de conduire numérique , en ligne comme physiquement, par exemple lors de la location d'une voiture dans un autre pays de l'UE.

Le portefeuille EUDI sera également intégré aux processus de signature électronique de contrats et de documents , éliminant ainsi le besoin de documents papier ou de déplacements. Par exemple, il sera possible de signer à distance un contrat de location, une police d'assurance ou un contrat de travail grâce à des signatures électroniques qualifiées délivrées via le portefeuille. Il facilitera même la signature de courriels et autres messages électroniques, renforçant la traçabilité et l'authenticité des communications.

Dans le domaine de l'éducation, l'identité numérique européenne permettra aux utilisateurs de stocker et de présenter leurs qualifications académiques, diplômes et certificats d'études , voire un CV numérique structuré. Pour candidater à une université dans un autre État membre ou pour justifier de ses qualifications auprès d'un employeur étranger, il suffira de partager les justificatifs pertinents depuis le portefeuille numérique, sans avoir à certifier ni à traduire les documents à chaque fois.

Dans le secteur de la santé, il sera possible de demander et d'utiliser des ordonnances électroniques dans n'importe quelle pharmacie de l'UE, ainsi que de partager des données médicales pertinentes, tout en gardant le contrôle sur les informations partagées et les personnes avec lesquelles elles sont partagées. Ceci facilitera la continuité des soins pour les personnes vivant, travaillant ou voyageant à l'étranger.

Les voyages seront également simplifiés : le portefeuille EUDI permettra la soumission de certaines données de documents de voyage , telles que les informations de passeport ou de visa, afin d’accélérer les contrôles aux frontières, en douane ou à l’aéroport, réduisant ainsi les files d’attente et les vérifications manuelles.

Une autre dimension importante concerne les identités numériques organisationnelles . Le portefeuille numérique permettra de démontrer qu'une personne agit au nom d'une entreprise ou d'une organisation (par exemple, pour signer des contrats, soumettre des documents à l'administration ou souscrire à des services aux entreprises), évitant ainsi l'échange manuel de procurations notariées pour chaque transaction.

Tout ceci est complété par des options de paiement en ligne et une authentification forte : le portefeuille électronique permet de lier les moyens de paiement et sert de pièce d’identité pour confirmer les transactions de manière plus sécurisée que les solutions actuelles. Il permet également de vérifier l’âge ou certains attributs (par exemple, qu’une personne est majeure) sans divulguer l’intégralité des données personnelles sous-jacentes.

Avantages et promesses de l’identité numérique européenne

La Commission européenne et diverses instances nationales soulignent plusieurs avantages clés que l'identité numérique européenne vise à apporter aux citoyens, aux entreprises, aux prestataires de services et à la société dans son ensemble. Parmi les avantages les plus souvent cités figure le fait que le portefeuille numérique permettra un accès plus simple et plus uniforme aux services publics et privés dans toute l'UE, réduisant ainsi les obstacles administratifs et les formalités de paiement.

Du point de vue de la protection de la vie privée, le portefeuille EUDI est conçu pour offrir aux utilisateurs un contrôle total sur leurs données personnelles . Seules les informations strictement nécessaires à chaque procédure seront partagées, permettant ainsi aux utilisateurs de choisir les attributs à révéler et ceux à garder confidentiels. L'utilisation de pseudonymes et de techniques de divulgation minimale est également prévue , ce qui permettra, par exemple, de prouver sa conformité à une exigence (âge, résidence, qualifications) sans avoir à divulguer le reste de son identité.

En matière de cybersécurité , le règlement promeut une approche harmonisée à l'échelle de l'UE, avec des exigences minimales de sécurité et des modèles de certification auxquels les portefeuilles numériques doivent se conformer, et encourage les bonnes pratiques d'hygiène numérique . La publication du logiciel libre du portefeuille numérique est proposée comme mécanisme de transparence : chacun peut auditer le code, renforçant ainsi la confiance dans l'absence de portes dérobées ou de fonctions de suivi cachées.

Un autre avantage évident est la réduction de la bureaucratie et des procédures en présentiel . Les processus qui nécessitent actuellement de multiples déplacements, le dépôt physique de documents et des validations manuelles (par exemple, les procédures notariales, l'enregistrement des procurations, l'accréditation des qualifications) peuvent être intégrés dans des flux de travail 100 % numériques, avec des signatures électroniques et une vérification automatisée des références.

Pour les entreprises et les fournisseurs de services numériques, l'identité numérique européenne offre la possibilité de simplifier et de réduire le coût de l'authentification des utilisateurs en déléguant les aspects les plus complexes de l'identification et de la vérification des attributs au portefeuille numérique. Cela réduit les responsabilités et les risques liés à la gestion des données sensibles et évite une dépendance exclusive aux grandes plateformes technologiques qui concentrent actuellement une part importante de l'identité numérique des utilisateurs.

Au niveau macroéconomique, le déploiement de ce portefeuille devrait stimuler la sécurité des transactions en ligne , générer de nouvelles opportunités commerciales (services basés sur des identifiants vérifiables, conseils financiers avec données consolidées, solutions de santé numérique, etc.) et permettre la réaffectation des ressources auparavant consacrées aux contrôles manuels vers des activités à plus forte valeur ajoutée. L'ensemble de ces mesures devrait contribuer à un environnement numérique plus fiable et à une croissance économique durable.

Risques, critiques et défis liés à la sécurité et à la protection de la vie privée

Malgré tous ces avantages, l'identité numérique européenne n'est pas exempte de controverses et de mises en garde d'experts . Plus de 550 scientifiques et chercheurs ont souligné des faiblesses dans le cadre eIDAS2, notamment en ce qui concerne la sécurité de l'infrastructure de confiance et le risque de cybersurveillance de masse en l'absence de garanties adéquates.

L'une des critiques les plus importantes concerne la possibilité pour les États de préinstaller des certificats racine dans les navigateurs sans permettre aux utilisateurs d'en vérifier pleinement la légitimité, ce qui, en théorie, ouvrirait la voie à l'interception ou à la surveillance du trafic chiffré. On s'interroge également sur le fait de savoir si le texte, dans sa formulation actuelle, pourrait faciliter des liens superflus entre les gouvernements et les grands fournisseurs de services numériques, compromettant ainsi le principe de non-contrainte.

Des spécialistes de la protection de la vie privée, comme l'ingénieure Carmela Troncoso , directrice du laboratoire SPRING de l'EPFL, insistent sur le fait que tout dépend de la conception précise de l'architecture technique . Ils soulignent qu'à l'heure actuelle, aucune architecture finale entièrement publique et fermée n'existe et que, même s'il est techniquement possible de concevoir un portefeuille respectueux de la vie privée, une grande flexibilité de conception est nécessaire. Il est donc crucial de veiller à l'adoption de technologies cryptographiques éprouvées et de bonnes pratiques.

D'autres spécialistes, comme les avocats Javier Pascual et María Gracia , soulignent également les risques liés au choix par les États des entreprises émettrices de certificats numériques . Une faille de sécurité chez l'un de ces prestataires de services de confiance pourrait avoir des conséquences considérables, affectant des millions d'utilisateurs, compte tenu du rôle central des portefeuilles numériques dans la vie quotidienne : santé, finance, mobilité, communications, etc.

Pour atténuer certaines de ces préoccupations, la réglementation stipule que le portefeuille peut fonctionner localement et hors ligne , stocké en toute sécurité sur l'appareil de l'utilisateur, sans qu'il soit nécessaire de transférer toutes les données vers le cloud. Les systèmes de sécurité proposés sont similaires aux méthodes actuelles de certificats électroniques mobiles : installation d'un logiciel fourni par un prestataire de confiance et utilisation de mots de passe, ainsi qu'une authentification multifacteurs, par exemple via un lecteur d'empreintes digitales USB, à chaque partage ou signature de données.

Pour autant, des chercheurs comme Juan Tapiador et Javier Sánchez Monedero soulignent que le principal risque n'est pas seulement technique, mais aussi social et lié à l'exclusion . Si l'identité numérique européenne devient la norme de facto pour accéder aux services essentiels, à l'emploi ou aux services bancaires, ne pas utiliser le portefeuille numérique pourrait engendrer un isolement comparable à celui que l'on ressent aujourd'hui sans smartphone . Les groupes ayant moins de compétences numériques, comme de nombreuses personnes âgées, pourraient être particulièrement désavantagés si de véritables alternatives et un accompagnement personnalisé ne sont pas proposés.

Enfin, la communauté académique insiste sur le fait que nombre des garanties prévues par le texte eIDAS2 (caractère non contraignant, révocation effective, séparation logique des données, panneau de contrôle utilisateur) ne se concrétiseront que si le projet de loi et les règlements d'application les précisent suffisamment. En attendant, un écart persiste entre les principes proclamés et leur mise en œuvre concrète.

De eIDAS 2014 à eIDAS2 : évolution du cadre européen

Pour mieux comprendre comment nous en sommes arrivés là, il convient de revenir brièvement sur l' évolution d'eIDAS . Le règlement n° 910/2014 a été créé comme instrument pour faciliter les transactions électroniques sécurisées entre les citoyens, les entreprises et les administrations publiques, en fournissant un cadre juridique pour les signatures électroniques, les cachets numériques, les horodatages, la livraison électronique certifiée et les services de confiance en général.

Cependant, l'expérience acquise depuis 2014 a démontré que le règlement eIDAS initial ne répondait pas pleinement aux besoins d'un système d'identité électronique européen moderne . D'une part, il permettait aux États membres de notifier volontairement leurs systèmes nationaux d'identification électronique, que les autres étaient tenus de reconnaître à partir de 2018 ; d'autre part, il n'obligeait pas tous les pays à créer une identité électronique nationale et ne garantissait pas l'interopérabilité technique entre des systèmes très différents.

La solution adoptée à l'époque consistait en une sorte de superstructure d'interopérabilité pour connecter les différents systèmes, ce qui, dans la pratique, a engendré des problèmes techniques, une fragmentation et des difficultés d'extension du modèle aux services privés. De plus, la directive présentait des lacunes en matière de contrôle des fournisseurs, de modalités de responsabilisation, de compatibilité avec les nouvelles technologies et d'expérience utilisateur.

Le nouveau règlement eIDAS2 vise à combler ces lacunes . Il impose aux États membres de proposer aux citoyens et aux entreprises un portefeuille numérique officiel qui relie leur identité numérique nationale à d'autres attributs personnels (permis de conduire, diplômes, comptes bancaires, certificats professionnels, etc.) et autorise l'émission de ces portefeuilles par les autorités publiques et les entités privées reconnues.

Cela marque une transition d'un modèle où l'identification numérique était relativement limitée et sous-utilisée (en Espagne, par exemple, via des systèmes comme Cl@ve ou des certificats pour des procédures spécifiques) vers un écosystème d'identité numérique intégré où le portefeuille numérique devient la porte d'entrée vers un grand nombre de services, en ligne et hors ligne. L'objectif est que, contrairement à eIDAS 2014, les citoyens puissent l'utiliser largement et au quotidien.

Impact pratique : utilisation obligatoire, grandes plateformes et fracture numérique

En théorie, l'utilisation de l'identité numérique européenne sera facultative pour les citoyens . Personne ne sera légalement tenu de télécharger ou d'utiliser l'application. Cependant, de nombreux experts soulignent qu'en pratique, son déploiement à grande échelle la rendra quasiment indispensable pour la grande majorité des citoyens, car de nombreux services publics en dépendront.

Par exemple, les très grandes plateformes en ligne (VLOP) soumises à la réglementation sur les services numériques, telles qu'Amazon, Facebook et Booking.com, seront tenues d'accepter le portefeuille d'identité numérique européen comme mécanisme d'authentification pour leurs utilisateurs. Si les administrations publiques, les banques, les universités, les compagnies d'assurance et d'autres entités sont également concernées, l'incitation à utiliser ce portefeuille sera considérable.

Ce caractère « volontaire en droit, mais obligatoire en pratique » pose des défis importants en matière d’ inclusion numérique . Les groupes ayant moins de compétences technologiques ou un accès limité aux appareils adaptés risquent d’être exclus de nombreux processus, comme cela s’est déjà produit lors du passage des services bancaires traditionnels au monde en ligne, où de nombreuses personnes âgées ont eu des difficultés à poursuivre leurs activités habituelles.

Des solutions partielles ont été mises en place, comme des bornes interactives ou une assistance en personne dans certains services publics, mais les experts préviennent que le problème dépasse la simple possession d'un appareil ou d'une connexion internet : il est lié aux rapports de force, à la dépendance et aux besoins . Si postuler à un emploi, s'inscrire à une formation ou accéder à une aide financière nécessite de fournir des identifiants numériques, la partie la plus vulnérable aura peu de moyens de refuser.

Dans le même temps, les secteurs public et privé soulignent qu'une identité numérique européenne bien conçue peut freiner la fraude, l'usurpation d'identité et l'utilisation de faux documents , contribuant ainsi à un environnement plus sûr pour tous. Trouver un équilibre entre ces avantages et le risque d'exclusion sociale constituera l'un des principaux défis des prochaines années.

Calendrier, échéances et prochaines étapes

Le déploiement de l'identité numérique européenne est un processus graduel en cours depuis plusieurs années. L'initiative a été officiellement lancée en 2021 ; l'approche générale a été définie en 2022 et un texte provisoire a été publié quelques mois plus tard. Après d'intenses débats et des ajustements juridiques, le règlement (UE) 2024/1183 est désormais entré en vigueur, marquant le début de la phase la plus cruciale.

Avec l'approbation d'eIDAS2, l'UE a fixé une échéance claire : les États membres doivent mettre à disposition au moins un portefeuille d'identité numérique européen pour les citoyens, les résidents et les entreprises avant fin 2026. Ce délai implique que plusieurs tâches essentielles doivent être accomplies au cours des prochaines années : l'approbation de tous les règlements d'exécution, la maturation et la mise à jour du cadre réglementaire alternatif (ARF), le développement de portefeuilles nationaux, les tests pilotes et les déploiements progressifs.

Durant cette période de transition, il sera toujours nécessaire d'écouter les organisations de la société civile, les experts en matière de protection de la vie privée, l'industrie technologique et les autorités de protection des données afin de clarifier les ambiguïtés du texte et de résoudre les controverses les plus vives, notamment en ce qui concerne la sécurité cryptographique, la gouvernance des certificats, les risques de surveillance et l'exclusion numérique.

Il n'existe pas encore de date précise pour le déploiement généralisé du portefeuille numérique ; il s'agira plutôt d'un déploiement progressif , certains pays avançant plus rapidement que d'autres, qui auront besoin de plus de temps pour adapter leurs systèmes. Néanmoins, l'engagement réglementaire de rendre les portefeuilles disponibles d'ici fin 2026 marque le moment où l'identité numérique européenne devrait cesser d'être un projet et devenir une réalité quotidienne dans toute l'Union.

Dans ce contexte, les entreprises technologiques spécialisées dans l'identité numérique, telles que celles impliquées dans les projets EBSI Wallets ou les solutions décentralisées , orientent déjà leurs développements vers l'écosystème EUDI. L'objectif est de permettre aux organisations d'intégrer le portefeuille numérique à leurs processus avec un impact opérationnel minimal, en s'appuyant sur des architectures modulaires et des cas d'usage concrets dans des domaines comme la santé, la cybersécurité, la banque et les assistants conversationnels.

L’identité numérique européenne s’impose ainsi comme un élément central de l’avenir numérique de l’Europe : une combinaison de cadre juridique, d’architecture technique et d’application mobile susceptible de simplifier radicalement les relations des citoyens avec l’administration et les entreprises, de renforcer la sécurité des transactions et, simultanément, d’ouvrir des débats profonds sur la surveillance, l’inclusion, la souveraineté numérique et le contrôle effectif des données personnelles, débats qui sont encore loin d’être clos.