Identité numérique européenne : le règlement eIDAS révisé

Règlement eIDAS révisé : pourquoi l’Europe transforme l’identité numérique

Du cadre de 2014 à l’identité numérique européenne

Le premier règlement eIDAS, adopté en 2014, a posé des règles communes pour l’identification électronique et les services de confiance dans l’Union européenne. Il a notamment permis aux États membres de reconnaître certains moyens d’identification électronique utilisés pour accéder à des services publics en ligne dans d’autres pays.

Ce cadre a toutefois laissé subsister des écarts importants. Les dispositifs nationaux n’étaient pas disponibles partout de la même façon, leur utilisation variait selon les administrations et les entreprises privées n’étaient pas soumises aux mêmes obligations d’acceptation. Pour une personne qui changeait de pays ou devait prouver son identité auprès d’un service commercial, le parcours pouvait donc rester fragmenté.

Le règlement (UE) 2024/1183, adopté le 11 avril 2024 et entré en vigueur le 20 mai de la même année, révise ce dispositif. Souvent appelé eIDAS 2.0, il établit le cadre du Portefeuille européen d’identité numérique, tout en élargissant les règles applicables aux services de confiance et aux attestations numériques.

La réforme ne remplace donc pas simplement une carte d’identité par une application. Elle vise un écosystème commun dans lequel l’utilisateur peut présenter des données ou des justificatifs vérifiables auprès de services publics et privés, dans un cadre reconnu à l’échelle européenne. La mise en place dépend toutefois de normes techniques, d’actes d’exécution et de déploiements nationaux.

Les changements concrets par rapport au premier règlement

La différence centrale tient au contrôle des échanges. Avec certains parcours traditionnels, une personne transmet une copie complète d’un document alors que le service n’a besoin que d’une information, comme la confirmation qu’elle a atteint un âge minimum. Le nouveau cadre permet de concevoir des demandes plus ciblées.

La réforme prévoit également une meilleure interopérabilité européenne. Les portefeuilles doivent répondre à des exigences communes, afin que leur fonctionnement ne dépende pas entièrement du pays qui les a délivrés. Cela ne signifie pas que toutes les applications auront exactement la même interface, mais qu’elles devront s’inscrire dans des règles de compatibilité et de sécurité communes.

Pour rendre les évolutions plus lisibles, le tableau compare les principes généraux des deux cadres, sans présenter les différences comme une garantie que chaque service sera immédiatement disponible partout.

Aspect	Cadre initial	Cadre révisé
Identification électronique	Reconnaissance transfrontalière encadrée, surtout pour les services publics concernés	Écosystème élargi autour du portefeuille européen
Portefeuille numérique	Pas de portefeuille européen commun imposé par le règlement initial	Chaque État doit mettre au moins un portefeuille à disposition
Justificatifs présentés	Usages centrés principalement sur l’identification électronique	Possibilité d’intégrer des attestations électroniques vérifiables
Partage d’informations	Parcours parfois fondés sur la transmission d’un document complet	Présentation ciblée de données selon les capacités disponibles
Services de confiance	Cadre européen pour des services tels que les signatures électroniques	Champ renforcé et adapté aux nouveaux usages numériques

Pour une entreprise, le changement se mesure donc moins à une application isolée qu’à la capacité de vérifier des attributs selon des règles harmonisées. Cette évolution prend tout son sens lorsqu’on examine ce que le portefeuille peut contenir et comment il s’utilise.

Portefeuille européen d’identité numérique : fonctionnement et usages

Une application pour présenter des données et des attestations

Le portefeuille européen d’identité numérique, souvent désigné par le sigle EUDIW, doit permettre à une personne de conserver et de présenter des données d’identification ainsi que certains justificatifs numériques. Chaque État membre est tenu de proposer au moins une solution conforme, qu’elle soit opérée par les autorités ou par un prestataire autorisé.

Parmi les éléments concernés figurent les données d’identification personnelle, ou PID, ainsi que des attestations électroniques émises par des organismes habilités. Selon les déploiements, ces attestations pourront concerner des qualifications, des droits ou d’autres informations certifiées. Leur présence dans un portefeuille ne signifie pas que chaque type de justificatif sera disponible dès son lancement.

Dans un parcours d’achat soumis à une vérification d’âge, par exemple, un site pourrait demander une preuve répondant à son besoin plutôt qu’une copie complète d’une pièce d’identité. L’utilisateur devrait pouvoir examiner les éléments sollicités avant de donner son accord, sous réserve du fonctionnement technique adopté par le service et du niveau d’assurance requis.

Cette logique intéresse aussi les démarches administratives transfrontalières. Une personne qui s’installe dans un autre pays pourrait, à terme, présenter des informations ou justificatifs reconnus selon des règles communes, au lieu de recommencer systématiquement une procédure de vérification. Le bénéfice réel dépendra toutefois du nombre de services compatibles et de la qualité des mises en œuvre nationales.

Un parcours type peut s’organiser autour de quelques étapes simples. Les interfaces et modalités exactes varieront selon les applications, les appareils et les exigences du service qui demande la vérification.

Étapes courantes d’une vérification :

• Le service précise les données ou l’attestation nécessaires à la demande
• L’utilisateur ouvre son portefeuille depuis son téléphone ou un lien sécurisé
• L’application affiche les informations demandées avant toute transmission
• L’utilisateur vérifie la demande et autorise le partage
• Le service reçoit une preuve permettant de poursuivre la démarche

Des usages au-delà de la simple identification

Le portefeuille ne se limite pas à confirmer qu’une personne est bien celle qu’elle déclare être. Il peut aussi soutenir la présentation d’attestations numériques vérifiables, sous réserve que l’émetteur, le format et le service destinataire soient compatibles avec les règles applicables.

Un organisme de formation pourrait ainsi délivrer une attestation de diplôme que son titulaire présente à un employeur. Une banque pourrait recevoir des justificatifs dans le cadre d’une démarche de vérification, tandis qu’un service en ligne pourrait demander une preuve liée à une condition d’accès. Ces exemples illustrent des possibilités, et non la disponibilité garantie de toutes ces fonctions en 2026.

Les signatures électroniques restent également un élément important du dispositif eIDAS. Une signature électronique qualifiée, lorsqu’elle répond aux exigences légales et techniques, possède un statut reconnu dans l’Union européenne. Le portefeuille peut faciliter l’accès à des fonctions de signature, mais les conditions d’usage dépendent des services de confiance et des solutions déployées.

Pour les entreprises, l’enjeu consiste à identifier les cas où une attestation numérique apporte une réelle valeur. Demander davantage d’informations que nécessaire compliquerait l’expérience et irait à l’encontre de la minimisation des données. La question pratique devient alors celle de la confiance, de la confidentialité et des responsabilités de chaque intervenant.

Protection des données personnelles et confiance numérique

Partager uniquement ce qui répond au besoin

La Protection des données personnelles est un enjeu central de l’identité numérique, car une vérification peut exposer des informations sensibles si elle collecte trop de données. Pour confirmer qu’un utilisateur a l’âge requis, un service n’a pas toujours besoin de connaître sa date de naissance complète, son adresse ou son numéro de document.

La divulgation sélective désigne la possibilité de ne communiquer que certains attributs d’un justificatif, lorsque le portefeuille et le service prennent en charge cette fonction. Une demande proportionnée pourrait porter sur une caractéristique précise, par exemple la confirmation d’un âge minimal, plutôt que sur l’ensemble des données d’identité.

Des techniques cryptographiques, notamment les preuves à divulgation nulle de connaissance, peuvent permettre de prouver qu’une condition est satisfaite sans révéler la donnée sous-jacente. Leur usage concret dépend des spécifications techniques retenues et des solutions effectivement disponibles. Il serait donc prématuré de considérer que toute vérification eIDAS 2.0 reposera automatiquement sur cette technologie.

La minimisation des données ne dispense pas les organisations de leurs obligations. Une entreprise doit toujours déterminer pourquoi elle demande une information, établir la base juridique appropriée, protéger les données reçues et limiter leur conservation. Même une preuve réduite peut rester une donnée personnelle si elle permet d’identifier ou de suivre une personne.

Pour choisir une intégration respectueuse de la vie privée, une organisation peut examiner plusieurs questions avant le lancement :

Vérifications de confidentialité à prévoir :

• Finalité précise de chaque attribut demandé
• Base juridique et information claire des utilisateurs
• Durée de conservation adaptée au besoin réel
• Contrôle des accès et sécurité des systèmes de vérification
• Solution de repli pour les personnes sans portefeuille compatible

Services de confiance et sécurité des échanges

Les Services de confiance regroupent des prestations numériques encadrées, telles que la signature électronique, l’horodatage ou la validation de certains éléments électroniques. Le règlement eIDAS révisé actualise ce cadre pour tenir compte de nouveaux usages et clarifier le rôle des prestataires intervenant dans l’écosystème.

Selon la Commission européenne, le portefeuille s’inscrit dans un cadre commun destiné à favoriser des échanges numériques plus sûrs entre États membres. Selon le règlement (UE) 2024/1183, les États doivent mettre au moins un portefeuille conforme à disposition dans les délais prévus par les règles d’application. Selon l’ANSSI, le développement d’une identité numérique et de services de confiance reconnus à l’échelle européenne constitue un enjeu important de la révision.

La sécurité ne dépend cependant pas d’une seule technologie. Elle repose aussi sur la protection du téléphone, la vérification de l’émetteur des attestations, la gestion des consentements et la capacité à révoquer ou renouveler des justificatifs. Les utilisateurs doivent pouvoir comprendre qui sollicite leurs données et à quelle fin.

Une entreprise qui reçoit une attestation doit, de son côté, vérifier son authenticité et son statut selon les règles applicables. Elle doit éviter de transformer la vérification en collecte systématique de copies ou en suivi des comportements. Un parcours plus rapide n’est réellement digne de confiance que si ses contrôles restent transparents, proportionnés et compréhensibles.

Les protections prévues ne suppriment donc pas les choix de conception. Elles fournissent un cadre commun, tandis que chaque organisation doit adapter ses demandes et ses contrôles à son activité. Cette responsabilité devient plus tangible lorsqu’on se penche sur le calendrier de déploiement.

Calendrier eIDAS 2.0 et obligations des organisations

Un déploiement progressif jusqu’à la disponibilité des portefeuilles

Le règlement est entré en vigueur le 20 mai 2024, mais cette date ne correspond pas à la mise en service simultanée de tous les usages. Le déploiement s’appuie sur des actes d’exécution et des spécifications techniques, puis sur les décisions et les infrastructures de chaque État membre.

En 2026, les organisations doivent donc distinguer l’entrée en vigueur du texte de la disponibilité pratique de chaque service. Le calendrier prévoit que les États membres mettent des portefeuilles à disposition dans le délai fixé à partir des actes d’exécution concernés. Les étapes nationales peuvent différer selon les solutions retenues et les procédures de certification.

Les projets pilotes européens ont contribué à tester des scénarios et des éléments techniques avant un déploiement plus large. Ils ne signifient pas que toutes les fonctionnalités expérimentées sont déjà accessibles au public ou uniformément adoptées. Pour une entreprise, le suivi des normes et des annonces officielles reste plus utile qu’une date commerciale isolée.

Les responsables techniques peuvent préparer une architecture capable d’échanger avec des portefeuilles compatibles, sans présumer du format définitif de chaque attestation. Il est également judicieux d’identifier les prestataires de vérification et de vérifier leurs garanties contractuelles, leurs niveaux de sécurité et leur conformité au cadre européen.

Les étapes suivantes donnent une lecture prudente du calendrier et des travaux que les organisations peuvent engager :

Repères de préparation réglementaire :

• Depuis 2024 : application du règlement révisé et élaboration des règles techniques
• En 2026 : suivi de la disponibilité des portefeuilles dans chaque État membre
• À mesure des déploiements : intégration des attestations et parcours compatibles
• Selon les obligations applicables : acceptation par certaines catégories de services

Des obligations ciblées, pas une règle identique pour chaque commerce

eIDAS 2.0 ne signifie pas que toutes les entreprises doivent accepter immédiatement chaque portefeuille pour n’importe quelle transaction. Les exigences d’acceptation concernent des catégories de services et des situations définies par le règlement et ses textes d’application. Une organisation doit donc analyser son secteur, ses activités et les règles nationales ou européennes pertinentes.

Les grandes plateformes en ligne font partie des catégories pour lesquelles le texte prévoit des obligations spécifiques dans certaines situations. Des secteurs tels que les services financiers peuvent également être concernés par des exigences propres, mais les dates et modalités exactes ne doivent pas être déduites d’un calendrier générique sans vérifier les actes applicables.

Une boutique en ligne qui vend des produits soumis à une restriction d’âge pourrait étudier la vérification de cet attribut comme un cas d’usage. Une plateforme de recrutement pourrait s’intéresser à des attestations de qualification, si des émetteurs et des mécanismes de vérification adaptés sont disponibles. Dans les deux cas, la finalité, l’accessibilité et le parcours de repli restent essentiels.

Les administrations publiques constituent un autre volet : le cadre initial prévoyait déjà des règles d’acceptation pour certains moyens d’identification notifiés, tandis que le texte révisé organise le nouveau portefeuille. Les entreprises ne devraient donc pas confondre obligations destinées aux services publics, obligations sectorielles et choix commerciaux volontaires.

Pour limiter les erreurs de planification, les équipes juridiques et techniques peuvent consigner les points suivants :

Points de contrôle réglementaire :

• Catégorie de service et rôle de l’organisation
• Texte européen ou national qui fonde l’obligation
• Actes d’exécution et calendrier réellement applicables
• Types de vérifications nécessaires aux utilisateurs
• Modalités de prise en charge des autres moyens d’accès

Une analyse sectorielle évite à la fois de sous-estimer une obligation et de financer trop tôt une intégration inadaptée. L’étape suivante consiste à traduire ces exigences en décisions concrètes pour les équipes produit, conformité et assistance.

Préparer une entreprise au règlement eIDAS révisé

Évaluer les besoins avant de développer une intégration

Une préparation efficace commence par les parcours actuels : ouverture de compte, vérification d’âge, signature de contrat ou contrôle de qualification. Pour chaque parcours, l’entreprise peut déterminer quelles informations sont réellement indispensables et si une attestation vérifiable améliorerait la fiabilité ou réduirait les étapes imposées à l’utilisateur.

Une plateforme de location, par exemple, peut avoir besoin de vérifier qu’un candidat satisfait un critère de solvabilité. Elle ne devrait pas présumer qu’elle pourra obtenir automatiquement une attestation de revenu ou traiter celle-ci sans autre analyse. Elle doit d’abord examiner la disponibilité de l’attestation, les règles de protection des données et la proportionnalité de la demande.

Le choix du partenaire technique mérite la même attention. Un prestataire peut faciliter la vérification, mais l’entreprise reste responsable de la définition de sa finalité et de ses obligations. Les équipes doivent examiner les modalités de traitement, les niveaux d’assurance proposés, la gestion des incidents, les journaux de vérification et les garanties de réversibilité.

Il est préférable de procéder par étapes : cartographier les usages, sélectionner un scénario limité, tester les interfaces puis mesurer les erreurs et les abandons. Cette démarche permet de repérer les difficultés réelles, notamment pour les personnes qui changent de téléphone, ne possèdent pas de justificatif compatible ou rencontrent un obstacle d’accessibilité.

Les premiers travaux peuvent être organisés autour de priorités concrètes :

Chantiers de préparation numérique :

• Cartographie des parcours et des données demandées
• Évaluation des prestataires et des standards techniques
• Révision des notices de confidentialité et du consentement
• Tests mobiles, d’accessibilité et de solutions alternatives
• Formation des équipes d’assistance et de conformité

Concevoir une expérience simple sans fragiliser la conformité

Un parcours utilisant un portefeuille devrait expliquer clairement pourquoi une vérification est demandée et quelles informations seront partagées. Si l’utilisateur découvre une demande excessive au dernier moment, il peut abandonner la démarche ou perdre confiance dans le service. Une interface claire rend visibles le demandeur, la finalité et les données sollicitées.

Une authentification électronique fluide ne doit pas devenir un passage obligé mal expliqué. Les personnes qui ne peuvent pas utiliser l’application ou qui préfèrent une autre méthode doivent disposer d’une solution de repli lorsque le cadre juridique et le niveau de risque le permettent. L’assistance client doit pouvoir guider sans demander inutilement l’envoi de documents sensibles par courriel.

La Souveraineté numérique constitue également un enjeu de conception : l’objectif européen est de permettre des services interopérables et de donner davantage de contrôle aux personnes sur leurs échanges numériques. Pour les organisations, cela implique de ne pas enfermer leurs processus dans un format propriétaire difficile à faire évoluer. Les standards et les règles communes peuvent faciliter des parcours transfrontaliers, mais leur efficacité dépendra de leur adoption réelle.

Les équipes produit peuvent suivre des indicateurs simples, comme le taux de réussite, les demandes interrompues, les erreurs de vérification et le volume de sollicitations au support. Ces mesures doivent être recueillies de manière proportionnée et ne pas conduire à conserver plus d’informations personnelles que nécessaire.

Enfin, les signatures électroniques et les attestations vérifiables ouvrent des perspectives pour des contrats, des justificatifs ou des démarches à distance. L’intérêt commercial ne réside pas seulement dans la rapidité : il repose aussi sur une preuve fiable, un partage limité et une expérience que les utilisateurs comprennent. Les organisations qui commencent par ces principes pourront ajuster leurs services au rythme des déploiements nationaux.

Sources : Parlement européen et Conseil, « Règlement (UE) 2024/1183 », 11 avril 2024 ; EUR-Lex, « Règlement (UE) n° 910/2014 », 23 juillet 2014 ; Commission européenne, « European Digital Identity ».