Le portefeuille européen d'identité numérique

En bref

Le portefeuille européen d’identité numérique (en anglais EUDI Wallet) est une application qui permet de garder ses données d’identité et ses attestations, puis de les montrer à un service en ne partageant que le nécessaire Art. 3 §42 Art. 5 bis §4, a). Chaque État membre doit en fournir au moins un Art. 5 bis §1. Il est gratuit pour les personnes physiques Art. 5 bis §13 et son utilisation est volontaire Art. 5 bis §15. Les services qui veulent s’y fier doivent s’enregistrer Art. 5 ter §1, et certains seront obligés de l’accepter Art. 5 septies.

Qu’est-ce que le portefeuille ?

Le règlement eIDAS définit le portefeuille ainsi :

Trois termes reviennent dans toute la suite :

• l’utilisateur est la personne, physique ou morale, qui se sert du portefeuille Art. 3 §5 bis ;
• la partie utilisatrice est celui qui se fie au portefeuille ou à un autre moyen d’identification électronique Art. 3 §6. La Commission donne l’exemple d’un loueur de voitures qui demande le permis de conduire stocké dans le portefeuille de son client Working together to create the EU Digital Identity Wallet ecosystem ;
• le mode hors ligne désigne une présentation en face à face, par une technologie de proximité, sans que le portefeuille ait besoin d’un réseau Art. 3 §57.

Concrètement, ce que l’utilisateur a « en main » s’appelle une unité de portefeuille. Elle réunit l’application installée sur son appareil (l’instance de portefeuille), une application cryptographique sécurisée et un dispositif cryptographique sécurisé Art. 2 §2 Art. 2 §6. Le dispositif est un composant inviolable qui protège les « actifs critiques » du portefeuille ; l’application sécurisée gère ces actifs en utilisant les fonctions du dispositif Art. 2 §7 Art. 2 §8. L’ARF, cadre d’architecture et de référence du portefeuille (version 3.0.0, document qui se présente comme informatif § 1.3 Purpose, scope and audience), les abrège en WSCA (wallet secure cryptographic application) et WSCD (wallet secure cryptographic device) A.3 Definitions from the adopted Commission Implementing Regulations. Le fournisseur de portefeuille est celui qui fournit cette solution Art. 2 §9.

Le schéma se lit de gauche à droite. Le fournisseur de PID (les données d’identité de l’utilisateur, détaillées plus bas) et les fournisseurs d’attestations délivrent des données à l’unité de portefeuille Art. 3 §1 Art. 4. L’utilisateur, qui contrôle l’unité Art. 2 §1, choisit ce qu’il présente à une partie utilisatrice, qui doit être enregistrée Art. 5 bis §4, a) Art. 5 ter §1.

Ce qu’il contient : PID et attestations

Le portefeuille contient deux grandes familles de données.

Les données d’identification personnelle (en anglais PID, person identification data) permettent d’établir l’identité d’une personne. Elles sont délivrées conformément au droit de l’Union ou au droit national Art. 3 §3, dans le cadre d’un schéma d’identification électronique, c’est-à-dire le système national en vertu duquel des moyens d’identification électronique sont délivrés aux personnes Art. 3 §4 Art. 3 §1.

Les attestations électroniques d’attributs (en anglais EAA) prouvent un attribut, c’est-à-dire une caractéristique, une qualité, un droit ou une autorisation Art. 3 §43 Art. 3 §44. Parmi les documents que le portefeuille pourra contenir, la Commission cite le permis de conduire et les diplômes General. Le règlement distingue trois sortes d’attestations ; le tableau les compare au PID :

Une source authentique est un registre considéré comme la source première d’une information, ou reconnu comme authentique par le droit Art. 3 §47.

Le PID d’une personne physique

Le règlement d’exécution 2024/2977 fixe le contenu du PID Annexe. Six données sont obligatoires : nom(s) de famille, prénom(s), date de naissance, lieu de naissance, nationalité(s) et portrait. D’autres sont facultatives : adresse, sexe, adresse électronique, numéro de téléphone mobile, numéro administratif personnel… Pour le portrait, l’annexe précise qu’il est applicable à partir du 11 août 2028 et que les États membres peuvent laisser l’utilisateur refuser son insertion Annexe.

Quatre règles complètent ce contenu :

• le PID délivré à un utilisateur est unique pour l’État membre Art. 3 §4 ;
• il est lié de manière cryptographique à l’unité de portefeuille qui le reçoit Art. 3 §5 ;
• l’utilisateur est inscrit selon les exigences du niveau de garantie élevé, et le fournisseur vérifie son identité avant de délivrer le PID Art. 3 §7. Le règlement connaît trois niveaux de garantie (faible, substantiel, élevé) ; le niveau élevé correspond au plus haut degré de fiabilité de l’identité revendiquée Art. 8 §2, c) ;
• le PID est délivré selon les normes de deux formats techniques, SD-JWT VC et ISO/IEC-mdoc Annexe. Le premier repose sur un projet de spécification de l’IETF (organisme de normalisation de l’internet), le second sur les structures de la norme ISO/IEC 18013-5 du permis de conduire mobile ETSI TS 119 472-1 V1.2.1, § 1 Scope § 2. Objet et champ d'application (résumé officiel ISO, traduit).

Les attestations suivent au moins une des normes de l’annexe II du règlement d’exécution 2024/2979 Art. 4 §1 ; le PID renvoie lui aussi à cette annexe pour ses deux formats Annexe. Cette liste renvoie à la spécification ETSI TS 119 472-1 Annexe II ETSI TS 119 472-1 V1.2.1, qui s’appuie elle-même, pour le format mdoc, sur la norme ISO/IEC 18013-5 ETSI TS 119 472-1 V1.2.1, § 6.1 General requirements ISO/IEC 18013-5:2021.

Ce qu’il permet de faire

Le règlement énumère ce que le portefeuille permet à l’utilisateur, de manière conviviale, transparente et qui garantit la traçabilité pour l’utilisateur Art. 5 bis §4 :

• s’identifier et présenter des données : demander, obtenir, stocker, combiner et présenter son PID et ses attestations, en ligne et, le cas échéant, hors ligne, avec la possibilité de ne divulguer que certaines données (« divulgation sélective ») Art. 5 bis §4, a) ;
• utiliser des pseudonymes, générés et stockés de façon chiffrée dans le portefeuille Art. 5 bis §4, b). Le portefeuille peut produire un pseudonyme propre à chaque partie utilisatrice Art. 14 §2, et une partie utilisatrice ne peut pas refuser un pseudonyme quand la loi n’exige pas d’identifier l’utilisateur Art. 5 ter §9 ;
• échanger avec le portefeuille d’une autre personne, après l’avoir authentifié Art. 5 bis §4, c) ;
• consulter un journal de toutes ses transactions, depuis un tableau de bord qui permet aussi de demander à une partie utilisatrice d’effacer ses données, ou de la signaler à l’autorité de protection des données quand elle reçoit une demande de données qui paraît illégale ou suspecte Art. 5 bis §4, d). Le journal note notamment la date, la partie utilisatrice et les types de données échangées, et peut être exporté Art. 9 §2 Art. 9 §7 ;
• signer avec une signature électronique qualifiée, ou apposer un cachet qualifié Art. 5 bis §4, e). Toute personne physique doit pouvoir signer ainsi gratuitement ; les États membres peuvent limiter cette gratuité aux usages non professionnels Art. 5 bis §5, g) Art. 11 §3 ;
• récupérer ses données et changer de portefeuille : télécharger ses données et exercer son droit à la portabilité Art. 5 bis §4, f) Art. 5 bis §4, g), pour migrer vers une autre solution de portefeuille Art. 13.

Qui le fournit, et à quelles conditions ?

Chaque État membre fournit au moins un portefeuille Art. 5 bis §1. Il peut le faire directement, sur mandat, ou en reconnaissant un portefeuille fourni indépendamment de lui Art. 5 bis §2. Le code source des composants logiciels de l’application fait l’objet d’une licence à code source ouvert (open source). Les États membres peuvent toutefois prévoir, pour des raisons dûment justifiées, que le code source de composants spécifiques, autres que ceux installés sur l’appareil de l’utilisateur, n’est pas divulgué Art. 5 bis §3.

La gratuité est inscrite dans le texte :

Le portefeuille n’est pas obligatoire pour le citoyen :

Ne pas l’utiliser ne doit désavantager personne : les autres moyens d’identification restent possibles Art. 5 bis §15. L’utilisateur peut aussi demander la révocation de son portefeuille Art. 5 bis §9, a), et le fournisseur doit lui offrir une assistance technique Art. 5 bis §10.

Vie privée : ce que le cadre garantit

Le principe est posé d’emblée : l’utilisateur exerce un contrôle total sur son portefeuille et sur ses données Art. 5 bis §14. Le texte le traduit en garanties concrètes.

Pas de pistage. Le cadre technique du portefeuille :

De même, le portefeuille ne fournit aux prestataires de services de confiance qui délivrent des attestations aucune information sur l’utilisation de ces attestations Art. 5 bis §5, b).

Impossibilité d’établir des liens. Quand l’attestation n’exige pas d’identifier l’utilisateur, le cadre permet des techniques de protection de la vie privée qui garantissent qu’aucun lien ne puisse être établi Art. 5 bis §16, b). Les fournisseurs de PID doivent mettre en place de telles techniques Art. 5 §8.

Divulgation sélective. L’utilisateur ne montre que ce qui est demandé et qu’il accepte de montrer Art. 5 bis §4, a). Pour le PID, l’annexe de 2024/2977 l’applique donnée par donnée :

Le portrait fait l’objet d’une protection renforcée : le portefeuille avertit l’utilisateur qu’il s’agit de données biométriques et lui demande une confirmation explicite, et la partie utilisatrice ne le conserve en principe pas Art. 3 bis.

Données limitées et séparées. Le fournisseur du portefeuille ne collecte que les informations nécessaires à son service, ne les combine pas avec celles de ses autres services sans demande expresse de l’utilisateur, et les garde séparées de ses autres données Art. 5 bis §14. Quand des données personnelles sont traitées par les États membres, ou pour leur compte, pour fournir le portefeuille, la conformité de ces traitements au règlement général sur la protection des données (RGPD, règlement (UE) 2016/679) doit être démontrée Art. 5 bis §17 Art. 2 §1, 2).

Sécurité et certification

Le portefeuille est fourni dans le cadre d’un schéma d’identification électronique de niveau de garantie élevé Art. 5 bis §11 et garantit la sécurité dès la conception Art. 5 bis §12.

Sa conformité est certifiée par des organismes d’évaluation de la conformité désignés par les États membres Art. 5 quater §1. Pour la cybersécurité, la certification suit les schémas européens adoptés en vertu du règlement 2019/881 Art. 5 quater §2 ; pour le reste, ou tant que ces schémas ne couvrent pas tout, les États membres établissent des schémas nationaux Art. 5 quater §3. Le règlement d’exécution 2024/2981 établit le cadre de cette certification Art. 1, et chaque schéma national a pour objet la fourniture et l’exploitation des solutions de portefeuille Art. 3 §2.

Les portefeuilles certifiés figurent sur une liste publiée par la Commission au Journal officiel Art. 5 quinquies §3, alimentée par les informations que les États membres transmettent selon le règlement d’exécution 2025/849 Art. 1. Les unités de portefeuille affichent le label de confiance de l’UE, qui indique de façon vérifiable qu’un portefeuille a été fourni conformément au règlement Art. 3 §50 Art. 14 bis §1. En cas d’atteinte à sa sécurité, l’État membre suspend le portefeuille, voire le retire Art. 5 sexies §1.

Les parties utilisatrices : s’enregistrer et se limiter

Un service qui veut recourir au portefeuille doit respecter plusieurs obligations :

Un intermédiaire qui agit pour une partie utilisatrice est lui-même considéré comme une partie utilisatrice, et il ne conserve pas de données sur le contenu de la transaction Art. 5 ter §10.

Le règlement d’exécution 2025/848 organise cet enregistrement. Chaque État membre tient un registre national des parties utilisatrices, consultable en ligne Art. 3 §1 Art. 3 §4. Seule une partie utilisatrice enregistrée peut obtenir un certificat d’accès, qui l’authentifie auprès des portefeuilles Art. 2 §12 Art. 7 §2, et un certificat d’enregistrement, qui décrit l’utilisation prévue et les données qu’elle peut demander Art. 8 §2, a) Art. 8 §2, b) Art. 8 §2, c). Si elle demande davantage, le portefeuille en informe l’utilisateur Art. 8 §2, d).

Qui devra l’accepter ?

Les services publics en ligne, d’abord :

Ensuite, les entreprises privées tenues, par la loi ou par contrat, d’utiliser une authentification forte de l’utilisateur (transports, énergie, banque, santé, télécommunications…). Elles devront accepter le portefeuille, à la demande volontaire de l’utilisateur, au plus tard trente-six mois après l’entrée en vigueur des actes d’exécution visés. Les micro et petites entreprises en sont exemptées Art. 5 septies §2.

Enfin, les très grandes plateformes en ligne qui exigent une authentification doivent accepter le portefeuille, uniquement à la demande volontaire de l’utilisateur et pour les seules données minimales nécessaires Art. 5 septies §3.

Calendrier, ARF et spécifications

Les échéances et le cadre technique (ARF, normes, spécifications) sont présentés sur la page suivante : le portefeuille, calendrier et spécifications.

En Belgique

À retenir

• Le portefeuille est une application qui garde le PID et les attestations de l’utilisateur et lui permet de les présenter, de signer et de cacheter Art. 3 §42 § 1.1 EUDI Wallet ecosystem.
• Chaque État membre en fournit au moins un ; il est gratuit pour les personnes physiques et facultatif Art. 5 bis §1 Art. 5 bis §13 Art. 5 bis §15.
• L’utilisateur garde le contrôle : divulgation sélective, pseudonymes, journal des transactions, pas de pistage Art. 5 bis §4 Art. 5 bis §16.
• Le portefeuille est certifié, pour cinq ans au plus Art. 5 quater §4.
• Une partie utilisatrice s’enregistre et ne demande que les données déclarées Art. 5 ter §1 Art. 5 ter §3.
• Services publics en ligne, entreprises tenues à une authentification forte et très grandes plateformes devront l’accepter Art. 5 septies.

Rédaction Asphalia.