02024R2977 — FR — 11.08.2026 — 001.001
Ce texte constitue seulement un outil de documentation et n’a aucun effet juridique. Les institutions de l'Union déclinent toute responsabilité quant à son contenu. Les versions faisant foi des actes concernés, y compris leurs préambules, sont celles qui ont été publiées au Journal officiel de l’Union européenne et sont disponibles sur EUR-Lex. Ces textes officiels peuvent être consultés directement en cliquant sur les liens qui figurent dans ce document
►B
RÈGLEMENT D’EXÉCUTION (UE) 2024/2977 DE LA COMMISSION
du 28 novembre 2024
(JO L 2977 du 4.12.2024, p. 1)
Modifié par:
| Journal officiel | ||||
| n° | page | date | ||
| ►M1 | RÈGLEMENT D’EXÉCUTION (UE) 2026/1731 DE LA COMMISSION du 15 juillet 2026 | L 1731 | 1 | 22.7.2026 |
RÈGLEMENT D’EXÉCUTION (UE) 2024/2977 DE LA COMMISSION
du 28 novembre 2024
portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne les données d’identification personnelle et les attestations électroniques d’attributs délivrées aux portefeuilles européens d’identité numérique
Article premier
Objet et champ d’application
Le présent règlement établit des règles pour la délivrance de données d’identification personnelle et d’attestations électroniques d’attributs aux unités de portefeuille, qui doivent être régulièrement mises à jour pour tenir compte de l’évolution des technologies et des normes ainsi que des travaux menés sur la base de la recommandation (UE) 2021/946, et en particulier de l’architecture et du cadre de référence.
Article 2
Définitions
Aux fins du présent règlement, on entend par:
- «utilisateur de portefeuille»: un utilisateur qui contrôle l’unité de portefeuille;
- «unité de portefeuille»: une configuration unique d’une solution de portefeuille comprenant des instances de portefeuille, des applications cryptographiques sécurisées de portefeuille et des dispositifs cryptographiques sécurisés de portefeuille, fournie par un fournisseur de portefeuille à un utilisateur de portefeuille donné;
- «solution de portefeuille»: une combinaison de logiciels, de matériel, de services, de paramètres et de configurations, y compris des instances de portefeuille, une ou plusieurs applications cryptographiques sécurisées de portefeuille et un ou plusieurs dispositifs cryptographiques sécurisés de portefeuille;
- «fournisseur de données d’identification personnelle»: une personne physique ou morale chargée de délivrer et de révoquer les données d’identification personnelle et de veiller à ce que les données d’identification personnelle d’un utilisateur soient liées de manière cryptographique à une unité de portefeuille;
- «attestation d’unité de portefeuille»: un objet de données qui décrit les composants de l’unité de portefeuille ou permet l’authentification et la validation de ces composants;
- «instance de portefeuille»: l’application installée et configurée sur l’appareil ou dans l’environnement d’un utilisateur de portefeuille, qui fait partie d’une unité de portefeuille et dont l’utilisateur de portefeuille se sert pour interagir avec l’unité de portefeuille;
- «application cryptographique sécurisée de portefeuille»: une application qui gère des actifs critiques en étant liée aux fonctions cryptographiques et non cryptographiques fournies par le dispositif cryptographique sécurisé de portefeuille et en utilisant ces fonctions;
- «dispositif cryptographique sécurisé de portefeuille»: un dispositif inviolable qui fournit un environnement lié à l’application cryptographique sécurisée de portefeuille et utilisé par celle-ci pour protéger les actifs critiques et fournir des fonctions cryptographiques pour l’exécution sécurisée d’opérations critiques;
- «fournisseur de portefeuille»: une personne physique ou morale qui fournit des solutions de portefeuille;
- «actifs critiques»: les actifs se trouvant à l’intérieur d’une unité de portefeuille ou en rapport avec celle-ci et dont l’importance est tellement exceptionnelle que la capacité de se fier à l’unité de portefeuille serait très sérieusement affaiblie si leur disponibilité, leur confidentialité ou leur intégrité étaient compromises;
- «partie utilisatrice de portefeuille»: une partie utilisatrice qui a l’intention de se fier à des unités de portefeuille pour la fourniture de services publics ou privés au moyen d’une interaction numérique;
- «certificat d’accès de partie utilisatrice de portefeuille»: un certificat de cachet électronique ou de signature électronique qui authentifie et valide la partie utilisatrice de portefeuille et qui est délivré par un fournisseur de certificats d’accès de partie utilisatrice de portefeuille;
- «fournisseur de certificats d’accès de partie utilisatrice de portefeuille»: une personne physique ou morale mandatée par un État membre pour délivrer des certificats d’accès de partie utilisatrice aux parties utilisatrices de portefeuille enregistrées dans cet État membre.
Article 3
Délivrance de données d’identification personnelle aux unités de portefeuille
1. Les fournisseurs de données d’identification personnelle délivrent des données d’identification personnelle aux unités de portefeuille conformément aux schémas d’identification électronique dans le cadre desquels des solutions de portefeuille sont fournies.
2. Les fournisseurs de données d’identification personnelle veillent à ce que les données d’identification personnelle délivrées aux unités de portefeuille contiennent les informations nécessaires à l’authentification et à la validation des données d’identification personnelle.
3. Les fournisseurs de données d’identification personnelle veillent à ce que les données d’identification personnelle délivrées aux unités de portefeuille soient conformes aux spécifications techniques énoncées dans l’annexe.
4. Les États membres veillent à ce que les données d’identification personnelle délivrées à un utilisateur de portefeuille donné soient uniques pour l’État membre.
5. Les fournisseurs de données d’identification personnelle veillent à ce que les données d’identification personnelle qu’ils délivrent soient liées de manière cryptographique à l’unité de portefeuille à laquelle elles sont délivrées.
6. Les États membres mettent à la disposition du public une liste de solutions de portefeuille prises en charge par les fournisseurs de données d’identification personnelle qui font partie des schémas d’identification électronique de cet État membre.
7. Les États membres inscrivent les utilisateurs de portefeuille conformément aux exigences relatives à l’inscription à un niveau de garantie élevé, telles qu’énoncées dans le règlement d’exécution (UE) 2015/1502 de la Commission1. Dans le cadre du processus d’inscription, les fournisseurs de données d’identification personnelle procèdent à une vérification de l’identité de l’utilisateur de portefeuille, conformément aux exigences concernant la preuve et la vérification d’identité, avant de délivrer les données d’identification personnelle à l’unité de portefeuille de l’utilisateur de portefeuille correspondant.
8. Lorsqu’ils délivrent des données d’identification personnelle à des unités de portefeuille, les fournisseurs de données d’identification personnelle s’identifient auprès des unités de portefeuille en utilisant leur certificat d’accès de partie utilisatrice de portefeuille ou un autre mécanisme d’authentification conformément à un schéma d’identification électronique notifié au niveau de garantie élevé.
9. Avant de délivrer des données d’identification personnelle à une unité de portefeuille, les fournisseurs de données d’identification personnelle authentifient et valident l’attestation d’unité de portefeuille de l’unité de portefeuille et vérifient que l’unité de portefeuille appartient à une solution de portefeuille que le fournisseur de données d’identification personnelle accepte, ou utilisent un autre mécanisme d’authentification conformément à un schéma d’identification électronique notifié au niveau de garantie élevé.
Article 3 bis
Protection du portrait
1. Outre les exigences en matière d’informations prévues par le règlement (UE) 2016/679, les fournisseurs de portefeuille veillent à ce que les solutions de portefeuille qu’ils fournissent adressent aux utilisateurs de portefeuille, lorsque les parties utilisatrices de portefeuille demandent la divulgation du portrait, un avertissement indiquant que la demande implique le partage de données biométriques et nécessite l’approbation de la divulgation sélective du portrait.
2. Pour la mise en œuvre de la divulgation sélective du portrait à une partie utilisatrice de portefeuille, les fournisseurs de portefeuille veillent à ce que les solutions de portefeuille demandent à l’utilisateur de portefeuille de confirmer explicitement et expressément la présentation du portrait.
3. Le portrait n’est pas conservé par les parties utilisatrices de portefeuille, à moins que son traitement ne soit nécessaire à des fins d’identification et d’authentification conformément au droit de l’Union en matière de protection des données ou lorsque cela est prévu par le droit de l’Union ou le droit national, conformément au droit de l’Union en matière de protection des données. Il n’est pas transféré à des pays tiers ou à des organisations internationales, à moins que le droit de l’Union en matière de protection des données ne l’autorise.
Article 4
Délivrance d’attestations électroniques d’attributs aux unités de portefeuille
1. Les attestations électroniques d’attributs délivrées aux unités de portefeuille sont conformes à au moins une des normes figurant à l’annexe II du règlement d’exécution (UE) 2024/2979.
2. Les fournisseurs d’attestations électroniques d’attributs s’identifient auprès des unités de portefeuille en utilisant leur certificat d’accès de partie utilisatrice de portefeuille.
3. Les fournisseurs d’attestations électroniques d’attributs veillent à ce que les attestations électroniques d’attributs délivrées aux unités de portefeuille contiennent les informations nécessaires à l’authentification et à la validation de ces attestations électroniques d’attributs.
Article 5
Révocation de données d’identification personnelle
1. Les fournisseurs de données d’identification personnelle délivrées à une unité de portefeuille disposent de règles écrites et accessibles au public concernant la gestion du statut de validité, y compris, le cas échéant, les conditions dans lesquelles ces données d’identification personnelle peuvent être révoquées sans délai.
2. Seuls les fournisseurs de données d’identification personnelle ou d’attestations électroniques d’attributs peuvent révoquer les données d’identification personnelle ou les attestations électroniques d’attributs qu’ils ont délivrées.
3. Lorsque les fournisseurs de données d’identification personnelle ont révoqué des données d’identification personnelle, ils en informent, par des canaux spécialisés et sécurisés, les utilisateurs de portefeuilles faisant l’objet de ces données d’identification personnelle dans un délai de 24 heures à compter de la révocation en indiquant les motifs de la révocation. Cela doit se faire de manière concise et facilement accessible, dans un langage clair et simple.
4. Les fournisseurs de données d’identification personnelle sont tenus de révoquer les données d’identification personnelle délivrées à des unités de portefeuille dans chacun des cas suivants:
a) à la demande explicite de l’utilisateur du portefeuille à l’unité de portefeuille duquel les données d’identification personnelle ou l’attestation électronique d’attributs ont été délivrées;
b) lorsque l’attestation d’unité de portefeuille de l’unité de portefeuille à laquelle les données d’identification personnelle ont été délivrées a été révoquée;
c) dans d’autres situations déterminées par les fournisseurs de données d’identification personnelle ou d’attestations électroniques d’attributs dans leurs règles visées au paragraphe 1.
5. Les fournisseurs de données d’identification personnelle délivrées à une unité de portefeuille veillent à ce que les révocations ne puissent pas être annulées.
6. Les données d’identification personnelle révoquées restent accessibles aussi longtemps que le droit de l’Union ou le droit national l’exige.
7. Lorsque les fournisseurs de données d’identification personnelle révoquent les données d’identification personnelle délivrées aux unités de portefeuille, ils rendent public le statut de validité des données d’identification personnelle qu’ils délivrent, dans le respect de la vie privée, et indiquent l’emplacement de cette information dans les données d’identification personnelle.
8. Les fournisseurs de données d’identification personnelle mettent en place des techniques de protection de la vie privée qui garantissent la non-associabilité, lorsque l’attestation d’attributs n’exige pas l’identification de l’utilisateur.
Article 6
Entrée en vigueur
Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.
Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre.
ANNEXE
Spécifications techniques relatives aux données d’identification personnelle visées à l’article 3, paragraphe 3
Section 1: Ensemble de donnés d’identification des personnes physiques
Tableau 1
Données d’identification personnelle obligatoires pour les personnes physiques soumises à la divulgation sélective
| Identifiant de données | Définition |
| family_name | Nom(s) de famille actuel(s) de l’utilisateur auquel se rapportent les données d’identification personnelle. |
| given_name | Prénom(s) actuel(s), y compris, le cas échéant, le(s) deuxième(s) prénom(s), de l’utilisateur auquel se rapportent les données d’identification personnelle. |
| birth_date | Jour, mois et année de naissance de l’utilisateur auquel se rapportent les données d’identification personnelle. |
| birth_place | Le code pays alpha-2, tel que spécifié dans la norme ISO 3166-1, ou la subdivision de l’État, la province, le district, le territoire ou la municipalité, la ville ou le village où est né l’utilisateur auquel les données d’identification personnelle se rapportent. |
| nationality | Un ou plusieurs codes pays alpha-2 spécifiés dans la norme ISO 3166-1, représentant la nationalité de l’utilisateur auquel se rapportent les données d’identification personnelle. |
| portrait | Sauf refus exprès de l’utilisateur, le cas échéant, l’image faciale de l’utilisateur auquel se rapportent les données d’identification personnelle, conforme aux exigences de qualité applicables à un type d’image frontale complète du visage énoncées dans la norme ISO/IEC 39794-5 ou, aux fins de la compatibilité rétrospective, dans la norme ISO/IEC 19794-5, paragraphes 8.2, 8.3 et 8.4, fournie sous forme de données d’image encodées sans les en-têtes ou les blocs comme spécifié dans le paragraphe 5 de la norme ISO/IEC 19794-5, à l’exception des données d’image proprement dites (un JPEG), est applicable à partir du 11 août 2028. |
— Les États membres peuvent prévoir que l’utilisateur a la faculté de refuser l’insertion du portrait dans les données d’identification personnelle.
— Les États membres doivent veiller à ce que la divulgation sélective s’applique à chaque identifiant de données, y compris le portrait.
— Si la date de naissance de la personne physique n’est pas connue, les États membres doivent choisir des valeurs appropriées conformes aux spécifications mentionnées aux sections 4.1 ou 4.2 (selon le cas) de la présente annexe.
— Si la nationalité de la personne physique est inconnue, les États membres doivent utiliser la valeur 'QU'.
— Si la personne physique ne possède pas de nationalité, les États membres doivent utiliser la valeur 'QS'.
— Si l’utilisateur refuse l’insertion du portrait, les États membres doivent laisser la valeur vide.
Tableau 2
Données d’identification personnelle facultatives pour les personnes physiques soumises à la divulgation sélective
Identifiant de données |
Définition |
resident_address |
L’adresse complète du lieu où l’utilisateur auquel se rapportent les données d’identification personnelle réside actuellement ou peut être contacté (nom de rue, numéro de maison, ville, etc.). |
resident_country |
Le pays où réside actuellement l’utilisateur auquel se rapportent les données d’identification personnelle, sous la forme d’un code pays alpha-2, tel que spécifié dans la norme ISO 3166-1. |
resident_state |
La subdivision de l’État, la province, le district ou le territoire où réside actuellement l’utilisateur auquel se rapportent les données d’identification personnelle. |
resident_city |
La municipalité, la ville ou le village où réside actuellement l’utilisateur auquel se rapportent les données d’identification personnelle. |
resident_postal_code |
Le code postal du lieu où réside actuellement l’utilisateur auquel se rapportent les données d’identification personnelle. |
resident_street |
Le nom de la rue où réside actuellement l’utilisateur auquel se rapportent les données d’identification personnelle, y compris le numéro de la maison et tout affixe ou suffixe de ce numéro. |
personal_administrative_number |
Une valeur attribuée à l’utilisateur auquel se rapportent les données d’identification personnelle, qui est unique parmi tous les numéros administratifs personnels délivrés par le fournisseur de données d’identification personnelle. Lorsque les États membres choisissent d’inclure cet attribut, ils doivent décrire dans leurs schémas d’identification électronique en vertu desquels les données d’identification personnelle sont délivrées la politique qu’ils appliquent aux valeurs de cet attribut, y compris, le cas échéant, les conditions spécifiques applicables au traitement de cette valeur. |
family_name_birth |
Nom(s) de famille de l’utilisateur auquel se rapportent les données d’identification personnelle au moment de la naissance. |
given_name_birth |
Prénom(s), y compris le(s) deuxième(s) prénom(s), de l’utilisateur auquel se rapportent les données d’identification personnelle au moment de la naissance. |
sex |
La valeur est l’une des suivantes: 0 = inconnu; 1 = masculin; 2 = féminin; 3 = autre; 4 = inter; 5 = divers; 6 = ouvert; 9 = sans objet. Pour les valeurs 0, 1, 2 et 9, la norme ISO/IEC 5218 s’applique. |
email_address |
Adresse de courrier électronique de l’utilisateur auquel se rapportent les données d’identification personnelle [conformément à la norme RFC 5322 (1)]. |
mobile_phone_number |
Numéro de téléphone portable de l’utilisateur auquel se rapportent les données d’identification personnelle, commençant par le symbole «+», comme préfixe d’appel international, et l’indicatif téléphonique international, suivis de numéros uniquement. |
(1) P. Resnick, éd., «Format de message Internet», RFC 5322, octobre 2008. |
|
Section 2: Ensemble de donnés d’identification des personnes morales
Tableau 3
Données d’identification personnelle obligatoires pour les personnes morales
Identifiant de données
Dénomination sociale actuelle
Un identifiant unique créé par l’État membre expéditeur conformément aux spécifications techniques aux fins de l’identification transfrontière et qui soit aussi persistant que possible dans le temps
— Lorsqu’un identifiant de données n’est pas connu pour la personne ou ne peut pas être délivré autrement dans le cadre de l’ensemble de données d’identification personnelle, les États membres doivent utiliser à la place une valeur d’attribut adaptée à la situation.
Tableau 4
Données d’identification personnelle facultatives pour les personnes morales
Identifiant de données
Adresse actuelle
Numéro d’identification TVA
Numéro de référence fiscal
Identifiant unique européen visé dans la directive (UE) 2017/1132 du Parlement européen et du Conseil 2
Identifiant d’entité juridique (LEI) visé dans le règlement d’exécution (UE) 2022/1860 de la Commission 3
Numéro d’enregistrement et d’identification des opérateurs économiques (numéro EORI) visé dans le règlement d’exécution (UE) no 1352/2013 de la Commission 4
Numéro d’accise visé à l’article 2, point 12), du règlement (UE) no 389/2012 du Conseil 5
Tableau 5
Métadonnées relatives aux données d’identification des personnes
| Identifiant de données | Définition | Présence |
| issuing_authority | Nom de l’autorité administrative qui a délivré les données d’identification personnelle, ou code pays ISO 3166 alpha-2 de l’État membre concerné s’il n’existe pas d’autorité distincte habilitée à délivrer les données d’identification personnelle. | Obligatoire |
| issuing_country | Code pays alpha-2, tel que spécifié dans la norme ISO 3166-1, du pays ou territoire du fournisseur des données d’identification personnelle. | Obligatoire |
| expiry_date | Date (et, si possible, heure) à laquelle la période de validité administrative des données d’identification personnelle expire. | Facultatif |
| document_number | Un numéro pour les données d’identification personnelle, attribué par le fournisseur de données d’identification personnelle. | Facultatif |
| issuing_jurisdiction | Code de subdivision du pays correspondant à l’entité territoriale qui a émis les données d’identification personnelle, conformément au paragraphe 8 de la norme ISO 3166-2:2020. La première partie du code est identique à la valeur correspondant au pays de délivrance. | Facultatif |
| issuance_date | Date et, si possible, heure auxquelles la période de validité administrative des données d’identification personnelle a commencé. | Facultatif |
4) Section 4: Encodage des attributs de données d’identification des personnes physiques
— Les données d’identification des personnes physiques doivent être délivrées conformément aux normes mentionnées à l’annexe II du règlement d’exécution (UE) 2024/2979, paragraphes 5 (format SD-JWT VC) et 6 (format ISO/IEC-mdoc), applicables aux attestations électroniques d’attributs. Les paragraphes 5.2.2, 5.2.4, 5.2.5, EAA-6.1-03, 6.2.2, 6.2.3, 6.2.4 et 6.2.5 ne s’appliquent pas.
— L’encodage des données d’identification des personnes physiques doit être conforme aux spécifications techniques énoncées aux sections 4.1 et 4.2 de la présente annexe.
4.1 Encodage des données d’identification des personnes physiques au format ISO/IEC-mdoc
— Le type d’attestation pour les données d’identification personnelle au format ISO/IEC-mdoc doit être 'eu.europa.ec.eudi.pid.1'. L’identifiant de l’espace de noms pour les attributs de données d’identification personnelle figurant dans la présente annexe doit être 'eu.europa.ec.eudi.pid.1'.
— Si les données d’identification personnelle comprennent des données pour lesquelles la présente annexe ne prévoit pas d’identifiants de données, ces données doivent être définies dans un espace de noms (infra)national alloué aux données d’identification personnelle qui utilise le format général eu.europa.ec.eudi.pid.[code pays ISO 3166-1 alpha-2 ou code région ISO 3166-2] suivi d’un point et d’un numéro de version facultatifs.
— Si l’espace de noms (infra)national est utilisé, son programme, comprenant tous les identifiants de données, leur définition, leur présence et leur format d’encodage, doit être publié conformément à l’article 8 du règlement d’exécution (UE) 2025/1569 de la Commission6.
— Les données d’identification personnelle et leurs métadonnées mentionnées aux sections 1 et 3 de la présente annexe doivent figurer dans les éléments de données d’identification personnelle au sens des spécifications du format ISO/IEC-mdoc.
— Le membre deviceKey au sein du membre deviceKeyInfo de l’instance du type MobileSecurityObject contient une clé publique.
— Cette clé publique doit correspondre à une clé privée qui est stockée dans le dispositif cryptographique sécurisé de portefeuille («wallet secure cryptographic device», ou «WSCD») de l’utilisateur de portefeuille.
— L’en-tête protégé de la signature numérique CB-AdES qui signe une donnée d’identification personnelle au format ISO/IEC-mdoc doit contenir les paramètres d’en-tête x5u et x5t, tous deux spécifiés dans la RFC 93607.
— L’algorithme de hachage utilisé dans le paramètre d’en-tête x5t doit être SHA-256.
— Les exigences applicables à l’encodage des données d’identification personnelle au format ISO/IEC-mdoc figurent dans le tableau 6.
Tableau 6
Exigences applicables à l’encodage des données d’identification personnelle au format ISO/IEC-mdoc
| Identifiant de données | Identifiant d’attribut | Format d’encodage |
| family_name | family_name | tstr |
| given_name | given_name | tstr |
| birth_date | birth_date | full-date |
| birth_place | place_of_birth | place_of_birth |
| nationality | nationality | nationalities |
| resident_address | resident_address | tstr |
| resident_country | resident_country | tstr |
| resident_state | resident_state | tstr |
| resident_city | resident_city | tstr |
| resident_postal_code | resident_postal_code | tstr |
| resident_street | resident_street | tstr |
| personal_administrative_number | personal_administrative_number | tstr |
| portrait | portrait | bstr |
| family_name_birth | family_name_birth | tstr |
| given_name_birth | given_name_birth | tstr |
| sex | sex | uint |
| email_address | email_address | tstr |
| mobile_phone_number | mobile_phone_number | tstr |
| expiry_date | expiry_date | tdate ou full-date |
| issuing_authority | issuing_authority | tstr |
| issuing_country | issuing_country | tstr |
| document_number | document_number | tstr |
| issuing_jurisdiction | issuing_jurisdiction | tstr |
| issuance_date | issuance_date | tdate ou full-date |
— La notation du format d’encodage des attributs spécifiés dans le tableau 6 utilise les types de représentation spécifiés dans la RFC 86108, moyennant les exigences supplémentaires suivantes:
a) les tstr doivent être encodées en UTF-8;
b) les tstr doivent prendre en charge toute la plage Unicode;
c) les tstr doivent avoir une longueur maximale de 150 caractères;
d) les dates doivent être encodées conformément à la RFC 89439;
e) l’attribut full-date doit être interprété comme #6.1004(tstr), le tag 1004 étant spécifié dans la RFC 8943;
f) l’attribut tdate doit contenir une chaîne date-heure telle que spécifiée dans la RFC 333910;
g) l’attribut full-date doit contenir une chaîne full-date telle que spécifiée dans la RFC 3339, conformément à la RFC 8943;
h) sauf indication contraire, la représentation d’une date dans les attributs:
— ne doit pas utiliser de fractions de seconde;
— ne doit pas utiliser de décalage de temps local par rapport à l’UTC et le décalage de temps spécifié dans la RFC 3339 doit être fixé à 'Z';
i) les nombres entiers ayant les types majeurs 0 et 1 doivent être aussi petits que possible, comme spécifié dans la RFC 8949, section 4.211;
j) l’attribut place_of_birth doit contenir au moins une des paires clé-valeur suivantes: 'country', 'region' ou 'locality';
k) l’expression de la longueur dans une bstr, une tstr, un tableau ou une table associative doit être aussi courte que possible, comme spécifié dans la RFC 8949, section 4.2;
l) l’attribut nationality doit être encodé sous la forme d’un tableau de codes pays alpha-2, conformément à la norme ISO 3166-1. Lorsque la notation CDDL telle que spécifiée dans le RFC 8610 est utilisée, l’encodage de cet attribut doit être le suivant:
— nationalities = [+ CountryCode];
— CountryCode = tstr; code pays alpha-2 spécifié dans la norme ISO 3166-1;
— lorsqu’un utilisateur de portefeuille auquel se rapportent les données d’identification personnelle possède plusieurs nationalités et que le fournisseur de données d’identification personnelle atteste ces nationalités multiples, le fournisseur de données d’identification personnelle peut inclure toutes les nationalités dans les données d’identification personnelle;
— l’attribut place_of_birth doit être encodé comme un type place_of_birth. Lorsque la notation CDDL telle que spécifiée dans le RFC 8610 est utilisée, l’encodage de cet attribut doit être le suivant:
place_of_birth =
{
? 'country': tstr; un code pays alpha-2 unique comme spécifié dans la norme ISO 3166-1
? 'region': tstr; le nom de la subdivision de l’État, de la province, du district ou du territoire
? 'locality': tstr; le nom de la municipalité, de la ville ou du village
}
4.2 Exigences applicables à l’encodage des données d’identification personnelle au format SD-JWT VC
— Les données d’identification personnelle et leurs métadonnées mentionnées dans la présente section doivent figurer dans les données d’identification personnelle en tant que revendications au sens des spécifications du format SD-JWT VC.
— Toutes les revendications figurant dans les données d’identification personnelle délivrées, mentionnées au tiret précédent, doivent pouvoir faire l’objet d’une divulgation sélective de manière individuelle, à l’exception des revendications définies comme ne pouvant pas faire l’objet d’une divulgation sélective dans le format SD-JWT VC.
— Le tableau 7 détermine l’encodage des noms de revendications qui sont des noms publics.
— Le tableau 8 détermine l’encodage des noms de revendications qui sont propres aux données d’identification personnelle.
— Les chaînes JSON utilisées dans des données d’identification personnelle encodées au format SD-JWT VC doivent être encodées en UTF-8 et prendre en charge toute la plage Unicode, sauf indication contraire expresse dans le tableau 8 ci-dessous ou dans les références qui y figurent.
— Les revendications JWT nbf et exp, telles que définies dans la RFC 751912, doivent être utilisées pour exprimer la période de validité technique des données d’identification personnelle en conformité avec le format SD-JWT VC.
— Les données d’identification personnelle doivent comprendre la revendication cnf telle que définie dans la RFC 780013, qui doit être une clé publique générée à partir d’une clé privée stockée dans le WSCD de l’unité de portefeuille de l’utilisateur de portefeuille.
— L’en-tête protégé de la signature numérique qui signe une donnée d’identification personnelle au format SD-JWT VC contient les paramètres d’en-tête x5u et x5t#S256, spécifiés dans la RFC 751514.
Tableau 7
Exigences applicables à l’encodage des données d’identification personnelle au format SD-JWT VC utilisant des noms publics
| Identifiant de données | Identifiant d’attribut | Format d’encodage |
| family_name | family_name | chaîne de caractères |
| given_name | given_name | chaîne de caractères |
| birth_date | birthdate | chaîne de caractères, ISO 8601-1, format AAAA-MM-JJ |
| birth_place | place_of_birth | structure JSON |
| nationality | nationalities | tableau de chaînes |
| resident_address | address.formatted | chaîne de caractères |
| resident_country | address.country | chaîne de caractères |
| resident_state | address.region | chaîne de caractères |
| resident_city | address.locality | chaîne de caractères |
| resident_postal_code | address.postal_code | chaîne de caractères |
| resident_street | address.street_address | chaîne de caractères |
| family_name_birth | birth_family_name | chaîne de caractères |
| given_name_birth | birth_given_name | chaîne de caractères |
| email_address | chaîne de caractères | |
| mobile_phone_number | phone_number | chaîne de caractères |
| portrait | picture | chaîne de caractères; URL de données contenant un portrait encodé en base 64 au format JPEG |
Tableau 8
Exigences applicables à l’encodage des données d’identification personnelle au format SD-JWT VC utilisant des noms privés
| Identifiant de données | Identifiant d’attribut | Format d’encodage |
| expiry_date | date_of_expiry | chaîne de caractères, ISO 8601-1, format AAAA-MM-JJ |
| issuance_date | date_of_issuance | chaîne de caractères, ISO 8601-1, format AAAA-MM-JJ |
| personal_administrative_number | personal_administrative_number | chaîne de caractères |
| sex | sex | valeur numérique |
| issuing_authority | issuing_authority | chaîne de caractères |
| issuing_country | issuing_country | chaîne de caractères |
| document_number | document_number | chaîne de caractères |
| issuing_jurisdiction | issuing_jurisdiction | chaîne de caractères |
— Le type de base des données d’identification personnelle doit être 'urn:eudi:pid:1', inclus dans la revendication vct. Toutes les données d’identification personnelle doivent utiliser des types compris dans l’espace de noms 'urn:eudi:pid:'.
— Si les données d’identification personnelle comprennent des attributs qui ne sont pas spécifiés dans la présente annexe, ces attributs sont définis au sein d’un type (infra)national.
— Si le type (infra)national est utilisé, son programme, comprenant tous les identifiants de données, leur définition, leur présence et leur format d’encodage, doit être défini dans un programme publié conformément à l’article 8 du règlement d’exécution (UE) 2025/1569.
Section 5: Détails de l’infrastructure de confiance
La liste des fournisseurs de données d’identification personnelle mise à disposition par la Commission conformément au règlement d’exécution (UE) 2024/2980 permet d’authentifier les données d’identification personnelle.
Footnotes
-
Règlement d’exécution (UE) 2015/1502 de la Commission du 8 septembre 2015 fixant les spécifications techniques et procédures minimales relatives aux niveaux de garantie des moyens d’identification électronique visés à l’article 8, paragraphe 3, du règlement (UE) no 910/2014 du Parlement européen et du Conseil sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur (JO L 235 du 9.9.2015, p. 7, ELI: http://data.europa.eu/eli/reg_impl/2015/1502/oj). ↩
-
Directive (UE) 2017/1132 du Parlement européen et du Conseil du 14 juin 2017 relative à certains aspects du droit des sociétés (JO L 169 du 30.6.2017, p. 46, ↩
-
Règlement d’exécution (UE) 2022/1860 de la Commission du 10 juin 2022 définissant des normes techniques d’exécution pour l’application du règlement (UE) no 648/2012 du Parlement européen et du Conseil en ce qui concerne les normes, les formats, la fréquence et les méthodes et modalités de déclaration (JO L 262 du 7.10.2022, p. 68, ↩
-
Règlement d’exécution (UE) no 1352/2013 de la Commission du 4 décembre 2013 établissant les formulaires prévus par le règlement (UE) no 608/2013 du Parlement européen et du Conseil concernant le contrôle, par les autorités douanières, du respect des droits de propriété intellectuelle (JO L 341 du 18.12.2013, p. 10, ↩
-
Règlement (UE) no 389/2012 du Conseil du 2 mai 2012 concernant la coopération administrative dans le domaine des droits d'accise et abrogeant le règlement (CE) no 2073/2004 (JO L 121 du 8.5.2012, p. 1, 3. Section 3: Ensemble de métadonnées relatives aux données d’identification des personnes ↩
-
Règlement d’exécution (UE) 2025/1569 de la Commission du 29 juillet 2025 portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne les attestations électroniques d’attributs qualifiées et les attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte (JO L, 2025/1569, 30.7.2025, ↩
-
J. Schaad, «Signature et chiffrement d’objet CBOR (COSE): paramètres d’en-tête pour porter et référencer les certificats X.509» (https://datatracker.ietf.org/doc/rfc9360/). ↩
-
C. Vigano et H. Birkholz, «Langage de définition concise de données (CDDL): convention de notation pour exprimer la représentation concise d’objet binaire CBOR) et les structures de données Jason», RFC 8610, juin 2019. ↩
-
M. Jones, A. Nadalin et J. Richter, «Étiquettes de représentation concise d’objet binaire (CBOR) pour la date», RFC 8943, novembre 2020. ↩
-
G. Klyne et C. Newman, «La date et l’heure sur l’Internet: horodatages», RFC 3339, juillet 2002. ↩
-
C. Bormann et P. Hoffman, «Représentation concise d’objet binaire (CBOR)», RFC 8949, décembre 2020. ↩
-
J. Jones et autres, «Jeton JSON sur la Toile (JWT)», RFC 7519, mai 2015. ↩
-
M. Jones et autres, «Sémantique de clé de preuve de possession pour jetons JSON de la Toile», RFC 7800, avril 2016. ↩
-
M. Jones et autres, «Signature JSON sur la Toile (JWS)», RFC 7515, mai 2015. ↩