eIDAS 2.0 : Le portefeuille européen d'identité numérique

Datant de 2014, les règles actuelles sur l'identification électronique et les services de confiance pour les transactions électroniques dans le marché intérieur sont en train d'être réexaminées par la Commission européenne conformément à son obligation au titre de l'article 49 du Règlement (UE) n° 910/2014.

Dans cet article nous allons présenter la principale nouveauté attendue en lien avec l'identification électronique, à savoir le portefeuille européen d'identité numérique.

#1 Objectifs attendus du portefeuille européen d'identité numérique

En relation avec la consultation publique lancée en 2020 par la Commission, le Conseil européen a demandé d'introduire un système d'identification numérique à l'échelle de l'Union européenne afin de sécuriser l'identification des utilisateurs des services publics et privés en ligne.

Le portefeuille européen d'identité numérique - EUDI Wallet ou EUDIW - vise à répondre d'ici 2030 à cette demande du Conseil avec les objectifs suivants :

  • tous les services publics clés sont disponibles en ligne,
  • tous les citoyens peuvent avoir accès à leur dossier médical numérique,
  • 80% des citoyens européens utilisent un identifiant numérique.

Selon les premières spécifications techniques en version 1.0.0 publiées en février 2023 1, le portefeuille européen d'identité numérique sera principalement une application mobile émise par les États membres. Chaque État membre, le cas échéant avec l'aide de prestataires qualifiés, sera tenu d'offrir au moins une solution de portefeuille à ses citoyens, sans que l'utilisation de ce dernier ne revête un caractère obligatoire.

Sur le principe, le portefeuille européen d'identité numérique vise à permettre aux utilisateurs d’y stocker de manière sécurisée des données d'identité, des justificatifs, des attributs liés à leur identité comme :

  • des titres nationaux officiels d'identité,
  • un permis de conduire européen,
  • des données de santé et des ordonnances électroniques,
  • des diplômes d'études et de qualifications professionnelles.

La conservation de ces données doit offrir la possibilité aux utilisateurs de contrôler leurs interactions et leur présence en ligne pour demander, obtenir et stocker leurs informations leur permettant d'accéder aux services en ligne, de présenter des données à leur sujet et de signer/sceller électroniquement des documents.

#2 Un nouvel écosystème autour du portefeuille européen

Au-delà des utilisateurs et des prestataires fournisseurs de portefeuille, la mise en place du portefeuille européen d'identité numérique va s'accompagner de nouveaux acteurs et de nouvelles notions comme présentés au sein du schéma suivant :

Image de l'écosystème EUDIW

Source

Les prestataires de données d'identification des personnes

Afin que l'authentification transfrontalière soit possible via le portefeuille européen d'identité numérique, la notion de données d'identification des personnes - PID - est créée. Cette notion consiste en un identifiant numérique unique et permanent conforme au droit de l'Union, qui permettra d'identifier l'utilisateur à sa demande dans les cas où son identification est requise par la législation locale en vigueur.

Les travaux publiés par le groupe d'experts eIDAS indiquent que la vérification de l'identité de l'utilisateur du portefeuille devra être effectuée conformément aux exigences du niveau de garantie élevé défini par le Règlement d'exécution 2015/1502. À ce stade, cela laisse entendre que le niveau substantiel actuellement majoritairement utilisé par les prestataires de confiance français et les PVID en cours de certification par l'ANSSI, ne serait pas éligible.

Les prestataires qualifiés d'attestations électroniques d'attributs

Au même titre que les PSCo actuels, les futurs prestataires qualifiés d'attestations électroniques d'attributs - QEAA - devront a minima se conformer aux exigences générales - comprendre ici l'ETSI 319 401 - et aux exigences spécifiques relatives à ce nouveau service de confiance.

Les États membres devront veiller à prendre les mesures nécessaires pour permettre aux prestataires qualifiés de vérifier par des moyens électroniques, à la demande de l’utilisateur, l’authenticité des attributs par rapport à la source authentique pertinente au niveau national ou via des intermédiaires désignés reconnus au niveau national, en conformité avec le droit national ou le droit de l'Union.

Pour le moment, la liste minimale d'attributs retenue est la suivante :

  • l’état civil,
  • l'âge,
  • le sexe,
  • l'adresse postale,
  • la composition de famille,
  • la nationalité,
  • les diplômes, titres et certificats du système éducatif,
  • les diplômes, titres et certificats professionnels,
  • les permis et licences,
  • les informations financières et les données des entreprises.

Les prestataires qualifiés de délivrance de certificats ou de cachets électroniques

Comme indiqué, le portefeuille européen d'identité numérique devra permettre à l'utilisateur de créer des signatures ou des sceaux électroniques qualifiés. Cet objectif peut être atteint de plusieurs manières :

  • le portefeuille est certifié en tant que dispositif de création de signature/sceau qualifié - QSCD - ,
  • le portefeuille met en œuvre des capacités d'authentification sécurisée et d'invocation de signature/sceau en tant que partie intégrante d'un QSCD local ou d'un QSCD distant géré par un PSCo.

Sur le principe, ce rôle pourrait être supporté par les PSCe actuels, mais actuellement aucune information n'a été publiée sur les interfaces entre le portefeuille et les QSCD.