Portefeuille européen d’identité numérique : ce qu’il faut préparer

Dix-huit mois, environ. C’est ce qui sépare l’été 2025 de l’échéance fixée par le règlement (UE) 2024/1183, dit eIDAS 2 : d’ici la fin de 2026, chaque État membre devra proposer à ses citoyens et résidents au moins un portefeuille d’identité numérique européen, gratuit pour les personnes physiques. Dans la foulée, les services publics qui exigent une identification en ligne devront l’accepter, et de nombreux acteurs privés suivront. Dix-huit mois, c’est court pour un projet qui touche à la fois aux parcours, aux données, au droit et à la technique. C’est suffisant si l’on commence par les bons chantiers.

Où en est-on à l’été 2025

Le règlement est en vigueur depuis le 20 mai 2024. Un premier ensemble d’actes d’exécution, qui fixe notamment les données d’identification de la personne, les attestations électroniques d’attributs, les protocoles et interfaces, l’intégrité du portefeuille et sa certification, a été adopté fin novembre 2024. D’autres actes, qui précisent notamment les règles applicables aux parties utilisatrices, suivent leur propre calendrier d’adoption. Le cadre d’architecture et de référence publié par la Commission, ainsi que les projets pilotes à grande échelle financés par l’Union, ont permis de tester les cas d’usage : ouverture de compte bancaire, présentation d’un permis de conduire, de diplômes, d’ordonnances, de documents de voyage.

Le portefeuille devra atteindre le niveau de garantie élevé. Il conservera des attestations que l’usager présente de façon sélective : prouver qu’il est majeur sans révéler sa date de naissance, qu’il est diplômé sans transmettre son relevé de notes complet. Ce principe de divulgation minimale est l’une des garanties centrales du texte, et il change la façon dont un service doit formuler ses demandes.

Qui doit se préparer

Trois catégories d’organisations sont concernées, à des degrés différents.

Les organismes publics qui exigent une identification électronique pour accéder à un service en ligne devront accepter le portefeuille. Les acteurs privés tenus d’utiliser une authentification forte de leurs utilisateurs, dans des secteurs comme la banque et les services financiers, la santé, les transports, l’énergie ou les télécommunications, devront l’accepter à la demande de l’usager, au plus tard trente-six mois après l’entrée en vigueur des actes d’exécution correspondants ; les très grandes plateformes en ligne sont soumises à une obligation comparable. Les organismes qui délivrent des attestations (universités, ordres professionnels, administrations qui tiennent un registre) ont un rôle distinct : alimenter le portefeuille en données fiables.

Pour tous, le parcours d’usage sera le même. Il aide à repérer les chantiers.

• Demandele service indique les données dont il a besoin
• Consentementl’usager voit qui demande quoi, et accepte ou refuse
• Présentationle portefeuille transmet les seules données acceptées
• Vérificationle service contrôle l’émetteur, l’intégrité, la révocation
• Décisionla démarche se poursuit, avec les données minimales

Six chantiers, à ouvrir dès maintenant

1. Cartographier les démarches et les données demandées. Pour chaque démarche en ligne : le niveau d’identification nécessaire, les données réellement indispensables, celles collectées par habitude. Cet inventaire révèle presque toujours des formulaires qui demandent l’identité complète quand une attestation d’âge, de domicile ou de qualité suffirait. C’est le chantier le plus utile et le moins technique ; il améliore les parcours même sans portefeuille.

2. Choisir les premiers cas d’usage. Tout n’a pas à être compatible le premier jour. Les cas prioritaires sont ceux où le portefeuille supprime une friction réelle : l’ouverture d’un compte qui exige aujourd’hui l’envoi de copies de documents, la vérification d’un diplôme, la preuve d’un droit. Un ou deux parcours bien conçus valent mieux qu’une compatibilité de façade partout.

3. Préparer l’enregistrement comme partie utilisatrice. Le règlement impose aux services qui veulent recourir au portefeuille de s’enregistrer auprès de l’État membre où ils sont établis, en indiquant l’usage prévu et les données qu’ils entendent demander. Le portefeuille affichera à l’usager l’identité du demandeur, et une demande qui excède ce qui a été déclaré pourra être signalée. Autrement dit, la minimisation se décide en amont, au moment de l’enregistrement.

4. Prévoir l’intégration technique. Le cadre d’architecture et de référence s’appuie sur des standards publics : OpenID for Verifiable Presentations pour la présentation en ligne, la norme ISO/IEC 18013-5 pour la présentation de proximité, et des formats d’attestation à divulgation sélective. La vérification suppose aussi de consulter des listes de confiance des émetteurs et l’état de révocation des attestations. La plupart des organisations s’appuieront sur une brique fournie par un éditeur : il faut l’interroger dès maintenant sur sa feuille de route.

5. Conserver des parcours pour tous. Tous les usagers n’auront pas de portefeuille, ni de téléphone compatible, ni l’envie de s’en servir. Les parcours existants, l’accueil au guichet et l’accompagnement doivent rester disponibles. Le portefeuille est un moyen supplémentaire, pas une porte unique.

6. Mettre à jour le cadre juridique. Base légale de chaque donnée demandée, analyse d’impact relative à la protection des données quand elle est requise, durée de conservation des données présentées, information des usagers. Le délégué à la protection des données doit être associé dès la cartographie, pas à la fin.

Si vous délivrez des attestations

Pour une université, une administration ou un ordre professionnel, la question n’est pas seulement d’accepter le portefeuille, mais de l’alimenter. Une attestation électronique de diplôme ou de qualité professionnelle ne vaut que par le registre dont elle est issue. Si ce registre est incomplet, tenu sur papier ou dispersé entre plusieurs bases, l’attestation hérite de ses faiblesses. Le premier chantier est donc la fiabilisation et la numérisation de la source : c’est précisément le point de départ de notre produit État civil, conçu pour protéger les registres et délivrer des actes fiables.

Le premier pas

Réunir, en une demi-journée, les responsables des trois ou quatre démarches en ligne les plus fréquentées, le délégué à la protection des données et la direction informatique. Pour chaque démarche, remplir une ligne : données demandées, données réellement nécessaires, niveau d’identification requis, attestation qui pourrait remplacer la collecte actuelle. Ce tableau est la base de tout le reste, et il ne coûte presque rien.

Pour les choix de niveau d’identification, notre comparatif des niveaux de garantie faible, substantiel et élevé aide à trancher démarche par démarche, et notre dossier de référence sur l’identité numérique replace le portefeuille dans l’ensemble des outils disponibles. Notre expertise identité numérique accompagne cette préparation, de la cartographie à l’intégration.

Questions fréquentes

Mon organisation est-elle obligée d'accepter le portefeuille européen ?

Les organismes publics qui exigent une identification électronique pour accéder à un service en ligne devront l'accepter. Côté privé, l'obligation vise les acteurs tenus par la loi d'utiliser une authentification forte de leurs utilisateurs dans des secteurs comme la banque, la santé, les transports, l'énergie ou les télécommunications, ainsi que les très grandes plateformes en ligne, lorsque l'usager le demande. Les autres acteurs peuvent l'accepter volontairement.

Faut-il développer sa propre application pour accepter le portefeuille ?

Non. Le service en ligne doit savoir demander et vérifier des données présentées par le portefeuille de l'usager, selon les protocoles définis au niveau européen. Cela passe par une brique de vérification intégrée au parcours existant, que proposeront des éditeurs et des intégrateurs.

Peut-on conserver les données présentées par le portefeuille ?

Seulement celles qui sont nécessaires à la démarche, pour la durée requise, et sur une base légale identifiée. Le principe du portefeuille est la divulgation minimale : demander moins et conserver moins font partie des obligations, pas seulement des bonnes pratiques.

Une université ou une administration peut-elle délivrer des attestations dans le portefeuille ?

Oui. Le règlement prévoit des attestations électroniques d'attributs, délivrées par des prestataires de confiance ou par des organismes publics responsables d'une source authentique, comme un registre de diplômes. C'est un chantier distinct de l'acceptation, qui suppose d'abord des registres fiables et numérisés.