Qu’est-ce qu’eIDAS ? L’identité numérique européenne expliquée
%20(1).png)
DPO Consulting Rejoint Grant Thornton
À retenir :
L’eIDAS est un règlement créé par l’Union européenne dans le but d’établir un cadre commun permettant de sécuriser les interactions numériques et de leur donner une reconnaissance juridique au-delà des frontières d’un pays. Ce dispositif a connu une nouvelle évolution en 2024 avec eIDAS 2.0 et la création d’un cadre européen relatif à l'identité numérique. Cette évolution introduit le portefeuille d’identité numérique européen (European Digital Identity Wallet) dans l’ensemble de l’Union européenne.
Pour les entreprises, cette transformation concerne à la fois la signature électronique, mais aussi l’authentification, la gestion des identités, les services de confiance, la protection des données et l’accès à certains services numériques. Voyons de quoi il s’agit.
Le règlement (UE) n° 910/2014 (eIDAS) établit un cadre juridique européen applicable à l’identification électronique et aux services de confiance utilisés pour les transactions électroniques. Son objectif est de renforcer la confiance dans les échanges numériques et de permettre à des citoyens, des entreprises et des administrations situés dans différents États membres d’interagir de manière électronique, dans un environnement sécurisé.
Ce dispositif encadre l’ensemble des transactions numériques, dont l’identification électronique, les signatures et cachets électroniques, l’horodatage et différents services de confiance. Le cadre initial a été modifié par le règlement (UE) 2024/1183 du 11 avril 2024 (eIDAS 2.0.).
La réglementation eIDAS repose sur deux grands piliers : l’identification électronique et les services de confiance. Elle définit des règles communes qui permettent de déterminer dans quelles conditions certains procédés électroniques peuvent être utilisés et reconnus dans l’UE, parmi les dispositifs suivants :
L’identification électronique permet d’utiliser des données sous forme électronique dans le but d’établir l’identité d’une personne physique ou morale. Cette technique permet à un utilisateur de prouver son identité lorsqu’il se connecte à un service en ligne, qu’il soit public ou privé.
De son côté, la signature électronique a pour but de rendre possible la signature de données ou de documents sous forme numérique à une personne physique.
Le cadre européen distingue deux types de signature, la signature électronique et la signature qualifiée. La signature électronique qualifiée bénéficie du niveau de reconnaissance juridique le plus élevé et produit un effet juridique équivalent à celui d’une signature manuscrite.
Le cachet électronique est destiné aux personnes morales et permet de garantir l’origine et l’intégrité de données ou de documents. Une entreprise peut par exemple se servir d’un cachet électronique pour sécuriser des documents générés par son système d’information. Un cachet électronique qualifié bénéficie d’une présomption d’intégrité des données et d'exactitude de leur origine.
L’horodatage électronique ajoute une preuve temporelle aux données en les reliant à une date et à une heure. C’est une fonction très utile pour les entreprises qui doivent conserver une preuve de la chronologie d’une transaction ou d’un processus.
Le cadre eIDAS réglemente également les services destinés à renforcer la confiance dans les transactions numériques. Cela comprend la création et la validation de signatures et de cachets électroniques, l’émission de certificats, l’horodatage, l’envoi électronique recommandé, les attestations d’attributs électroniques ou encore l’archivage électronique et les registres électroniques. Ces services peuvent être qualifiés ou non qualifiés, les premiers étant soumis à des exigences renforcées.
En passant à eIDAS 2.0, l’Union européenne fait évoluer ce cadre pour répondre aux usages numériques d’aujourd’hui et faciliter l’identification électronique à l’échelle européenne.
Le règlement (UE) 2024/1183 modifie le dispositif initial afin d’ancrer l’identité numérique dans un cadre européen élargi. Il a pour objectif de permettre aux citoyens, aux résidents et aux entreprises de disposer d’un moyen d’identification électronique sécurisé, destiné à être utilisé dans l’ensemble de l’Union européenne.
Cette évolution prend en compte les nouveaux usages numériques et l’augmentation des accès à distance, dont il est important d’assurer la sécurité.
Ce nouveau cadre introduit une nouveauté centrale, appelée portefeuille d’identité numérique européen. Selon ce dispositif, chaque État membre de l’UE doit fournir au moins un portefeuille conforme aux spécifications européennes d’ici la fin 2026.
Ce portefeuille permet de s’identifier et de s’authentifier en ligne ou hors ligne, de stocker, de présenter et de partager des documents ou des attributs numériques. Les utilisateurs européens peuvent par exemple s’en servir pour stocker des justificatifs d’identité, des diplômes ou des attestations.
Le portefeuille électronique peut être utilisé dans le secteur public et le secteur privé. Il permet :
Cette dernière possibilité renforce la protection des données, car elle permet de fournir uniquement la preuve demandée et non les données complètes (par exemple, la preuve que l’utilisateur à dépassé un certain âge sans avoir à transmettre sa date de naissance complète).
L’un des principaux objectifs du cadre européen est d’éviter que l’identité numérique reste limitée aux frontières d’un État. Pour favoriser ce point, les portefeuilles reposent sur des normes et des spécifications communes qui assurent leur interopérabilité. Le but est de pouvoir utiliser un moyen d’identification fourni dans un État membre pour accéder à des services au sein d’un autre État.
Pour encadrer l’identification électronique, l’eIDAS définit les moyens utilisés, les règles d’authentification, les niveaux de garantie et les conditions de reconnaissance appliqués entre les États membres.
Un moyen d’identification électronique est un support matériel ou immatériel qui contient les données nécessaires pour identifier une personne lors de l’accès à un service. Selon les systèmes concernés, il peut s’agir d’une carte d’identité électronique, d’une application ou d’une autre solution numérique.
L’identification répond à la question “qui êtes-vous ?”, tandis que l’authentification consiste à vérifier que la personne utilisant l’identité est bien celle qu’elle prétend être. L’authentification eIDAS doit offrir un niveau de confiance adapté au risque associé au service, ce qui nécessite parfois la mise en place de mécanismes de sécurité avancés selon les données concernées.
Le cadre européen distingue trois niveaux de garantie : faible, substantiel et élevé. Ces niveaux correspondent au degré de confiance qu’un service accorde à l’identité revendiquée par l’utilisateur. Le classement dépend des modalités d’enregistrement de l’utilisateur, de la gestion du moyen d’identification et des mécanismes utilisés lors de l’authentification.
La reconnaissance transfrontalière est l’un des fondements du dispositif, elle vise à favoriser l’accès aux services numériques dans l’ensemble de l’Union. Pour les organisations présentes dans plusieurs pays européens, cette interopérabilité peut aider à simplifier l’identification des utilisateurs et à harmoniser certains parcours numériques.
La conformité à eIDAS apporte de nombreux avantages :
La conformité au cadre européen contribue à renforcer la confiance dans les échanges numériques. Signatures, cachets, certificats et horodatages peuvent fournir des éléments permettant de vérifier l’identité, l’origine ou l’intégrité des données.
En créant des règles communes, le dispositif facilite le développement de services accessibles dans plusieurs pays européens. Une entreprise qui opère à l’échelle européenne peut ainsi s’appuyer sur des mécanismes d’identification et des services de confiance qui reposent sur un cadre commun, ce qui simplifie les échanges.
eIDAS 2.0 doit également faire évoluer la manière dont les organisations vérifient et utilisent les informations d’identité. Le portefeuille européen peut favoriser une logique dans laquelle l’utilisateur partage les attributs nécessaires à une opération, plutôt qu’un ensemble d’informations personnelles.
Le cadre européen apporte également une plus grande sécurité juridique à certaines opérations dématérialisées. Il assure la reconnaissance juridique des signatures électroniques, et apporte aux signatures électroniques qualifiées un effet juridique égal à celui d’une signature manuscrite.
Cette reconnaissance facilite la dématérialisation de nombreux processus contractuels et administratifs.
La mise en œuvre du portefeuille européen d’identité numérique crée de nouvelles obligations et de nouvelles possibilités pour les organisations. Pour anticiper son intégration, la première étape consiste à déterminer dans quels processus de l’entreprise intervient l’identité numérique. Il peut s’agir de la création de comptes, de l’authentification des clients, de la signature de contrats, ou encore de la transmission de justificatifs.
Les entreprises doivent ensuite identifier les évolutions nécessaires au niveau technique et organisationnel, tout en intégrant la protection des données dès la conception, en prenant en compte les obligations eIDAS, RGPD et cybersécurité.
Pour évaluer leur conformité à eIDAS, les entreprises peuvent passer en revue quatre éléments clés :
Il faut tout d’abord cartographier les situations dans lesquelles votre organisation doit identifier ou authentifier des personnes. Pour chaque processus, déterminez quelles informations sont nécessaires, quel niveau de confiance doit être atteint et quelles solutions sont actuellement utilisées.
Recensez les types de documents signés ou scellés électroniquement et les technologies utilisées. À ce stade, il est important de déterminer le niveau de signature nécessaire selon le contexte juridique et le risque associé à la transaction.
Si votre entreprise s’appuie sur un prestataire externe, vous devrez aussi vérifier son statut et la nature exacte de ses services. Pour faciliter cette étape, les États membres publient des listes de confiance qui regroupent les prestataires qualifiés et leurs services.
Enfin, il convient d’examiner les données collectées et partagées lors de l’identification, les droits d’accès, les procédures de conservation, les mécanismes d’authentification et les mesures de cybersécurité associées, qui permettent d’assurer que vous bénéficiez d’un dispositif cohérent.
L’évolution du cadre eIDAS peut avoir des conséquences à la fois juridiques, techniques et organisationnelles. Pour une entreprise, l’enjeu ne consiste pas uniquement à sélectionner une nouvelle solution d’identification ou de signature électronique, mais à déterminer comment celle-ci peut s’intégrer dans son environnement réglementaire existant.
DPO Consulting accompagne les organisations dans l’analyse de leurs obligations en matière de conformité numérique et de protection des données. En profitant de nos services, vous bénéficiez d’un accompagnement complet, qui prend en compte la cartographie des traitements et des processus concernés, l’identification des risques, l’évaluation des pratiques existantes et la préparation aux évolutions nécessaires pour l’intégration des nouveaux dispositifs d’identité numérique.
L’anticipation de ces changements permet de simplifier certains parcours numériques tout en renforçant la sécurité, la confiance et la maîtrise de vos données.
Découvrez plus en détail l’offre proposée par DPO Consulting.
Le règlement est applicable dans l’Union européenne, mais toutes les entreprises ne doivent pas utiliser l’ensemble des mécanismes qu’il prévoit. Les obligations concrètes dépendent de l’activité de l’organisation, des services qu’elle fournit et de son utilisation de moyens d’identification ou de services de confiance.
Le cadre initial issu du règlement (UE) n° 910/2014 était centré sur l’identification électronique et les services de confiance pour les transactions électroniques. Le règlement (UE) 2024/1183 a modifié ce dispositif afin d’établir un cadre européen relatif à l’identité numérique. Cette évolution introduit le portefeuille européen d’identité numérique et élargit le cadre applicable à certains services de confiance.
Il s’agit d’une signature électronique avancée créée à l’aide d’un dispositif de création de signature électronique qualifié et reposant sur un certificat de signature électronique qualifié. Elle bénéficie d’un effet juridique équivalent à celui d'une signature manuscrite dans toute l’Union européenne.
Pour obtenir le statut de prestataire de services de confiance qualifié, les entreprises doivent respecter les exigences prévues par le cadre européen et obtenir le statut correspondant auprès de l’organisme de contrôle compétent.
Il doit permettre aux citoyens, résidents et entreprises de s’identifier et de s’authentifier, ainsi que de stocker et partager certains documents ou attributs numériques de manière sécurisée. Il peut par exemple servir à prouver son identité, son âge, ou à signer certains documents électroniquement.
eIDAS est un règlement de l’Union européenne, son cadre de reconnaissance juridique et d’interopérabilité concerne donc l’UE. Toutefois, une entreprise établie hors de l’UE peut être concernée lorsqu’elle fournit certains services sur le marché européen ou si elle doit interagir avec des organisations et des utilisateurs européens.
Oui, une signature électronique ne peut pas être privée d’effet juridique au seul motif qu’elle est électronique ou qu’elle ne répond pas aux exigences d’une signature électronique qualifiée. La signature électronique qualifiée dispose cependant d’un statut particulier, puisqu’elle produit le même effet juridique qu’une signature manuscrite.
Le cadre européen établit des règles d’identification électronique communes et prévoit la reconnaissance de certains moyens d’identification à travers les États membres. Le portefeuille d’identité numérique européen facilite l’utilisation de son identité numérique pour accéder à des services publics et privés dans d’autres pays de l’Union européenne.
%20(1).png)
.svg)
%20(1).png)
