Le règlement (UE) 2024/1183, dit eIDAS 2, oblige chaque État membre à mettre un portefeuille européen d’identité numérique à disposition de ses citoyens, et impose ensuite à des pans entiers du secteur privé de l’accepter. Pour un DSI, cela signifie trois chantiers non négociables : s’enregistrer comme partie utilisatrice, refondre les parcours d’identification autour d’attributs et non de documents, et vérifier que l’architecture retenue ne recrée pas un traçage centralisé des usages. Voici ce qu’il faut avoir arbitré avant l’échéance.
Le texte ne se résume pas à une application mobile régalienne. Il installe un cadre d’échange d’attributs vérifiés à l’échelle européenne, avec trois briques qui intéressent directement les plateformes numériques.
Il stocke les données d’identification de la personne et les présente à la demande, sous le contrôle de l’utilisateur. Il est gratuit pour le citoyen, son usage reste facultatif pour lui, mais son acceptation devient obligatoire pour certaines catégories d’acteurs. En France, la brique d’identité régalienne existe déjà avec France Identité, ce qui limite le travail d’amorçage.
C’est la partie que beaucoup de DSI sous-estiment. Un diplôme, une qualité professionnelle, une adresse, une preuve de majorité peuvent être délivrés sous forme d’attestation vérifiable, y compris par des prestataires qualifiés. Concrètement, vous n’aurez plus besoin de collecter une pièce d’identité pour savoir qu’un utilisateur est majeur ou résident d’un État membre : vous demanderez l’attribut, rien de plus.
Toute organisation qui souhaite recevoir des attributs depuis un portefeuille doit s’enregistrer auprès de son État membre et déclarer précisément les attributs qu’elle demande. Ce n’est pas une formalité : la déclaration devient opposable. Demander la date de naissance complète quand une preuve de majorité suffit vous expose à un manquement au principe de minimisation, sanctionnable au titre du RGPD comme au titre d’eIDAS.
La séquence est connue : mise à disposition des portefeuilles par les États membres à horizon fin 2026, puis obligation d’acceptation pour les services publics, les secteurs réglementés (banque, télécoms, transport, énergie, santé) et les très grandes plateformes au sens du DSA, environ un an plus tard. Les actes d’exécution précisant les formats, les protocoles et les règles de certification sont déjà publiés pour l’essentiel.
Traduction opérationnelle : si votre prochain cycle budgétaire est annuel, c’est celui-ci qui porte la mise en conformité. Un projet d’intégration d’identité vérifiée touche l’authentification, le parcours d’inscription, la base utilisateurs, la politique de rétention et souvent le socle CIAM. Douze mois ne sont pas de trop.
Un portefeuille bien conçu réduit la quantité de données transmises. Il ne garantit pas, par construction, que personne ne sache où vous allez. Selon l’implémentation, le fournisseur d’identité ou l’émetteur d’attestation peut être sollicité au moment de la présentation, et donc apprendre que tel citoyen se connecte à tel service. Pour un site de e-commerce, c’est un désagrément. Pour une plateforme de contenus sensibles, c’est rédhibitoire.
C’est précisément l’exigence posée en France par l’Arcom dans son référentiel technique sur la vérification de l’âge : le double anonymat. Le fournisseur de preuve ne doit pas connaître le service consulté, et le service ne doit pas connaître l’identité de l’utilisateur. L’Arcom est joignable à la Tour Mirabeau, 39-43 quai André Citroën, 75015 Paris, et publie ses référentiels sur arcom.fr. La Commission européenne a d’ailleurs elle-même travaillé sur une application de vérification d’âge dérivée de l’architecture du portefeuille, preuve que la preuve d’âge est traitée comme un cas d’usage à part, plus exigeant que l’identification classique.
Le message pour un DSI est simple : ne considérez pas « conforme eIDAS 2 » comme équivalent à « conforme SREN ». Les deux textes se rejoignent, ils ne se substituent pas. Une plateforme peut cocher la case européenne et rester en défaut sur la protection des mineurs si son parcours permet de recouper un utilisateur avec un contenu.
Nous avons conçu GreenBadg autour de ce constat : la conformité et la vie privée ne sont pas un arbitrage, elles sont un problème d’architecture. Le double anonymat n’est pas une option ajoutée après coup, c’est le point de départ. La plateforme délivre une preuve d’attribut, majorité par exemple, sans que le fournisseur d’identité apprenne quel service est consulté, et sans que le service apprenne qui est la personne. Cette approche a été éprouvée avec des acteurs exposés comme Dorcel, dont le niveau d’exigence sur la protection des utilisateurs ne laisse aucune place à l’approximation.
L’arrivée du portefeuille européen ne rend pas ces briques obsolètes, elle les rend interopérables. Les organisations prêtes seront celles qui auront déjà séparé l’identification de l’autorisation, et qui sauront consommer un attribut vérifié quelle qu’en soit la source. Les autres découvriront, l’échéance venue, qu’on ne réécrit pas un parcours d’inscription en six semaines.
L’obligation vise les services publics, les secteurs réglementés (banque, télécoms, transport, énergie, santé) et les très grandes plateformes au sens du DSA. Les autres acteurs restent libres, mais une plateforme soumise à une obligation de vérification d’identité ou d’âge a tout intérêt à l’accepter, ne serait-ce que pour réduire sa collecte de documents.
Non. eIDAS 2 fournit un moyen technique de présenter une preuve d’âge fiable, la loi SREN et le référentiel de l’Arcom fixent le niveau d’exigence, notamment le double anonymat. Les deux cadres se complètent et doivent être traités ensemble.
Les attestations reposent principalement sur SD-JWT VC et sur le format mDoc issu de la norme ISO 18013-5, présentées via OpenID for Verifiable Presentations. Vérifiez que vos briques CIAM et vos prestataires de vérification prennent en charge ces standards.
Les supprimer dès que la finalité qui les justifiait disparaît. Un parcours fondé sur des attributs vérifiés rend cette conservation inutile, et chaque suppression réduit mécaniquement l’impact d’une compromission de vos bases.
Comptez un cycle complet : cartographie des points de collecte, enregistrement comme partie utilisatrice, refonte des parcours, tests d’interopérabilité et mode dégradé. Les organisations qui démarrent maintenant abordent l’échéance sereinement, celles qui attendent les derniers actes d’exécution travailleront dans l’urgence.
eIDAS 2 est un règlement européen (UE 2024/1183) qui oblige chaque État membre à proposer gratuitement aux citoyens un portefeuille d’identité numérique (EUDI Wallet). Ce portefeuille stocke les données d’identification et les présente à la demande, sous le contrôle de l’utilisateur. Son utilisation reste facultative pour les citoyens, mais son acceptation devient obligatoire pour certains acteurs du secteur privé.
Un DSI doit accomplir trois chantiers non négociables : s’enregistrer comme partie utilisatrice auprès de son État membre, refondre les parcours d’identification autour d’attributs plutôt que de documents, et vérifier que l’architecture retenue ne recrée pas un traçage centralisé des usages.
Une attestation électronique d’attributs est un document vérifié qui atteste d’informations comme un diplôme, une qualité professionnelle, une adresse ou une preuve de majorité. Cela signifie que vous n’aurez plus besoin de collecter une pièce d’identité complète : vous demanderez simplement l’attribut spécifique dont vous avez besoin, comme une preuve de majorité.
Toute organisation qui souhaite recevoir des attributs depuis un portefeuille doit s’enregistrer auprès de son État membre et déclarer précisément les attributs qu’elle demande. Cette déclaration n’est pas une simple formalité : elle devient opposable, ce qui signifie qu’elle a valeur légale.
En France, la brique d’identité régalienne existe déjà avec France Identité, ce qui limite le travail d’amorçage nécessaire pour mettre en place le portefeuille européen d’identité numérique.
