Points clés à retenir sur le réglement eIDAS 2.0
- En vigueur depuis le 20 mai 2024, le règlement eIDAS 2.0 renforce le cadre juridique européen des transactions électroniques en élargissant son champ d’application et en augmentant le niveau de sécurité des services de confiance.
- Chaque État membre devra proposer au moins un portefeuille européen d’identité numérique, ou Wallet, d’ici à la fin de 2026.
- Le portefeuille permettra de présenter des données d’identité et des attestations électroniques d’attributs, par exemple un diplôme, un permis ou une qualité professionnelle.
- eIDAS 2.0 étend la liste des services de confiance en intégrant le registre électronique et l’archivage électronique qualifiés, en complément des signatures, sceaux et horodatages.
- Ces nouveaux services garantissent l’intégrité, l’origine, la traçabilité et la pérennité des données électroniques avec une reconnaissance juridique dans toute l’Union européenne.
- En harmonisant les normes d’identification et de confiance, eIDAS 2.0 facilite les échanges transfrontaliers, renforce la sécurité numérique et soutient l’innovation au sein du marché européen.
Définition du règlement eIDAS 2.0
Le règlement eIDAS (Electronic Identification, Authentication and Trust Services) a pour objectif d’établir un cadre juridique unifié pour les transactions électroniques dans l'Union Européenne. Sa deuxième version constitue une avancée majeure, élargissant son champ d'application et renforçant ses dispositifs de sécurité. Elle comprend également des évolutions dans le cadre des services de confiance, en réorganisant la liste des services existants et introduisant deux nouveaux services que sont l’archivage électronique et le registre électronique.
Création du portefeuille d’identité numérique, ou Wallet
Ce portefeuille a pour objectif de stocker les données personnelles des citoyens européens de manière sécurisée, indépendamment de la technologie d'authentification utilisée, en assurant la confidentialité de ces données.
Elargissement de la gamme des services de confiance électroniques
Les services de signatures électroniques, sceaux électroniques et horodatages électroniques sont complétés par les nouveaux services de registre électronique et d'archivage électronique. Ces services supplémentaires assurent une intégrité et une exactitude des données enregistrées, avec des exigences strictes pour les prestataires de services de confiance qualifiés.
Dans sa première version, eIDAS incluait uniquement la signature électronique, le sceau électronique et l’horodatage électronique.
Le règlement eIDAS initial différencie en effet plusieurs niveaux de signatures :
Signature simple
Cette forme de signature électronique ne peut être rejetée légalement uniquement en raison de son format électronique. Des exemples incluent la signature d'un nom à la fin d'un courriel ou une signature scannée.
Signature électronique avancée (AES)
Liée de manière unique au signataire, cette signature permet d'identifier le signataire et assure l'intégrité du document.
Signature électronique qualifiée (QES)
Plus stricte que l'AES, elle possède la même valeur légale qu'une signature manuscrite. Les signataires doivent faire usage d’un certificat d'identité numérique délivré par un prestataire de services de confiance (PSCO) de l'Union Européenne, qualifié et accrédité selon les normes eIDAS. Les signataires utilisent également un dispositif de création de signature qualifié (QSCD), comme une carte à puce ou un jeton USB, ou encore via une application mobile à code secret unique.
Le sceau électronique, ou cachet électronique, est défini comme un ensemble de données électroniques attachées à d'autres données électroniques pour garantir leur origine et intégrité. Le sceau électronique est donc comparable à un tampon d'entreprise ou à la signature d'une personne morale.
L'horodatage électronique atteste qu'une donnée existait à un moment précis. Il permet par exemple de valider des prix promotionnels en e-commerce, d'assurer la traçabilité des chaînes d'approvisionnement, de construire des rapports d'infractions, de garantir la conformité réglementaire, etc.
Registre électronique
eIDAS 2.0 comprend à présent le registre électronique, dont l’objectif est d’enregistrer des données de manière séquentielle pour garantir leur intégrité et l'exactitude de leur ordre chronologique. Un registre qualifié doit être géré par un ou plusieurs prestataires de services de confiance qualifiés, établir l'origine des enregistrements, maintenir un ordre chronologique unique et permettre de détecter toute modification ultérieure.
Service d'archivage électronique
eIDAS 2.0 introduit également le service d’archivage électronique, défini comme un service garantissant la réception, le stockage, le retrait et la suppression de données ou documents électroniques, assurant leur pérennité, lisibilité, intégrité et confidentialité.
Un service d'archivage qualifié doit :
- Etre fourni par un prestataire de confiance qualifié,
- Faire usage de process et technologies permettant de garantir la pérennité et la lisibilité des données, même après leur obsolescence technologique, et au moins sur la période de conservation légale ou établie dans le contrat, en assurant leur intégrité et leur origine.
- Assurer que les méthodes de conservation des données les protègent contre toute perte ou modification, excepté en cas de modifications dues à un transfert de support ou de format électronique.
- Veiller à ce que les parties autorisées reçoivent de manière automatique un rapport attestant qu’une donnée électronique prélevée d’un service d’archivage qualifié conserve son intégrité depuis son entrée dans l’archive jusqu’à sa sortie.
L'archivage et le registre électronique sont maintenant inclus dans la liste des services de confiance établis dans le règlement eIDAS, et bénéficient de la reconnaissance et de l'interopérabilité entre les États membres. Une donnée électronique archivée dans un service qualifié bénéficiera d'une présomption d'origine et d’intégrité pendant sa durée de conservation.
Règlement eIDAS 2.0 : les avantages
Le règlement eIDAS V2 présente plusieurs avantages :
Facilitation des échanges transfrontaliers
Avec l’harmonisation des normes d'identification et de signature électronique, eIDAS 2.0 favorise les transactions entre États membres, et encourage les transactions numériques au sein de l’UE
Consolidation de la sécurité
L'utilisation d'identifiants et de signatures électroniques qualifiés renforce la sécurité des transactions numériques, pour protéger et rassurer les citoyens et entreprises sur les risques de cybercriminalité et de fraude.
Simplification des procédures administratives
En promouvant l'utilisation d'identifiants électroniques pour l’accès aux services publics et privés, eIDAS V2 permet de limiter les coûts et de raccourcir les délais administratifs dans l’Union Européenne.
Développement de l'innovation numérique
A travers ce nouveau cadre juridique autour de l'identification et l'authentification en ligne, eIDAS 2.0 a pour enjeu de promouvoir l'innovation dans le secteur des services numériques, et d’encourager le développement de nouveaux produits et services.
Différences eIDAS 1 et eIDAS 2.0
eIDAS 2.0 ne remet pas en cause les mécanismes établis par le règlement de 2014. Il les complète en élargissant le cadre européen à l’identité numérique, aux attributs certifiés et à de nouveaux services de confiance.
| Sujet | eIDAS 1 | eIDAS 2.0 |
| Identification électronique | Le règlement eIDAS de 2014 reposait principalement sur la reconnaissance mutuelle des moyens d’identification électronique notifiés par les États membres. Son application concernait surtout l’accès transfrontalier aux services publics en ligne. | eIDAS 2.0 instaure un portefeuille européen d’identité numérique utilisable dans l’ensemble de l’Union européenne. Il doit permettre aux particuliers et aux entreprises de s’identifier auprès de services publics, mais aussi de nombreux services privés. |
| Gestion des données d’identité | Le dispositif visait principalement à permettre l’authentification d’un utilisateur à partir d’un moyen d’identification reconnu par un État membre. Il offrait peu de possibilités pour limiter les informations communiquées à un service. | Le portefeuille doit permettre à l’utilisateur de présenter uniquement les informations nécessaires à une démarche. Il pourra, par exemple, prouver sa majorité ou sa qualité professionnelle sans transmettre l’intégralité de ses données d’identité. |
| Attestations électroniques d’attributs | Les justificatifs tels que les diplômes, habilitations ou qualités professionnelles ne faisaient pas l’objet d’un cadre européen aussi structuré au titre des services de confiance. | eIDAS 2.0 encadre les attestations électroniques d’attributs, qui permettent de certifier une caractéristique concernant une personne physique ou morale, comme un diplôme, un mandat ou une autorisation professionnelle. |
| Archivage électronique | L’archivage électronique n’était pas reconnu comme une catégorie autonome de service de confiance au niveau européen. Sa valeur probatoire dépendait donc principalement des législations nationales, des normes applicables et des garanties techniques mises en œuvre. | Le nouveau règlement crée un cadre harmonisé pour les services d’archivage électronique, notamment qualifiés. L’objectif est de préserver l’intégrité, l’origine et la lisibilité des données et documents électroniques pendant leur durée de conservation. |
| Registres électroniques | Les technologies de registre distribué ou de registre électronique ne bénéficiaient pas d’un régime spécifique parmi les services de confiance définis par eIDAS. | eIDAS 2.0 reconnaît les registres électroniques comme une nouvelle catégorie de service de confiance. Les registres qualifiés pourront bénéficier de présomptions juridiques concernant l’ordre chronologique, l’intégrité et l’exactitude de l’origine des données enregistrées. |
| Signature et cachet électroniques à distance | Le règlement encadrait déjà la signature électronique et le cachet électronique, mais les modalités de gestion à distance des dispositifs de création restaient moins développées dans le texte initial. | eIDAS 2.0 renforce l’encadrement des solutions permettant de créer et de gérer à distance des signatures électroniques qualifiées et des cachets électroniques qualifiés, notamment par l’intermédiaire de prestataires qualifiés. |
| Rôle des acteurs privés | Les obligations de reconnaissance concernaient principalement les administrations publiques et certains usages transfrontaliers. L’acceptation des moyens d’identification électronique dans le secteur privé restait largement facultative. | Certaines entreprises privées devront accepter le portefeuille européen lorsque l’identification forte de l’utilisateur est requise. Le règlement vise ainsi à étendre l’usage de l’identité numérique européenne à des secteurs tels que la banque, l’assurance, les télécommunications ou les transports. |
| Portée du cadre européen | eIDAS 1 a principalement harmonisé la reconnaissance des signatures électroniques, des cachets, des horodatages et des moyens d’identification électronique entre les États membres. | eIDAS 2.0 étend ce cadre à un ensemble plus large de services et de justificatifs numériques. Il cherche à assurer une utilisation transfrontalière plus homogène de l’identité, des attributs et des preuves électroniques dans l’Union européenne. |
Conclusion
Le règlement eIDAS dans sa version 2.0 constitue une étape cruciale pour la création d'une identité numérique européenne. Avec ces nouvelles normes partagées au sein de l’UE pour l'identification électronique, la signature numérique et l'horodatage qualifié, eIDAS V2 vient faciliter les échanges transfrontaliers, et consolider la confiance dans les transactions en ligne, pour construire un avenir numérique sécuritaire et harmonisé pour les citoyens, entreprises et gouvernements européens.
Clause de non-responsabilité
Les opinions, présentations, chiffres et estimations présentés sur le site Web, y compris dans le blog, sont uniquement destinés à des fins d'information et ne doivent pas être considérés comme des conseils juridiques. Pour obtenir un avis juridique, vous devez contacter un professionnel du droit dans votre juridiction.
L'utilisation du contenu de ce site Web, y compris du blog, à des fins commerciales, y compris la revente, est interdite, sauf autorisation préalable de Evidency. La demande d'autorisation doit préciser le but et l'étendue de la reproduction. À des fins non commerciales, tout le matériel de cette publication peut être cité ou réimprimé librement, mais une reconnaissance est requise, ainsi qu'un lien vers ce site Web.
