Règlement d’exécution (UE) 2024/2979 de la Commission du 28 novembre 2024 portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne l’intégrité et les fonctionnalités essentielles des portefeuilles européens d’identité numérique

(1)

Le cadre européen relatif à une identité numérique établi par le règlement (UE) no 910/2014 est un élément essentiel pour la mise en place d’un écosystème d’identité numérique sécurisé et interopérable dans l’ensemble de l’Union. Avec pour pierre angulaire les portefeuilles européens d’identité numérique (ci-après les «portefeuilles»), il vise à faciliter l’accès aux services dans l’ensemble des États membres, pour les personnes physiques et morales, tout en garantissant la protection des données à caractère personnel et le respect de la vie privée.

(2)

Le règlement (UE) 2016/679 du Parlement européen et du Conseil (2) et, le cas échéant, la directive 2002/58/CE du Parlement européen et du Conseil (3) s’appliquent à toutes les activités de traitement de données à caractère personnel au titre du présent règlement.

(3)

L’article 5 bis, paragraphe 23, du règlement (UE) no 910/2014 charge la Commission d’établir, au besoin, les spécifications et les procédures applicables. À cette fin, quatre règlements d’exécution ont été prévus en ce qui concerne les protocoles et les interfaces: règlement d’exécution (UE) 2024/2982 de la Commission (4), l’intégrité et les fonctionnalités essentielles: règlement d’exécution (UE) 2024/2979 de la Commission (5), les données d’identification personnelle et les attestations électroniques d’attributs: règlement d’exécution (UE) 2024/2977 de la Commission (6), ainsi que les notifications à la Commission: règlement d’exécution (UE) 2024/2980 de la Commission (7). Le présent règlement établit les exigences applicables concernant l’intégrité et les fonctionnalités essentielles des portefeuilles européens d’identité numérique.

(4)

La Commission évalue régulièrement les nouvelles technologies, pratiques, normes ou spécifications techniques. Afin d’atteindre le niveau d’harmonisation le plus élevé possible entre les États membres en ce qui concerne le développement et la certification des portefeuilles, les spécifications techniques énoncées dans le présent règlement s’appuient sur les travaux menés sur la base de la recommandation (UE) 2021/946 de la Commission du 3 juin 2021 concernant une boîte à outils commune de l’Union pour une approche coordonnée en vue d’un cadre européen relatif à une identité numérique (8), et en particulier sur l’architecture et le cadre de référence. Conformément au considérant 75 du règlement (UE) 2024/1183 du Parlement européen et du Conseil (9), la Commission devrait réexaminer et, si besoin est, mettre à jour le présent règlement d’exécution, afin de le maintenir en adéquation avec les évolutions générales, l’architecture et le cadre de référence et de suivre les meilleures pratiques sur le marché intérieur.

(5)

Afin de garantir une communication précise, une différenciation technique et une répartition claire des responsabilités, il est nécessaire d’établir une distinction entre les différents composants et configurations des portefeuilles. On entend par «solution de portefeuille» le système complet, fourni par un fournisseur de portefeuille, qui est nécessaire pour utiliser un portefeuille. Elle devrait comprendre les composants logiciels et matériels, ainsi que les services, paramètres et configurations nécessaires pour assurer le bon fonctionnement du portefeuille. Une solution de portefeuille peut être implantée sur les dispositifs et dans les environnements des utilisateurs ainsi que sur la structure dorsale du fournisseur. On entend par «unité de portefeuille» une configuration spécifique de la solution de portefeuille pour un utilisateur donné. Elle devrait comprendre l’application installée sur l’appareil ou dans l’environnement de l’utilisateur de portefeuille avec laquelle celui-ci interagit directement (l’«instance de portefeuille») et les éléments de sécurité nécessaires pour protéger les données et les transactions des utilisateurs. Ces éléments de sécurité devraient faire appel à des logiciels ou du matériel spécialement conçus pour chiffrer et sauvegarder les informations sensibles. Une instance de portefeuille devrait faire partie de l’unité de portefeuille et permettre à l’utilisateur de portefeuille d’accéder aux fonctionnalités de son portefeuille.

(6)

La présence d’applications cryptographiques sécurisées de portefeuille en tant que composants spécialisés distincts au sein d’une unité de portefeuille est nécessaire pour assurer non seulement la protection des actifs critiques, tels que les clés cryptographiques privées, mais aussi la fourniture de fonctionnalités essentielles, telles que la présentation d’attestations électroniques d’attributs. L’utilisation de spécifications techniques communes peut faciliter l’accès des fournisseurs de portefeuilles aux éléments sécurisés intégrés. Les applications cryptographiques sécurisées de portefeuille peuvent être fournies de différentes manières et à divers types de dispositifs cryptographiques sécurisés de portefeuille. Lorsque des fournisseurs de portefeuille fournissent des applications cryptographiques sécurisées de portefeuille personnalisées sous la forme d’appliquettes Java Card à des éléments sécurisés intégrés, les fournisseurs de portefeuille devraient respecter les normes énumérées à l’annexe I ou des spécifications techniques équivalentes.

(7)

Les unités de portefeuille devraient permettre aux fournisseurs de données d’identification personnelle ou d’attestations électroniques d’attributs de vérifier qu’ils délivrent ces données ou ces attestations à d’authentiques unités de portefeuille de l’utilisateur de portefeuille.

(8)

Afin de garantir la protection des données dès la conception et par défaut, les portefeuilles devraient être dotés des techniques de protection de la vie privée les plus récentes. Ces caractéristiques/éléments devraient permettre l’utilisation des portefeuilles sans que l’utilisateur du portefeuille puisse être suivi d’une partie utilisatrice du portefeuille à l’autre, en fonction du scénario d’utilisation éventuel. Par exemple, les fournisseurs de portefeuille devraient envisager des mesures d’atténuation des risques pour la vie privée à la pointe de la technologie en ce qui concerne les attestations d’unités de portefeuille, telles que l’utilisation d’attestations d’unités de portefeuille éphémères ou la délivrance par lots. En outre, les politiques de divulgation intégrées devraient mettre en garde les utilisateurs de portefeuille contre la divulgation inappropriée ou illégale d’attributs provenant d’attestations électroniques d’attributs.

(9)

Les attestations d’unités de portefeuille devraient permettre aux parties utilisatrices de portefeuille qui demandent des attributs à des unités de portefeuille de vérifier le statut de validité de l’unité de portefeuille avec laquelle elles communiquent, étant donné que les attestations d’unités de portefeuille doivent être révoquées lorsqu’une unité de portefeuille n’est plus considérée comme valable. Les informations relatives à l’état de validité des unités de portefeuille devraient être mises à disposition de manière interopérable, afin qu’elles puissent être utilisées par toutes les parties utilisatrices de portefeuille. En outre, dans les cas où les utilisateurs de portefeuille ont perdu leur unité de portefeuille ou n’en possèdent plus le contrôle, les fournisseurs de portefeuille devraient permettre aux utilisateurs de portefeuille de demander la révocation de leur unité de portefeuille. Afin de garantir le respect de la vie privée et la non-associabilité, les États membres devraient également utiliser des techniques de protection de la vie privée pour l’attestation d’unité de portefeuille. Il peut s’agir, par exemple, d’utiliser plusieurs attestations d’unité de portefeuille à différentes fins en divulguant uniquement les informations le plus strictement nécessaires sur le portefeuille pour assurer une transaction, ou de limiter la durée de vie de l’attestation d’unité de portefeuille au lieu de recourir à des identifiants de révocation.

(10)

Afin de garantir que tous les portefeuilles sont techniquement capables de recevoir et de présenter des données d’identification personnelle et des attestations électroniques d’attributs dans des scénarios transfrontières sans compromettre l’interopérabilité, les portefeuilles devraient prendre en charge des types prédéterminés de formats de données et permettre une divulgation sélective. Ainsi qu’il est précisé dans le règlement (UE) no 910/2014, la divulgation sélective est un concept permettant au propriétaire des données de ne divulguer que certaines parties d’un ensemble de données plus large, afin que l’entité destinataire n’obtienne que les informations qui sont nécessaires pour la fourniture d’un service demandé par un utilisateur. Étant donné que les portefeuilles doivent permettre à l’utilisateur de divulguer les attributs de manière sélective, les normes énumérées à l’annexe II devraient être mises en œuvre de manière à offrir cette fonctionnalité des portefeuilles. En outre, les portefeuilles peuvent prendre en charge d’autres formats et fonctionnalités pour des cas d’utilisation spécifiques.

(11)

La journalisation des transactions est un outil important pour assurer la transparence, dans la mesure où elle offre une vue d’ensemble des transactions à l’utilisateur du portefeuille. De plus, les journaux devraient être utilisés pour permettre le partage rapide et facile de certaines informations, à la demande de l’utilisateur de portefeuille, avec les autorités de contrôle compétentes instituées en vertu de l’article 51 du règlement (UE) 2016/679, en cas de comportement suspect des parties utilisatrices de portefeuille.

(12)

Pour qu’un utilisateur de portefeuille puisse signer électroniquement, il convient de lui délivrer un certificat qualifié lié à un dispositif de création de signature électronique qualifié. L’utilisateur de portefeuille devrait avoir accès à une application de création de signature. Si la délivrance de certificats qualifiés est un service fourni par les prestataires de services de confiance qualifiés, les autres composants devraient pouvoir être fournis par les fournisseurs de portefeuille ou d’autres entités. Par exemple, les dispositifs de création de signature électronique qualifiés peuvent être gérés par des prestataires de services de confiance qualifiés sous la forme d’un service ou peuvent être localisés dans l’appareil de l’utilisateur de portefeuille, par exemple sous la forme d’une carte à puce. De même, les applications de création de signature peuvent être intégrées dans l’instance de portefeuille, constituer une application distincte sur l’appareil de l’utilisateur de portefeuille ou être fournies à distance.

(13)

Les objets dédiés à l’exportation et à la portabilité des données peuvent journaliser les données d’identification personnelle et les attestations électroniques d’attributs qui ont été délivrées à une unité de portefeuille donnée. Ces objets permettent aux utilisateurs de portefeuille d’extraire les données pertinentes de leur unité de portefeuille afin de renforcer leur droit à la portabilité des données. Les fournisseurs de portefeuille sont encouragés à utiliser les mêmes solutions techniques pour mettre en œuvre également des processus de sauvegarde et de récupération pour les unités de portefeuille, permettant ainsi de récupérer des unités de portefeuille perdues ou de transférer des informations d’un fournisseur de portefeuille à un autre, s’il y a lieu et dans la mesure où cela peut se faire sans porter atteinte au droit à la protection des données et à la sécurité de l’écosystème d’identité numérique.

(14)

La création de pseudonymes spécifiques pour les parties utilisatrices de portefeuille devrait permettre aux utilisateurs de portefeuille de s’authentifier sans fournir d’informations superflues aux parties utilisatrices de portefeuille. Comme le prévoit le règlement (UE) no 910/2014, les utilisateurs de portefeuille doivent pouvoir accéder aux services en utilisant un pseudonyme, sauf en cas d’obligation légale d’utiliser l’identité juridique pour s’authentifier. Par conséquent, les portefeuilles devraient comporter une fonctionnalité permettant de générer des pseudonymes choisis et gérés par l’utilisateur pour s’authentifier lorsqu’ils accèdent à des services en ligne. La mise en œuvre des spécifications énoncées à l’annexe V devrait permettre d’assurer ces fonctionnalités en conséquence. En outre, les parties utilisatrices de portefeuille doivent s’abstenir de demander aux utilisateurs de fournir d’autres données que celles qui correspondent à l’utilisation prévue des portefeuilles dans le registre des parties utilisatrices. Les utilisateurs de portefeuille devraient pouvoir vérifier à tout moment les données d’enregistrement des parties utilisatrices.

(15)

Comme le prévoit le règlement (UE) 2024/1183, les États membres ne devraient pas limiter, directement ou indirectement, l’accès aux services publics ou privés des personnes physiques ou morales qui ne choisissent pas d’utiliser des portefeuilles et devraient mettre à disposition des solutions de substitution appropriées.

(16)

Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (10) et a rendu son avis le 30 septembre 2024.

(17)

Les mesures prévues par le présent règlement sont conformes à l’avis du comité visé à l’article 48 du règlement (UE) no 910/2014,