Règlement d’exécution (UE) 2024/2980 de la Commission du 28 novembre 2024 portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne les notifications relatives à l’écosystème des portefeuilles européens d’identité numérique transmises à la Commission

1)

Le cadre européen relatif à une identité numérique établi par le règlement (UE) no 910/2014 est un élément essentiel pour la mise en place d’un écosystème d’identité numérique sécurisé et interopérable dans l’ensemble de l’Union. Avec pour pierre angulaire les portefeuilles européens d’identité numérique (ci-après les «portefeuilles»), il vise à faciliter l’accès aux services dans l’ensemble des États membres, tout en garantissant la protection des données à caractère personnel et le respect de la vie privée.

2)

Le règlement (UE) 2016/679 du Parlement européen et du Conseil (2) ou le règlement (UE) 2018/1725 du Parlement européen et du Conseil (3) et, le cas échéant, la directive 2002/58/CE du Parlement européen et du Conseil (4) s’appliquent à toutes les activités de traitement de données à caractère personnel au titre du présent règlement.

3)

L’article 5 bis, paragraphe 23, du règlement (UE) no 910/2014 charge la Commission d’établir, au besoin, les spécifications et les procédures applicables. À cette fin, quatre règlements d’exécution ont été prévus en ce qui concerne les protocoles et les interfaces: règlement d’exécution (UE) 2024/2982 de la Commission (5), l’intégrité et les fonctionnalités essentielles: règlement d’exécution (UE) 2024/2979 de la Commission (6), les données d’identification personnelle et les attestations électroniques d’attributs: règlement d’exécution (UE) 2024/2977 de la Commission (7), ainsi que les notifications à la Commission: règlement d’exécution (UE) 2024/2980 de la Commission (8). Le présent règlement fixe les exigences applicables aux notifications par les États membres des entités de confiance qui garantissent la fiabilité du cadre européen relatif à une identité numérique.

4)

La Commission évalue régulièrement les nouvelles technologies, pratiques, normes ou spécifications techniques. Afin d’atteindre le niveau d’harmonisation le plus élevé possible entre les États membres en ce qui concerne le développement et la certification des portefeuilles, les spécifications techniques énoncées dans le présent règlement s’appuient sur les travaux menés sur la base de la recommandation (UE) 2021/946 de la Commission du 3 juin 2021 concernant une boîte à outils commune de l’Union pour une approche coordonnée en vue d’un cadre européen relatif à une identité numérique (9), et en particulier sur l’architecture et le cadre de référence. Conformément au considérant 75 du règlement (UE) 2024/1183 du Parlement européen et du Conseil (10), la Commission devrait réexaminer et, si besoin est, mettre à jour le présent règlement d’exécution, afin de le maintenir en adéquation avec les évolutions générales, l’architecture et le cadre de référence et de suivre les meilleures pratiques sur le marché intérieur.

5)

Afin d’atteindre l’objectif consistant à mettre en place des sources d’information transparentes et fiables permettant d’authentifier les entités dans l’écosystème des portefeuilles européens d’identité numérique telles que les fournisseurs de portefeuille, les fournisseurs de données d’identification personnelle et les parties utilisatrices de portefeuille, les États membres devraient notifier les informations requises au moyen du système électronique fourni par la Commission. Conformément à l’approche adoptée dans la décision d’exécution (UE) 2015/1984 de la Commission (11) définissant les circonstances, les formats et les procédures pour les notifications concernant les schémas d’identification électronique applicables aux moyens d’identification électronique, les États membres devraient fournir les informations à la Commission en anglais. Ainsi, les descriptions des schémas d’identification électronique seront disponibles en anglais pour tous ces schémas, qu’ils soient liés à des moyens d’identification électronique ou à des portefeuilles.

6)

Aux fins du même objectif consistant à mettre en place des sources d’information permettant d’authentifier les entités dans l’écosystème des portefeuilles européens d’identité numérique, la Commission devrait créer une infrastructure permettant de mettre les informations à la disposition du public de manière sûre, lisible par l’être humain, claire et facilement accessible, ainsi que sous une forme portant une signature électronique ou un cachet électronique adaptée au traitement automatisé, y compris en proposant une interface de programmation d’application.

7)

Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 et a rendu son avis le 30 septembre 2024.

8)

Les mesures prévues par le présent règlement sont conformes à l’avis du comité visé à l’article 48 du règlement (UE) no 910/2014,

1)

des registres électroniques utilisés par un État membre pour publier des informations sur les parties utilisatrices de portefeuille enregistrées dans cet État membre conformément à l’article 5 ter, paragraphe 5, du règlement (UE) no 910/2014 (ci-après les «registres des parties utilisatrices de portefeuille»), l’emplacement les registres des parties utilisatrices de portefeuille et l’identification des bureaux d’enregistrement des parties utilisatrices de portefeuille;

2)

de l’identité des parties utilisatrices de portefeuille enregistrées;

3)

de l’authenticité et de la validité des unités de portefeuille;

4)

de l’identification des fournisseurs de portefeuille;

5)

de l’authenticité des données d’identification personnelle;

6)

de l’identification des fournisseurs de données d’identification personnelle.

Le présent règlement doit être mis à jour régulièrement pour tenir compte de l’évolution des technologies et des normes ainsi que des travaux réalisés sur la base de la recommandation (UE) 2021/946, et en particulier l’architecture et le cadre de référence.

1)

«fournisseur de portefeuille»: une personne physique ou morale qui fournit des solutions de portefeuille;

2)

«fournisseur de données d’identification personnelle»: une personne physique ou morale chargée de délivrer et de révoquer les données d’identification personnelle et de veiller à ce que les données d’identification personnelle d’un utilisateur soient liées de manière cryptographique à une unité de portefeuille;

3)

«partie utilisatrice de portefeuille»: une partie utilisatrice qui a l’intention de se fier à des unités de portefeuille pour la fourniture de services publics ou privés au moyen d’une interaction numérique;

4)

«registre des parties utilisatrices de portefeuille»: un registre électronique utilisé par un État membre pour mettre à la disposition du public les informations relatives aux parties utilisatrices de portefeuille enregistrées dans cet État membre, conformément à l’article 5 ter, paragraphe 5, du règlement (UE) no 910/2014;

5)

«bureau d’enregistrement des parties utilisatrices de portefeuille»: l’organisme désigné par un État membre et chargé de dresser et de tenir à jour la liste des parties utilisatrices de portefeuille enregistrées qui sont établies sur le territoire de cet État;

6)

«unité de portefeuille»: une configuration unique d’une solution de portefeuille comprenant des instances de portefeuille, des applications cryptographiques sécurisées de portefeuille et des dispositifs cryptographiques sécurisés de portefeuille, fournie par un fournisseur de portefeuille à un utilisateur de portefeuille donné;

7)

«solution de portefeuille»: une combinaison de logiciels, de matériel, de services, de paramètres et de configurations, y compris des instances de portefeuille, une ou plusieurs applications cryptographiques sécurisées de portefeuille et un ou plusieurs dispositifs cryptographiques sécurisés de portefeuille;

8)

«instance de portefeuille»: l’application installée et configurée sur l’appareil ou dans l’environnement d’un utilisateur de portefeuille, qui fait partie d’une unité de portefeuille et dont l’utilisateur de portefeuille se sert pour interagir avec l’unité de portefeuille;

9)

«application cryptographique sécurisée de portefeuille»: une application qui gère des actifs critiques en étant liée aux fonctions cryptographiques et non cryptographiques fournies par le dispositif cryptographique sécurisé de portefeuille et en utilisant ces fonctions;

10)

«dispositif cryptographique sécurisé de portefeuille»: un dispositif inviolable qui fournit un environnement lié à l’application cryptographique sécurisée de portefeuille et utilisé par celle-ci pour protéger les actifs critiques et fournir des fonctions cryptographiques pour l’exécution sécurisée d’opérations critiques;

11)

«actifs critiques»: les actifs se trouvant à l’intérieur d’une unité de portefeuille ou en rapport avec celle-ci et dont l’importance est tellement exceptionnelle que la capacité de se fier à l’unité de portefeuille serait très sérieusement affaiblie si leur disponibilité, leur confidentialité ou leur intégrité étaient compromises;

12)

«utilisateur de portefeuille»: un utilisateur qui contrôle l’unité de portefeuille;

13)

«fournisseur de certificats d’accès de partie utilisatrice de portefeuille»: une personne physique ou morale mandatée par un État membre pour délivrer des certificats d’accès de partie utilisatrice aux parties utilisatrices de portefeuille enregistrées dans cet État membre;

14)

«certificat d’accès de partie utilisatrice de portefeuille»: un certificat de cachet électronique ou de signature électronique qui authentifie et valide la partie utilisatrice de portefeuille et qui est délivré par un fournisseur de certificats d’accès de partie utilisatrice de portefeuille.