Règlement d’exécution (UE) 2025/849 de la Commission du 6 mai 2025 portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne la communication à la Commission et au groupe de coopération d’informations destinées à la liste des portefeuilles européens d’identité numérique certifiés

(1)

Le cadre européen relatif à une identité numérique (ci-après le «cadre») établi par le règlement (UE) no 910/2014 est un élément essentiel pour la mise en place d’un écosystème d’identité numérique sécurisé et interopérable dans l’ensemble de l’Union. Avec pour pierre angulaire les portefeuilles européens d’identité numérique (ci-après les «portefeuilles»), il vise à faciliter l’accès aux services en ligne dans l’ensemble des États membres, pour les citoyens, les résidents et les entreprises, tout en garantissant la protection des données à caractère personnel et le respect de la vie privée.

(2)

Le règlement (UE) 2016/679 du Parlement européen et du Conseil (2) et, le cas échéant, la directive 2002/58/CE du Parlement européen et du Conseil (3) s’appliquent aux activités de traitement de données à caractère personnel au titre du présent règlement.

(3)

Afin que la Commission puisse établir, publier au Journal officiel de l’Union européenne et tenir à jour, sous une forme lisible par machine, une liste sur laquelle figurent les informations concernant les portefeuilles certifiés communiquées par les États membres, il convient qu’elle établisse les formats et les procédures permettant aux États membres de communiquer les informations requises à la Commission et au groupe de coopération européen en matière d’identité numérique institué en vertu de l’article 46 sexies, paragraphe 1, du règlement (UE) no 910/2014 (ci-après le «groupe de coopération»), et de les actualiser. Étant donné que les informations communiquées sont destinées à être utilisées par la Commission, le groupe de coopération et le grand public, les États membres devraient les communiquer au moins en anglais, car cela les rend plus accessibles et plus faciles à évaluer et à comprendre, tout en renforçant la coopération.

(4)

Les informations sur les portefeuilles certifiés que les États membres devraient communiquer sont essentielles pour garantir la confiance, la transparence et l’harmonisation dans l’ensemble de l’écosystème des portefeuilles, en favorisant un climat de confiance pour les utilisateurs de portefeuille, les fournisseurs de portefeuille et les autorités de régulation. Parmi ces informations devrait figurer une description de la solution de portefeuille et du schéma d’identification électronique dans le cadre duquel la solution de portefeuille est fournie. Cette description devrait contenir des détails sur l’autorité ou les autorités responsables de la solution de portefeuille et du schéma d’identification électronique, le régime de contrôle applicable, le régime de responsabilité en ce qui concerne la partie fournissant la solution de portefeuille, les dispositions concernant la suspension ou la révocation du schéma d’identification électronique, de la solution de portefeuille fournie dans le cadre de ce schéma ou de toute partie compromise de ce schéma, ainsi que sur le certificat et le rapport d’évaluation de la certification concernant la fourniture et le fonctionnement des solutions de portefeuille et des schémas d’identification électronique dans le cadre desquels elles sont fournies. Les informations devraient être suffisantes pour permettre à la Commission d’établir, de publier au Journal officiel de l’Union européenne et de tenir à jour, sous une forme lisible par machine, une liste des portefeuilles certifiés. Le canal électronique sécurisé utilisé pour communiquer les informations relatives aux portefeuilles certifiés devrait éviter que les États membres ne fournissent les mêmes informations en double.

(5)

Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (4) et a rendu son avis le 31 janvier 2025.

(6)

Les mesures prévues par le présent règlement sont conformes à l’avis du comité institué par l’article 48 du règlement (UE) no 910/2014,

1)

«solution de portefeuille»: une combinaison de logiciels, de matériel, de services, de paramètres et de configurations, y compris des instances de portefeuille, une ou plusieurs applications cryptographiques sécurisées de portefeuille et un ou plusieurs dispositifs cryptographiques sécurisés de portefeuille;

2)

«instance de portefeuille»: l’application installée et configurée sur l’appareil ou dans l’environnement d’un utilisateur de portefeuille, qui fait partie d’une unité de portefeuille et dont l’utilisateur de portefeuille se sert pour interagir avec l’unité de portefeuille;

3)

«unité de portefeuille»: une configuration unique d’une solution de portefeuille comprenant des instances de portefeuille, des applications cryptographiques sécurisées de portefeuille et des dispositifs cryptographiques sécurisés de portefeuille, fournie par un fournisseur de portefeuille à un utilisateur de portefeuille donné;

4)

«fournisseur de portefeuille»: une personne physique ou morale qui fournit des solutions de portefeuille;

5)

«utilisateur de portefeuille»: un utilisateur qui contrôle l’unité de portefeuille;

6)

«application cryptographique sécurisée de portefeuille»: une application qui gère des actifs critiques en étant liée aux fonctions cryptographiques et non cryptographiques fournies par le dispositif cryptographique sécurisé de portefeuille et en utilisant ces fonctions;

7)

«dispositif cryptographique sécurisé de portefeuille»: un dispositif inviolable qui fournit un environnement lié à l’application cryptographique sécurisée de portefeuille et utilisé par celle-ci pour protéger les actifs critiques et fournir des fonctions cryptographiques pour l’exécution sécurisée d’opérations critiques;

8)

«actifs critiques»: les actifs se trouvant à l’intérieur d’une unité de portefeuille ou en rapport avec celle-ci et dont l’importance est tellement exceptionnelle que la capacité de se fier à l’unité de portefeuille serait très sérieusement affaiblie si leur disponibilité, leur confidentialité ou leur intégrité étaient compromises;

9)

«fournisseur de données d’identification personnelle»: une personne physique ou morale chargée de délivrer et de révoquer les données d’identification personnelle et de veiller à ce que les données d’identification personnelle d’un utilisateur soient liées de manière cryptographique à une unité de portefeuille.