D’ici le 24 décembre 2026, chaque État membre devrait émettre au moins un portefeuille européen d’identité numérique, en application du règlement (UE) 2024/1183 du 11 avril 2024, dit eIDAS 2. La Chaire Valeurs et Politiques des Informations Personnelles (IMT) consacrait une conférence à cette échéance le 5 novembre 2026 ; elle a été reportée au 4 mars 2027 en raison des grèves, en duplex entre Paris et Bruxelles. Le décalage tombe bien : début mars, on saura quels portefeuilles fonctionnent vraiment, et pour quels usages.
Où en sont les États membres
La présentation de la Chaire décrit un déploiement en ordre dispersé. La France, avec France Identité en production, la Pologne, dont l’application mObywatel revendique déjà 11 millions d’utilisateurs, et l’Italie, qui combine un portefeuille public et des portefeuilles privés, sont en phase finale. L’Allemagne a annoncé sa version publique pour le 2 janvier 2027 et prévoit d’ouvrir le marché aux acteurs privés l’année suivante ; le gouvernement fédéral évoque un lancement début janvier avec une quarantaine de partenaires pour la vérification d’âge, la signature de contrats ou l’ouverture de comptes bancaires. L’Espagne, le Portugal, la Grèce ou la Suède sont plus en retrait.
Le calendrier ne s’arrête pas à fin 2026. Le règlement prévoit qu’un délai supplémentaire de douze mois s’applique ensuite aux parties utilisatrices privées tenues d’authentifier fortement leurs usagers (banque, transport, santé, télécommunications) ainsi qu’aux très grandes plateformes : elles devront accepter le portefeuille à la demande de l’utilisateur, soit vers fin 2027. Les administrations, elles, sont concernées dès qu’elles exigent une identification électronique pour accéder à un service en ligne.
Portefeuille européen d’identité numérique : le statut de partie utilisatrice
Dans le vocabulaire d’eIDAS 2, une partie utilisatrice est l’organisme qui demande au porteur de présenter une donnée de son portefeuille : une commune qui vérifie un justificatif, un établissement de santé qui contrôle une identité, une mutuelle, un employeur. Le règlement impose aux parties utilisatrices de s’enregistrer auprès de l’État membre où elles sont établies et de déclarer l’usage prévu du portefeuille. Les actes d’exécution adoptés en 2025 précisent ce mécanisme.
L’enregistrement a une conséquence pratique : le portefeuille peut afficher au porteur qui demande quoi, et refuser une demande qui dépasse ce qui a été déclaré. Un organisme qui réclame la date de naissance complète alors qu’il a déclaré vérifier la majorité se met en défaut de façon visible.
Minimisation : demander l’attribut, pas la pièce d’identité
Le portefeuille repose sur deux familles de données. Les données d’identification personnelle sont émises par l’État ou pour son compte. Les attestations électroniques d’attributs, émises par des acteurs publics ou privés, portent sur une qualité précise : diplôme, permis de conduire, statut de résident, habilitation professionnelle. Le porteur peut n’en présenter qu’une partie, c’est la divulgation sélective.
Pour un organisme habitué à demander une photocopie de carte d’identité « au cas où », le changement est profond. L’article 5 du RGPD imposait déjà de limiter les données au nécessaire ; le portefeuille rend cette limitation techniquement possible et donc difficile à contourner. Un service qui doit vérifier qu’une personne a plus de 18 ans n’a plus de raison de conserver son nom, son adresse ni son numéro de titre.
La Chaire insiste sur les technologies de protection de la vie privée, en particulier les pseudonymes et les preuves à divulgation nulle de connaissance (ZKP, pour Zero Knowledge Proof). Une ZKP permet de démontrer qu’une condition est remplie sans révéler la donnée sous-jacente. Leur intégration dans les portefeuilles nationaux reste inégale. Elle conditionne pourtant la capacité du dispositif à empêcher le recoupement des présentations d’un même porteur d’un service à l’autre.
Ce que l’organisme doit préparer
- Recenser les démarches où il demande aujourd’hui une pièce d’identité ou un justificatif, et noter pour chacune l’attribut réellement nécessaire.
- Mettre à jour le registre des traitements : finalité, données collectées, durée de conservation du résultat de la vérification plutôt que de la pièce elle-même.
- Préparer l’enregistrement comme partie utilisatrice en décrivant précisément l’usage, ce qui suppose d’avoir arbitré la question précédente.
- Vérifier le contrat avec le prestataire qui fournira le portail de vérification : il agit comme sous-traitant au sens de l’article 28 du RGPD et voit passer des données d’identité.
- Mener une analyse d’impact si la vérification concerne un grand nombre de personnes, des données de santé ou des publics vulnérables.
- Revoir l’information des personnes et prévoir un parcours sans portefeuille : son usage reste facultatif pour le citoyen.
La version consolidée du règlement et ses actes d’exécution restent la référence pour le détail des obligations, qui varieront selon que l’organisme est public ou privé.
Les DPO du réseau DPO FRANCE aident les collectivités, établissements de santé et organismes privés à revoir leurs démarches d’identification et à préparer leur statut de partie utilisatrice. DPO SUITE centralise le registre, les analyses d’impact et le suivi des sous-traitants, ce qui facilite la mise à jour des fiches de traitement concernées par le portefeuille.
