D'ici 2026, les pays de l'UE doivent déployer leurs applications de portefeuille national pour le portefeuille d'identité numérique européen, espace de stockage et de partage des données personnelles. L'Italie, la France et la Finlande sont en tête. Où en sont les autres pays ?
Bruxelles veut rationaliser et simplifier les démarches administratives personnelles. D'ici la fin de l'année, l'Union européenne (UE) lancera le portefeuille d'identité numérique européen (EUDI Wallet). Il s'agit d'un espace numérique privé où les citoyens, les résidents et les entreprises peuvent stocker et partager des documents personnels, accéder à des services publics et privés, et signer des documents en ligne.
PUBLICITÉ
PUBLICITÉ
Le portefeuille d'identité numérique prend la forme d'une application gratuite que les utilisateurs peuvent télécharger sur leurs appareils mobiles. Il réduit la dépendance aux solutions de stockage proposées par les grands groupes technologiques, comme Apple et Google Wallet, ainsi qu'aux systèmes nationaux, tout en donnant aux utilisateurs davantage de contrôle sur leurs données personnelles.
Il n'existera pas une application unique de portefeuille numérique pour l'ensemble de l'UE. Chaque État membre devra créer la sienne. Ces applications partageront les mêmes normes techniques, ce qui permettra aux utilisateurs d'accéder à leurs portefeuilles et aux fournisseurs de services de proposer leurs prestations partout dans l'UE, à tout moment.
Qu'est-ce que l'EUDI Wallet ?
L'EUDI Wallet s'inscrit dans le règlement eIDAS 2.0, qui vise à créer un marché numérique unique pour l'identification électronique. C'est une application d'identité numérique destinée aux citoyens, aux résidents et aux entreprises de l'UE qui simplifie le stockage des documents, fluidifie l'identification numérique et la rend plus sûre et plus fiable.
Plutôt que de transporter des copies papier de leurs documents personnels ou d'utiliser plusieurs applications de stockage sur mobile, les utilisateurs peuvent conserver tous leurs documents importants dans un même espace numérique privé. Il peut s'agir de titres officiels, comme des cartes d'identité nationales ou des certificats de naissance. Des ordonnances médicales, des diplômes universitaires, des versions dématérialisées de permis de conduire, des abonnements à une salle de sport ou des cartes d'embarquement peuvent également y être ajoutés.
Grâce au portefeuille, les utilisateurs peuvent partager des documents avec des autorités publiques ou privées, en ligne comme hors ligne, dans toute l'UE. Par exemple, lorsqu'ils postulent à un emploi en Allemagne, ils peuvent présenter à un employeur un diplôme universitaire espagnol sans devoir reconstituer l'intégralité du dossier. Pour louer un appartement à Stockholm, ils peuvent montrer leur historique de location à Milan directement depuis le portefeuille, sans passer par une application nationale.
Les utilisateurs peuvent accéder à des services publics nationaux ou transfrontaliers, notamment des portails d'assurance maladie ou de sécurité sociale, déposer une demande de passeport ou déclarer leurs impôts. Ils ont aussi un accès direct à des services privés, comme la demande d'un prêt bancaire ou l'ouverture d'un compte bancaire en ligne.
Lorsqu'ils sollicitent un service, les utilisateurs doivent s'identifier, mais ils restent maîtres de leur identité numérique tout au long de la procédure.
"Les gens devraient avoir le droit de dire non, de ne partager aucune information ou de ne partager que certaines données. Par exemple, si quelqu'un demande votre carte d'étudiant, vous pouvez lui donner le nom de votre université, éventuellement la filière que vous étudiez, mais pas votre numéro d'étudiant", a expliqué Thomas Lohninger, directeur exécutif de l'organisation non gouvernementale (ONG) de défense des droits numériques epicenter.
Des fonctionnalités intégrées, comme la divulgation sélective et la preuve à divulgation nulle, permettront aux utilisateurs de partager uniquement les informations requises, sans révéler d'autres éléments d'identification. Cela garantit que les fournisseurs de services ne collectent que le minimum de données nécessaires pour fournir une prestation. Grâce à un tableau de bord dédié à la confidentialité, les utilisateurs pourront suivre qui a accès à leurs données, tandis que les émetteurs de documents numériques n'auront pas le droit de suivre ni de profiler les utilisateurs.
Les utilisateurs peuvent signer des documents directement depuis le portefeuille à l'aide d'une signature électronique gratuite, qui a la même valeur juridique qu'une signature manuscrite dans tous les États membres.
Sécurité et confidentialité
Comme le portefeuille rassemble un large éventail de justificatifs essentiels au sein d'un même système numérique, la centralisation d'informations aussi sensibles crée un point de défaillance unique.
"Si vous mettez tous les œufs dans le même panier, il faut espérer que ce panier ne faillit jamais", a résumé Lohninger. Une cyberattaque, une défaillance technique ou une panne pourrait potentiellement bloquer l'accès à tout, des transports publics et des services administratifs aux comptes numériques et aux documents d'identité.
Si le téléphone d'un utilisateur est compromis ou volé, la personne qui s'en empare peut avoir immédiatement accès à l'ensemble des informations juridiques, médicales et professionnelles d'un citoyen.
Viennent ensuite les risques techniques. Même si le cadre juridique interdit aux États membres de suivre l'utilisation des portefeuilles, l'application doit malgré tout communiquer avec les serveurs de l'administration pour vérifier la validité d'un justificatif. Si un État met en place un système de vérification centralisé, il crée une trace numérique. Cela permettrait à un gouvernement, ou à des entreprises privées partenaires, de recouper les horodatages et les clés, et de suivre précisément où et quand un citoyen s'authentifie.
Une inquiétude croissante porte aussi sur ce que les défenseurs de la vie privée appellent la sur-identification. Selon Lohninger, le portefeuille pourrait rendre l'identification vérifiée si simple et peu coûteuse que les organisations commencent à la demander même là où elle n'était pas nécessaire jusque-là. "Ce que nous pouvons faire aujourd'hui de manière pseudonyme ou anonyme pourrait bientôt être soumis de plus en plus à une obligation de nom réel", a-t-il estimé.
Les risques varient selon la manière dont chaque État membre décide de stocker les données. L'option qui garantit le plus de confidentialité repose sur une architecture décentralisée, où tous les justificatifs sont conservés exclusivement sur la puce matérielle sécurisée du smartphone. Mais si un pays privilégie des sauvegardes dans le cloud ou des serveurs centraux, il crée une cible de choix pour les cybercriminels et les menaces internes, ce qui affaiblit considérablement la sécurité des données.
Une partie des protections de la vie privée envisagées pour le portefeuille dépend aussi de technologies cryptographiques encore en cours de développement. Lohninger cite notamment les preuves à divulgation nulle, qui pourraient par exemple permettre à une personne de prouver qu'elle a plus de 18 ans sans révéler sa date de naissance.
Mais il prévient que certaines parties du cadre technique requis ne sont pas encore finalisées et décrit une partie des technologies de protection de la vie privée comme "à la frontière de la science cryptographique". En pratique, explique-t-il, les développeurs doivent trouver un équilibre dans un triangle délicat entre confidentialité, sécurité et facilité d'utilisation.
Qui est à l'origine de l'EUDI ?
Trois acteurs collaborent pour faire fonctionner le système. Les fournisseurs de portefeuilles sont des entreprises privées qui développent les applications, les mettent à disposition des utilisateurs pour téléchargement et assurent le support technique. Les émetteurs sont des organisations publiques ou privées de confiance qui délivrent les documents numériques, comme les diplômes, les titres de séjour ou les permis de conduire. Les fournisseurs de services sont des entités privées ou publiques qui exploitent les informations présentes dans le portefeuille et demandent l'authentification de l'utilisateur avant de proposer leurs prestations, comme les pharmacies ou les universités.
Six projets pilotes à grande échelle (LSP) combinent l'expertise du secteur public et du secteur privé pour tester et améliorer les fonctionnalités du portefeuille dans un large éventail de scénarios de la vie réelle, comme l'achat de billets ou l'enregistrement pour un voyage, avant son déploiement. Quelque 550 entreprises privées et autorités publiques dans l'UE, en Norvège, en Islande et en Ukraine participent aux LSP en cours et testent plus de 11 cas d'usage du quotidien.
Deux LSP sont actuellement actifs, tandis que quatre autres ont démarré en 2023 et ont désormais achevé leurs travaux. Le projet APTITUDE teste le portefeuille pour des applications comme les titres de voyage numériques (DTC), une version numérique sécurisée du passeport censée accélérer et fluidifier les contrôles aux frontières. Le consortium WE BUILD se concentre sur la simplification des interactions de paiement entre entreprises, entre entreprises et administrations, ainsi qu'entre entreprises et consommateurs.
Chaque État membre disposera de sa propre application nationale de portefeuille. La Commission a mis en place une boîte à outils commune à l'échelle de l'UE que les fournisseurs de portefeuilles doivent appliquer. Elle comprend des spécifications techniques, comme des normes, des protocoles et des formats harmonisés.
Situation nationale
Les pays de l'UE sont lancés dans une course contre la montre : ils doivent offrir aux citoyens un portefeuille EUDI pleinement opérationnel d'ici la fin 2026. Mais Lohninger s'attend à un déploiement inégal. "Très peu d'États membres seront en mesure de respecter cette échéance", estime-t-il, certains pays pouvant mettre en service des systèmes qui ressemblent au portefeuille sans être pleinement fonctionnels ni interopérables dès le départ. Les plus avancés sont l'Italie, la France, la Finlande et la Bulgarie.
Leur stratégie a consisté à s'appuyer sur des services numériques déjà existants et des applications largement utilisées, en les adaptant au cadre EUDI. Ils disposent déjà d'environnements de test ouverts où les développeurs et les acteurs tiers chargés de vérifier les justificatifs peuvent se connecter à la future infrastructure de portefeuille.
Le gouvernement italien a intégré directement le cadre EUDI dans son application de services publics très répandue, IO, via l'initiative IT-Wallet. Les citoyens italiens peuvent déjà charger des cartes de santé numériques et des permis de conduire dans un environnement de test en conditions réelles.
Dans le même temps, la France a lancé le EUDIW Unfold Playground au sein de son écosystème existant France Identité. Il s'agit d'un bac à sable spécialisé qui permet à des outils technologiques externes d'émettre et de vérifier des justificatifs numériques dans l'environnement français.
Un autre pays en tête est la Croatie, qui recode son application existante Certilia Wallet pour l'aligner sur le strict cadre de référence architectural de l'UE. Cela lui permet de transformer une application nationale déjà reconnue en portefeuille européen conforme sur le plan juridique bien avant l'échéance, en économisant du temps et des ressources de développement.
D'autres États membres se heurtent à des difficultés techniques, à des blocages administratifs, à des intérêts commerciaux et à des enjeux de sécurité. Beaucoup ne disposent pas du cadre local de cybersécurité nécessaire pour certifier rapidement des applications à ce niveau d'exigence.
La Suède et l'Allemagne n'ont pas encore arrêté de modalités concrètes de déploiement. La Suède a publié une feuille de route qui fixe la sortie de son portefeuille EUDI à 2028 ou 2029. L'Allemagne n'a pas dépassé la phase de prototype pour parvenir à un déploiement national cohérent ; elle est freinée par des procédures de passation de marchés complexes et par un débat sur le caractère entièrement public ou hybride public-privé du portefeuille.
Dans le même temps, la Grèce, la Slovaquie et d'autres restent bloquées dans des phases de test privées. Contrairement à l'Italie ou à la France, elles ne disposent pas de bac à sable public ouvert ni d'API externes sur lesquelles les développeurs peuvent effectuer des essais. La Roumanie appartenait à ce groupe jusqu'à ce qu'un partenariat privé avec Mastercard lui permette d'accélérer la mise en place d'un modèle hybride.