COMMISSION EUROPÉENNE Bruxelles, le 3.6.2021 COM(2021) 281 final 2021/0136(COD) Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL modifiant le règlement (UE) nº 910/2014 en ce qui concerne l’établissement d’un cadre européen relatif à une identité numérique {SEC(2021) 228 final} - {SWD(2021) 124 final} - {SWD(2021) 125 final}



EXPOSÉ DES MOTIFS 1.CONTEXTE DE LA PROPOSITION •Justification et objectifs de la proposition Le présent exposé des motifs accompagne la proposition de règlement du Parlement européen et du Conseil modifiant le règlement (UE) nº 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur (ci-après le «règlement eIDAS»). Par cet instrument juridique, il s’agit de garantir, à des fins d’utilisation transfrontalière, les aspects suivants: –donner accès à des solutions d’identité électronique hautement sécurisées et fiables, –faire en sorte que les services publics et privés puissent s’appuyer sur des solutions d’identité numérique fiables et sécurisées, –donner aux personnes physiques et morales les moyens d’utiliser des solutions d’identité numérique, –faire en sorte que ces solutions soient rattachées à divers attributs et permettent le partage ciblé de données d’identité dans la limite des besoins du service particulier demandé, –faire accepter les services de confiance qualifiés dans l’UE et en garantir la fourniture dans des conditions égales. Le marché se caractérise par l’émergence d’un nouvel environnement dans lequel l’accent est mis non plus sur la fourniture et l’utilisation d’identités numériques monolithiques, mais sur la fourniture et l’utilisation d’attributs spécifiques en lien avec ces identités. On observe une demande croissante de solutions d’identité électronique qui puissent offrir ces capacités, des gains d’efficacité et un niveau élevé de confiance dans toute l’UE, dans les secteurs tant privé que public, pour lesquels il est indispensable de pouvoir identifier et authentifier les utilisateurs avec un degré élevé de garantie. Il ressort de l’évaluation du règlement eIDAS que, dans sa version actuelle, cet instrument n’est pas en mesure de répondre à ces nouvelles demandes du marché, principalement pour les raisons suivantes: les limitations au secteur public qui lui sont inhérentes, les possibilités limitées et la difficulté pour les prestataires privés de services en ligne de se connecter au système, la disponibilité insuffisante de solutions d’identification électronique notifiées dans tous les États membres, et un manque de souplesse pour répondre à des cas d’utilisation variés. En outre, les solutions d’identité qui ne relèvent pas du champ d’application du règlement eIDAS, telles que celles proposées par les fournisseurs de médias sociaux et les établissements financiers, suscitent des inquiétudes quant au respect de la vie privée et à la protection des données. Elles ne peuvent pas satisfaire efficacement aux nouvelles demandes du marché et n’ont pas la portée transfrontalière nécessaire pour répondre à des besoins sectoriels pour lesquels l’identification est un aspect sensible et requiert un niveau élevé de certitude. Depuis l’entrée en vigueur du volet relatif à l’identification électronique du règlement en septembre 2018, seuls 14 États membres ont notifié au moins un schéma d’identification électronique. En conséquence, seuls 59 % des résidents de l’UE ont accès à des schémas d’identification électronique fiables et sécurisés par-delà les frontières. Seuls sept schémas sont entièrement mobiles et répondent ainsi aux attentes actuelles des utilisateurs. Étant donné que les nœuds techniques nécessaires pour assurer la connexion au cadre d’interopérabilité eIDAS ne sont pas tous entièrement opérationnels, l’accès transfrontalier est limité: très peu de services publics en ligne accessibles au niveau national peuvent être obtenus par-delà les frontières par l’intermédiaire du réseau eIDAS. La mise en place d’un cadre européen relatif à une identité numérique fondé sur la révision du cadre actuel devrait permettre à au moins 80 % des citoyens d’utiliser une solution d’identification numérique pour accéder à des services publics essentiels d’ici à 2030. En outre, la sécurité et le contrôle assurés par le cadre européen relatif à une identité numérique devraient donner aux citoyens et aux résidents pleinement confiance dans le fait que le cadre européen relatif à une identité numérique donnera à chacun les moyens de contrôler qui a accès à son jumeau numérique et à quelles données exactement. Cela nécessitera également un niveau élevé de sécurité en ce qui concerne tous les aspects de la fourniture d’identités numériques, y compris la délivrance d’un portefeuille européen d’identité numérique, et l’infrastructure pour la collecte, le stockage et la divulgation de données d’identité numérique. En outre, le cadre eIDAS actuel n’englobe pas la fourniture d’attributs électroniques, tels que les certificats médicaux ou les qualifications professionnelles, ce qui rend difficile de garantir la reconnaissance juridique paneuropéenne de tels justificatifs sous forme électronique. De plus, le règlement eIDAS ne permet pas aux utilisateurs de limiter le partage des données d’identité à ce qui est strictement nécessaire à la fourniture d’un service. Si l’évaluation du règlement eIDAS montre que le cadre relatif à la fourniture de services de confiance a été plutôt efficace, offrant un niveau élevé de confiance et garantissant l’adoption et l’utilisation de la plupart des services de confiance, il reste encore beaucoup à faire pour parvenir à une harmonisation et à une acceptation complètes. En ce qui concerne les certificats qualifiés d’authentification de site internet, les citoyens doivent pouvoir se fier à ceux-ci et bénéficier d’informations sûres et fiables sur les administrateurs de site internet, réduisant ainsi les cas de fraude. En outre, afin de réagir à la dynamique des marchés et aux évolutions technologiques, la présente proposition élargit la liste actuelle des services de confiance eIDAS à trois nouveaux services de confiance qualifiés, à savoir la fourniture de services d’archivage électronique, les registres électroniques et la gestion des dispositifs de création de signatures et de cachets électroniques à distance. La présente proposition offre également une approche harmonisée de la sécurité, pour les citoyens qui ont recours à une identité numérique européenne qui les représente en ligne et pour les fournisseurs de services en ligne qui pourront pleinement s’appuyer sur des solutions d’identité numérique et les accepter, indépendamment du lieu où elles auront été délivrées. La présente proposition suppose un changement pour les entités qui délivrent des solutions d’identité numérique européennes, en prévoyant une architecture technique et un cadre de référence communs ainsi que des normes communes devant être élaborés en collaboration avec les États membres. Il est nécessaire d’adopter une approche harmonisée pour éviter que le développement de nouvelles solutions d’identité numérique dans les États membres n’accentue la fragmentation due à l’utilisation de solutions nationales divergentes. Une approche harmonisée renforcera également le marché unique car elle permettrait aux citoyens, aux autres résidents et aux entreprises de s’identifier en ligne de manière sécurisée, pratique et uniforme dans toute l’UE pour accéder à des services aussi bien publics que privés. Les utilisateurs pourraient avoir recours à un écosystème amélioré d’identité électronique et de services de confiance reconnus et acceptés partout dans l’Union. Afin d’éviter la fragmentation et les obstacles dus à des normes divergentes, la Commission adoptera une recommandation en même temps que la présente proposition. Cette recommandation définira un processus visant à soutenir une approche commune qui permette aux États membres et aux autres parties prenantes concernées du secteur public et du secteur privé, en étroite coordination avec la Commission, d’œuvrer à l’élaboration d’une boîte à outils destinée à éviter que des approches divergentes ne soient adoptées, d’une part, et que la future mise en œuvre du cadre européen relatif à une identité numérique ne soit compromise, d’autre part. •Cohérence avec les dispositions existantes dans le domaine d'action

La présente proposition repose sur l’actuel règlement eIDAS, sur le rôle des États membres en tant que fournisseurs d’identités juridiques et sur le cadre relatif à la prestation de services électroniques de confiance dans l’Union européenne. Elle complète les autres instruments d’action au niveau de l’UE visant à traduire les avantages du marché intérieur dans le monde numérique et cadre parfaitement avec ces instruments, notamment en élargissant les possibilités offertes aux citoyens d’accéder à des services transfrontaliers. À cet égard, la proposition met en œuvre le mandat politique conféré par le Conseil européen et la présidente de la Commission européenne de fournir un cadre à l’échelle de l’UE concernant les identités électroniques publiques, qui garantisse à tout citoyen ou résident l’accès à une identité électronique européenne sécurisée, utilisable partout dans l’UE pour s’identifier et s’authentifier en vue d’accéder à des services du secteur public et du secteur privé, de sorte que les citoyens peuvent exercer un contrôle sur les données communiquées et sur la manière dont elles sont utilisées. •Cohérence avec les autres politiques de l'Union La proposition est cohérente avec les priorités de la transformation numérique telles qu’elles sont définies dans la stratégie «Façonner l’avenir numérique de l’Europe» et soutiendra la réalisation des objectifs fixés dans la communication sur la décennie numérique. Toute opération de traitement de données à caractère personnel au titre du présent règlement devrait être effectuée dans le strict respect du règlement général sur la protection des données (ci-après le «RGPD»). En outre, le présent règlement introduit des garanties spécifiques en matière de protection des données. Afin de garantir un niveau élevé de sécurité, la proposition est également conforme aux politiques de l’Union en matière de cybersécurité. Elle a été conçue pour réduire la fragmentation par l’application des exigences générales en matière de cybersécurité aux prestataires de services de confiance régis par le règlement eIDAS. La présente proposition est en outre cohérente avec d’autres politiques sectorielles reposant sur l’utilisation d’identités électroniques, d’attestations électroniques d’attributs et d’autres services de confiance. On peut citer, à cet égard, le règlement établissant un portail numérique unique, les exigences à remplir dans le secteur financier en matière de lutte contre le blanchiment de capitaux et contre le financement du terrorisme, les initiatives de partage de justificatifs de sécurité sociale, celles concernant l’obtention d’un permis de conduire numérique ou pour les futurs documents de voyage numériques, ainsi que d’autres initiatives visant à réduire la charge administrative pesant sur les citoyens et les entreprises qui s’appuient pleinement sur les possibilités offertes par la transformation numérique des procédures, tant dans le secteur public que dans le secteur privé. Le portefeuille permettra en outre de disposer de signatures électroniques qualifiées susceptibles de faciliter la participation à la vie politique. 2.BASE JURIDIQUE, SUBSIDIARITÉ ET PROPORTIONNALITÉ •Base juridique La présente initiative vise à soutenir la transformation de l’Union permettant la mise en place d’un marché unique numérique. Compte tenu de la dématérialisation croissante des services publics et privés transfrontaliers, qui reposent sur l’utilisation de solutions d’identité numérique, il existe un risque que, dans le cadre juridique actuel, les citoyens demeurent confrontés à des obstacles et ne soient pas en mesure d’utiliser pleinement les services en ligne de manière fluide dans l’ensemble de l’UE tout en préservant leur vie privée. Par ailleurs, les lacunes du cadre juridique actuel relatif aux services de confiance risquent d’accroître la fragmentation et de réduire la confiance s’il est laissé aux seuls États membres le soin de prendre des mesures à cet égard. L’article 114 TFUE est donc considéré comme la base juridique pertinente de la présente initiative. •Subsidiarité (en cas de compétence non exclusive) Les citoyens et les entreprises devraient pouvoir bénéficier de la disponibilité de solutions d’identité numérique hautement sécurisées et fiables, qui puissent être utilisées dans toute l’UE, et de la portabilité des attestations électroniques d’attributs liés à l’identité. Les évolutions technologiques récentes ainsi que la demande du marché et des utilisateurs exigent la disponibilité de solutions transfrontalières plus conviviales, qui permettent d’avoir accès à des services en ligne à l’échelle de l’UE, ce que le règlement eIDAS, sous sa forme actuelle, ne peut offrir. En outre, les utilisateurs se sont de plus en plus habitués aux solutions disponibles dans le monde entier, par exemple lorsqu’ils acceptent l’utilisation de solutions d’authentification unique fournies par les grandes plateformes de médias sociaux pour accéder à des services en ligne. Les États membres ne peuvent à eux seuls relever les défis qui découlent de cette situation du point de vue du pouvoir de marché des grands fournisseurs, qui nécessite de garantir l’interopérabilité et la fiabilité des identifications électroniques à l’échelle de l’UE. En outre, les attestations électroniques d’attributs délivrées et acceptées dans un État membre donné, telles que les certificats sanitaires électroniques, ne sont souvent pas juridiquement reconnues et acceptées dans les autres États membres. Il en découle le risque que les États membres ne continuent à développer des solutions nationales fragmentées qui ne soient pas opérationnelles par-delà les frontières. En ce qui concerne la fourniture de services de confiance, bien que ceux-ci soient réglementés dans une large mesure et fonctionnent conformément au cadre juridique actuel, les pratiques nationales créent également un risque de fragmentation accrue. En définitive, l’intervention au niveau de l’UE est la mieux adaptée pour doter les citoyens et les entreprises, dans le respect des règles de l’UE relatives à la protection des données, des moyens de s’identifier par-delà les frontières et d’échanger des attributs d’identité personnels et des justificatifs grâce à des solutions d’identité numérique hautement sécurisées et fiables. Cela nécessite une identification électronique sécurisée et fiable ainsi qu’un cadre réglementaire permettant de faire le lien avec les attributs et les justificatifs à l’échelle de l’UE. Seule une intervention au niveau de l’UE peut créer les conditions harmonisées garantissant le contrôle par les utilisateurs et l’accès de ceux-ci à des services numériques en ligne transfrontaliers, ainsi qu’un cadre d’interopérabilité permettant aux services en ligne de s’appuyer aisément sur l’utilisation de solutions d’identité numérique sécurisées, quel que soit le lieu de délivrance dans l’UE ou le lieu de résidence du citoyen. Comme le réexamen du règlement eIDAS le montre dans une grande mesure, il est peu probable qu’une intervention nationale soit aussi efficace et efficiente. •Proportionnalité La présente initiative est proportionnée aux objectifs poursuivis et fournit un instrument approprié pour la mise en place de la structure d’interopérabilité nécessaire à la création d’un écosystème d’identité numérique de l’UE, fondé sur les identités juridiques délivrées par les États membres et sur la fourniture d’attributs d’identité numérique qualifiés et non qualifiés. Elle apporte une contribution claire à l’objectif consistant à améliorer le marché unique numérique grâce à un cadre juridique plus harmonisé. Les portefeuilles européens d’identité numérique harmonisés qui doivent être délivrés par les États membres sur la base de normes techniques communes prévoient également une approche commune de l’UE qui profite aux utilisateurs et aux parties s’appuient sur la disponibilité de solutions d’identité électronique transfrontalières sécurisées. La présente initiative vise à remédier aux limites de l’infrastructure actuelle d’interopérabilité en matière d’identification électronique fondée sur la reconnaissance mutuelle de divers schémas nationaux d’identification électronique. Compte tenu des objectifs fixés, la présente initiative est considérée comme étant suffisamment proportionnée et les coûts comme étant probablement proportionnés aux avantages potentiels. Le règlement proposé entraînera des coûts financiers et administratifs, qui devront être supportés par les États membres en leur qualité d’entités délivrant les portefeuilles européens d’identité numérique, par les prestataires de services de confiance et par les fournisseurs de services en ligne. Toutefois, ces coûts seraient probablement compensés par les avantages potentiels considérables pour les citoyens et les utilisateurs découlant directement de la reconnaissance et de l’acceptation transfrontalières accrues des services électroniques d’identité et d’attributs. L’objectif de facilité d’utilisation et d’accessibilité ne pourra pas être atteint sans que les prestataires de services de confiance et les fournisseurs de services en ligne n’assument les coûts induits par la création de nouvelles normes et par la mise en conformité avec celles-ci. L’initiative vise à mettre à profit et à exploiter les investissements déjà réalisés par les États membres dans leurs schémas d’identité nationaux respectifs. En outre, les coûts supplémentaires engendrés par la proposition, qui visent à soutenir l’harmonisation, sont justifiés par les perspectives à long terme de réduction de la charge administrative et des coûts de mise en conformité. Les coûts liés à l’acceptation, dans les secteurs réglementés, des attributs d’authentification de l’identité numérique peuvent également être considérés comme nécessaires et proportionnés, dans la mesure où ils soutiennent la réalisation de l’objectif général et fournissent les moyens par lesquels les secteurs réglementés peuvent remplir les obligations juridiques d’identifier légalement les utilisateurs. •Choix de l'instrument Le choix d’un règlement comme instrument juridique se justifie par la nécessité d’assurer des conditions uniformes dans le marché intérieur pour la mise en application de l’identité numérique européenne au moyen d’un cadre harmonisé qui vise à créer une interopérabilité homogène//fluide et à fournir aux citoyens européens et aux entreprises européennes, dans l’ensemble de l’Union, des services publics et privés grâce à des identifications électroniques hautement sécurisées et fiables. 3.RÉSULTATS DES ÉVALUATIONS EX POST, DES CONSULTATIONS DES PARTIES INTÉRESSÉES ET DES ANALYSES D'IMPACT •Évaluations ex post/bilans de qualité de la législation existante

Une évaluation du fonctionnement du règlement eIDAS a été réalisée dans le cadre du processus de réexamen imposé par l’article 49 dudit règlement. Les principales conclusions de l’évaluation en ce qui concerne l’identité électronique sont que le règlement eIDAS n’a pas atteint son potentiel. Seul un nombre limité de schémas d’identification électronique a été notifié, ce qui restreint la part de la population de l’UE couverte par un tel schéma notifié à environ 59 %. En outre, l’acceptation des schémas d’identification électronique notifiés est limitée, aussi bien au niveau des États membres que des prestataires de services. Il apparaît également que seuls quelques-uns des services accessibles par l’identification électronique nationale sont connectés à l’infrastructure nationale eIDAS. L’étude d’évaluation a également montré que le champ d’application actuel du règlement eIDAS et l’accent mis par ce texte sur les schémas d’identification électronique notifiés par les États membres de l’UE et sur l’accès aux services publics en ligne semblent trop limités et inadéquats. La grande majorité des besoins en matière d’identité électronique et d’authentification à distance s’observent dans le secteur privé, en particulier chez les acteurs de domaines comme la banque, les télécommunications et l’exploitation de plateformes, qui sont tenus par la loi de vérifier l’identité de leurs clients. La valeur ajoutée du règlement eIDAS en ce qui concerne l’identité électronique est limitée en raison de sa faible couverture et de son faible degré d’adoption et d’utilisation. Les problèmes recensés dans la présente proposition sont liés aux lacunes du cadre eIDAS actuel et aux changements contextuels fondamentaux en ce qui concerne les marchés ainsi que les évolutions sociétales et technologiques, source de nouveaux besoins chez les utilisateurs et sur le marché. •Consultation des parties intéressées Une consultation publique ouverte a été lancée le 24 juillet 2020 et a pris fin le 2 octobre 2020. Au total, la Commission a reçu 318 contributions. La Commission a également reçu 106 réponses à une enquête ciblée auprès des parties prenantes. Des avis ont également été recueillis auprès des États membres lors de diverses réunions et enquêtes bilatérales et multilatérales organisées depuis le début de l’année 2020. Citons notamment une enquête réalisée auprès des représentants des États membres du réseau de coopération eIDAS en juillet-août 2020, ainsi que divers ateliers spécialisés. La Commission a également mené des entretiens approfondis avec des représentants du secteur et rencontré des parties prenantes dans divers secteurs (commerce électronique, santé, services financiers, opérateurs de télécommunications, fabricants d’équipements, etc.) lors de réunions bilatérales. Dans leur grande majorité, les participants à la consultation publique ouverte ont salué la création d’une identité numérique unique et universellement acceptée, s’appuyant sur les identités juridiques délivrées par les États membres. Les États membres soutiennent dans une large mesure la nécessité de renforcer le règlement eIDAS actuel, en donnant aux citoyens la possibilité d’accéder à des services tant publics que privés, et reconnaissent la nécessité d’établir un service de confiance permettant la délivrance et l’utilisation transfrontalière d’attestations électroniques d’attributs. Dans l’ensemble, les États membres ont souligné la nécessité d’instaurer en place un cadre européen relatif à une identité numérique reposant sur l’expérience acquise et les points forts des solutions nationales, en cherchant à trouver des synergies et en tirant parti des investissements réalisés. De nombreuses parties prenantes ont évoqué la manière dont la pandémie de COVID-19 avait démontré l’utilité de l’identification à distance sécurisée pour permettre à tous d’accéder à des services publics et privés. En ce qui concerne les services de confiance, la plupart des acteurs conviennent que le cadre actuel a été un succès, mais que certaines mesures supplémentaires s’imposent pour harmoniser davantage certaines pratiques liées à l’identification à distance et au contrôle dans les États membres. Les parties prenantes disposant d’une clientèle principalement nationale ont exprimé davantage de doutes quant à la valeur ajoutée d’un cadre européen relatif à une identité numérique. Les portefeuilles d’identité numérique sont de plus en plus perçus par le secteur public et le secteur privé comme l’instrument le plus approprié pour permettre aux utilisateurs de choisir quand et avec quel prestataire de services privé ils souhaitent partager différents attributs, en fonction du cas d’utilisation et du degré de sécurité nécessaires à la transaction concernée. Les identités numériques fondées sur des portefeuilles numériques stockés de manière sécurisée sur des appareils mobiles ont été considérées comme un atout majeur pour une solution à l’épreuve du temps. Tant le marché privé (par exemple Apple, Google, Thales) que les pouvoirs publics s’engagent déjà dans cette voie. •Obtention et utilisation d'expertise La proposition se fonde sur les informations recueillies dans le cadre de la consultation des parties prenantes aux fins de l’analyse d’impact et de l’établissement des rapports d’évaluation du règlement eIDAS conformément aux obligations en matière de réexamen énoncées à l’article 49 dudit règlement. De nombreuses réunions ont été organisées avec des représentants des États membres et des experts. •Analyse d'impact Une analyse d’impact a été réalisée pour les besoins de la présente proposition. Le 19 mars 2021, le comité d’examen de la réglementation a émis un avis défavorable assorti d’observations. À la suite de la présentation d’une version révisée, il a rendu un avis favorable le 5 mai 2021. La Commission étudie différentes options pour atteindre l’objectif général de la présente initiative, qui est d’assurer le bon fonctionnement du marché intérieur, en particulier en ce qui concerne la fourniture et l’utilisation de solutions d’identité électronique hautement sécurisées et fiables. Dans l’analyse d’impact sont examinés le scénario de référence, les options et les incidences pour les trois options envisagées. Chaque option correspond à un choix devant être examiné sur le plan politique et fondé sur le niveau d’ambition. La première option, qui présente un faible niveau d’ambition, prévoit un ensemble de mesures visant principalement à renforcer l’efficacité et l’efficience de l’actuel règlement eIDAS. En imposant la notification obligatoire des identifications électroniques nationales et en rationalisant les instruments existants mis à disposition pour parvenir à la reconnaissance mutuelle, la première option consiste à répondre aux besoins des citoyens en s’appuyant sur la disponibilité de divers schémas nationaux d’identification électronique, avec l’objectif de les rendre interopérables à terme. La deuxième option présente un niveau d’ambition moyen et vise principalement à élargir les possibilités d’échange sécurisé de données liées à l’identité, en complétant les schémas d’identification électronique des pouvoirs publics et en soutenant la transition actuelle vers des services d’identité fondés sur des attributs. L’objectif de cette option aurait consisté à répondre à la demande des utilisateurs et à créer un nouveau service de confiance qualifié pour la fourniture d’attestations électroniques d’attributs qui soient liés à des sources fiables et opposables par-delà les frontières. Cette option aurait élargi le champ d’application du règlement eIDAS actuel et favorisé autant de cas d’utilisation que possible qui s’appuient sur la nécessité de vérifier les attributs d’identité liés à une personne avec un niveau élevé de garantie. La troisième option a été privilégiée: elle présente le niveau d’ambition le plus élevé et vise à réglementer la fourniture d’un portefeuille d’identité numérique personnel hautement sécurisé délivré par les États membres. L’option privilégiée a été jugée appropriée pour atteindre le plus efficacement possible les objectifs de la présente initiative. Pour atteindre pleinement les objectifs d’action, l’option privilégiée s’appuie sur la plupart des mesures évaluées dans le cadre de la première option (recours à des identités juridiques attestées par les États membres et disponibilité de moyens d’identification électronique mutuellement reconnus) et de la deuxième option (attestations électroniques d’attributs juridiquement reconnus par-delà les frontières). En ce qui concerne le cadre général de services de confiance, le niveau d’ambition exige un ensemble de mesures ne nécessitant pas d’approche par étapes pour atteindre les objectifs d’action. Le nouveau service de confiance qualifié pour la gestion des dispositifs de création de signatures et de cachets électroniques à distance apporterait des avantages considérables du point de vue de la sécurité, de l’uniformité, de la sécurité juridique et des possibilités de choix pour les consommateurs, en ce qui concerne tant la certification des dispositifs de création de signatures qualifiés que les exigences auxquelles doivent satisfaire les prestataires de services de confiance qualifiés qui gèrent ces dispositifs. Les nouvelles dispositions renforceraient le cadre global de réglementation et de contrôle relatif à la fourniture de services de confiance. Les incidences des options sur différentes catégories de parties prenantes sont expliquées en détail à l’annexe 3 de l’analyse d’impact produite à l’appui de la présente initiative. L’évaluation est à la fois quantitative et qualitative. L’analyse d’impact indique que les coûts minimaux quantifiables peuvent être estimés à au moins 3,2 milliards d’EUR, certains postes de coûts ne pouvant être quantifiés. Les bénéfices totaux quantifiables ont été estimés entre 3,9 milliards d’EUR et 9,6 milliards d’EUR. En ce qui concerne les incidences économiques plus larges, l’option privilégiée devrait avoir une incidence positive sur l’innovation, le commerce international et la compétitivité, contribuer à la croissance économique et générer des investissements supplémentaires dans des solutions d’identité numérique. Par exemple, un investissement supplémentaire de 500 millions d’EUR suscité par les modifications législatives prévues dans la troisième option devrait générer des bénéfices de 1 268 millions d’EUR au bout de dix ans (si on table sur un taux d’adoption de 67 %). L’option privilégiée devrait également avoir une incidence positive sur l’emploi, par la création de 5 000 à 27 000 emplois supplémentaires au cours des cinq années qui suivront sa mise en œuvre. Cela s’explique par les investissements supplémentaires et la réduction des coûts pour les entreprises qui recourent à des solutions d’identification électronique. La troisième option devrait avoir l’incidence la plus positive sur le plan environnemental, et elle devrait améliorer dans la plus large mesure possible l’adoption et la facilité d’utilisation de l’identification électronique, ce qui aura des incidences positives sur la réduction des émissions liées à la fourniture de services publics. Les registres électroniques fournissent aux utilisateurs des preuves et une piste d’audit immuable pour le séquençage des transactions et des enregistrements de données, préservant ainsi l’intégrité des données. Bien que ce service de confiance n’ait pas fait partie de l’analyse d’impact, il capitalise sur les services de confiance existants car il combine l’horodatage et le séquençage des données à des garanties concernant l’initiateur des données, ce qui est semblable au processus de signature électronique. Ce service de confiance est nécessaire pour éviter la fragmentation du marché intérieur, en définissant un cadre paneuropéen unique permettant la reconnaissance transfrontalière des services de confiance qui soutiennent le fonctionnement des registres électroniques qualifiés. L’intégrité des données, quant à elle, est très importante pour la mise en commun de données provenant de sources décentralisées, pour les solutions d’identité autonomes, pour l’attribution de la propriété des actifs numériques, pour l’enregistrement des processus d’entreprise à des fins de vérification du respect des critères de durabilité et pour différents cas d’utilisation sur les marchés des capitaux.

•Réglementation affûtée et simplification La présente proposition prévoit des mesures qui s’appliqueront aux pouvoirs publics, aux citoyens et aux prestataires de services en ligne. Elle réduira les coûts administratifs et les coûts de mise en conformité pour les administrations publiques ainsi que les coûts opérationnels et les dépenses liées à la sécurité pour les prestataires de services en ligne. Les citoyens réaliseront des économies grâce à l’allègement de la charge administrative, en tirant pleinement parti des moyens numériques d’identification et de la possibilité d’échanger facilement et en toute sécurité des attributs d’identité numérique ayant la même valeur juridique par-delà les frontières. Les fournisseurs de solutions d’identité électronique réaliseront également des économies sur les coûts de mise en conformité. •Droits fondamentaux Étant donné que les données à caractère personnel relèvent du champ d’application de certains éléments du règlement, les mesures sont conçues pour être pleinement conformes à la législation en matière de protection des données. Par exemple, la proposition améliore les possibilités de partage de données et de divulgation discrétionnaire. En utilisant le portefeuille européen d’identité numérique, l’utilisateur pourra exercer un contrôle sur la quantité de données fournies aux parties utilisatrices et être informé des attributs qui seront exigés pour la fourniture d’un service particulier. Les prestataires de services devront informer les États membres de leur intention d’avoir recours à un portefeuille européen d’identité numérique, ce qui permettra aux États membres de contrôler que les demandes des prestataires de services portant sur des ensembles de données confidentielles, par exemple en rapport avec la santé, sont faites dans le respect du droit national. 4.INCIDENCE BUDGÉTAIRE Dans le but d’atteindre de manière optimale les objectifs de la présente initiative, il est nécessaire de financer un certain nombre d’actions, tant au niveau de la Commission, à laquelle il est envisagé d’allouer environ 60 ETP (équivalents temps plein) au cours de la période 2022-2027, qu’au niveau des États membres par leur participation active aux groupes d’experts et aux comités chargés de travaux en rapport avec l’initiative, et qui sont constitués des représentants des États membres. Les ressources financières totales nécessaires à la mise en œuvre de la proposition au cours de la période 2022-2027 s’élèveront à 30,825 millions d’EUR, dont 8,825 millions d’EUR de frais administratifs et jusqu’à 22 millions d’EUR de dépenses opérationnelles couvertes par le programme pour une Europe numérique (qui doit encore faire l’objet d’un accord). Le financement soutiendra les coûts liés à la maintenance, à la mise au point, à l’hébergement, à l’exploitation et au soutien des éléments constitutifs de l’identification électronique et des services de confiance. Il pourra aussi soutenir des subventions pour la connexion des services à l’écosystème du portefeuille européen d’identité numérique, ainsi que l’élaboration de normes et de spécifications techniques. Enfin, le financement soutiendra également la réalisation d’enquêtes et d’études annuelles visant à évaluer l’efficacité et l’efficience du règlement dans la réalisation de ses objectifs. La «fiche financière» liée à la présente initiative donne un aperçu détaillé des coûts engagés. 5.AUTRES ÉLÉMENTS •Plans de mise en œuvre et modalités de suivi, d'évaluation et d'information Les incidences feront l’objet d’un suivi et d’une évaluation conformément aux lignes directrices pour une meilleure réglementation qui couvrent la mise en œuvre et l’application du règlement proposé. Le dispositif de suivi constitue un volet important de la proposition, compte tenu notamment des lacunes du cadre actuel en matière d’établissement de rapports, constatées dans l’étude d’évaluation. Outre les exigences en matière de rapports introduites dans la proposition de règlement, qui visent à garantir une meilleure base de données et d’analyse, le cadre de suivi permettra de contrôler: 1) la mesure dans laquelle les modifications nécessaires ont été mises en œuvre conformément aux mesures adoptées; 2) si les modifications devant être apportées aux systèmes nationaux concernés ont été mises en œuvre; 3) si les modifications devant être apportées par les entités réglementées aux obligations de mise en conformité ont été respectées. La Commission européenne (points 1, 2 et 3) et les autorités nationales compétentes (points 2 et 3) seront chargées de la collecte des données sur la base d’indicateurs prédéfinis. En ce qui concerne l’application de l’instrument proposé, la Commission européenne et les autorités nationales compétentes évalueront, au moyen d’enquêtes annuelles: 1) si tous les citoyens de l’UE ont accès à des moyens d’identification électronique; 2) l’amélioration de la reconnaissance et de l’acceptation transfrontalières des schémas d’identification électronique; 3) les mesures visant à stimuler l’adoption par le secteur privé de nouveaux services d’identité numérique et le développement de ceux-ci. Des informations contextuelles seront recueillies par la Commission européenne au moyen d’enquêtes annuelles concernant: 1) la taille du marché des identités numériques; 2) les dépenses relatives aux marchés publics liées à l’identité numérique; 3) la part des entreprises fournissant leurs services en ligne; 4) la part des transactions en ligne nécessitant une identification forte du client; 5) la part des citoyens de l’UE utilisant des services publics et privés en ligne. •Explication détaillée de certaines dispositions de la proposition À son article 6 bis, le projet de règlement impose aux États membres de délivrer un portefeuille européen d’identité numérique, au titre d’un schéma d’identification électronique notifié, conçu selon des normes techniques communes, et à la suite d’une évaluation obligatoire de la conformité et d’une certification volontaire au sein du cadre européen de certification de cybersécurité, tel qu’établi par le règlement sur la cybersécurité. Il comprend des dispositions visant à faire en sorte que les personnes physiques et morales aient la possibilité de demander et d’obtenir, de stocker, de combiner et d’utiliser en toute sécurité des données d’identification personnelle et des attestations électroniques d’attributs pour s’authentifier en ligne et hors ligne, ainsi qu’à permettre l’accès aux biens et aux services en ligne publics et privés sous le contrôle de l’utilisateur. Cette certification est sans préjudice du RGPD en ce sens que les opérations de traitement de données à caractère personnel liées au portefeuille européen d’identité numérique ne peuvent être certifiées que selon les modalités prévues par les articles 42 et 43 du RGPD. À son article 6 ter, la proposition énonce des dispositions spécifiques concernant les exigences applicables aux parties utilisatrices visant à prévenir la fraude et à garantir l’authentification des données d’identification personnelle et des attestations électroniques d’attributs provenant du portefeuille européen d’identité numérique. Afin de mettre davantage de moyens d’identification électronique à disposition en vue d’une utilisation transfrontalière et d’améliorer l’efficacité du processus de reconnaissance mutuelle des schémas d’identification électronique notifiés, l’article 7 rend obligatoire la notification d’au moins un schéma d’identification électronique par les États membres. En outre, des dispositions visant à faciliter l’identification univoque sont ajoutées à l’article 11 bis afin de garantir l’identification univoque et constante des personnes physiques. Ces dispositions s’appliquent aux cas dans lesquels l’identification est requise par la loi, par exemple dans le domaine de la santé, dans le domaine financier, notamment aux fins des obligations en matière de lutte contre le blanchiment de capitaux, ou en vue d’une utilisation judiciaire. À cette fin, les États membres seront tenus d’inclure un identifiant univoque et constant dans l’ensemble minimal de données d’identification personnelle. La possibilité pour les États membres d’avoir recours à la certification pour assurer la conformité avec le règlement en lieu et place du processus d’évaluation par les pairs améliore l’efficacité de la reconnaissance mutuelle. La section 3 présente de nouvelles dispositions relatives au recours transfrontalier au portefeuille européen d’identité numérique, afin que les utilisateurs puissent s’appuyer sur les portefeuilles européens d’identité numérique pour accéder à des services en ligne fournis par des organismes du secteur public et par des prestataires de services privés et nécessitant le recours à une authentification forte des utilisateurs. Au chapitre III relatif aux services de confiance, l’article 14 sur les aspects internationaux est modifié afin de permettre à la Commission d’adopter des décisions d’exécution attestant l’équivalence des exigences appliquées aux prestataires de services de confiance établis dans des pays tiers et aux services qu’ils fournissent, en plus d’avoir recours à des accords de reconnaissance mutuelle conclus conformément à l’article 218 du TFUE. En ce qui concerne la disposition générale applicable aux services de confiance, y compris aux prestataires de services de confiance qualifiés, les articles 17, 18, 20, 21 et 24 sont modifiés afin d’être mis en adéquation avec les règles applicables à la sécurité des réseaux et de l’information dans l’UE. Pour ce qui est des méthodes devant être utilisées par les prestataires de services de confiance qualifiés pour vérifier l’identité des personnes physiques ou morales auxquelles les certificats qualifiés sont délivrés, les dispositions relatives à l’utilisation de moyens d’identification à distance ont été harmonisées et précisées afin de garantir l’application de règles identiques dans l’ensemble de l’UE. Le chapitre III comporte un nouvel article 29 bis visant à définir les exigences applicables à un service qualifié de gestion des dispositifs de création de signatures électroniques à distance. Le nouveau service de confiance qualifié serait directement lié à des mesures répertoriées et évaluées dans l’analyse d’impact et s’appuierait sur celles-ci, notamment des mesures relatives à l’«harmonisation du processus de certification pour la signature électronique à distance» et d’autres mesures appelant à l’harmonisation des pratiques de contrôle des États membres. Afin que les utilisateurs puissent identifier les administrateurs des sites internet, l’article 45 est modifié afin d’exiger des fournisseurs de navigateurs internet qu’ils facilitent l’utilisation de certificats qualifiés pour l’authentification de sites internet.

Le chapitre III comporte trois nouvelles sections. La nouvelle section 9 insère des dispositions sur les effets juridiques des attestations électroniques d’attributs, sur l’utilisation de celles-ci dans des secteurs définis et sur les exigences applicables aux attestations qualifiées d’attributs. Afin de garantir un niveau élevé de confiance, une disposition relative à la vérification des attributs par rapport à des sources authentiques est insérée à l’article 45 quinquies. Afin de veiller à ce que les utilisateurs du portefeuille européen d’identité numérique puissent bénéficier de la disponibilité d’attestations électroniques d’attributs, et à ce que ces attestations soient délivrées dans le portefeuille européen d’identité numérique, une exigence est insérée à l’article 45 sexies. L’article 45 septies contient plutôt des règles supplémentaires régissant la fourniture de services d’attestation électronique d’attributs, y compris en matière de protection des données à caractère personnel. La nouvelle section 10 autorise la fourniture de services qualifiés d’archivage électronique au niveau de l’UE. L’article 45 octies relatif aux services qualifiés d’archivage électronique complète les articles 34 et 40 concernant les services de conservation qualifiés pour les signatures électroniques qualifiées et les cachets électroniques qualifiés. La nouvelle section 11 établit un cadre pour les services de confiance en ce qui concerne la création et la tenue de registres électroniques et de registres électroniques qualifiés. Les registres électroniques combinent l’horodatage et le séquençage des données à des garanties concernant l’initiateur, de manière analogue au processus de signature électronique, ce qui a pour avantage supplémentaire de permettre une gouvernance plus décentralisée adaptée à la coopération multipartite. Cet élément est important pour différents cas d’utilisation qui peuvent reposer sur des registres électroniques. Les registres électroniques aident les entreprises à réduire leurs coûts en rendant la coordination multipartite plus efficace et plus sûre, et ils facilitent le contrôle réglementaire. En l’absence de réglementation européenne, les législateurs nationaux risquent de définir des normes nationales divergentes. Afin d’éviter la fragmentation, il est nécessaire de définir un cadre paneuropéen unique qui permettra la reconnaissance transfrontalière des services de confiance qui contribuent au bon fonctionnement des registres électroniques. Cette norme paneuropéenne pour les opérateurs de nœuds s’appliquera par dérogation aux autres dispositions du droit dérivé de l’UE. Si des registres électroniques sont utilisés pour faciliter l’émission et/ou la négociation d’obligations, ou pour des crypto-actifs, ces cas d’utilisation devraient être compatibles avec toutes les règles financières applicables, par exemple avec la directive concernant les marchés d’instruments financiers, avec la directive concernant les services de paiement et avec le futur règlement sur les marchés de crypto-actifs. Lorsque les cas d’utilisation feront intervenir des données à caractère personnel, les prestataires de services devront respecter le RGPD. En 2017, 75 % de tous les cas d’utilisation de registres électroniques concernaient le domaine bancaire et financier. Aujourd’hui, les cas d’utilisation de registres électroniques ne cessent de se diversifier, 17 % d’entre eux relevant du domaine de la communication et des médias, 15 % de l’industrie manufacturière et de l’exploitation des ressources naturelles, 10 % du secteur public, 8 % du secteur des assurances, 5 % du commerce de détail, 6 % du secteur des transports et 5 % des services collectifs. Enfin, le chapitre VI contient un nouvel article 48 ter qui vise à ce que des données statistiques sur l’utilisation du portefeuille européen d’identité numérique soient collectées en vue de contrôler l’efficacité du règlement modifié. 2021/0136 (COD) Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL modifiant le règlement (UE) nº 910/2014 en ce qui concerne l’établissement d’un cadre européen relatif à une identité numérique LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L’UNION EUROPÉENNE, vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 114, vu la proposition de la Commission européenne, après transmission du projet d’acte législatif aux parlements nationaux, vu l’avis du Comité économique et social européen, statuant conformément à la procédure législative ordinaire, considérant ce qui suit: (1)La communication de la Commission du 19 février 2020 intitulée «Façonner l’avenir numérique de l’Europe» annonce une révision du règlement (UE) nº 910/2014 du Parlement européen et du Conseil en vue d’en améliorer l’efficacité, d’étendre ses avantages au secteur privé et de promouvoir une identité numérique fiable pour tous les Européens. (2)Dans ses conclusions des 1er et 2 octobre 2020, le Conseil européen a invité la Commission à proposer la mise en place, à l’échelle de l’UE, d’un cadre pour une identification électronique publique sécurisée, y compris des signatures numériques interopérables, qui permette aux personnes d’exercer un contrôle sur leur identité et leurs données en ligne et donne accès à des services numériques publics, privés et transfrontaliers.

(3)La communication de la Commission du 9 mars 2021 intitulée «Une boussole numérique pour 2030: l’Europe balise la décennie numérique» fixe l’objectif de mettre en place un cadre de l’UE qui, d’ici à 2030, devrait avoir conduit au déploiement à grande échelle d’une identité de confiance contrôlée par l’utilisateur, permettant à chaque citoyen d’avoir la maîtrise de ses propres interactions et de sa présence en ligne. (4)Une approche plus harmonisée de l’identification numérique devrait réduire les risques et les coûts engendrés par la fragmentation actuelle due à l’utilisation de solutions nationales divergentes, et elle renforcera le marché unique en permettant aux citoyens, aux autres résidents au sens du droit national et aux entreprises de s'identifier en ligne de manière pratique et uniforme dans toute l’Union. Chacun devrait être en mesure d’accéder en toute sécurité aux services publics et privés en ayant recours à un écosystème amélioré de services de confiance et à des preuves d’identité et des attestations d’attributs vérifiées, comme un diplôme universitaire légalement reconnu et accepté partout dans l’Union. Le cadre européen relatif à une identité numérique va permettre de passer d’un recours aux seules solutions nationales d’identité numérique à la fourniture d’attestations électroniques d’attributs valides à l’échelle européenne. Les fournisseurs d’attestations électroniques d’attributs devraient bénéficier d’un ensemble de règles clair et uniforme et les administrations publiques devraient pouvoir se fier à des documents électroniques dans un format donné. (5)Pour soutenir la compétitivité des entreprises européennes, les prestataires de services en ligne devraient pouvoir utiliser des solutions d’identité numérique reconnues dans toute l’Union, indépendamment de l’État membre dans lequel elles ont été délivrées, et bénéficier ainsi d’une approche européenne harmonisée en matière de confiance, de sécurité et d’interopérabilité. Tant les utilisateurs que les prestataires de services devraient pouvoir bénéficier de la fourniture d’attestations électroniques d’attributs ayant la même valeur juridique dans l’ensemble de l’Union. (6)Le règlement (UE) 2016/679 s’applique aux traitements de données à caractère personnel effectués en application du présent règlement. Par conséquent, le présent règlement devrait prévoir des garanties spécifiques pour empêcher les fournisseurs de moyens d’identification électronique et d’attestations électroniques d’attributs de combiner des données à caractère personnel provenant d’autres services avec des données à caractère personnel liées aux services relevant du champ d’application du présent règlement. (7)Il est nécessaire de définir des conditions harmonisées pour l’établissement d’un cadre régissant les portefeuilles européens d’identité numérique devant être délivrés par les États membres, lesquels devraient permettre à tous les citoyens et aux autres résidents de l’Union, au sens du droit national, de partager de manière sécurisée les données relatives à leur identité d’une manière conviviale et pratique, sous le contrôle exclusif de l’utilisateur. Il convient de développer les technologies utilisées pour parvenir à ces objectifs de manière à atteindre le niveau le plus élevé de sécurité, de facilité d’utilisation et d’adoption. Les États membres devraient garantir à tous leurs ressortissants et résidents l’égalité d’accès à l’identification numérique. (8)Afin de garantir le respect du droit de l’Union ou du droit national conforme au droit de l’Union, les prestataires de services devraient informer les États membres de leur intention d’avoir recours aux portefeuilles européens d’identité numérique. Cela permettra aux États membres de protéger les utilisateurs contre la fraude et d’empêcher l’utilisation illicite de données d’identité et d’attestations électroniques d’attributs, ainsi que de faire en sorte que le traitement de données confidentielles, telles que les données relatives à la santé, puisse être vérifié par les parties utilisatrices conformément au droit de l’Union ou au droit national. (9)Tous les portefeuilles européens d’identité numérique devraient permettre aux utilisateurs de s'identifier et de s'authentifier par voie électronique en ligne et hors ligne, par-delà les frontières, en vue d’accéder à un large éventail de services publics et privés. Sans préjudice des prérogatives des États membres en ce qui concerne l’identification de leurs ressortissants et résidents, les portefeuilles peuvent aussi répondre aux besoins institutionnels des administrations publiques, des organisations internationales et des institutions, organes et organismes de l’Union. L’utilisation hors ligne serait importante dans de nombreux secteurs, y compris dans le secteur de la santé, où les services sont souvent fournis par interaction directe et où la vérification de l’authenticité des prescriptions électroniques devrait pouvoir être effectuée à l’aide de codes QR ou de technologies similaires. En s’appuyant sur le niveau de garantie «élevé», les portefeuilles européens d’identité numérique devraient bénéficier du potentiel offert par des solutions infalsifiables, telles que des éléments sécurisés, pour se conformer aux exigences de sécurité prévues par le présent règlement. Les portefeuilles européens d’identité numérique devraient aussi permettre aux utilisateurs de créer et d’utiliser des signatures et cachets électroniques qualifiés qui sont acceptés dans toute l’UE. Afin de permettre à la population et aux entreprises de toute l’UE de bénéficier des avantages liés à la simplification et à la réduction des coûts, notamment en accordant des pouvoirs de représentation et des mandats électroniques, les États membres devraient délivrer des portefeuilles européens d’identité numérique reposant sur des normes communes afin de garantir leur pleine interopérabilité et un niveau élevé de sécurité. Seules les autorités compétentes des États membres peuvent établir l’identité d’une personne avec un niveau élevé de fiabilité et, partant, garantir que la personne revendiquant ou affirmant une identité particulière est effectivement la personne qu’elle prétend être. Il est donc nécessaire que les portefeuilles européens d’identité numérique reposent sur l’identité juridique des citoyens, autres résidents ou personnes morales. La confiance dans les portefeuilles européens d’identité numérique serait renforcée par le fait que les entités qui les délivrent sont tenues de mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité proportionné aux risques présentés pour les droits et libertés des personnes physiques, conformément au règlement (UE) 2016/679. (10)Afin d’atteindre un niveau élevé de sécurité et de fiabilité, le présent règlement établit les exigences applicables aux portefeuilles européens d’identité numérique. La conformité des portefeuilles européens d’identité numérique avec ces exigences devrait être certifiée par des organismes accrédités, du secteur public ou du secteur privé, désignés par les États membres. Le recours à un schéma de certification fondé sur la disponibilité de normes convenues d’un commun accord avec les États membres devrait garantir un niveau élevé de confiance et d’interopérabilité. La certification devrait notamment se fonder sur les schémas européens de certification de cybersécurité pertinents établis en application du règlement (UE) 2019/881. Cette certification devrait être sans préjudice de la certification concernant le traitement des données à caractère personnel en application du règlement (UE) 2016/679. (11)Les portefeuilles européens d’identité numérique devraient garantir le niveau de sécurité le plus élevé possible pour les données à caractère personnel utilisées pour l’authentification, que ces données soient stockées localement ou à l’aide de solutions en nuage, en tenant compte des différents niveaux de risque. Le recours à l’authentification biométrique est l’une des méthodes d’identification offrant un niveau de confiance élevé, en particulier lorsqu’elle est utilisée en combinaison avec d’autres éléments d’authentification. Étant donné que les données biométriques représentent une caractéristique univoque d’une personne, leur utilisation exige des mesures organisationnelles et de sécurité proportionnées au risque que le traitement de ces données peut entraîner pour les droits et libertés des personnes physiques et conformément au règlement (UE) 2016/679. (12)Afin de veiller à ce que le cadre européen relatif à une identité numérique soit ouvert à l’innovation, compatible avec les évolutions technologiques et capable de résister à l’épreuve du temps, les États membres devraient être encouragés à mettre en place conjointement des espaces d’expérimentation pour mettre à l’essai des solutions innovantes dans un environnement contrôlé et sécurisé, en particulier dans le but d’améliorer la fonctionnalité, la protection des données à caractère personnel, la sécurité et l’interopérabilité des solutions, et de servir de base aux futures mises à jour des références techniques et des exigences légales. Cet environnement devrait favoriser la participation des petites et moyennes entreprises européennes, des start-up et des innovateurs et chercheurs. (13) Le règlement (UE) 2019/1157 renforce la sécurité des cartes d’identité par la mise en place d’éléments de sécurité renforcés d’ici au mois d’août 2021. Les États membres devraient envisager la possibilité de notifier ces cartes dans le cadre des schémas d’identification électronique afin d’étendre la disponibilité transfrontalière des moyens d’identification électronique. (14)Le processus de notification des schémas d’identification électronique devrait être simplifié et accéléré afin de promouvoir l’accès à des solutions d’authentification et d’identification pratiques, fiables, sécurisées et innovantes et, le cas échéant, d’encourager les fournisseurs d’identité privés à proposer des schémas d’identification électronique aux autorités des États membres pour notification en tant que schémas nationaux de cartes d’identité électroniques au titre du règlement (UE) nº 910/2014. (15)La rationalisation des procédures actuelles de notification et d’examen par les pairs empêchera les approches hétérogènes de l’évaluation des différents schémas d’identification électronique notifiés et facilitera l’instauration de la confiance entre les États membres. De nouveaux mécanismes simplifiés devraient favoriser la coopération entre les États membres en ce qui concerne la sécurité et l’interopérabilité de leurs schémas d’identification électronique notifiés. (16)Les États membres devraient bénéficier de nouveaux outils souples pour ce qui est de garantir le respect des exigences du présent règlement et des actes d’exécution correspondants. Le présent règlement devrait permettre aux États membres d’utiliser les rapports et évaluations réalisés par des organismes d’évaluation de la conformité accrédités ou des schémas de certification volontaire de sécurité des TIC, tels que les schémas de certification à établir au niveau de l’Union en application du règlement (UE) 2019/881, afin d’étayer leurs demandes concernant l’alignement des schémas ou de certaines parties de ceux-ci sur les exigences du règlement concernant l’interopérabilité et la sécurité des schémas d’identification électronique notifiés. (17)Les prestataires de services utilisent les données d’identité fournies par l’ensemble de données d’identification personnelle disponible dans le cadre des schémas d’identification électronique prévus par le règlement (UE) nº 910/2014 afin d’établir une correspondance entre un utilisateur d’un autre État membre et son identité juridique. Toutefois, malgré l’utilisation de l’ensemble de données eIDAS, dans de nombreux cas, la garantie d’une réconciliation d’identités exacte requiert des informations supplémentaires concernant l’utilisateur et des procédures d’identification univoques spécifiques au niveau national. Afin de rendre encore plus facile l’utilisation des moyens d’identification électronique, le présent règlement devrait exiger des États membres qu’ils prennent des mesures spécifiques pour garantir une réconciliation d’identités correctes dans le processus d’identification électronique. Dans le même but, le présent règlement devrait aussi étendre l’ensemble de données minimal obligatoire et exiger l’utilisation d’un identifiant électronique univoque et persistant en conformité avec le droit de l’Union dans les cas où il est nécessaire d’identifier juridiquement l’utilisateur à sa demande d’une manière univoque et persistante. (18)Conformément à la directive (UE) 2019/882, les personnes handicapées devraient pouvoir utiliser, dans les mêmes conditions que les autres utilisateurs, les portefeuilles européens d’identité numérique, les services de confiance et les produits destinés à un utilisateur final qui servent à fournir ces services. (19)Le présent règlement ne devrait pas couvrir les aspects relatifs à la conclusion et à la validité des contrats ou autres obligations juridiques lorsque des exigences d’ordre formel sont établies par le droit national ou de l’Union. En outre, il ne devrait pas porter atteinte à des exigences d’ordre formel imposées au niveau national aux registres publics, notamment les registres du commerce et les registres fonciers. (20)La fourniture et l’utilisation de services de confiance revêtent une importance croissante pour le commerce et la coopération sur le plan international. Les partenaires internationaux de l’UE mettent en place des cadres de confiance inspirés du règlement (UE) nº 910/2014. Par conséquent, afin de faciliter la reconnaissance de ces services et de leurs prestataires, les dispositions d’exécution peuvent fixer les conditions dans lesquelles les cadres de confiance de pays tiers pourraient être considérés comme équivalents au cadre de confiance pour les services de confiance qualifiés et leurs prestataires prévu par le présent règlement, en complément de la possibilité de reconnaissance mutuelle des services de confiance et des prestataires établis dans l’Union et dans les pays tiers conformément à l’article 218 du traité. (21)Le présent règlement devrait s’appuyer sur la législation de l’Union relative aux marchés contestables et équitables dans le secteur numérique. En particulier, il repose sur le règlement XXX/XXXX [législation sur les marchés numériques], qui introduit des règles pour les fournisseurs de services de plateforme essentiels, désignés comme contrôleurs d’accès, interdisant notamment à ces derniers d’exiger des entreprises utilisatrices qu’elles utilisent, proposent ou interagissent avec un service d’identification du contrôleur d’accès dans le cadre des services qu’elles proposent en ayant recours aux services de plateforme essentiels de ce contrôleur d’accès. L’article 6, paragraphe 1, point f), du règlement XXX/XXXX [législation sur les marchés numériques] exige des contrôleurs d’accès qu’ils permettent aux entreprises utilisatrices et aux fournisseurs de services accessoires d’accéder aux mêmes fonctionnalités du système d’exploitation, du matériel informatique ou du logiciel que celles qui sont disponibles ou utilisées dans le cadre de la fourniture de tout service accessoire par le contrôleur d’accès, et d’interopérer avec ces fonctionnalités. Selon l’article 2, point 15, de la [législation sur les marchés numériques], les services d’identification constituent un type de services accessoires. Les entreprises utilisatrices et les fournisseurs de services accessoires devraient donc être en mesure d’accéder à certaines fonctionnalités du matériel informatique ou des logiciels, telles que les éléments sécurisés des téléphones intelligents, et d’interagir avec celles-ci par l’intermédiaire des portefeuilles européens d’identité numérique ou des moyens d’identification électronique notifiés par les États membres. (22)Afin de rationaliser les obligations en matière de cybersécurité imposées aux prestataires de services de confiance et de permettre à ces prestataires et à leurs autorités compétentes respectives de bénéficier du cadre juridique établi par la directive XXXX/XXXX (directive SRI 2), les services de confiance sont tenus de prendre les mesures techniques et organisationnelles appropriées en vertu de la directive XXXX/XXXX (directive SRI 2), notamment des mesures visant à faire face aux défaillances du système, aux erreurs humaines, aux actions malveillantes ou aux phénomènes naturels, afin de gérer les risques pesant sur la sécurité des réseaux et des systèmes d’information utilisés par ces prestataires pour fournir leurs services, ainsi que de notifier les incidents importants et les cybermenaces conformément à la directive XXXX/XXXX (directive SRI 2). En ce qui concerne le signalement des incidents, les prestataires de services de confiance devraient notifier tout incident ayant un effet significatif sur la fourniture de leurs services, y compris les incidents causés par le vol ou la perte d’appareils, l’endommagement du câble réseau ou les incidents survenus dans le contexte de l’identification des personnes. Les exigences en matière de gestion des risques liés à la cybersécurité et les obligations en matière de communication d’informations prévues par la directive XXXX/XXXX [SRI 2] devraient être considérées comme étant complémentaires des exigences imposées aux prestataires de services de confiance en application du présent règlement. Le cas échéant, les autorités compétentes désignées en vertu de la directive XXXX/XXXX (directive SRI 2) devraient continuer à appliquer les pratiques ou orientations nationales établies en ce qui concerne la mise en œuvre des exigences en matière de sécurité et de communication d’informations et le contrôle du respect de ces exigences en vertu du règlement (UE) nº 910/2014. Les exigences prévues par le présent règlement ne portent pas atteinte à l’obligation de notification des violations de données à caractère personnel prévue par le règlement (UE) 2016/679.

(23)Une attention particulière devrait être accordée à l’efficacité de la coopération entre les autorités SRI et eIDAS. Lorsque l’organe de contrôle au titre du présent règlement est différent des autorités compétentes désignées au titre de la directive XXXX/XXXX [SRI 2], ces autorités devraient coopérer étroitement, en temps utile, en échangeant les informations pertinentes afin de garantir un contrôle efficace et le respect, par les prestataires de services de confiance, des exigences énoncées dans le présent règlement et dans la directive XXXX/XXXX [SRI 2]. En particulier, les organes de contrôle prévus par le présent règlement devraient être habilités à demander à l’autorité compétente au titre de la directive XXXXX/XXXX [SRI 2] de fournir les informations pertinentes nécessaires pour accorder le statut qualifié et de mener des actions de surveillance pour vérifier le respect, par les prestataires de services de confiance, des exigences pertinentes prévues par la directive SRI 2 ou pour leur demander de remédier aux manquements. (24)Il est essentiel de prévoir un cadre juridique en vue de faciliter la reconnaissance transfrontalière entre les systèmes juridiques nationaux existants en matière de services d’envoi recommandé électronique. Ce cadre pourrait également ouvrir aux prestataires de services de confiance de l’Union de nouveaux débouchés commerciaux leur permettant de proposer de nouveaux services paneuropéens d’envoi recommandé électronique et de veiller à ce que l’identification des destinataires soit assurée avec un niveau de confiance plus élevé que l’identification de l’expéditeur. (25)Dans la plupart des cas, les citoyens et les autres résidents ne peuvent pas échanger, par voie numérique et par-delà les frontières, des informations relatives à leur identité, telles que leur adresse, leur âge et leurs qualifications professionnelles, permis de conduire et autres licences et données de paiement, en toute sécurité et avec un niveau élevé de protection des données. (26)Il devrait être possible de délivrer et de traiter des attributs numériques fiables et de contribuer à réduire la charge administrative, en donnant aux citoyens et aux autres résidents les moyens de les utiliser dans le cadre de leurs transactions privées et publiques. Les citoyens et les autres résidents devraient, par exemple, être en mesure de prouver qu’ils détiennent un permis de conduire en cours de validité délivré par une autorité d’un État membre et les autorités compétentes d’autres États membres devraient pouvoir le vérifier et s’y fier. Ils devraient aussi pouvoir avoir recours à leurs justificatifs de sécurité sociale ou à de futurs documents de voyage numériques dans un contexte transfrontalier. (27)Toute entité qui collecte, crée et délivre des attributs attestés tels que des diplômes, permis et certificats de naissance devrait pouvoir devenir fournisseur d’attestations électroniques d’attributs. Les parties utilisatrices devraient utiliser les attestations électroniques d’attributs comme des équivalents aux attestations sur papier. Par conséquent, une attestation électronique d’attributs ne devrait pas se voir refuser un effet juridique au motif qu’elle se présente sous une forme électronique ou qu’elle ne satisfait pas à toutes les exigences de l’attestation électronique qualifiée d’attributs. À cet effet, il convient d’établir des exigences générales visant à garantir qu’une attestation électronique qualifiée d’attributs a un effet juridique équivalent à celui des attestations délivrées légalement sur papier. Toutefois, ces exigences devraient s’appliquer sans préjudice du droit de l’Union ou du droit national définissant des exigences sectorielles particulières supplémentaires en ce qui concerne la forme ayant des effets juridiques sous-jacents et, en particulier, la reconnaissance transfrontalière des attestations électroniques qualifiées d’attributs, le cas échéant. (28)La large disponibilité et la facilité d’utilisation des portefeuilles européens d’identité numérique dépendent de l’acceptation de ceux-ci par les prestataires de services privés. Les parties utilisatrices privées qui fournissent des services dans les domaines des transports, de l’énergie, des services bancaires et financiers, de la sécurité sociale, de la santé, de l’eau potable, des services postaux, des infrastructures numériques, de l’éducation ou des télécommunications devraient accepter l’utilisation de portefeuilles européens d’identité numérique pour la fourniture de services lorsque le droit national ou de l’Union ou une obligation contractuelle exigent une authentification forte des utilisateurs à des fins d’identification en ligne. Lorsque de très grandes plateformes en ligne au sens de l’article 25, paragraphe 1, du règlement [référence du règlement sur les services numériques] exigent des utilisateurs qu’ils s’authentifient pour accéder à des services en ligne, ces plateformes devraient être tenues d’accepter l’utilisation de portefeuilles européens d’identité numérique à la demande volontaire de l’utilisateur. Les utilisateurs ne devraient pas être tenus d’utiliser le portefeuille pour accéder à des services privés, mais, lorsque l’utilisateur le souhaite, les très grandes plateformes en ligne devraient accepter que le portefeuille européen d’identité numérique soit utilisé à cette fin, dans le respect du principe de minimisation des données. Cela est nécessaire, eu égard à l’importance des très grandes plateformes en ligne et de leur audience, exprimée notamment en nombre de destinataires du service et de transactions économiques, pour renforcer la protection des utilisateurs contre la fraude et garantir un niveau élevé de protection des données. Il convient d’élaborer des codes de conduite d’autorégulation au niveau de l’Union (ci-après dénommés «codes de conduite») afin de contribuer à la grande disponibilité et à la facilité d’utilisation des moyens d’identification électronique, notamment des portefeuilles européens d’identité numérique relevant du champ d’application du présent règlement. Les codes de conduite devraient faciliter une large acceptation des moyens d’identification électronique, y compris des portefeuilles européens d’identité numérique, par les prestataires de services qui ne sont pas considérés comme de très grandes plateformes et qui ont recours à des services d’identification électronique tiers pour l’authentification des utilisateurs. Ils devraient être élaborés dans un délai de douze mois à compter de l’adoption du présent règlement. La Commission devrait évaluer l’efficacité de ces dispositions en ce qui concerne la disponibilité et la facilité d’utilisation des portefeuilles européens d’identité numérique au bout de dix-huit mois de déploiement, et réviser ensuite les dispositions afin de garantir leur acceptation par voie d’actes délégués à la lumière de cette évaluation. (29)Les portefeuilles européens d’identité numérique devraient permettre, sur le plan technique, la divulgation sélective des attributs aux parties utilisatrices. Cette fonctionnalité devrait devenir un élément de conception de base, renforçant ainsi la commodité du service et la protection des données à caractère personnel, notamment s’agissant de la minimisation du traitement des données à caractère personnel. (30)Les attributs fournis par les prestataires de services de confiance qualifiés dans le cadre d’une attestation d’attributs qualifiée devraient faire l’objet d’une vérification par rapport aux sources authentiques, effectuée soit directement par le prestataire de services de confiance qualifié, soit par des intermédiaires désignés reconnus au niveau national conformément au droit national ou au droit de l’Union, aux fins de l’échange sécurisé d’attributs attestés entre les prestataires de services de confiance et les parties utilisatrices. (31)L’identification électronique sécurisée et la fourniture d’attestations d’attributs devraient offrir davantage de souplesse et de solutions au secteur des services financiers en ce qui concerne l’identification des clients et l’échange des attributs spécifiques nécessaires pour respecter, par exemple, les exigences de vigilance à l’égard de la clientèle prévues par la réglementation relative à la lutte contre le blanchiment de capitaux [référence à ajouter après l’adoption de la proposition] et les exigences en matière d’adéquation découlant de la législation sur la protection des investisseurs, ou pour permettre le respect d’exigences en matière d’authentification forte du client à des fins d’ouverture de session et d’exécution de transactions dans le domaine des services de paiement. (32)Les services d’authentification de site internet permettent aux utilisateurs d’un site internet de s’assurer que celui-ci est présenté par une entité véritable et légitime. Ces services contribuent à instaurer un climat de confiance pour la réalisation de transactions commerciales en ligne, les utilisateurs tendant à se fier à un site internet qui a été authentifié. L’utilisation de services d’authentification de sites internet par les sites internet est facultative. Cependant, pour que l’authentification de site internet s’affirme comme un moyen de renforcer la confiance, d'améliorer l'expérience de l’utilisateur et de favoriser la croissance dans le marché intérieur, le présent règlement impose aux prestataires de services d’authentification de sites internet et à leurs services des obligations minimales de sécurité et de responsabilité. À cette fin, les navigateurs internet devraient veiller à assurer la compatibilité et l’interopérabilité avec les certificats qualifiés d’authentification de site internet, conformément au règlement (UE) nº 910/2014. Ils devraient reconnaître et afficher les certificats qualifiés d’authentification de site internet afin d’offrir un niveau élevé de garantie, permettant aux propriétaires de sites internet de déclarer leur identité de propriétaire d’un site internet et aux utilisateurs d’identifier les propriétaires de sites internet avec un degré élevé de certitude. Afin de promouvoir davantage l'utilisation des certificats qualifiés d’authentification de site internet, les autorités publiques des États membres devraient envisager d’intégrer ces certificats à leurs sites internet. (33)De nombreux États membres ont introduit des exigences nationales pour les services fournissant un archivage numérique sécurisé et fiable visant à permettre la conservation à long terme des documents électroniques et des services de confiance associés. Pour garantir la sécurité juridique et la confiance, il est essentiel de fournir un cadre juridique pour faciliter la reconnaissance transfrontalière des services qualifiés d’archivage électronique. Ce cadre pourrait également ouvrir de nouveaux débouchés aux prestataires de services de confiance de l’Union. (34)Les registres électroniques qualifiés enregistrent les données de manière à garantir l’unicité, l’authenticité et le séquençage correct des données fournies et à les rendre infalsifiables. Les registres électroniques combinent les effets de l’horodatage des données à une garantie concernant le créateur des données, à l’instar des processus de signature électronique, et présentent l’avantage supplémentaire de permettre des modèles de gouvernance plus décentralisés adaptés aux coopérations multipartites. Par exemple, ils créent une piste d’audit fiable pour la provenance des matières premières dans les échanges transfrontaliers, soutiennent la protection des droits de propriété intellectuelle, permettent une plus grande adaptabilité des marchés de l’électricité, sont à la base de solutions d’identité autonomes avancées, et soutiennent des services publics plus efficaces et plus transformateurs. Afin d’éviter la fragmentation du marché intérieur, il importe de définir un cadre juridique paneuropéen qui permette la reconnaissance transfrontalière de services de confiance pour l’enregistrement des données dans les registres électroniques. (35)La certification en tant que prestataires de services de confiance qualifiés devrait apporter une sécurité juridique aux cas d’utilisation fondés sur des registres électroniques. Ce service de confiance pour les registres électroniques et les registres électroniques qualifiés, ainsi que la certification de prestataire de services de confiance qualifiés pour les registres électroniques, devraient être sans préjudice de l'obligation, pour les cas d’utilisation, de respecter le droit de l’Union ou le droit national conforme au droit de l’Union. Les cas d’utilisation nécessitant le traitement de données à caractère personnel doivent être conformes au règlement (UE) 2016/679. Les cas d’utilisation concernant des crypto-actifs devraient être compatibles avec toutes les règles financières applicables, par exemple avec la directive concernant les marchés d’instruments financiers, la directive concernant les services de paiement et le futur règlement sur les marchés de crypto-actifs. (36)Afin d’éviter la fragmentation et les obstacles dus à des normes et restrictions techniques divergentes, et d’assurer un processus coordonné pour éviter de compromettre la mise en œuvre du futur cadre européen relatif à une identité numérique, il y a lieu d’instaurer un processus de coopération étroite et structurée entre la Commission, les États membres et le secteur privé. Pour atteindre cet objectif, les États membres devraient coopérer dans le cadre défini dans la recommandation XXX/XXXX de la Commission [Boîte à outils pour une approche coordonnée en vue d’un cadre européen relatif à une identité numérique] afin de définir une boîte à outils pour un cadre européen relatif à une identité numérique. La boîte à outils devrait comprendre une architecture technique et un cadre de référence complets, un ensemble de normes communes et de références techniques et un ensemble de lignes directrices et de descriptions des meilleures pratiques couvrant au moins tous les aspects des fonctionnalités et de l’interopérabilité des portefeuilles européens d’identité numérique, y compris les signatures électroniques, ainsi que du service de confiance qualifié pour l’attestation d’attributs prévu par le présent règlement. Dans ce contexte, les États membres devraient également parvenir à un accord sur les éléments communs d’un modèle économique et d’une structure tarifaire pour les portefeuilles européens d’identité numérique, afin de faciliter leur adoption, en particulier par les petites et moyennes entreprises dans un contexte transfrontalier. Le contenu de la boîte à outils devrait continuer à évoluer parallèlement au débat et au processus d’adoption du cadre européen relatif à une identité numérique et tenir compte de leurs résultats. (37)Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1525 du Parlement européen et du Conseil. (38)Il convient dès lors de modifier le règlement (UE) nº 910/2014 en conséquence, ONT ADOPTÉ LE PRÉSENT RÈGLEMENT: Article premier Le règlement (UE) 910/2014 est modifié comme suit: (1)L’article 1er est remplacé par le texte suivant:

«Le présent règlement vise à assurer le bon fonctionnement du marché intérieur et à offrir un niveau adéquat de sécurité des moyens d’identification électronique et des services de confiance. Pour ce faire, le présent règlement: (a)fixe les conditions dans lesquelles un État membre fournit et reconnaît les moyens d’identification électronique des personnes physiques et morales qui relèvent d’un schéma d’identification électronique notifié d’un autre État membre; (b)établit des règles applicables aux services de confiance, en particulier pour les transactions électroniques; (c)instaure un cadre juridique régissant les signatures électroniques, les cachets électroniques, les horodatages électroniques, les documents électroniques, les services d’envoi recommandé électronique, les services de certificats pour l’authentification de site internet, l’archivage électronique et l’attestation électronique d’attributs, la gestion des dispositifs de création de signature électronique et de cachet électronique à distance, et les registres électroniques; (d)fixe les conditions de délivrance, par les États membres, des portefeuilles européens d’identité numérique.»; (2)l’article 2 est modifié comme suit: (a)le paragraphe 1 est remplacé par le texte suivant: «1. Le présent règlement s’applique aux schémas d’identification électronique qui ont été notifiés par un État membre, aux portefeuilles européens d’identité numérique délivrés par les États membres et aux prestataires de services de confiance établis dans l’Union.»; (b)le paragraphe 3 est remplacé par le texte suivant: «3. Le présent règlement ne porte pas atteinte au droit national ou de l’Union relatif à la conclusion et à la validité des contrats ou d’autres obligations juridiques ou procédurales concernant des exigences sectorielles d’ordre formel et les effets juridiques qui y sont attachés.»; (3)l’article 3 est modifié comme suit: (a)le point 2. est remplacé par le texte suivant: «2. “moyen d’identification électronique”, un élément matériel et/ou immatériel, y compris les portefeuilles européens d’identité numérique ou les cartes d’identité suivant le règlement 2019/1157, qui contient des données d’identification personnelle et est utilisé pour s’authentifier sur un service en ligne ou hors ligne;»; (b)le point 4. est remplacé par le texte suivant: «4. “schéma d’identification électronique”, un système pour l’identification électronique en vertu duquel des moyens d’identification électronique sont délivrés à des personnes physiques ou morales ou à des personnes physiques représentant des personnes morales;»; (c)le point 14. est remplacé par le texte suivant: «14. “certificat de signature électronique”, une attestation électronique ou un ensemble d’attestations qui associe les données de validation d’une signature électronique à une personne physique et confirme au moins le nom ou le pseudonyme de cette personne;»; (d)le point 16. est remplacé par le texte suivant: «16. “service de confiance”, un service électronique normalement fourni contre paiement qui consiste: (a)en la création, en la vérification et en la validation de signatures électroniques, de cachets électroniques ou d’horodatages électroniques, de services d’envoi recommandé électronique, de l’attestation électronique d’attributs et des certificats relatifs à ces services;

(b)en la création, en la vérification et en la validation de certificats pour l’authentification de site internet; (c)en la conservation de signatures électroniques, de cachets électroniques ou des certificats relatifs à ces services; (d) en l’archivage électronique de documents électroniques; (e)en la gestion des dispositifs de création de signature électronique et de cachet électronique à distance; (f)en l’enregistrement de données électroniques dans un registre électronique.»; (e)le point 21. est remplacé par le texte suivant: «21. “produit”, un dispositif matériel ou logiciel, ou les composants correspondants du dispositif matériel et / ou logiciel, qui sont destinés à être utilisés pour la fourniture de services d’identification électronique et de services de confiance;»; (f)les points 23. bis et 23. ter suivants sont insérés: «23. bis. “dispositif de création de signature électronique qualifié à distance”, un dispositif de création de signature électronique qualifié par lequel un prestataire de services de confiance qualifié génère, gère ou reproduit les données de création de signature électronique pour le compte d’un signataire; 23. ter. “dispositif de création de cachet électronique qualifié à distance”, un dispositif de création de cachet électronique qualifié par lequel un prestataire de services de confiance qualifié génère, gère ou reproduit les données de création de cachet électronique pour le compte d’un créateur de cachet;»; (g)le point 29. est remplacé par le texte suivant: «29. “certificat de cachet électronique”, une attestation électronique ou un ensemble d’attestations qui associe les données de validation d’un cachet électronique à une personne morale et confirme le nom de cette personne;»; (h)le point 41. est remplacé par le texte suivant: «41. “validation”, le processus de vérification et de confirmation de la validité d’une signature ou d’un cachet électronique, des données d’identification personnelle ou encore d’une attestation électronique d’attributs;» (i)les points 42. à 55. suivants sont ajoutés: «42. “portefeuille européen d’identité numérique”, un produit et un service qui permettent à l’utilisateur de stocker des données d’identification, des justificatifs et des attributs liés à son identité, de les communiquer aux parties utilisatrices sur demande et de les utiliser pour s’authentifier, en ligne et hors ligne, sur un service conformément à l’article 6 bis; et de créer des signatures et cachets électroniques qualifiés; 43. “attribut”, une particularité, une caractéristique ou une qualité d’une personne physique ou morale ou d’une entité, sous forme électronique; 44. “attestation électronique d’attributs”, une attestation sous forme électronique qui permet l’authentification d’attributs; 45. “attestation électronique qualifiée d’attributs”, une attestation électronique d’attributs, qui est délivrée par un prestataire de services de confiance qualifié et qui satisfait aux exigences fixées à l’annexe V; 46. “source authentique”, un répertoire ou un système, administré sous la responsabilité d’un organisme du secteur public ou d’une entité privée, qui contient les attributs concernant une personne physique ou morale et qui est considéré comme étant la source première de ces informations ou est reconnu comme authentique en droit national;

47. “archivage électronique”, un service assurant la réception, le stockage, la suppression et la transmission de données ou documents électroniques afin de garantir leur intégrité, l’exactitude de leur origine et leurs particularités juridiques pendant toute la durée de leur conservation; 48. “service qualifié d’archivage électronique”, un service qui satisfait aux exigences prévues à l’article 45 octies; 49. “label de confiance de l’UE pour le portefeuille d’identité numérique”, une indication formulée d’une manière simple, claire et reconnaissable selon laquelle un portefeuille d’identité numérique a été délivré conformément au présent règlement; 50. “authentification forte de l’utilisateur”, une authentification reposant sur l’utilisation d’au moins deux éléments qui appartiennent aux catégories ‘connaissance de l’utilisateur’, ‘possession’ et ‘inhérence’ et qui sont indépendants, de manière à ce que la compromission de l’un ne remette pas en question la fiabilité des autres, et qui est conçue de façon à protéger la confidentialité des données d’authentification; 51. “compte d’utilisateur”, un mécanisme qui permet à un utilisateur d’avoir accès à des services publics ou privés selon les modalités et conditions définies par le prestataire de services; 52. “justificatif”, la preuve des aptitudes d’une personne, de son expérience, de son droit ou de son autorisation; 53. “registre électronique”, un enregistrement électronique inviolable de données, assurant l’authenticité et l’intégrité des données qu’il contient, l’exactitude de la date et de l’heure de ces données ainsi que de leur classement chronologique»; 54. “données à caractère personnel”, toute information telle qu’elle est définie à l’article 4, point 1), du règlement (UE) 2016/679.»; 55. “identification univoque”, un processus selon lequel les données d’identification personnelle ou les moyens d’identification personnelle sont mis en correspondance avec un compte existant appartenant à la même personne ou sont reliés à celui-ci.»; (4)L’article 5 est remplacé par le texte suivant: «Article 5 Pseudonymes utilisés dans les transactions électroniques Sans préjudice de l’effet juridique donné aux pseudonymes en droit national, l’utilisation de pseudonymes dans les transactions électroniques n’est pas interdite.»; (5)au chapitre II, l’intitulé est remplacé par le texte suivant: «SECTION I IDENTIFICATION ÉLECTRONIQUE»; (6)l’article 6 est supprimé; (7)les articles suivants (6 bis, 6 ter, 6 quater et 6 quinquies) sont insérés: «Article 6 bis Portefeuilles européens d’identité numérique

1. Afin de garantir à toutes les personnes physiques et morales dans l’Union un accès sécurisé, fiable et continu à des services publics et privés transfrontaliers, chaque État membre délivre un portefeuille européen d’identité numérique dans un délai de 12 mois à compter de l’entrée en vigueur du présent règlement. 2. Les portefeuilles européens d’identité numérique sont délivrés: (a)par un État membre; (b)sur mandat d’un État membre; (c)indépendamment d’un État membre mais sont reconnus par ce dernier. 3. Les portefeuilles européens d’identité numérique permettent à l’utilisateur: (a)de demander et d’obtenir, de stocker, de sélectionner, de combiner et de partager en toute sécurité, d’une manière qui soit transparente pour l’utilisateur et traçable par ce dernier, les données légales nécessaires d’identification personnelle et l’attestation électronique d’attributs pour s’authentifier en ligne et hors ligne en vue d’utiliser des services publics et privés en ligne; (b)de signer au moyen de signatures électroniques qualifiées. 4. En particulier, les portefeuilles européens d’identité numérique: (a)offrent une interface commune: (1)aux prestataires de services de confiance qualifiés et non qualifiés qui délivrent des attestations électroniques qualifiées et non qualifiées d’attributs ou d’autres certificats qualifiés et non qualifiés aux fins de la délivrance de ces attestations et certificats au portefeuille européen d’identité numérique; (2) pour permettre aux parties utilisatrices de demander et de valider des données d’identification personnelle et des attestations électroniques d’attributs; (3)pour la présentation aux parties utilisatrices de données d’identification personnelle, de l’attestation électronique d’attributs ou d’autres données telles que des justificatifs, en mode local ne nécessitant pas d’accès à l’internet pour le portefeuille; (4)pour que l’utilisateur autorise une interaction avec le portefeuille européen d’identité numérique et affiche un “label de confiance de l’UE pour le portefeuille européen d’identité numérique”; (b)font en sorte que les prestataires de services de confiance d’attestations qualifiées d’attributs ne puissent pas recevoir d’informations concernant l’utilisation de ces attributs; (c)satisfont aux exigences énoncées à l’article 8 quant au niveau de garantie “élevé”, tel qu’il est appliqué en particulier aux exigences concernant la preuve et la vérification d’identité, et à la gestion des moyens d’identification électronique et à l’authentification; (d)fournissent un mécanisme permettant de faire en sorte que la partie utilisatrice puisse authentifier l’utilisateur et recevoir des attestations électroniques d’attributs; (e)font en sorte que les données d’identification personnelle visées à l’article 12, paragraphe 4, point d), représentent de manière univoque et constante la personne physique ou morale qui y est associée. 5. Les États membres fournissent des mécanismes de validation pour les portefeuilles européens d’identité numérique: (a)pour veiller à ce que leur authenticité et leur validité puissent être vérifiées;

(b)pour permettre aux parties utilisatrices de vérifier la validité des attestations d’attributs; (c)pour permettre aux parties utilisatrices et aux prestataires de services de confiance qualifiés de vérifier l’authenticité et la validité des données d’identification personnelle attribuées. 6. Les portefeuilles européens d’identité numérique sont délivrés dans le cadre d’un schéma d’identification électronique notifié de niveau de garantie “élevé”. L’utilisation des portefeuilles européens d’identité numérique est gratuite pour les personnes physiques. 7. L’utilisateur exerce un contrôle total sur le portefeuille européen d’identité numérique. L’entité qui délivre le portefeuille européen d’identité numérique ne collecte pas les informations sur l’utilisation du portefeuille qui ne sont pas nécessaires à la fourniture des services qui y sont attachés; elle ne combine pas non plus des données d’identification personnelle et d’autres données à caractère personnel stockées ou relatives à l’utilisation du portefeuille européen d’identité numérique avec des données à caractère personnel provenant de tout autre service offert par cette entité ou de services tiers qui ne sont pas nécessaires à la fourniture des services attachés au portefeuille, à moins que l’utilisateur n’en ait fait expressément la demande. Les données à caractère personnel relatives à la fourniture des portefeuilles européens d’identité numérique sont maintenues séparées, de manière physique et logique, de toute autre donnée détenue. Si le portefeuille européen d’identité numérique est fourni par des parties privées conformément au paragraphe 1, points b) et c), les dispositions de l’article 45 septies, paragraphe 4, s’appliquent mutatis mutandis. 8. L’article 11 s’applique mutatis mutandis au portefeuille européen d’identité numérique. 9. L’article 24, paragraphe 2, points b), e), g) et h), s’applique mutatis mutandis aux États membres qui délivrent les portefeuilles européens d’identité numérique. 10. Le portefeuille européen d’identité numérique est accessible aux personnes handicapées, conformément aux exigences en matière d’accessibilité énoncées à l’annexe I de la directive 2019/882. 11. Dans un délai de six mois à compter de l’entrée en vigueur du présent règlement, la Commission définit les spécifications techniques et opérationnelles ainsi que les normes de référence applicables aux exigences visées aux paragraphes 3, 4 et 5 au moyen d’un acte d’exécution relatif à la mise en œuvre du portefeuille européen d’identité numérique. Cet acte d’exécution est adopté en conformité avec la procédure d’examen visée à l’article 48, paragraphe 2. Article 6 ter Parties utilisatrices de portefeuilles européens d’identité numérique 1. Lorsque les parties utilisatrices ont l’intention d’avoir recours à des portefeuilles européens d’identité numérique délivrés en conformité avec le présent règlement, elles en informent l’État membre sur le territoire duquel elles sont établies afin d’assurer le respect des exigences prévues en droit de l’Union ou en droit national pour la fourniture de services particuliers. Lorsqu’elles font part de leur intention de recourir à des portefeuilles européens d’identité numérique, elles précisent également l’utilisation qu’elles prévoient d’en faire. 2. Les États membres mettent en œuvre un mécanisme commun d’authentification des parties utilisatrices. 3. Les parties utilisatrices sont chargées d’effectuer la procédure d’authentification des données d’identification personnelle et de l’attestation électronique d’attributs provenant des portefeuilles européens d’identité numérique. 4. Dans un délai de six mois à compter de l’entrée en vigueur du présent règlement, la Commission établit des spécifications techniques et opérationnelles applicables aux exigences visées aux paragraphes 1 et 2 au moyen d’un acte d’exécution relatif à la mise en œuvre des portefeuilles européens d’identité numérique, ainsi qu’il est prévu à l’article 6 bis, paragraphe 10. Article 6 ter Certification des portefeuilles européens d’identité numérique 1. Les portefeuilles européens d’identité numérique qui ont été certifiés ou pour lesquels une déclaration de conformité a été délivrée dans le cadre d’un schéma de cybersécurité en application du règlement (UE) 2019/881 et dont les références ont été publiées au Journal officiel de l’Union européenne sont présumés conformes aux exigences pertinentes en matière de cybersécurité énoncées à l’article 6 bis, paragraphes 3, 4 et 5, pour autant que le certificat de cybersécurité ou la déclaration de conformité ou des éléments de l’un ou de l’autre couvrent ces exigences. 2. La conformité aux exigences énoncées à l’article 6 bis, paragraphes 3, 4 et 5, relatives aux opérations de traitement de données à caractère personnel effectuées par l’entité qui délivre les portefeuilles européens d’identité numérique est certifiée selon les modalités prévues par le règlement (UE) 2016/679. 3. La conformité des portefeuilles européens d’identité numérique aux exigences énoncées à l’article 6 bis, paragraphes 3, 4 et 5, est certifiée par les organismes accrédités, publics ou privés, désignés par les États membres. 4. Dans un délai de six mois à compter de l’entrée en vigueur du présent règlement, la Commission dresse, par voie d’actes d’exécution, une liste des normes de certification des portefeuilles européens d’identité numérique visée au paragraphe 3.

5. Les États membres communiquent à la Commission le nom et l’adresse des organismes publics ou privés visés au paragraphe 3. La Commission met ces informations à la disposition des États membres. 6. La Commission est habilitée à adopter des actes délégués, conformément à l’article 47, en ce qui concerne la définition de critères spécifiques que doivent respecter les organismes désignés visés au paragraphe 3. Article 6 quinquies Publication d’une liste des portefeuilles européens d’identité numérique certifiés 1. Les États membres informent la Commission dans les meilleurs délais des portefeuilles européens d’identité numérique qui ont été délivrés en application de l’article 6 bis et certifiés par les organismes visés à l’article 6 quater, paragraphe 3. Ils informent également la Commission, dans les meilleurs délais, de l’annulation de la certification. 2. Sur la base des informations reçues, la Commission établit, publie et met à jour une liste des por