CET ARTICLE A INITIALEMENT ÉTÉ PUBLIÉ DANS ARCHIMAG N° 381 : Protection des données en entreprise: quelle stratégie à l'ère de l'IA ?
Découvrez Le Brief de l'IT, la newsletter thématique gratuite d'Archimag dédiée aux professionnels des data, de l'IT, de la digitalisation et de la transformation numérique !
Dix ans. C’est le temps qu’il aura fallu pour passer de eIDAS 1 à eIDAS 2. Le 23 juillet 2014, l’Europe adoptait le règlement eIDAS (Electronic identification and trust services) et se fixait un objectif : accroître la confiance dans les transactions électroniques au sein du marché intérieur.
Dix ans plus tard, eIDAS 2 poursuit le même objectif, mais avec des ambitions bien plus grandes : "dans la première version d’eIDAS, la notion d’archivage électronique se limitait au stockage de signatures électroniques qualifiées", explique l’avocat Eric Barbry. "Avec eIDAS 2.0, l’archivage électronique sera entendu plus largement comme un service assurant la réception, le stockage, la récupération et la suppression de données électroniques et de documents électroniques afin d’en garantir la durabilité et la lisibilité, ainsi que d’en préserver l’intégrité, la confidentialité et la preuve de l’origine pendant toute la période de préservation".
Un optimisme partagé par Sandrine Hilaire, présidente de la Commission confiance numérique au sein de l’association professionnelle eFutura : "ce service de confiance offre un cadre légal et technique robuste pour assurer la conservation à long terme des documents électroniques, garantissant leur intégrité et leur authenticité", explique-t-elle. "Le principal objectif est de maintenir la durabilité et la lisibilité des données électroniques tout au long de leur période de conservation. Cela inclut la protection contre la perte et l’altération des données, tout en permettant les modifications nécessaires liées au support électronique."
Services qualifiés
Si l’Europe est passée à eIDAS 2, c’est qu’elle a fait un constat : la première version manquait de souplesse et ne répondait plus aux évolutions technologiques les plus récentes. La version 2 propose un cadre légal et technique qui incarne la réponse européenne au mouvement mondial de dématérialisation qui touche les échanges électroniques. Précision importante : eIDAS 2 concerne les autorités publiques, bien sûr, mais aussi les entreprises et les citoyens européens.
Ces derniers pourront prochainement disposer d’un portefeuille d’identité numérique (EU Digital Identity Wallet ou EUDI Wallet) qui leur permettra d’accéder à de multiples fonctions très concrètes, comme l’authentification en ligne et hors ligne et la signature électronique qualifiée de documents, par exemple.
Contrairement aux services non qualifiés, les services qualifiés offrent une présomption légale de fiabilité. Cela signifie qu’en cas de litige, le prestataire qualifié est présumé responsable d’un dommage, sauf s’il prouve qu’il n’y a pas eu intention ni négligence. En revanche, avec un service non qualifié, c’est à l’utilisateur de démontrer la faute. Ce cadre juridique assure une sécurité renforcée tout en favorisant l’interopérabilité à l’échelle européenne.
Lire aussi : Le cadre juridique de la signature et du coffre-fort électroniques
Un portefeuille d’identité numérique à partir de 2026
"Chaque État membre mettra à disposition de ses citoyens un portefeuille d’identité numérique qui se présentera sous la forme d’une application pour mobile", explique Sandrine Hilaire. "Son grand avantage est de fournir des données d’identité avec le même niveau de sécurité que lorsque vous présentez une carte nationale d’identité ou un passeport. Précisons également que si les États seront dans l’obligation de proposer ce passeport d’identité numérique à leurs citoyens, ces derniers ne seront pas dans l’obligation de l’utiliser".
Lorsque ce portefeuille verra le jour, il ouvrira la voie à de très nombreuses possibilités pratiques aux usagers : ouverture de comptes bancaires, paiements en ligne, ordonnances médicales, certificats professionnels, billets de voyage… Pourront également y être stockés toutes sortes de documents, comme la carte d’identité, le permis de conduire ou les cartes de paiement.
Avant même d’être disponible sur les téléphones des citoyens européens, ce portefeuille fait depuis plusieurs mois l’objet de tests au sein de quatre projets pilotes impliquant plus de 250 entreprises privées et autorités publiques dans 25 États membres de l’UE, auxquels se sont jointes la Norvège, l’Islande et l’Ukraine.
D’ici 2026, les premiers portefeuilles devraient voir le jour sur Android et iOS avant une généralisation prévue à l’horizon 2030.
Lire aussi : Le portefeuille numérique européen en approche
Négociations entre 27 États membres
La France, comme tous les États membres de l’Union européenne, dispose d’une année après l’adoption d’eIDAS 2 pour procéder à sa mise en œuvre. Ce travail de rédaction de normes est confié à différentes commissions de normalisation et agences gouvernementales. L’Anssi (Agence nationale de la sécurité des systèmes d’information) prendra ainsi en charge le volet cybersécurité du nouveau règlement.
À l’échelle européenne, certains pays ont pris de l’avance : la Belgique, l’Estonie, la Lituanie et l’Allemagne figurent parmi les pays précurseurs… Mais, grâce à l’application gouvernementale France Identité, qui permet de prouver son identité en ligne, la France dispose aujourd’hui d’un socle sur lequel s’appuyer pour tenir ses engagements.
Les dix années de négociations qui ont donné naissance à eIDAS 2 peuvent paraître longues pour le profane, mais elles n’ont pas été de trop pour mettre d’accord les 27 États membres de l’Union européenne autour d’un texte commun. Côté français, la Direction interministérielle du numérique (Dinum) a été nommée cheffe de file de la négociation liée au texte de révision du règlement, en particulier sur l’identité numérique.
Elle a porté la position de la France au niveau européen et a animé les travaux interministériels sur le sujet avec, en particulier, l’Agence nationale des titres sécurisés (ANTS), la Direction générale des entreprises (DGE), la Direction des libertés publiques et des affaires juridiques (DLPAJ) et la Commission nationale de l’informatique et des libertés (Cnil). L’Anssi s’est également impliquée aux côtés de ces administrations lors des négociations afin de faire prévaloir les aspects liés à la cybersécurité.
À cette liste d’institutions publiques, il faut ajouter des entreprises (ChamberSign France, AR24, Lex Persona…) et des entités diverses, comme le Conseil du notariat français, qui ont également participé aux négociations.
Lire aussi : Signature électronique et blockchain : les enjeux juridiques et judiciaires
Vitesse de croisière
"Le règlement est issu d’un accord conclu entre le Parlement européen et le Conseil de l’UE qui sont colégislateurs sur ce même règlement", rappelle Sandrine Hilaire ; "il est ensuite soumis à l’approbation formelle du Parlement européen et du Conseil. Les entreprises des États membres pourront fournir ces nouveaux services numériques à leurs citoyens après l’adoption des actes d’exécution établissant les spécifications techniques et les spécifications techniques de certification."
Ces actes d’exécution - qui doivent être adoptés 6 et 12 mois après l’adoption du règlement - s’appuieront sur les spécifications élaborées par des groupes d’experts, comme l’a fait eFutura en participant au groupe de travail au CEN/TC 468 (Comité technique européen de normalisation) Preservation of digital information, instances spécifiques à l’archivage électronique. Ces instances regroupent des experts de tous les pays qui souhaitent y participer sous l’égide de leur organe de normalisation ; en France, il s’agit de l’Afnor.
Lorsque eIDAS 2 aura atteint sa vitesse de croisière, l’Europe pourra se réjouir. Elle sera parvenue à développer une identité numérique et des services de confiance reconnus dans l’ensemble des États membres. Et ses citoyens disposeront alors d’une identité numérique.
