Portefeuille européen d'identité numérique : guide 2026

Le 24 décembre 2026, les vingt-sept États membres devront proposer à leurs citoyens au moins un portefeuille européen d’identité numérique. Douze mois plus tard, le 24 décembre 2027, une longue liste d’entreprises privées devra l’accepter — banques, assureurs, opérateurs télécoms, acteurs de santé, transporteurs, énergéticiens, très grandes plateformes en ligne.

La plupart des organisations que je rencontre traitent encore le sujet comme une curiosité institutionnelle. C’est une erreur d’appréciation : le portefeuille ne se contente pas d’ajouter un bouton d’authentification à vos parcours. Il impose un enregistrement préalable auprès d’un organisme national, il plafonne les données que vous avez le droit de demander, et il donne à l’utilisateur un tableau de bord depuis lequel il peut vous signaler à la CNIL en trois clics. Voici ce que le cadre prévoit exactement, et ce qu’il faut préparer.

Ce qu’est le portefeuille européen d’identité numérique

Le portefeuille européen d’identité numérique — European Digital Identity Wallet, ou EUDI Wallet — est créé par le règlement (UE) 2024/1183 du 11 avril 2024, entré en vigueur le 20 mai 2024. Ce règlement ne crée pas un texte autonome : il modifie le règlement eIDAS n° 910/2014 en y insérant une section entière (articles 5a à 5f) et un chapitre sur les attestations électroniques d’attributs. On parle couramment d’« eIDAS 2 ».

Concrètement, il s’agit d’une application mobile, fournie sous la responsabilité d’un État membre, dans laquelle l’utilisateur stocke des données d’identification personnelle (nom, prénoms, date de naissance) et des attestations électroniques d’attributs : permis de conduire, diplôme, mandat professionnel, qualité d’assuré social, statut d’étudiant, habilitation.

Trois caractéristiques structurent tout le reste.

Il est décentralisé. Contrairement à ce que la presse grand public laisse parfois entendre, le portefeuille n’est pas une base de données européenne des citoyens. Les attestations sont émises par des sources authentiques, signées cryptographiquement, puis stockées sur le terminal de l’utilisateur. Aucun opérateur central ne voit passer les transactions.

Il est gratuit et facultatif. L’article 5a(13) impose la gratuité de la délivrance, de l’utilisation et de la révocation pour toutes les personnes physiques. L’article 5a(15) va plus loin : l’usage est volontaire, et « l’accès aux services publics et privés, l’accès au marché du travail et la liberté d’entreprise ne sont en aucune manière restreints ni rendus désavantageux » pour ceux qui ne l’utilisent pas. Un canal alternatif doit rester ouvert. Cette disposition est capitale, et j’y reviens plus bas : elle interdit de faire du portefeuille un passage obligé.

Il permet la divulgation sélective. L’article 5a(4)(a) exige que le portefeuille rende possible la selective disclosure. Traduction pratique : pour prouver qu’une personne est majeure, on transmet un attribut « majeur : oui » plutôt qu’une date de naissance, et a fortiori plutôt qu’une copie de carte d’identité. Le règlement va jusqu’à exiger, à l’article 5a(16)(b), des techniques préservant la vie privée assurant la non-corrélation des présentations lorsque l’identification n’est pas nécessaire.

Le portefeuille embarque également une capacité de signature électronique qualifiée gratuite pour les personnes physiques (art. 5a(5)(g)), les États membres pouvant limiter cette gratuité aux usages non professionnels. C’est un basculement majeur pour la valeur probatoire de la signature électronique, dont le niveau qualifié était jusqu’ici réservé à ceux qui acceptaient le coût et la lourdeur de l’enrôlement.

Les deux échéances : d’où viennent le 24 décembre 2026 et le 24 décembre 2027

Les dates circulent souvent de façon approximative (« fin 2026 », « courant 2027 »). Elles se calculent pourtant précisément, et il vaut mieux savoir d’où elles viennent, car elles conditionnent votre plan de charge.

L’article 5a(1) impose à chaque État membre de fournir au moins un portefeuille dans les 24 mois suivant l’entrée en vigueur des actes d’exécution visés aux articles 5a(23) et 5c(6). Le premier paquet d’actes d’exécution a été adopté le 28 novembre 2024 — règlements d’exécution (UE) 2024/2977 (données d’identification et attestations d’attributs), 2024/2979 (intégrité et fonctionnalités essentielles), 2024/2980 (notifications à la Commission), 2024/2981 (certification) et 2024/2982 (protocoles et interfaces) — et est entré en vigueur le 24 décembre 2024.

D’où le calcul :

Échéance	Base juridique	Date	Qui est visé
Mise à disposition du portefeuille	Art. 5a(1) — 24 mois	24 décembre 2026	Les 27 États membres
Registres nationaux des parties utilisatrices opérationnels	Règl. d’exécution (UE) 2025/848	24 décembre 2026	États membres
Acceptation obligatoire par le secteur public	Art. 5f(1)	Dès la mise à disposition	Organismes du secteur public
Acceptation obligatoire par le privé et les VLOP	Art. 5f(2) et (3) — 36 mois	24 décembre 2027	Secteurs réglementés + très grandes plateformes

Un second paquet d’actes d’exécution a été publié au Journal officiel de l’Union le 7 mai 2025 : règlements (UE) 2025/846 (rapprochement transfrontalier d’identité par le secteur public), 2025/847 (violations de sécurité), 2025/848 (enregistrement des parties utilisatrices) et 2025/849 (liste des portefeuilles certifiés). Le règlement 2025/848 est celui qui vous concerne directement si vous exploitez un service en ligne : il fixe les modalités des registres nationaux et s’applique à compter du 24 décembre 2026.

Côté français, France Identité constitue la brique nationale destinée à être mise en conformité avec eIDAS 2 pour devenir le portefeuille français. Les briques de confiance existantes — liste de confiance tenue par l’ANSSI, certification PVID pour la vérification d’identité à distance — restent le socle technique de l’écosystème.

Êtes-vous concerné par l’obligation d’acceptation ?

L’article 5f distingue trois régimes. Lisez-le avec attention : le périmètre est plus large que ce que l’on imagine, mais il comporte des exclusions nettes.

Secteur public : acceptation immédiate

L’article 5f(1) est sans condition ni délai supplémentaire : lorsqu’un État membre exige une identification et une authentification électroniques pour accéder à un service en ligne fourni par un organisme du secteur public, il doit aussi accepter les portefeuilles européens. Aucun seuil de taille, aucune exclusion pour les petites collectivités.

Secteur privé : les secteurs réglementés au 24 décembre 2027

L’article 5f(2) vise les parties utilisatrices privées, à l’exclusion des microentreprises et des petites entreprises au sens de la recommandation 2003/361/CE — soit, en pratique, les entités de moins de 50 salariés et moins de 10 M€ de chiffre d’affaires ou de total de bilan. Les entreprises de taille moyenne et les grandes entreprises sont donc dans le périmètre.

Le critère de déclenchement n’est pas sectoriel au premier chef : c’est l’existence d’une exigence d’authentification forte de l’utilisateur pour l’identification en ligne, imposée soit par le droit de l’Union ou national, soit par une obligation contractuelle. Le texte cite ensuite, à titre illustratif, les domaines du transport, de l’énergie, de la banque, des services financiers, de la sécurité sociale, de la santé, de l’eau potable, des services postaux, des infrastructures numériques, de l’éducation et des télécommunications.

Deux conséquences que l’on sous-estime systématiquement. D’abord, la mention « ou lorsque l’authentification forte est requise par une obligation contractuelle » élargit considérablement le champ : une exigence contractuelle d’authentification forte que vous vous êtes imposée à vous-même vous fait entrer dans le dispositif. Ensuite, l’obligation ne joue que sur demande volontaire de l’utilisateur : vous devez pouvoir accepter le portefeuille si on vous le présente, vous ne pouvez pas l’imposer.

Très grandes plateformes : au 24 décembre 2027 également

L’article 5f(3) vise les fournisseurs de très grandes plateformes en ligne au sens de l’article 33 du règlement (UE) 2022/2065 (DSA). Lorsqu’ils exigent une authentification de l’utilisateur, ils doivent accepter et faciliter l’usage du portefeuille, sur demande volontaire de l’utilisateur, et « pour les données minimales nécessaires au service en ligne spécifique ». Si vous suivez déjà les obligations DSA des plateformes, ajoutez cette ligne au registre de conformité.

Vous êtes…	Obligation d’accepter ?	Échéance
Organisme public exigeant une identification en ligne	Oui	Mise à disposition du portefeuille
PME de moins de 50 salariés (micro/petite entreprise)	Non	—
ETI ou grande entreprise soumise à une exigence d’authentification forte (légale ou contractuelle)	Oui	24 décembre 2027
Fournisseur de VLOP au sens du DSA	Oui	24 décembre 2027
Autre entreprise privée, sans exigence d’authentification forte	Non (mais possible volontairement)	—

L’enregistrement comme partie utilisatrice : l’obligation que tout le monde découvre trop tard

C’est le point technique le plus structurant, et le moins connu. L’article 5b(1) pose une règle simple : si vous entendez vous appuyer sur les portefeuilles, vous devez vous enregistrer dans l’État membre où vous êtes établi. Pas de déclaration, pas de portefeuille : votre service ne pourra tout simplement pas dialoguer avec les applications des utilisateurs.

L’article 5b(2) fixe le contenu minimal de l’enregistrement :

• l’État membre d’établissement ;
• le nom de la partie utilisatrice et, le cas échéant, son numéro d’immatriculation dans un registre officiel ;
• ses coordonnées ;
• l’usage prévu du portefeuille, avec l’indication des données qui seront demandées aux utilisateurs.

Et immédiatement après, l’article 5b(3) verrouille le dispositif : « Les parties utilisatrices ne demandent pas aux utilisateurs de fournir des données autres que celles indiquées » dans la déclaration. Le règlement d’exécution (UE) 2025/848 précise les modalités de ces registres, que les États membres doivent rendre opérationnels au 24 décembre 2026.

Il faut mesurer ce que cela produit. La minimisation, principe posé à l’article 5(1)© du RGPD, reste en pratique difficile à contrôler : l’autorité doit établir, service par service, qu’une donnée collectée n’était pas nécessaire. Ici, le contrôle devient déclaratif et automatisable. Votre déclaration est publiée en ligne sous forme signée et lisible par machine (art. 5b(5)). N’importe qui peut comparer ce que vous avez déclaré demander et ce que vous demandez effectivement. L’écart se constate sans expertise.

Trois autres obligations pèsent sur les parties utilisatrices, et elles sont d’application directe :

• Vous identifier auprès de l’utilisateur avant toute demande (art. 5b(8)). L’anonymat du demandeur n’est plus possible.
• Ne pas refuser les pseudonymes lorsque l’identification de l’utilisateur n’est pas requise par le droit de l’Union ou national (art. 5b(9)). Si votre parcours d’inscription réclame une identité civile sans base légale l’exigeant, il devient contestable.
• Notifier sans délai toute modification des informations enregistrées (art. 5b(6)). Un nouveau champ demandé impose une mise à jour préalable de la déclaration.

Enfin, l’article 5b(10) précise que les intermédiaires agissant pour le compte de parties utilisatrices sont eux-mêmes réputés parties utilisatrices et ne stockent pas de données sur le contenu de la transaction. Si vous passez par un fournisseur d’identité ou un agrégateur, cette qualification a des conséquences directes sur votre cartographie sous-traitants : la position d’intermédiaire n’exonère personne.

Ce que le portefeuille change pour votre conformité RGPD

L’articulation avec le RGPD n’est pas laissée à l’interprétation : le règlement 2024/1183 la traite explicitement.

Une architecture de minimisation par construction

C’est le principal apport. Aujourd’hui, un parcours d’entrée en relation type collecte une copie de pièce d’identité, un justificatif de domicile et un selfie. Le portefeuille permet de remplacer cela par la présentation d’attributs vérifiés, sans transmission du document sous-jacent. Prouver la majorité sans révéler la date de naissance, prouver la résidence dans un département sans transmettre l’adresse complète, prouver une qualité professionnelle sans transmettre le diplôme.

L’effet sur votre exposition est mécanique : moins de données détenues, moins de conséquences en cas de violation de données, et une analyse d’impact sensiblement allégée. Pour les acteurs soumis à des obligations de vérification d’identité au titre de la LCB-FT, le portefeuille pourrait devenir le moyen de concilier une obligation de connaissance du client avec le principe de minimisation — un arbitrage aujourd’hui inconfortable, que j’ai vu occuper des comités de conformité entiers.

Attention toutefois : le portefeuille ne dispense d’aucune obligation sectorielle. Les diligences LCB-FT restent dues ; c’est leur mode de preuve qui évolue.

Des droits des personnes outillés dans l’application

L’article 5a(4)(d) impose un tableau de bord commun permettant à l’utilisateur de consulter la liste à jour des parties utilisatrices avec lesquelles il est entré en relation et les données échangées, de demander l’effacement de ses données auprès d’une partie utilisatrice au titre de l’article 17 du RGPD, et de signaler une partie utilisatrice à l’autorité de protection des données lorsqu’il reçoit une demande de données prétendument illicite ou suspecte.

Ce dernier point mérite qu’on s’y arrête. Le règlement industrialise le signalement. Une demande de données excessive ne produira plus un abandon de parcours silencieux, mais un signalement horodaté, documenté, adressé à la CNIL depuis une interface standardisée. Les organisations dont les formulaires réclament plus que nécessaire devraient anticiper une hausse sensible du volume de plaintes.

L’article 5a(4)(g) prévoit par ailleurs l’exercice du droit à la portabilité directement depuis le portefeuille.

Cloisonnement et interdiction de recoupement

L’article 5a(14) encadre strictement les fournisseurs de portefeuilles : interdiction de collecter des informations sur l’usage du portefeuille qui ne seraient pas nécessaires à la fourniture du service, interdiction de combiner les données d’identification avec des données provenant d’autres services du même fournisseur ou de services tiers non nécessaires — sauf demande expresse de l’utilisateur. Les données relatives à la fourniture du portefeuille doivent être logiquement séparées de toute autre donnée détenue par le fournisseur.

Cette exigence de séparation logique est l’un des points certifiés au titre de l’article 5c(1), avec une validité de cinq ans sous réserve d’une évaluation de vulnérabilité tous les deux ans. C’est une transposition assez directe de la logique privacy by design de l’article 25 du RGPD, mais assortie ici d’un contrôle de conformité ex ante.

Symétriquement, l’article 5a(5)(b) interdit que le portefeuille informe l’émetteur d’une attestation de l’usage qui en est fait. Votre université ne saura pas que vous avez présenté votre diplôme à un employeur. L’article 5a(16)(a) étend cette interdiction de traçage à « toute autre partie », sauf autorisation explicite de l’utilisateur.

Les points de vigilance juridique

Quatre écueils reviennent systématiquement dans les projets que j’accompagne.

Le portefeuille ne peut pas devenir un passage obligé. L’article 5a(15) l’interdit explicitement. Un parcours qui ne proposerait que le portefeuille, ou qui rendrait les alternatives volontairement dissuasives — délais allongés, frais supplémentaires, fonctionnalités dégradées — méconnaîtrait le règlement. Prévoyez le canal alternatif dès la conception, pas en rattrapage.

Vous restez responsable de traitement. Recevoir des attributs vérifiés ne transfère pas la responsabilité. Vous devez toujours identifier une base légale pour chaque donnée reçue, l’inscrire à votre registre des traitements, définir une durée de conservation et informer les personnes. Une donnée fiable n’est pas une donnée que l’on a le droit de conserver indéfiniment.

L’enrôlement biométrique n’échappe pas à l’article 9. L’onboarding dans un portefeuille repose fréquemment sur une vérification faciale. La comparaison de gabarits produit des données biométriques aux fins d’identifier une personne de manière unique, en principe interdites par l’article 9(1) du RGPD. L’exception généralement mobilisée est le consentement explicite de l’article 9(2)(a), ce qui suppose une alternative réelle — sans quoi le consentement n’est pas libre.

Une AIPD est très probablement requise. Le considérant 17 du règlement 2024/1183 rappelle l’obligation, pour les parties utilisatrices, de réaliser une analyse d’impact et de consulter l’autorité compétente lorsque celle-ci révèle un risque élevé résiduel. Compte tenu de l’échelle et de la nature des données d’identification, la question de savoir si une AIPD s’impose se posera rarement de façon négative.

Plan de préparation : ce qu’il faut faire d’ici décembre 2027

Voici la séquence que je recommande. Elle tient en six chantiers, dont trois à démarrer avant la fin 2026.

1. Qualifier votre situation (T4 2026). Êtes-vous dans le périmètre de l’article 5f(2) ? Le test se joue sur deux questions : votre effectif et vos seuils financiers dépassent-ils ceux de la petite entreprise, et une exigence d’authentification forte pèse-t-elle sur vos parcours en ligne, y compris par la voie contractuelle ? Documentez la réponse : si elle est négative, elle devra être défendable.

2. Cartographier les données réellement nécessaires (T4 2026). C’est le chantier le plus utile, et il est indépendant du portefeuille. Pour chaque parcours d’identification, listez les données collectées et confrontez-les à la finalité. Tout ce que vous ne saurez pas justifier ne devra pas figurer dans votre déclaration de partie utilisatrice — et ne devra donc plus être demandé.

3. Préparer la déclaration d’enregistrement (T1-T2 2027). L’article 5b(2)© impose de décrire l’usage prévu et les données demandées. Cette déclaration devient publique et opposable. Rédigez-la avec la même rigueur qu’une mention d’information, en anticipant les évolutions produit : chaque champ ajouté ultérieurement suppose une mise à jour préalable.

4. Adapter les parcours techniques (T2-T3 2027). Support des protocoles communs de l’article 5a(5)(a), authentification de votre propre identité auprès de l’utilisateur, vérification de l’authenticité et de la validité du portefeuille présenté, acceptation des pseudonymes lorsque l’identité civile n’est pas légalement requise. À traiter comme un chantier d’architecture, pas comme une intégration de SDK.

5. Mettre à jour la documentation de conformité (T3 2027). Registre des traitements, mentions d’information, AIPD, procédures de réponse aux demandes d’effacement transmises depuis le tableau de bord, et articulation avec vos mesures de sécurité de l’article 32. Prévoyez également le traitement des notifications de violation dans le nouveau contexte : le règlement d’exécution 2025/847 fixe un régime spécifique aux violations affectant les portefeuilles.

6. Traiter le sujet avec les chantiers connexes (2027). La signature qualifiée gratuite modifie l’économie de vos processus contractuels et de votre archivage à valeur probante. Les exigences d’authentification forte recoupent celles de NIS2. Et les logiques de portabilité rejoignent celles du Data Act. Un projet unique coûte moins cher que quatre chantiers parallèles menés par quatre directions différentes.

Ce qu’il faut retenir

• Deux dates fermes : le 24 décembre 2026 pour la mise à disposition du portefeuille par les États membres, le 24 décembre 2027 pour l’obligation d’acceptation par les entreprises privées visées et les très grandes plateformes (art. 5f(2) et (3)).
• L’enregistrement comme partie utilisatrice est un préalable technique : sans déclaration au registre national, votre service ne dialogue pas avec les portefeuilles (art. 5b(1), règl. d’exécution 2025/848).
• Vous ne pourrez demander que ce que vous avez déclaré (art. 5b(3)). La minimisation devient vérifiable publiquement, sans expertise et sans contrôle sur place.
• Les micro et petites entreprises sont hors du périmètre de l’obligation d’acceptation, mais rien ne leur interdit d’accepter le portefeuille volontairement.
• L’usage reste volontaire pour l’utilisateur (art. 5a(15)) : un canal alternatif d’identification doit être maintenu, sans désavantage.
• Le tableau de bord industrialise le signalement à la CNIL des demandes de données excessives (art. 5a(4)(d)). Les formulaires trop gourmands deviennent un risque contentieux direct.
• Vous restez responsable de traitement : base légale, registre, durées de conservation et AIPD demeurent intégralement dus.

FAQ

Le portefeuille européen d’identité numérique est-il obligatoire pour les citoyens ?

Non. L’article 5a(15) du règlement eIDAS modifié pose que son utilisation est volontaire et que l’accès aux services publics et privés, au marché du travail et la liberté d’entreprise ne peuvent être restreints ni rendus désavantageux pour les personnes qui ne l’utilisent pas. Les moyens d’identification et d’authentification existants doivent rester disponibles. Une organisation qui supprimerait ses parcours alternatifs, ou qui les dégraderait volontairement, contreviendrait au règlement.

Mon entreprise doit-elle accepter le portefeuille au 24 décembre 2027 ?

Cela dépend de deux critères cumulatifs. Vous êtes visé par l’article 5f(2) si vous n’êtes ni une microentreprise ni une petite entreprise au sens de la recommandation 2003/361/CE, et si une authentification forte de l’utilisateur est exigée pour l’identification en ligne, que cette exigence découle du droit de l’Union, du droit national ou d’une obligation contractuelle. Les domaines cités par le texte — banque, assurance, santé, transport, énergie, télécoms, éducation, services postaux, infrastructures numériques, eau potable, sécurité sociale — sont illustratifs et non limitatifs.

Qu’est-ce qu’une partie utilisatrice et comment s’enregistre-t-on ?

La partie utilisatrice est l’organisme qui s’appuie sur le portefeuille pour fournir un service public ou privé par voie numérique. L’article 5b(1) impose son enregistrement dans l’État membre d’établissement. Le dossier comporte au minimum l’État d’établissement, la dénomination et le numéro d’immatriculation, les coordonnées et surtout l’usage prévu ainsi que la liste des données qui seront demandées. Le règlement d’exécution (UE) 2025/848 du 6 mai 2025 en fixe les modalités ; les registres nationaux doivent être opérationnels au 24 décembre 2026.

Le portefeuille dispense-t-il de réaliser une analyse d’impact ?

Non, et il la rend même souvent nécessaire. Le considérant 17 du règlement (UE) 2024/1183 rappelle l’obligation des parties utilisatrices de conduire une analyse d’impact relative à la protection des données et de consulter l’autorité compétente lorsqu’un risque élevé résiduel apparaît. Le portefeuille réduit le volume de données traitées, ce qui allège le contenu de l’analyse, mais l’identification de personnes physiques à grande échelle reste un traitement pour lequel l’AIPD s’impose dans la plupart des configurations.

Le portefeuille remplace-t-il la vérification d’identité KYC ?

Il en change le mode de preuve, pas le principe. Les obligations de vigilance issues de la réglementation LCB-FT continuent de s’appliquer intégralement. Ce que le portefeuille apporte, c’est une source d’attributs vérifiés au niveau de garantie élevé, permettant de satisfaire l’obligation de connaissance du client sans conserver de copies de documents d’identité. C’est une avancée nette au regard du principe de minimisation, à condition de documenter l’équivalence entre l’attestation reçue et l’exigence sectorielle applicable.

Peut-on refuser qu’un utilisateur se présente sous pseudonyme ?

Seulement lorsque le droit de l’Union ou le droit national exige son identification. L’article 5b(9) interdit aux parties utilisatrices de refuser l’usage de pseudonymes dans les autres cas. Concrètement, un service qui n’a pas d’obligation légale d’identifier ses utilisateurs — la plupart des services en ligne grand public — devra accepter une authentification pseudonyme. Les parcours d’inscription réclamant une identité civile par confort opérationnel deviendront difficilement défendables.

Que risque une organisation qui demande plus de données qu’elle n’en a déclaré ?

Deux régimes se cumulent. Au titre du règlement eIDAS modifié, la partie utilisatrice viole l’article 5b(3) et s’expose aux mesures de supervision et aux sanctions prévues par le droit national de mise en œuvre. Au titre du RGPD, la même pratique caractérise un manquement au principe de minimisation de l’article 5(1)©, passible des sanctions administratives de l’article 83. La particularité, ici, est la facilité de la preuve : la déclaration est publique et la demande effective est observable.

---

Vous voulez recevoir ce type d’analyse chaque semaine ? Échéances réglementaires anticipées, textes décryptés, méthodes applicables : inscrivez-vous à la newsletter. Une analyse par semaine, rien d’autre.