Identité numérique européenne : ce qu'une TPE n'est pas obligée d'accepter

Identité numérique : ce qu'est le portefeuille européen

Le règlement eIDAS, dans sa version consolidée au 18 octobre 2024 lue sur EUR-Lex le 14 septembre 2026, définit le « portefeuille européen d'identité numérique » comme « un moyen d'identification électronique qui permet à l'utilisateur de stocker, de gérer et de valider en toute sécurité des données d'identification personnelle et des attestations électroniques d'attributs afin de les fournir aux parties utilisatrices », et « de signer au moyen de signatures électroniques qualifiées ou d'apposer des cachets au moyen de cachets électroniques qualifiés ».

Une « partie utilisatrice », c'est vous dès que vous vous fiez à une identification : le règlement la définit comme « une personne physique ou morale qui se fie à une identification électronique, aux portefeuilles européens d'identité numérique ou à d'autres moyens d'identification électronique, ou à un service de confiance ».

Le calendrier de déploiement n'est pas une date fixe mais un délai : « chaque État membre fournit au moins un portefeuille européen d'identité numérique dans un délai de vingt-quatre mois à compter de la date d'entrée en vigueur des actes d'exécution » prévus par le règlement.

Qui devra l'accepter, et qui en est exclu

Trois régimes coexistent dans l'article 5 septies, et une TPE se situe dans le troisième.

L'exclusion, telle qu'elle est écrite

Le paragraphe 2 vise les parties utilisatrices privées « fournissant des services, exception faite des microentreprises et des petites entreprises telles qu'elles sont définies à l'article 2 de l'annexe de la recommandation 2003/361/CE de la Commission », lorsque le droit de l'Union ou le droit national, ou une obligation contractuelle, leur impose une authentification forte.

Les secteurs concernés sont listés : « des transports, de l'énergie, de la banque, des services financiers, de la sécurité sociale, de la santé, de l'eau potable, des services postaux, des infrastructures numériques, de l'éducation ou des télécommunications ». Une TPE qui travaille dans l'un de ces domaines reste donc hors de l'obligation par sa taille, pas par son secteur. Les seuils exacts de la recommandation européenne ne sont pas reproduits ici : c'est ce texte-là qui les fixe.

Une nuance vaut d'être notée : l'obligation, quand elle s'applique, ne remplace rien. Elle s'ajoute, « uniquement à la demande volontaire de l'utilisateur ». Personne n'est tenu d'abandonner ses moyens d'identification existants.

Ce que le portefeuille donne à son porteur

Deux éléments méritent l'attention d'un dirigeant, même sans obligation d'acceptation. D'abord la signature : les États membres « offrent à toutes les personnes physiques la possibilité de signer, par défaut et gratuitement, au moyen de signatures électroniques qualifiées ». Le niveau de signature le plus élevé devient donc accessible sans abonnement — sur les niveaux et leur valeur, voir notre page sur la signature électronique.

Ensuite le journal. L'utilisateur doit pouvoir « accéder à un journal de toutes les transactions effectuées avec le portefeuille européen d'identité numérique, au moyen d'un tableau de bord commun », « consulter une liste à jour des parties utilisatrices avec lesquelles l'utilisateur a établi une connexion », « demander facilement l'effacement par une partie utilisatrice de données à caractère personnel en vertu de l'article 17 du règlement (UE) 2016/679 » et « signaler facilement une partie utilisatrice à l'autorité nationale chargée de la protection des données compétente, lorsqu'une demande de données présumée illégale ou suspecte est reçue ».

Cette dernière ligne change la posture d'une entreprise qui demande des justificatifs : une demande excessive devient signalable en un geste, depuis le portefeuille. Sur ce que vous devez déjà documenter, voir notre page RGPD TPE.

Ce que le fournisseur du portefeuille n'a pas le droit de faire

Le règlement ferme la porte au croisement de données : le fournisseur « ne collecte pas les informations sur l'utilisation du portefeuille européen d'identité numérique qui ne sont pas nécessaires à la fourniture des services liés au portefeuille », et il « ne combine pas non plus des données d'identification personnelle ou d'autres données à caractère personnel stockées ou relatives à l'utilisation du portefeuille européen d'identité numérique avec des données à caractère personnel provenant de tout autre service offert par ce fournisseur ou de services tiers », sauf demande expresse contraire de l'utilisateur.

Et la séparation est technique, pas seulement contractuelle : « Les données à caractère personnel relatives à la fourniture du portefeuille européen d'identité numérique sont maintenues séparées, de manière logique, de toute autre donnée détenue par le fournisseur du portefeuille européen d'identité numérique. »

Ce que cette page ne dit pas

Elle ne donne pas de date calendaire de déploiement : le règlement raisonne en délais à compter d'actes d'exécution, et nous ne les datons pas ici. Elle ne reproduit pas les seuils de la recommandation 2003/361/CE qui définissent microentreprise et petite entreprise. Elle ne traite ni les attestations électroniques d'attributs, ni le mode hors ligne, ni les prestataires de services de confiance qualifiés. Règlement eIDAS consolidé au 18 octobre 2024, lu sur EUR-Lex le 14 septembre 2026.