Guide eIDAS : comment se mettre en conformité ?

Qu'est-ce qu'eIDAS ?

eIDAS crée un cadre unique pour que les identités électroniques et les services de confiance soient reconnus dans toute l'Union. Son objectif : sécuriser les transactions numériques et leur donner une valeur juridique claire, en remplaçant la fragmentation des règles nationales.

Il distingue l'identification électronique (prouver qui l'on est en ligne, avec des niveaux de garantie faible, substantiel, élevé) et les services de confiance (signature, cachet, horodatage, envoi recommandé électronique, certificats d'authentification de site).

La révision de 2024, dite eIDAS 2, marque un tournant : elle introduit le portefeuille européen d'identité numérique, qui permettra à chaque citoyen et entreprise de stocker et présenter des attributs d'identité de manière sécurisée et interopérable.

Les niveaux de signature électronique

Le choix du niveau de signature est décisif : il détermine la valeur juridique et le niveau de preuve. Utiliser un niveau inadapté à l'enjeu est une erreur fréquente et risquée.

Plus l'enjeu juridique est élevé, plus le niveau de signature doit l'être : la signature qualifiée offre la plus forte présomption de fiabilité.

Les services de confiance

eIDAS couvre plusieurs services de confiance, chacun pouvant être « qualifié » (soumis à des exigences strictes et bénéficiant d'une présomption juridique renforcée).

• Signature électronique : engagement d'une personne physique.
• Cachet électronique : équivalent pour une personne morale (garantit origine et intégrité).
• Horodatage électronique : preuve de la date et de l'heure d'un document.
• Envoi recommandé électronique : équivalent du recommandé postal.
• Certificats d'authentification de site web : garantissent l'identité d'un site.

eIDAS 2 et le portefeuille d'identité numérique

La révision eIDAS 2 étend le cadre et introduit une brique majeure : le portefeuille européen d'identité numérique (EUDI Wallet).

• Chaque État devra proposer un portefeuille d'identité numérique aux citoyens et entreprises.
• Le portefeuille permettra de s'identifier et de partager des attributs (diplômes, permis, etc.) de façon sécurisée.
• De nombreux services (dont certains grands acteurs privés) devront accepter ce portefeuille.
• L'enjeu de protection des données (RGPD) est central dans sa conception.

Quelles sanctions en cas de non-conformité ?

eIDAS combine des enjeux juridiques (valeur probatoire) et des obligations pour les prestataires de services de confiance, dont les manquements peuvent entraîner sanctions et perte du statut qualifié.

Comment se mettre en conformité : la feuille de route en 6 étapes

Étape 1 — Cartographier vos besoins de confiance

Identifiez les processus qui nécessitent signature, cachet, horodatage ou identité électronique : contrats, RH, factures, actes juridiques, accès à des services.

Pour chacun, évaluez l'enjeu juridique et le niveau de preuve requis.

• Recensez les documents et processus à signer ou sceller.
• Évaluez l'enjeu juridique de chacun.
• Repérez vos besoins d'identification électronique.

Étape 2 — Choisir le bon niveau de signature

Adaptez le niveau (simple, avancée, qualifiée) à l'enjeu : un consentement simple ne requiert pas une signature qualifiée, mais un acte à fort enjeu, oui. C'est le choix le plus structurant.

Documentez vos règles internes pour éviter les erreurs de niveau.

• Réservez la signature qualifiée aux actes à fort enjeu.
• Utilisez la signature avancée pour la plupart des contrats.
• Formalisez une politique interne de signature.

Étape 3 — Choisir des prestataires adaptés

Sélectionnez des prestataires de services de confiance fiables et, pour les usages qualifiés, des prestataires qualifiés figurant sur les listes de confiance nationales.

Le statut qualifié apporte une présomption juridique forte.

• Vérifiez le statut (qualifié ou non) du prestataire.
• Consultez les listes de confiance officielles.
• Alignez le prestataire sur le niveau requis.

Étape 4 — Déployer et intégrer les outils

Intégrez la signature et les services de confiance à vos parcours (contrats, RH, facturation) et formez vos équipes à leur bon usage.

Une bonne intégration évite les contournements et sécurise la valeur probatoire.

• Intégrez les services de confiance à vos processus.
• Formez les équipes au bon usage des signatures.
• Conservez les preuves et journaux associés.

Étape 5 — Anticiper eIDAS 2 et le portefeuille

Préparez l'arrivée du portefeuille européen d'identité numérique : identifiez si vous devrez l'accepter, et comment l'intégrer à vos services et à votre gestion des données.

Les acteurs concernés ont intérêt à anticiper cette évolution structurante.

• Évaluez si vous devrez accepter le portefeuille d'identité.
• Préparez l'intégration technique et le parcours utilisateur.
• Articulez cette intégration avec le RGPD.

Étape 6 — Articuler avec le RGPD

L'identité électronique et les services de confiance traitent des données personnelles : sécurisez base légale, information, minimisation et sécurité.

Le portefeuille d'identité, en particulier, appelle une vigilance forte sur la protection des données.

• Reliez ces traitements à votre registre RGPD.
• Appliquez la minimisation des données d'identité.
• Sécurisez le traitement des attributs partagés.

Les erreurs fréquentes à éviter

• Choisir un niveau de signature inadapté à l'enjeu, exposant l'acte à la contestation.
• Croire que toute signature électronique équivaut à une signature manuscrite (seule la qualifiée y équivaut de plein droit).
• Recourir à un prestataire non qualifié pour un usage qui exige le statut qualifié.
• Négliger l'articulation avec le RGPD sur les données d'identité.
• Ignorer eIDAS 2 et l'arrivée du portefeuille européen d'identité.
• Ne pas conserver les preuves et journaux associés aux signatures.