1. Afin de garantir à toutes les personnes physiques et morales dans l’Union un accès transfrontière sécurisé, fiable et continu à des services publics et privés, tout en exerçant un contrôle total sur leurs données, chaque État membre fournit au moins un portefeuille européen d’identité numérique dans un délai de vingt-quatre mois à compter de la date d’entrée en vigueur des actes d’exécution visés au paragraphe 23 du présent article et à l’article 5 quater, paragraphe 6.
2. Les portefeuilles européens d’identité numérique sont fournis de l’une ou plusieurs des manières suivantes:
a) directement par un État membre;
b) sur mandat d’un État membre;
c) indépendamment d’un État membre tout en étant reconnus par cet État membre.
3. Le code source des composants logiciels de l’application des portefeuilles européens d’identité numérique fait l’objet d’une licence à code source ouvert (open source). Les États membres peuvent prévoir que, pour des raisons dûment justifiées, le code source de composants spécifiques autres que ceux installés sur les dispositifs utilisateurs n’est pas divulgué.
4. Les portefeuilles européens d’identité numérique permettent à l’utilisateur, d’une manière conviviale, transparente et qui garantit la traçabilité pour l’utilisateur:
a) de demander, d’obtenir, de sélectionner, de combiner, de stocker, de supprimer, de partager et de présenter en toute sécurité, sous le seul contrôle de l’utilisateur, des données d’identification personnelle et, lorsqu’il y a lieu, en combinaison avec les attestations électroniques d’attributs, de s’authentifier à l’égard de parties utilisatrices, en ligne et, le cas échéant, en mode hors ligne, en vue d’accéder à des services publics et privés, tout en veillant à ce qu’une divulgation sélective de données soit possible;
b) de générer des pseudonymes et de les stocker localement sous forme chiffrée dans le portefeuille européen d’identité numérique;
c) d’authentifier en toute sécurité le portefeuille européen d’identité numérique d’une autre personne et de recevoir et partager des données d’identification personnelle et des attestations électroniques d’attributs de manière sécurisée entre les deux portefeuilles européens d’identité numérique;
d) d’accéder à un journal de toutes les transactions effectuées avec le portefeuille européen d’identité numérique, au moyen d’un tableau de bord commun qui permet à l’utilisateur:
i) de consulter une liste à jour des parties utilisatrices avec lesquelles l’utilisateur a établi une connexion et, le cas échéant, de toutes les données échangées;
ii) de demander facilement l’effacement par une partie utilisatrice de données à caractère personnel en vertu de l’article 17 du règlement (UE) 2016/679;
iii) de signaler facilement une partie utilisatrice à l’autorité nationale chargée de la protection des données compétente, lorsqu’une demande de données présumée illégale ou suspecte est reçue;
e) de signer au moyen de signatures électroniques qualifiées ou d’apposer des cachets au moyen de cachets électroniques qualifiés;
f) de télécharger, dans la mesure où cela est techniquement possible, les données de l’utilisateur, l’attestation électronique d’attributs et des configurations;
g) d’exercer les droits de l’utilisateur à la portabilité des données.
5. En particulier, les portefeuilles européens d’identité numérique:
a) prennent en charge des protocoles et interfaces communs:
i) pour délivrer des données d’identification personnelle, des attestations électroniques d’attributs qualifiées et non qualifiées ou des certificats qualifiés et non qualifiés au portefeuille européen d’identité numérique;
ii) pour permettre aux parties utilisatrices de demander et de valider des données d’identification personnelle et des attestations électroniques d’attributs;
iii) pour partager avec les parties utilisatrices et pour présenter aux parties utilisatrices des données d’identification personnelle, des attestations électroniques d’attributs ou des données connexes divulguées de manière sélective, en ligne et, le cas échéant, en mode hors ligne;
iv) pour permettre à l’utilisateur d’autoriser une interaction avec le portefeuille européen d’identité numérique et d’afficher un label de confiance de l’UE pour le portefeuille européen d’identité numérique;
v) pour enrôler l’utilisateur de manière sécurisée en recourant à un moyen d’identification électronique conformément à l’article 5 bis, paragraphe 24;
vi) pour permettre l’interaction entre les portefeuilles européens d’identité numérique de deux personnes afin de recevoir, de valider et de partager des données d’identification personnelle et des attestations électroniques d’attributs de manière sécurisée;
vii) pour authentifier et identifier des parties utilisatrices par la mise en œuvre de mécanismes d’authentification conformément à l’article 5 ter;
viii) pour permettre aux parties utilisatrices de vérifier l’authenticité et la validité des portefeuilles européens d’identité numérique;
ix) pour demander à une partie utilisatrice l’effacement de données à caractère personnel en vertu de l’article 17 du règlement (UE) 2016/679;
x) pour signaler une partie utilisatrice à l’autorité nationale chargée de la protection des données compétente lorsqu’une demande de données présumée illégale ou suspecte est reçue;
xi) pour la création de signatures ou de cachets électroniques qualifiés au moyen de dispositifs de création de signature ou de cachet électroniques qualifiés;
b) ne fournissent aux prestataires de services de confiance chargés de la fourniture d’attestations électroniques d’attributs aucune information concernant l’utilisation de ces attestations électroniques;
c) veillent à ce que les parties utilisatrices puissent être authentifiées et identifiées par la mise en œuvre de mécanismes d’authentification conformément à l’article 5 ter;
d) satisfont aux exigences énoncées à l’article 8 quant au niveau de garantie élevé, tel qu’il est appliqué en particulier aux exigences concernant la preuve et la vérification d’identité, et à la gestion des moyens d’identification électronique et à l’authentification;
e) dans le cas de l’attestation électronique d’attributs intégrant des politiques de divulgation, mettent en œuvre le mécanisme approprié pour informer l’utilisateur que la partie utilisatrice ou l’utilisateur du portefeuille européen d’identité numérique qui demande cette attestation électronique d’attributs a l’autorisation d’accéder à cette attestation;
f) font en sorte que les données d’identification personnelle, qui sont disponibles dans le schéma d’identification électronique dans le cadre duquel le portefeuille européen d’identité numérique est fourni, représentent de manière univoque la personne physique, la personne morale, ou la personne physique représentant la personne physique ou morale, et soient associées à ce portefeuille européen d’identité numérique;
g) offrent à toutes les personnes physiques la possibilité de signer, par défaut et gratuitement, au moyen de signatures électroniques qualifiées.
Nonobstant le premier alinéa, point g), les États membres peuvent prévoir des mesures proportionnées pour faire en sorte que l’utilisation gratuite de signatures électroniques qualifiées par des personnes physiques soit limitée à des fins non professionnelles.
6. Les États membres informent les utilisateurs, dans les meilleurs délais, de toute atteinte à la sécurité susceptible d’avoir compromis, en tout ou en partie, leur portefeuille européen d’identité numérique ou son contenu, en particulier en cas de suspension ou de révocation de leur portefeuille européen d’identité numérique en vertu de l’article 5 sexies.
7. Sans préjudice de l’article 5 septies, les États membres peuvent prévoir, conformément au droit national, des fonctionnalités supplémentaires pour les portefeuilles européens d’identité numérique, y compris l’interopérabilité avec des moyens d’identification électronique nationaux existants. Ces fonctionnalités supplémentaires respectent le présent article.
8. Les États membres fournissent gratuitement des mécanismes de validation afin de:
a) veiller à ce que l’authenticité et la validité des portefeuilles européens d’identité numérique puissent être vérifiées;
b) permettre aux utilisateurs de vérifier l’authenticité et la validité de l’identité des parties utilisatrices enregistrées conformément à l’article 5 ter.
9. Les États membres veillent à ce que la validité du portefeuille européen d’identité numérique puisse être révoquée dans les circonstances suivantes:
a) à la demande explicite de l’utilisateur;
b) lorsque la sécurité du portefeuille européen d’identité numérique a été compromise;
c) en cas de décès de l’utilisateur ou de cessation d’activité de la personne morale.
10. Les fournisseurs de portefeuilles européens d’identité numérique garantissent que les utilisateurs peuvent facilement demander une assistance technique et signaler des problèmes techniques ou tout autre incident ayant une incidence négative sur l’utilisation des portefeuilles européens d’identité numérique.
11. Les portefeuilles européens d’identité numérique sont fournis dans le cadre d’un schéma d’identification électronique de niveau de garantie élevé.
12. Les portefeuilles européens d’identité numérique garantissent la sécurité dès la conception.
13. La délivrance, l’utilisation et la révocation des portefeuilles européens d’identité numérique sont gratuites pour toutes les personnes physiques.
14. Les utilisateurs exercent un contrôle total sur l’utilisation de leur portefeuille européen d’identité numérique et des données qui y figurent. Le fournisseur du portefeuille européen d’identité numérique ne collecte pas les informations sur l’utilisation du portefeuille européen d’identité numérique qui ne sont pas nécessaires à la fourniture des services liés au portefeuille européen d’identité numérique, et il ne combine pas non plus des données d’identification personnelle ou d’autres données à caractère personnel stockées ou relatives à l’utilisation du portefeuille européen d’identité numérique avec des données à caractère personnel provenant de tout autre service offert par ce fournisseur ou de services tiers qui ne sont pas nécessaires à la fourniture des services liés au portefeuille européen d’identité numérique, à moins que l’utilisateur n’ait fait expressément la demande contraire. Les données à caractère personnel relatives à la fourniture du portefeuille européen d’identité numérique sont maintenues séparées, de manière logique, de toute autre donnée détenue par le fournisseur du portefeuille européen d’identité numérique. Si le portefeuille européen d’identité numérique est fourni par des parties privées conformément au paragraphe 2, points b) et c), du présent article, les dispositions de l’article 45 nonies, paragraphe 3, s’appliquent mutatis mutandis.
15. L’utilisation des portefeuilles européens d’identité numérique a lieu sur une base volontaire. Les personnes physiques ou morales qui n’utilisent pas les portefeuilles européens d’identité numérique ne sont en aucune façon limitées ou désavantagées dans l’accès aux services publics et privés, l’accès au marché du travail et la liberté d’entreprise. Il reste possible d’accéder aux services publics et privés par d’autres moyens d’identification et d’authentification existants.
16. Le cadre technique du portefeuille européen d’identité numérique:
a) ne permet pas aux fournisseurs d’attestations électroniques d’attributs ou à toute autre partie, après la délivrance de l’attestation d’attributs, d’obtenir des données permettant de suivre, de relier ou de corréler les transactions ou le comportement de l’utilisateur, ou de prendre connaissance des transactions ou du comportement de l’utilisateur d’une autre manière, sauf autorisation expresse de l’utilisateur;
b) permet de recourir à des techniques de protection de la vie privée qui garantissent l’impossibilité d’établir des liens, lorsque l’attestation d’attributs n’exige pas l’identification de l’utilisateur.
17. Tout traitement de données à caractère personnel effectué par les États membres ou pour leur compte par des organismes ou des parties responsables de la fourniture des portefeuilles européens d’identité numérique en tant que moyen d’identification électronique est effectué dans le respect de mesures appropriées et efficaces de protection des données. La conformité de ce traitement avec le règlement (UE) 2016/679 est démontrée. Les États membres peuvent introduire des dispositions nationales visant à préciser davantage l’application de ces mesures.
18. Les États membres notifient à la Commission, dans les meilleurs délais, des informations concernant:
a) l’organisme chargé d’établir et de tenir à jour la liste des parties utilisatrices enregistrées qui se fient aux portefeuilles européens d’identité numérique conformément à l’article 5 ter, paragraphe 5, et l’endroit où se trouve cette liste;
b) les organismes chargés de fournir les portefeuilles européens d’identité numérique conformément à l’article 5 bis, paragraphe 1;
c) les organismes chargés de veiller à ce que les données d’identification personnelle soient associées au portefeuille européen d’identité numérique conformément à l’article 5 bis, paragraphe 5, point f);
d) le mécanisme permettant de valider les données d’identification personnelle visées à l’article 5 bis, paragraphe 5, point f), ainsi que l’identité des parties utilisatrices;
e) le mécanisme permettant de valider l’authenticité et la validité des portefeuilles européens d’identité numérique.
La Commission met les informations notifiées en vertu du premier alinéa à la disposition du public par un canal sécurisé, sous une forme portant une signature électronique ou un cachet électronique adaptée au traitement automatisé.
19. Sans préjudice du paragraphe 22 du présent article, l’article 11 s’applique mutatis mutandis au portefeuille européen d’identité numérique.
20. L’article 24, paragraphe 2, points b) et d) à h), s’applique mutatis mutandis aux fournisseurs de portefeuilles européens d’identité numérique.
21. Les portefeuilles européens d’identité numérique sont rendus accessibles pour une utilisation par les personnes handicapées, sur un pied d’égalité avec les autres utilisateurs, conformément à la directive (UE) 2019/882 du Parlement européen et du Conseil.
22. Aux fins de la fourniture des portefeuilles européens d’identité numérique, les portefeuilles européens d’identité numérique et les schémas d’identification électronique dans le cadre desquels ils sont fournis ne sont pas soumis aux exigences prévues aux articles 7, 9, 10, 12 et 12 bis.
23. Au plus tard le 21 novembre 2024, la Commission établit, au moyen d’actes d’exécution, une liste de normes de référence et, au besoin, les spécifications et les procédures applicables aux exigences visées aux paragraphes 4, 5, 8 et 18 du présent article en ce qui concerne la mise en œuvre du portefeuille européen d’identité numérique. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 48, paragraphe 2.
24. La Commission établit, au moyen d’actes d’exécution, une liste de normes de référence et, au besoin, des spécifications et des procédures afin de faciliter l’enrôlement des utilisateurs pour le portefeuille européen d’identité numérique soit par des moyens d’identification électronique conformes au niveau de garantie élevé, soit par des moyens d’identification électronique conformes au niveau de garantie substantiel combinés avec des procédures d’enrôlement à distance supplémentaires qui, conjointement, répondent aux exigences du niveau de garantie élevé. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 48, paragraphe 2.