La conformité est évaluée au regard des clauses de la norme ETSI TS 119 461 V2.1.1 (2025-02) énumérées à la section 1, sous réserve des adaptations énumérées à la section 2.
Section 1 — Clauses applicables
| — | 5 | Évaluation du risque opérationnel
| — | 6 | Politiques et méthodes
| — | 7 | Gestion et exploitation du service de preuve de l’identité
| — | 8 | Exigences du service de preuve de l’identité
| — | 9.1 | Introduction, conformité avec le présent document, exigences générales pour tous les cas d’utilisation
| — | 9.2.2 | Cas d’utilisation à partir d’un document d’identité pour la preuve de l’identité à distance non automatisée
| — | 9.2.3 | Cas d’utilisation à partir d’un document d’identité pour la preuve de l’identité à distance automatisée
| — | 9.2.4 | Cas d’utilisation pour la preuve de l’identité par authentification à partir de moyens d’identification électronique
| — | 9.5 | Cas d’utilisation pour une preuve d’identité supplémentaire visant à renforcer une identité prouvée au moyen d’une identification électronique à partir du niveau Baseline LoIP vers le niveau Extended LoIP.
Section 2 — Adaptations
| 1. | 5 | Évaluation du risque opérationnel
| | — | OVR-5-01: Les exigences spécifiées dans l’ETSI EN 319 401 [1], clause 5, doivent s’appliquer.
| — |
Note 1: Lorsque la preuve de l’identité est effectuée par le fournisseur de données d’identification personnelle lui-même, l’évaluation des risques du fournisseur de données d’identification personnelle peut couvrir la preuve de l’identité.
| 2. | 6.1 | Énoncé des pratiques du service de preuve d’identité
| | — | OVR-6.1-02: Un IPSP identifie dans son énoncé des pratiques les cas d’utilisation pour lesquels la conformité avec le présent document est alléguée.
| — |
Note 1: Lorsque la preuve de l’identité est effectuée par le fournisseur de données d’identification personnelle lui-même, l’énoncé des pratiques du service de preuve d’identité du fournisseur de données d’identification personnelle peut couvrir les informations relatives à la preuve d’identité et il n’est pas nécessaire d’établir d’énoncé des pratiques spécifique pour la preuve d’identité.
| 3. | 7.9 | Vulnérabilités et gestion des incidents
| | — | OVR-7.9-02: Les obligations de déclaration conformément à la norme ETSI EN 319401 [1] REQ-7.9.2-02X et à la clause 7.9.3 doivent être remplies en fonction du contexte d’établissement de la preuve d’identité et des obligations du fournisseur de données d’identification personnelle dépendant du service de l’IPSP.
| — | Exemple: Les déclarations à l’autorité de contrôle chargée de la surveillance d’un fournisseur de portefeuilles européens d’identité numérique établi dans l’État membre qui a procédé à la désignation peuvent être effectuées en coopération entre l’IPSP et le fournisseur de données d’identification personnelle.
| 4. | 7.10 | Collecte d’éléments de preuve
| | — | OVR-7.10-01: Les exigences spécifiées dans l’ETSI EN 319401 [1], clause 7.10, doivent s’appliquer.
| — |
Note 1: Les exigences à long terme en matière de conservation des éléments de preuve peuvent être remplies par le fournisseur de données d’identification personnelle demandant la preuve d’identité plutôt que par l’IPSP lorsque les deux entités sont différentes.
| — |
Note 2: Les exigences de la clause 8.5.2 du présent document s’appliquent.
| 5. | 7.11 | Gestion de la continuité des activités
| | — | OVR-7.11-02: Les processus de gestion de crises conformément à la norme ETSI EN 319401 [1], REQ-7.11.3-01X doivent être tels que le requièrent le contexte d’établissement de la preuve d’identité et les obligations du fournisseur de données d’identification personnelle dépendant du service de l’IPSP.
| 6. | 7.12 | Arrêt d’activité et plans d’arrêt d’activité
| | — | OVR-7.12-01: Les exigences spécifiées dans la norme ETSI EN 319401 [1], clause 7.12, à l’exclusion de REQ-7.12-11, doivent s’appliquer.
| — |
Note: Lorsque l’IPSP et le fournisseur de données d’identification personnelle demandant la preuve d’identité sont des entités différentes, ils peuvent convenir d’une assistance mutuelle ou unilatérale pour l’établissement des plans d’arrêt d’activité.
| 7. | 8.1 | Initiation
| | — | INI-8.1-05: En cas d’interruption ou d’échec du processus de preuve d’identité à distance, l’IPSP doit veiller à ce que des explications et des possibilités de solution suffisantes soient fournies aux personnes, en particulier dans le cadre de la preuve d’identité à distance automatisée. Les informations devraient permettre aux personnes concernées de contribuer efficacement à la résolution rapide du problème et, si nécessaire, d’exercer leurs droits (tels que le droit de rectification ou la possibilité de contester la décision) à l’encontre du responsable du traitement concerné.
| 8. | 8.2.1 | Exigences générales
| | — | COL-8.2.1-08: L’IPSP doit mettre en œuvre des mesures visant à garantir le respect des exigences en matière de protection des données dès la conception et par défaut conformément à l’article 25 du règlement (UE) 2016/679 au cours du processus d’enrôlement, en particulier en ce qui concerne le traitement des données biométriques. Les mesures en question peuvent comprendre, selon le cas, des contrôles cryptographiques, des dispositifs et des mesures organisationnelles de nature à renforcer la protection de la vie privée. Ces mesures devraient limiter la collecte de données à ce qui est strictement nécessaire au traitement des données biométriques et de toute autre donnée à caractère personnel à recueillir auprès des sources d’identification physiques et numériques en vue de relier les données d’identification personnelle de l’utilisateur à son portefeuille et à l’appareil de l’utilisateur sur lequel l’unité de portefeuille est installée.
| 9. | 8.2.4 | Utilisation de moyens d’identification électronique existants à titre d’élément de preuve
| | — | [CONDITIONNEL] COL-8.2.4-02X: Si le niveau Baseline LoIP est visé, le moyen d’identification électronique doit avoir été notifié au moins au niveau de garantie substantiel d’eIDAS ou son niveau de garantie doit avoir été confirmé par un organisme d’évaluation de la conformité accrédité au sens de l’article 2, point 13), du règlement (CE) no 765/2008 ou par un organisme équivalent et, si toutes les exigences applicables sont remplies, l’évaluation doit donner lieu à un certificat de conformité fondé sur un audit de certification. Ce processus formel de certification repose sur un processus d’évaluation de la sécurité qui fait référence aux niveaux de garantie définis pour les moyens d’identification électronique notifiés ou pour les portefeuilles européens d’identité numérique certifiés au titre du règlement (UE) no 910/2014 [i.25].
| — | COL-8.2.4-02A: néant.
| 10. | 8.3.1 | Exigences générales
| | — | VAL-8.3.1-11X: Le processus de preuve de l’identité vérifie que les éléments de preuve sont valables au moment de l’établissement de la preuve d’identité.
| 11. | 8.3.3 | Validation du document d’identité physique
| | — | VAL-8.3.3-21: L’efficacité des mesures relatives à la conformité aux exigences VAL-8.3.3-05X, VAL-8.3.3-05A, VAL-8.3.3-05B, VAL-8.3.3-05C, VAL-8.3.3-07A et VAL-8.3.3-07X doit être confirmée par un organisme d’évaluation de la conformité accrédité au sens de l’article 2, point 13), du règlement (CE) no 765/2008 ou un organisme équivalent.
| — | VAL-8.3.3-22: L’image faciale de référence du document d’identité physique est recueillie par communication en champ proche et le processus assure l’authentification passive ou active de la puce sur le document d’identité physique.
| 12. | 9.1 | Introduction, conformité avec le présent document, exigences générales pour tous les cas d’utilisation
| | — | USE-9.1-01X: Pour être conforme au présent document, un processus de preuve d’identité doit être conforme au cas d’utilisation figurant à la clause 9.5 du présent document pour le niveau Extended LoIP.
| — | USE-9.1-03X: néant.
| 13. | 9.2.3.4 | Cas d’utilisation pour un fonctionnement automatisé
| | — | USE-9.2.3.4-04: L’IPSP établit des valeurs cibles pour les FAR et les FRR, sur la base d’une analyse des risques et de sa procédure en matière de renseignement sur les menaces, en suivant la méthode établie dans le rapport de l’ENISA intitulé «Methodology for sectoral cybersecurity assessments» [i.28] ou une méthode équivalente, dans le cadre de processus entièrement automatisés de vérification de l’identité. Les valeurs cibles utilisées par l’IPSP sont égales ou inférieures à celles fixées pour les cas d’utilisation hybrides, lorsque ces derniers existent. L’IPSP maintient ces valeurs cibles pour les FAR et les FRR de manière cohérente, sur la base d’une analyse des risques et de sa procédure en matière de renseignement sur les menaces.
| 14. | 9.5.1 | Exigences générales
| | — | Premier alinéa: Lorsque le demandeur est une personne physique, y compris une personne physique représentant une personne morale, que l’identité du demandeur a été prouvée au niveau Baseline LoIP par authentification à partir de moyens d’identification électronique et qu’un renforcement au niveau Extended LoIP est nécessaire, les exigences suivantes s’appliquent.
| — | USE-9.5.1-08: La preuve d’identité supplémentaire requise pour renforcer la fiabilité d’une identité ne s’applique qu’à l’identification électronique qui n’a pas été délivrée en recourant à une comparaison automatisée entre des images faciales pour le processus de délivrance initial.
| 15. | 9.5.2 | Cas d’utilisation pour le renforcement de la preuve d’identité au niveau Extended LoIP par l’établissement d’une preuve d’identité complète à partir d’un document d’identité
| | — | USE-9.5.2-01: La preuve d’identité visant à passer du niveau Baseline LoIP au niveau Extended LoIP doit être conforme aux exigences applicables au niveau Extended LoIP dans l’un des cas d’utilisation décrits dans les clauses 9.2.2 ou 9.2.3 du présent document pour le niveau Extended LoIP.
| 16. | 9.5.3 | Cas d’utilisation pour le renforcement de la preuve d’identité au niveau Extended LoIP au moyen d’une image faciale de référence précédemment saisie
| | — | USE-9.5.3-01: Un processus de preuve de l’identité satisfaisant aux exigences du niveau Extended LoIP dans l’un des cas d’utilisation décrits dans les clauses 9.2.2 ou 9.2.3 du présent document ou un processus de preuve de l’identité ayant fait l’objet d’un examen par les pairs ou ayant été certifié par un organisme d’évaluation de la conformité accrédité au sens de l’article 2, point 13), du règlement (CE) no 765/2008 ou un organisme équivalent afin d’assurer un niveau de garantie élevé conformément au règlement (UE) no 910/2014 [i.25] doit être utilisé pour saisir une image faciale de référence et lier les attributs d’identité nécessaires à cette image faciale de référence.