D’où vient l’échéance européenne du réveillon pour l’identité numérique

Je suis allé chercher la phrase du droit européen qui dit que chaque État membre doit proposer un portefeuille d’identité numérique à ses habitants avant le 24 décembre 2026. Elle devait forcément se trouver à l’article 5 bis du règlement eIDAS. Or, l’article 5 bis, paragraphe 1, dit que chaque pays doit fournir au moins un portefeuille « dans un délai de vingt-quatre mois à compter de la date d’entrée en vigueur des actes d’exécution ». Il ne contient aucune date. Pour arriver au réveillon de Noël, quelqu’un a dû faire le calcul.

Alors je l’ai fait. Les actes en question sont cinq règlements de la Commission datés du 28 novembre 2024, publiés au Journal officiel le 4 décembre 2024. Chacun entre en vigueur le vingtième jour suivant sa publication. Cela donne le 24 décembre 2024 et, vingt-quatre mois plus tard, le 24 décembre 2026, si je compte bien. La page de la Commission consacrée au sujet dit simplement « d’ici la fin de 2026 ». Un rapport sur une séance de test organisée par la Commission à Bruxelles en décembre 2025 évoque « l’échéance EUDIW de novembre 2026 » (EUDIW étant l’abréviation officielle du portefeuille), un mois qui n’apparaît nulle part dans le calcul. Je suppose que novembre vient de l’instruction du règlement d’adopter ces actes avant le 21 novembre 2024, date que la Commission a dépassée d’une semaine.

Voici ce que j’ai retenu de ma lecture du règlement et des documents de la Commission : ce que ce portefeuille est censé être, à qui la date s’impose et où en était apparemment son déploiement début novembre 2026.

Ce que la loi promet

Le texte est le règlement (UE) nº 910/2014, dit eIDAS, sur l’identification électronique et les services de confiance. C’est une modification de 2024, le règlement (UE) 2024/1183, en vigueur depuis le 20 mai 2024, qui a ajouté le portefeuille. La définition de l’article 3 est aussi chaleureuse qu’on peut s’y attendre : « un moyen d’identification électronique qui permet à l’utilisateur de stocker, de gérer et de valider en toute sécurité des données d’identification personnelle et des attestations électroniques d’attributs », afin de les remettre à qui les demande, et de signer des documents en plus.

Dans le langage courant, c’est une application. L’ENISA, l’Agence de l’Union européenne pour la cybersécurité, relève que la plupart des solutions sont conçues pour fonctionner sur des appareils personnels mobiles. Elle contient une version vérifiée de ton identité et d’autres faits attestés te concernant. La Commission donne comme exemples les permis de conduire mobiles et les diplômes. L’article 5 bis énumère ensuite ce qu’elle doit permettre de faire. Ces passages ont retenu mon attention :

• Sa délivrance, son utilisation et sa révocation sont gratuites pour les personnes physiques.
• Son utilisation est volontaire. Les personnes qui ne l’utilisent pas ne doivent pas être « limitées ou désavantagées » dans l’accès aux services publics ou privés, et d’autres moyens d’identification doivent rester disponibles.
• Chacun dispose par défaut de signatures électroniques qualifiées gratuites. Selon le règlement, « L’effet juridique d’une signature électronique qualifiée est équivalent à celui d’une signature manuscrite ». Un pays peut limiter la version gratuite à un usage non professionnel.
• Le code source de l’application doit être ouvert, même si un pays peut ne pas divulguer certaines parties qui ne sont pas installées sur ton appareil, pour des raisons dûment justifiées.
• Un tableau de bord conserve un journal de toutes les transactions ; il permet de demander à une entreprise d’effacer tes données ou de la signaler à ton autorité de protection des données.

La clause sur le volontariat est plus directe que je ne l’attendais d’un texte européen. Une application publique qu’on peut ignorer sans pénalité, ce serait bien de l’avoir par écrit. Et c’est le cas.

Le test de la carte en plastique

Pour rendre les promesses de confidentialité concrètes, j’ai pensé à une bonne vieille carte d’identité en plastique : tout remplacement numérique devrait faire au moins aussi bien. Elle montre tout ce qui y est inscrit à la personne à qui tu la donnes, et tu ne peux pas en replier la moitié. Sur ce point, le portefeuille est censé faire mieux : l’article 5 bis, paragraphe 4, exige « qu’une divulgation sélective de données soit possible ». Tu montres donc l’information dont un magasin ou un site a besoin et gardes le reste pour toi.

Une carte en plastique n’appelle pas non plus la mairie chaque fois que quelqu’un la regarde. Une application pourrait facilement le faire, et les rédacteurs y ont manifestement pensé. Les portefeuilles ne doivent fournir « aux prestataires de services de confiance chargés de la fourniture d’attestations électroniques d’attributs aucune information concernant l’utilisation de ces attestations électroniques ». L’émetteur d’un diplôme dans ton portefeuille, par exemple, n’est donc pas informé de l’endroit où tu l’as présenté. De plus, le cadre technique ne doit pas permettre à ces émetteurs « ou à toute autre partie » d’obtenir des données permettant de suivre ou de corréler tes activités, sauf si tu y as expressément consenti.

Tout cela est une exigence sur le papier, et personne ne m’a encore montré le produit fini. Une règle interdisant à un système de te suivre ne suffit pas à elle seule : ce sera donc le sujet du prochain billet.

À qui la date s’impose vraiment

Il m’a été utile de comparer l’article 5 bis, paragraphe 1, et les règles d’acceptation de l’article 5 sexies, car ils ne fonctionnent pas tous de la même façon.

Qui	Ce qu’ils doivent faire	Date dans le texte
Chaque État membre	Fournir au moins un portefeuille	Aucune : 24 mois à compter du 24 décembre 2024, soit le 24 décembre 2026 selon mon calcul
États membres, pour les services en ligne des organismes publics qui exigent une identification	Accepter aussi les portefeuilles	Aucune
Entreprises privées tenues par la loi ou un contrat d’utiliser une connexion forte, sauf microentreprises et petites entreprises	Accepter les portefeuilles à la demande de l’utilisateur	Aucune : 36 mois à compter du 24 décembre 2024, soit le 24 décembre 2027 selon mon calcul
Très grandes plateformes en ligne qui exigent une connexion	Accepter les portefeuilles à la demande de l’utilisateur, pour les données minimales nécessaires	Aucune

« Connexion forte » est mon raccourci pour ce que la loi appelle l’authentification forte de l’utilisateur : au moins deux facteurs indépendants de nature différente, comme un mot de passe et quelque chose que tu es seul à posséder. La liste des secteurs dans l’article va de la banque et de l’énergie à la santé et aux télécommunications. Comme elle dit « notamment », la liste n’est pas exhaustive. Qui peut réellement te refuser fera l’objet d’un autre billet, puisqu’un contrat peut créer cette obligation tout comme la loi.

Deux lignes ne comportent aucun chiffre. Pour les services publics, la page explicative de la Commission dit que l’acceptation devient obligatoire « lorsqu’ils seront délivrés par les États membres à la fin de 2026 ». Cela me semble une lecture raisonnable, même si cela reste une interprétation. Pour les grandes plateformes, toute date que tu verras est, à ma connaissance, une interprétation.

Pourquoi cette initiative

La version de 2014 d’eIDAS a donné à l’Europe une base commune pour l’identification électronique par-delà les frontières, et la Commission ne cache pas ce qu’elle a laissé de côté. Dans ses questions-réponses, elle indique que le texte « n’oblige pas les États membres à fournir à leurs citoyens et à leurs entreprises un système d’identification numérique » et qu’il ne disait rien des services privés ni des appareils mobiles. Les considérants du règlement modificatif déplorent le « recours à des solutions nationales divergentes ou, dans certains États membres, à l’absence de telles solutions d’identification électronique ».

Les chiffres montrent ces divergences. Selon les données de 2025 du rapport de la Commission sur l’état de la décennie numérique pour 2026, 52 % des personnes de 16 à 74 ans dans l’UE ont déclaré avoir utilisé une identité électronique pour des services privés en ligne au cours des 12 mois précédents. Le Danemark est à 99 %, l’Allemagne à 15 %, la Bulgarie à 12 %. Je vis en Allemagne : les 15 % ont donc retenu mon attention. Un portefeuille y part d’une situation très différente de celle de Copenhague.

Où en était le déploiement début novembre 2026

Ce que j’ai pu trouver est fragmentaire, et la plupart des informations ne sont pas récentes. Ce même rapport sur la décennie numérique, adopté le 17 juin 2026, indique que « tous les États membres développent activement leurs portefeuilles européens d’identité numérique » et leur recommande d’en assurer la délivrance « avant l’échéance de décembre 2026 ». Il ne nomme aucun portefeuille en service.

La séance de test de décembre 2025 est moins diplomatique. Onze États membres ont apporté des applications de portefeuille, dont environ la moitié utilisait l’implémentation de référence du projet pour les tests. Pour l’ensemble des 27, le rapport conclut que « moins d’un quart des États membres ont participé avec des applications compatibles avec le portefeuille EUDI » et qu’« il est probable que seuls quelques États membres respecteront l’échéance EUDIW de novembre 2026 ». Précision : c’était un instantané pris un an avant la date, et le rapport indique lui-même que ses observations sur l’état de préparation ne concernent que les pays présents.

Le projet de schéma de certification de l’ENISA, publié pour consultation publique en mars 2026, contient la phrase la plus directe que j’aie trouvée : « Début 2026, aucun portefeuille EUDI n’a été déployé ou certifié et la spécification est encore en cours d’élaboration. » La certification n’est pas un détail. Le règlement exige que les portefeuilles soient certifiés par des organismes désignés par les États membres et que la Commission publie leur liste au Journal officiel. J’ai recherché le 9 novembre 2026 dans les documents de l’Office des publications de l’UE ceux dont le titre mentionnait des portefeuilles certifiés. Je n’ai trouvé que le règlement de 2025 sur la manière dont les pays communiquent les informations, sans liste.

Les nouvelles nationales sont maigres. Le gouvernement fédéral allemand a annoncé le 15 octobre 2026 que son portefeuille, appelé d-you, démarrerait début janvier 2027 avec 40 partenaires. Quel que soit le calcul, ce serait après le réveillon de Noël. L’agence danoise du numérique a lancé le 3 juin 2026 une application appelée AltID, avec une preuve d’âge et une carte d’identité. Son annonce ne la qualifie pas de portefeuille européen d’identité numérique, je ne le ferai donc pas non plus.

Je ne sais toujours pas ce qui arrive à un pays qui ne respecte pas la date. Je n’ai trouvé aucune réponse officielle.

La promesse que je veux examiner

Je veux maintenant prendre au sérieux cette seconde comparaison avec la carte et examiner ce que le portefeuille, son concepteur ou le pays émetteur pourraient réellement apprendre sur les endroits où tu l’as utilisé, ainsi que ce qu’en disent les personnes qui ont examiné sa conception de plus près.

Sources

À lire à la source, toutes vérifiées en novembre 2026 :

• EUR-Lex : Règlement (UE) 2024/1183 établissant le cadre européen relatif à une identité numérique (11 avril 2024)
• EUR-Lex : Règlement (UE) nº 910/2014 (eIDAS), texte consolidé du 18 octobre 2024
• EUR-Lex : Règlement d’exécution (UE) 2024/2977, 2024/2979, 2024/2980, 2024/2981 et 2024/2982 (28 novembre 2024)
• Commission européenne : European Digital Identity (EUDI) Regulation (dernière mise à jour le 6 novembre 2026)
• Commission européenne : European Digital Identity Wallet, fact page (dernière mise à jour le 30 juillet 2024)
• Commission européenne : Q&A Digital Identity (dernière mise à jour le 4 avril 2024)
• Commission européenne : The legal and technical road to EU Digital Identity Wallets (dernière mise à jour le 2 février 2026)
• Commission européenne : State of the Digital Decade 2026, Annex 1, COM(2026) 288 final/2 (adopté le 17 juin 2026, rectificatif du 3 novembre 2026), via le registre du Conseil
• Commission européenne : EUDI Wallets Launchpad event report (événement du 10-12 décembre 2025)
• ENISA : EUDIW Cybersecurity Certification, draft candidate scheme v0.4.614 (mars 2026, projet soumis à consultation publique)
• Gouvernement fédéral allemand : Die digitale Brieftasche kommt (15 octobre 2026)
• Agence danoise du numérique : Nu kan du downloade AltID (3 juin 2026)