Le règlement (UE) 2024/1183, dit eIDAS 2.0, entré en vigueur le 20 mai 2024, institue un portefeuille européen d'identité numérique (EU Digital Identity Wallet, ou EUDI Wallet). Chaque État membre devra proposer à ses citoyens une application capable de contenir pièces d'identité, attestations et justificatifs, interopérable à l'échelle de l'Union. L'objectif affiché est double : simplifier l'accès aux services en ligne et publics, et reprendre le contrôle des données face aux grandes plateformes. Le texte promet aussi des garde-fous — divulgation sélective des attributs et contrôle par l'utilisateur. Tout l'enjeu n'est pas l'existence de l'outil, mais que ces garanties soient effectivement tenues.
Définition. Le portefeuille EUDI est une application mobile, fournie ou certifiée par chaque État membre, permettant de stocker des justificatifs vérifiables (identité, diplômes, permis, attestations) et de les présenter de façon cryptographiquement contrôlable. La « divulgation sélective » désigne la possibilité de ne prouver qu'un attribut précis — par exemple « j'ai plus de 18 ans » — sans révéler son nom ni sa date de naissance.
eIDAS 2.0 prolonge le premier règlement eIDAS de 2014, centré sur l'identification électronique transfrontalière et la signature numérique. La nouveauté de 2024 est le portefeuille : un conteneur personnel d'identité que chaque État membre devra mettre à disposition, accompagné de spécifications techniques communes (l'Architecture and Reference Framework) destinées à garantir l'interopérabilité entre pays. Le texte a été adopté le 11 avril 2024 et publié au Journal officiel de l'Union le 30 avril 2024 ; les États disposent ensuite de 24 mois après l'entrée en vigueur des actes d'exécution pour proposer au moins un portefeuille, ce qui situe l'échéance fin 2026.
L'ambition de couverture est large. Le portefeuille a vocation à accueillir, au-delà de la pièce d'identité, des attestations issues du monde physique : on pense au permis de conduire mobile, dont la norme ISO/IEC 18013-5:2021 définit déjà la présentation depuis un téléphone avec vérification cryptographique de l'authenticité. C'est l'un des premiers justificatifs « du monde physique » à migrer vers le portefeuille numérique, préfigurant le moment où l'ensemble des attestations — diplômes, droits, autorisations — pourraient y résider.
Les justifications avancées par l'Union sont concrètes et, pour partie, vérifiables. Trois ressorts dominent :
Ces objectifs ne sont pas de pure façade : l'absence d'identité numérique fiable a un coût réel, en exclusion et en fraude. Mais reconnaître la légitimité d'un but n'exonère pas d'examiner les risques de l'outil qui le sert. C'est précisément la posture honnête : ni déni de l'utilité, ni cécité sur le danger.
Le règlement n'ignore pas les craintes : il inscrit des principes de protection dans le texte lui-même. Trois propriétés vérifiables méritent d'être suivies de près, car ce sont elles qui distinguent un outil de souveraineté d'un point de contrôle.
Un point d'honnêteté s'impose : ces garanties figurent dans le règlement et dans ses spécifications, mais leur valeur réelle dépendra de la mise en œuvre technique des États et de la vigilance des autorités de protection des données. Le Contrôleur européen de la protection des données (EDPS) note d'ailleurs, dans son analyse de décembre 2025, que les portefeuilles permettent déjà la divulgation sélective mais ne satisfont pas encore aux exigences de non-corrélation (« unlinkability ») : un principe juridique n'est un rempart que s'il est contrôlable et techniquement réalisé. La promesse n'est pas la preuve ; l'architecture doit être exigée, pas seulement annoncée.
Le portefeuille d'identité n'est dangereux ni par son existence, ni par sa commodité, mais par sa capacité d'agrégation : plus il concentre d'attestations, plus il devient un point de contrôle unique dont la coupure équivaudrait à une forme de mort civile numérique. Si, demain, l'accès à un compte, à un service de santé ou à un abonnement dépendait d'un identifiant unique, toute défaillance — technique ou politique — de cet identifiant deviendrait une exclusion. C'est aussi la crainte exprimée par l'Electronic Frontier Foundation, qui alerte sur les risques de « sur-identification » et de traçabilité si les garanties de non-corrélation ne sont pas imposées par défaut.
L'expérience étrangère éclaire les deux faces de l'outil. En Inde, le système Aadhaar a enregistré les données biométriques d'environ 1,4 milliard de personnes : un instrument d'inclusion massive (accès à des comptes, à des subventions versées directement), mais aussi un point de contrôle que la Cour suprême indienne a dû borner, jugeant en 2018 le système constitutionnel tout en restreignant son caractère obligatoire pour les acteurs privés. L'inclusion et le contrôle ne sont pas deux systèmes opposés : ce sont deux usages de la même infrastructure. Le choix d'architecture — centralisée comme Aadhaar, ou répartie comme le X-Road estonien, où les données restent distribuées entre administrations — détermine la réversibilité du pouvoir conféré.
Il faut écarter un déterminisme : un projet d'identité numérique annoncé n'est pas un projet réussi. Au Royaume-Uni, le programme GOV.UK Verify fut un échec documenté — le National Audit Office a relevé en 2019 qu'il n'avait atteint qu'environ 3,6 millions d'utilisateurs sur les 25 millions visés, avec un taux de réussite des vérifications de l'ordre de 48 %, conduisant à son abandon. À l'inverse, Singapour montre l'adoption massive et largement consentie avec SingPass, utilisé par environ 97 % des adultes.
La leçon est double. D'un côté, là où l'on contraint l'accès — comme au Nigeria, où la liaison obligatoire entre numéro d'identité national et carte SIM a entraîné la suspension de dizaines de millions de lignes — l'identité numérique devient un levier de coercition. De l'autre, là où l'on laisse le choix, les citoyens peuvent ne pas adhérer si le bénéfice n'est pas clair ou si le contrôle est redouté. Le règlement eIDAS 2 affiche le principe du non-obligatoire : c'est précisément ce principe qu'il faudra défendre dans la durée.
Le débat n'est pas qu'institutionnel : il est aussi technique, et public. En 2024, un collectif de cryptographes de premier plan — parmi lesquels Anna Lysyanskaya, Jaap-Henk Hoepman, Bart Preneel, Carmela Troncoso et René Mayrhofer — a adressé au groupe de travail de la Commission un avis critique sur l'Architecture and Reference Framework (ARF). Leur reproche est précis : le format de justificatif retenu (SD-JWT) permet la divulgation sélective mais, selon eux, ne garantit pas la non-corrélation exigée par le règlement, car il peut laisser un fil traçable entre les présentations. Ils plaident pour des « anonymous credentials » (accréditations anonymes), conçues précisément pour authentifier sans permettre le suivi. Le point mérite d'être tenu froidement : c'est un désaccord sur la mise en œuvre, pas un constat que la surveillance serait inscrite dans la loi — le texte, lui, exige la non-corrélation ; l'enjeu est qu'elle soit techniquement honorée.
Le portefeuille EUDI ne se déploie pas dans un vide juridique. Le Règlement général sur la protection des données (RGPD, UE 2016/679) encadre strictement le traitement des données personnelles et confère des droits opposables et gratuits — accès, rectification, effacement, opposition, portabilité ; les données biométriques y sont des données « sensibles » bénéficiant d'une protection renforcée. Par ailleurs, le règlement européen sur l'intelligence artificielle (AI Act, UE 2024/1689) interdit explicitement, depuis février 2025, la notation sociale par les autorités publiques et le moissonnage non ciblé d'images de visages. L'Union n'a pas légalisé une grille de contrôle : elle a, par la loi, proscrit plusieurs de ses briques les plus dystopiques.
Une réserve s'impose toutefois, pour rester honnête sur les angles morts. Le volet « services de confiance » d'eIDAS, et notamment son article 45 sur les certificats d'authentification de sites web (QWAC), a suscité l'opposition publique de Mozilla, de l'EFF et de centaines d'experts en sécurité, qui y voyaient un risque d'affaiblissement du chiffrement web si les navigateurs étaient contraints de faire confiance à des autorités désignées par les États. Ce débat, distinct du portefeuille lui-même, rappelle que tout l'édifice n'est pas exempt de critiques techniques sérieuses.
Le portefeuille d'identité numérique européen sera-t-il obligatoire ? Non. Le règlement (UE) 2024/1183 oblige chaque État membre à proposer un portefeuille, mais prévoit que son usage reste sous le contrôle du citoyen et n'est pas imposé. Le risque pratique se situe ailleurs : si trop de services en exigeaient l'usage, le « facultatif » deviendrait contraignant de fait — d'où l'importance de préserver des alternatives.
La divulgation sélective protège-t-elle vraiment ma vie privée ? Sur le principe, oui : elle permet de prouver un attribut (la majorité, par exemple) sans révéler le reste de son identité. Mais c'est une garantie de conception, dont l'effectivité dépend de la mise en œuvre technique par chaque État. À ce stade, l'EDPS relève que les portefeuilles permettent la divulgation sélective mais ne remplissent pas encore les exigences de non-corrélation. Le principe est solide ; il faut vérifier qu'il est tenu.
eIDAS 2 instaure-t-il un crédit social à l'européenne ? Non, et cette affirmation est inexacte. Le portefeuille est un outil de présentation de justificatifs, pas un système de notation. L'AI Act (UE 2024/1689) interdit même explicitement la notation sociale par les autorités publiques depuis février 2025. Confondre identité vérifiable et score citoyen relève de la rumeur, pas du document.
Pour situer l'identité numérique dans l'ensemble du dossier — son couplage avec la monnaie numérique et le regard biométrique, et la distinction constante entre capacité et intention —, lisez l'article pilier : Identité numérique, panoptique ou simplification. Et si vous voulez l'enquête complète, balisée niveau de certitude par niveau de certitude et appuyée sur les textes officiels, le Tome 2 — L'Architecture du Contrôle reprend chaque pièce du dossier.
Non. Le règlement (UE) 2024/1183 oblige chaque État membre à proposer un portefeuille, mais prévoit que son usage reste sous le contrôle du citoyen et n'est pas imposé. Le risque pratique se situe ailleurs : si trop de services en exigeaient l'usage, le « facultatif » deviendrait contraignant de fait — d'où l'importance de préserver des alternatives.
Sur le principe, oui : elle permet de prouver un attribut (la majorité, par exemple) sans révéler le reste de son identité. Mais c'est une garantie de conception, dont l'effectivité dépend de la mise en œuvre technique par chaque État. À ce stade, l'EDPS relève que les portefeuilles permettent la divulgation sélective mais ne remplissent pas encore les exigences de non-corrélation. Le principe est solide ; il faut vérifier qu'il est tenu.
Non, et cette affirmation est inexacte. Le portefeuille est un outil de présentation de justificatifs, pas un système de notation. L'AI Act (UE 2024/1689) interdit même explicitement la notation sociale par les autorités publiques depuis février 2025. Confondre identité vérifiable et score citoyen relève de la rumeur, pas du document.
Dossier : Monnaie & identité numérique : l'architecture du contrôle
TOME 2: L'Architecture du Contrôle
Accueil · Collection · Journal · Dossiers · Sources