COM(2025) 838 FINAL
du 19/11/2025
Contrôle de subsidiarité (article 88-6 de la Constitution)
Annoncée en février 2025, la proposition de règlement relatif à la création de portefeuilles numériques européens vise à simplifier les démarches des entreprises dans le cadre de leurs échanges inter-entreprises ou avec les autorités publiques.
Selon la Commission européenne, la création de tels portefeuilles s'inscrit dans la continuité des rapports Draghi et Letta, lesquels soulignaient la complexité et la fragmentation des obligations en matière de conformités, de déclarations ainsi que la diversité des environnements numériques selon les Etats membres.
A. Le contenu de la proposition législative de la Commission
Afin de répondre à ce double objectif d'harmonisation et de simplification, la Commission européenne s'appuie sur le cadre mis en place par le règlement du Parlement européen et du Conseil modifiant le règlement (UE) n° 910/2014 en ce qui concerne l'établissement d'un cadre européen relatif à une identité numérique («Electronic Identification And trust Services», eIDAS2)1(*) du 11 avril 2024, s'agissant de la création d'un identifiant unique européen pour les entreprises pour permettre le déploiement d'outils fiables et interopérables. Ces outils permettront de proposer l'identification et l'authentification des utilisateurs, la gestion numérique des droits et mandats de représentation, ou encore un canal sécurisé pour l'échange de documents officiels et d'attestations.
Cette proposition de règlement se compose de cinq chapitres et de 22 articles.
Le chapitre 1er précise l'objet, le champ et les définitions s'appliquant au texte. Il s'agit donc d'un cadre devant permettre une identification et une authentification numériques sécurisées et un partage de données juridiquement valides.
Le chapitre 2 s'attache à présenter les caractéristiques du portefeuille d'identité numérique européen.
Selon le texte proposé, il serait juridiquement équivalent à tout autre moyen procédural tel que la fourniture de documents papiers. Il devrait proposer plusieurs fonctionnalités telles que :
· délivrer, demander, obtenir, stocker, supprimer ou encore partager en toute sécurité des attestations électroniques, et divulguer de manière sélective les données d'identification du propriétaire du portefeuille dans ce contexte ;
· demander et partager de manière sécurisée les données d'identification du propriétaire du portefeuille et les attestations électroniques d'attributs avec les portefeuilles d'affaires ou d'identité numérique européens ;
· fournir et permettre des signatures ou horodatages électroniques qualifiés ;
· ou encore transmettre et recevoir des documents électroniques et des données au moyen d'un service de livraison électronique qui garantit la confidentialité et l'intégrité.
Il devrait en outre répondre à des caractéristiques techniques permettant de fournir et supporter des protocoles et interfaces communs, afin d'émettre et valider des données d'identification, partager ces données et attestations aux parties s'appuyant sur le portefeuille d'identité numérique européen, ou encore vérifier l'authenticité et la validité des portefeuilles d'identité numérique européens.
Le texte prévoit que les fournisseurs de portefeuilles d'identité numérique européens devraient être établis au sein de l'Union européenne et montrer des garanties en matière d'indépendance vis-à-vis de pays tiers et de cybersécurité conformes aux obligations prévues dans le règlement eIDAS2 ou la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union, modifiant le règlement (UE) no 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (dite directive NIS 2), garantir la sécurité dès la conception et fournir un mécanisme d'assistance technique et de notification des problèmes ou incidents.
Ils devraient également mettre en place des mesures techniques et organisationnelles appropriées pour garantir la confidentialité, l'intégrité, l'authenticité, l'interopérabilité et la disponibilité de leurs portefeuilles avec les autres portefeuilles d'identité numérique européens.
De même, ils seraient tenus, d'une part, de coopérer avec les organes de contrôle compétents, c'est-à dire ceux désignés comme tels en vertu du règlement eIDAS2 (l'ANSSI pour la France) ou la Commission européenne, ainsi que, d'autre part, de leur notifier toute modification substantielle de leur service ou structure susceptible d'avoir une incidence sur la conformité.
Les entités souhaitant fournir des portefeuilles d'identité numérique européens devraient le notifier à l'autorité de contrôle compétente, en renseignant leur identité et en fournissant une description des fonctionnalités proposées ainsi qu'une déclaration de conformité avec le règlement. Dès lors, l'autorité de contrôle disposerait de 30 jours calendaires à compter de la réception de la notification pour procéder à son examen et statuer sur la demande. Une liste des fournisseurs agréés serait constituée et tenue à jour par la Commission.
La proposition de règlement prévoit en outre que les autorités de contrôle nationales seraient responsables de la surveillance et du contrôle des fournisseurs de portefeuilles d'identité numérique européens ayant leur lieu d'établissement principal sur leur territoire, ainsi que de la mise en place d'un mécanisme pour le dépôt de plaintes. Les États membres devraient à ce titre prévoir les règles permettant à ces autorités d'imposer des sanctions dans les 12 mois suivant l'entrée en vigueur du règlement.
Enfin, le groupe de coopération en matière d'identité numérique, mis en place par le règlement eIDAS2, sera également en charge de la coordination, la coopération et les échanges d'information entre les États membres et la Commission pour la mise en oeuvre de ce règlement;
Le chapitre 3 de la proposition de règlement prévoit que les organismes publics seraient tenus de permettre le recours aux portefeuilles d'identité numérique européens pour l'identification, l'authentification, la signature ou le scellement, la soumission de documents, l'envoi ou la réception de notification dans les 24 mois suivant l'entrée en vigueur du règlement. Par conséquent, ils devraient également s'équiper de portefeuilles d'identité numérique européens.
Le chapitre 4 précise les conditions d'application des portefeuilles d'affaires offerts par des fournisseurs établis dans des pays tiers et, inversement, l'application du portefeuille européen à des opérateurs économiques établis dans des pays tiers. Dans le permier cas, la Commission pourrait adopter des actes d'exécution afin de reconnaître que des portefeuilles d'identité numérique émis par des fournisseurs établis dans des pays tiers offrent des garanties équivalentes aux portefeuilles d'identité numérique européens, sous réserve qu'ils soient interopérables avec le cadre de confiance posé par le règlement eIDAS2 et permettent de prendre au moins en charge une fonctionnalité d'identification et d'authentification aiunsi que l'échange d'attestations électroniques d'attributs. Dans le deuxième cas, les fournisseurs de portefeuilles d'identité numérique européens peuvent les fournir à des opérateurs économiques établis dans un pays tiers sous réserve que ces derniers disposent d'un identifiant unique et des données d'identification de propriétaire d'un portefeuille d'identité numérique européen.
Le chapitre 5 prévoit l'entrée en vigueur du règlement le 20ème jour suivant la publication du texte au Journal officiel de l'Union européenne (JOUE) et son entrée en application, un an après l'entrée en vigueur. En outre, un rapport d'évaluation de la mise en oeuvre du règlement par la Commission devrait être préparé trois ans après son entrée en vigueur. Il devrait notamment évaluer s'il convient de rendre obligatoire le recours à ces portefeuilles, à partir des éléments qui lui auront été soumis par les États membres.
B. Cette proposition est-elle conforme aux principes de subsidiarité et de proportionnalité ?
Fondée sur l'article 114 du traité sur le fonctionnement de l'Union européenne (TFUE), cette démarche est de nature à faciliter la libre circulation au sein du marché intérieur ainsi que l'accès à des services publics et privés en ligne à l'échelle de l'Union européenne.
Les portefeuilles d'identité numérique européens seraient des outils volontaires développés par le secteur privé mais reconnus par les organismes publics afin de permettre notamment l'identification et l'authentification des utilisateurs ainsi que la gestion numérique des droits et mandats de représentation.
Ils pourraient ainsi offrir un canal sécurisé pour l'échange de documents officiels et d'attestations, simplifier les démarches et favoriser les échanges transfrontaliers pour tous les opérateurs économiques.
La proposition permet donc de construire des solutions européennes harmonisées et hautement sécurisées, ce qui justifie une intervention au niveau européen, le seul pertinent dans le cas d'espèce. La présente proposition semble donc respecter le principe de subsidiarité.
En outre, elle s'appuie sur plusieurs éléments déjà en place, comme le règlement eIDAS2 et la directive NIS 2, sans aller au-delà de ce qui semble nécessaire pour atteindre l'objectif d'harmonisation et de simplification administrative. Au regard de ces éléments, la présente proposition semble donc respecter le principe de proportionnalité.
Compte tenu de ces observations, le groupe de travail sur la subsidiarité a décidé de ne pas intervenir plus avant sur ce texte au titre de l'article 88-6 de la Constitution.
* 1 Comme l'indique le site de l'Agence nationale de la sécurité des systèmes d'information (ANSSI), « Parmi les innovations majeures apportées par ce texte, figure l'introduction d'un portefeuille européen d'identité numérique (EU Digital Identity Wallet ou EUDI Wallet). Ainsi, il est désormais imposé aux États membres de mettre à disposition de leurs citoyens des portefeuilles européens d'identité numérique reconnus dans l'ensemble de l'Union européenne d'ici novembre 2026. Ceux-ci permettront notamment à leurs utilisateurs de stocker des données d'identification ou des justificatifs liés à leur identité, de les communiquer aux parties utilisatrices sur demande et de les utiliser pour s'authentifier, en ligne et hors ligne, sur des services publics ou privés dans toute l'Europe ».