Règlement d’exécution (UE) 2024/2977 de la Commission du 28 novembre 2024 portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne les données d’identification personnelle et les attestations électroniques d’attributs délivrées aux portefeuilles européens d’identité numérique

Le présent règlement établit des règles pour la délivrance de données d’identification personnelle et d’attestations électroniques d’attributs aux unités de portefeuille, qui doivent être régulièrement mises à jour pour tenir compte de l’évolution des technologies et des normes ainsi que des travaux menés sur la base de la recommandation (UE) 2021/946, et en particulier de l’architecture et du cadre de référence.

Aux fins du présent règlement, on entend par: 1) «utilisateur de portefeuille»: un utilisateur qui contrôle l’unité de portefeuille; 2) «unité de portefeuille»: une configuration unique d’une solution de portefeuille comprenant des instances de portefeuille, des applications cryptographiques sécurisées de portefeuille et des dispositifs cryptographiques sécurisés de portefeuille, fournie par un fournisseur de portefeuille à un utilisateur de portefeuille donné; 3) «solution de portefeuille»: une combinaison de logiciels, de matériel, de services, de paramètres et de configurations, y compris des instances de portefeuille, une ou plusieurs applications cryptographiques sécurisées de portefeuille et un ou plusieurs dispositifs cryptographiques sécurisés de portefeuille; 4) «fournisseur de données d’identification personnelle»: une personne physique ou morale chargée de délivrer et de révoquer les données d’identification personnelle et de veiller à ce que les données d’identification personnelle d’un utilisateur soient liées de manière cryptographique à une unité de portefeuille; 5) «attestation d’unité de portefeuille»: un objet de données qui décrit les composants de l’unité de portefeuille ou permet l’authentification et la validation de ces composants; 6) «instance de portefeuille»: l’application installée et configurée sur l’appareil ou dans l’environnement d’un utilisateur de portefeuille, qui fait partie d’une unité de portefeuille et dont l’utilisateur de portefeuille se sert pour interagir avec l’unité de portefeuille; 7) «application cryptographique sécurisée de portefeuille»: une application qui gère des actifs critiques en étant liée aux fonctions cryptographiques et non cryptographiques fournies par le dispositif cryptographique sécurisé de portefeuille et en utilisant ces fonctions; 8) «dispositif cryptographique sécurisé de portefeuille»: un dispositif inviolable qui fournit un environnement lié à l’application cryptographique sécurisée de portefeuille et utilisé par celle-ci pour protéger les actifs critiques et fournir des fonctions cryptographiques pour l’exécution sécurisée d’opérations critiques; 9) «fournisseur de portefeuille»: une personne physique ou morale qui fournit des solutions de portefeuille; 10) «actifs critiques»: les actifs se trouvant à l’intérieur d’une unité de portefeuille ou en rapport avec celle-ci et dont l’importance est tellement exceptionnelle que la capacité de se fier à l’unité de portefeuille serait très sérieusement affaiblie si leur disponibilité, leur confidentialité ou leur intégrité étaient compromises; 11) «partie utilisatrice de portefeuille»: une partie utilisatrice qui a l’intention de se fier à des unités de portefeuille pour la fourniture de services publics ou privés au moyen d’une interaction numérique; 12) «certificat d’accès de partie utilisatrice de portefeuille»: un certificat de cachet électronique ou de signature électronique qui authentifie et valide la partie utilisatrice de portefeuille et qui est délivré par un fournisseur de certificats d’accès de partie utilisatrice de portefeuille; 13) «fournisseur de certificats d’accès de partie utilisatrice de portefeuille»: une personne physique ou morale mandatée par un État membre pour délivrer des certificats d’accès de partie utilisatrice aux parties utilisatrices de portefeuille enregistrées dans cet État membre.

1 Les fournisseurs de données d’identification personnelle délivrent des données d’identification personnelle aux unités de portefeuille conformément aux schémas d’identification électronique dans le cadre desquels des solutions de portefeuille sont fournies.

2 Les fournisseurs de données d’identification personnelle veillent à ce que les données d’identification personnelle délivrées aux unités de portefeuille contiennent les informations nécessaires à l’authentification et à la validation des données d’identification personnelle.

3 Les fournisseurs de données d’identification personnelle veillent à ce que les données d’identification personnelle délivrées aux unités de portefeuille soient conformes aux spécifications techniques énoncées dans l’annexe.

4 Les États membres veillent à ce que les données d’identification personnelle délivrées à un utilisateur de portefeuille donné soient uniques pour l’État membre.

5 Les fournisseurs de données d’identification personnelle veillent à ce que les données d’identification personnelle qu’ils délivrent soient liées de manière cryptographique à l’unité de portefeuille à laquelle elles sont délivrées.

6 Les États membres mettent à la disposition du public une liste de solutions de portefeuille prises en charge par les fournisseurs de données d’identification personnelle qui font partie des schémas d’identification électronique de cet État membre.

7 Les États membres inscrivent les utilisateurs de portefeuille conformément aux exigences relatives à l’inscription à un niveau de garantie élevé, telles qu’énoncées dans le règlement d’exécution (UE) 2015/1502 de la Commission . Dans le cadre du processus d’inscription, les fournisseurs de données d’identification personnelle procèdent à une vérification de l’identité de l’utilisateur de portefeuille, conformément aux exigences concernant la preuve et la vérification d’identité, avant de délivrer les données d’identification personnelle à l’unité de portefeuille de l’utilisateur de portefeuille correspondant.

8 Lorsqu’ils délivrent des données d’identification personnelle à des unités de portefeuille, les fournisseurs de données d’identification personnelle s’identifient auprès des unités de portefeuille en utilisant leur certificat d’accès de partie utilisatrice de portefeuille ou un autre mécanisme d’authentification conformément à un schéma d’identification électronique notifié au niveau de garantie élevé.

9 Avant de délivrer des données d’identification personnelle à une unité de portefeuille, les fournisseurs de données d’identification personnelle authentifient et valident l’attestation d’unité de portefeuille de l’unité de portefeuille et vérifient que l’unité de portefeuille appartient à une solution de portefeuille que le fournisseur de données d’identification personnelle accepte, ou utilisent un autre mécanisme d’authentification conformément à un schéma d’identification électronique notifié au niveau de garantie élevé.

1 Les attestations électroniques d’attributs délivrées aux unités de portefeuille sont conformes à au moins une des normes figurant dans la liste de l’annexe I du règlement d’exécution (UE) 2024/2979.

2 Les fournisseurs d’attestations électroniques d’attributs s’identifient auprès des unités de portefeuille en utilisant leur certificat d’accès de partie utilisatrice de portefeuille.

3 Les fournisseurs d’attestations électroniques d’attributs veillent à ce que les attestations électroniques d’attributs délivrées aux unités de portefeuille contiennent les informations nécessaires à l’authentification et à la validation de ces attestations électroniques d’attributs.

1 Les fournisseurs de données d’identification personnelle délivrées à une unité de portefeuille disposent de règles écrites et accessibles au public concernant la gestion du statut de validité, y compris, le cas échéant, les conditions dans lesquelles ces données d’identification personnelle peuvent être révoquées sans délai.

2 Seuls les fournisseurs de données d’identification personnelle ou d’attestations électroniques d’attributs peuvent révoquer les données d’identification personnelle ou les attestations électroniques d’attributs qu’ils ont délivrées.

3 Lorsque les fournisseurs de données d’identification personnelle ont révoqué des données d’identification personnelle, ils en informent, par des canaux spécialisés et sécurisés, les utilisateurs de portefeuilles faisant l’objet de ces données d’identification personnelle dans un délai de 24 heures à compter de la révocation en indiquant les motifs de la révocation. Cela doit se faire de manière concise et facilement accessible, dans un langage clair et simple.

4 Les fournisseurs de données d’identification personnelle sont tenus de révoquer les données d’identification personnelle délivrées à des unités de portefeuille dans chacun des cas suivants: a) à la demande explicite de l’utilisateur du portefeuille à l’unité de portefeuille duquel les données d’identification personnelle ou l’attestation électronique d’attributs ont été délivrées; b) lorsque l’attestation d’unité du portefeuille à laquelle les données d’identification personnelle ont été délivrées a été révoquée; c) dans d’autres situations déterminées par les fournisseurs de données d’identification personnelle ou d’attestations électroniques d’attributs dans leurs règles visées au paragraphe 1.

5 Les fournisseurs de données d’identification personnelle délivrées à une unité de portefeuille veillent à ce que les révocations ne puissent pas être annulées.

6 Les données d’identification personnelle révoquées restent accessibles aussi longtemps que le droit de l’Union ou le droit national l’exige.

7 Lorsque les fournisseurs de données d’identification personnelle révoquent les données d’identification personnelle délivrées aux unités de portefeuille, ils rendent public le statut de validité des données d’identification personnelle qu’ils délivrent, dans le respect de la vie privée, et indiquent l’emplacement de cette information dans les données d’identification personnelle.

8 Les fournisseurs de données d’identification personnelle mettent en place des techniques de protection de la vie privée qui garantissent la non-associabilité, lorsque l’attestation d’attributs n’exige pas l’identification de l’utilisateur.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.