Portefeuille européen d’identité numérique : qui devra l’accepter, et quand ?

Sources vérifiées le 31 octobre 2026. Prochaine revue le 24 décembre 2026. Temps de lecture : 14 minutes.

RégulationMémoire

Pour l’ensemble du texte : notre dossier de référence sur eIDAS 2, tenu à jour.

Sommaire

1. Qui devra accepter le portefeuille, et à partir de quand ?
2. Quelles entreprises privées sont visées ?
3. Que faut-il faire pour accepter le portefeuille ?
4. Et si vous gérez l’identification pour vos clients ?
5. Que risque une entreprise qui ne l’accepte pas ?
6. Où en est le portefeuille français ?
7. Comment on en est arrivé là
8. Ce que cela change pour une ETI
9. Notre lecture
10. Ce que nous ne savons pas encore
11. Questions fréquentes
12. Ce qui a changé depuis la publication
13. Sources

Prenons un éditeur de 120 salariés, construit pour l’exemple, qui fournit en marque blanche l’espace client en ligne de fournisseurs d’énergie et de mutuelles de santé. Il gère pour eux la connexion des clients, avec une authentification forte que ces fournisseurs et ces mutuelles lui imposent par contrat. Aucun de ses clients n’est une petite entreprise. Ils lui demandent s’ils devront accepter le portefeuille européen, à quelle date, et ce que cela lui demandera.

Qui devra accepter le portefeuille, et à partir de quand ?

Qui	Ce que dit le texte	Date
Services en ligne des organismes du secteur public, quand l’État exige une identification et une authentification électroniques	L’État accepte aussi les portefeuilles (article 5 septies, paragraphe 1) ; le texte ne fixe pas de délai propre	Dès la fourniture des portefeuilles, selon notre lecture ; la Commission écrit que l’acceptation sera obligatoire pour les autorités publiques à la fin de 2026
Entreprises privées tenues par le droit de l’Union, le droit national ou un contrat à une authentification forte, hors micro et petites entreprises	Acceptent les portefeuilles, uniquement à la demande de l’utilisateur, au plus tard trente-six mois après l’entrée en vigueur des actes d’exécution (article 5 septies, paragraphe 2)	24 décembre 2027 (calcul)
Très grandes plateformes en ligne au sens du règlement sur les services numériques, quand elles exigent une authentification	Acceptent et facilitent les portefeuilles, à la demande de l’utilisateur et pour les données minimales nécessaires (article 5 septies, paragraphe 3)	Pas de délai propre : dès la fourniture des portefeuilles, selon notre lecture
Toute entreprise qui accepte le portefeuille, même sans y être obligée	S’enregistre au préalable dans l’État où elle est établie (article 5 ter ; règlement d’exécution 2025/848)	Règlement d’exécution 2025/848 applicable à partir du 24 décembre 2026

Les délais partent de l’entrée en vigueur des actes d’exécution prévus à l’article 5 bis, paragraphe 23, et à l’article 5 quater, paragraphe 6. La Commission les a adoptés le 28 novembre 2024 et publiés au Journal officiel le 4 décembre 2024 ; ils sont entrés en vigueur le vingtième jour suivant leur publication, soit le 24 décembre 2024. Vingt-quatre mois plus tard, le 24 décembre 2026, chaque État doit fournir au moins un portefeuille (article 5 bis, paragraphe 1) ; trente-six mois plus tard, le 24 décembre 2027, les entreprises privées concernées doivent l’accepter. Le règlement d’exécution 2025/848 sur l’enregistrement des parties utilisatrices s’applique à partir du 24 décembre 2026. Nous n’avons trouvé aucune page officielle qui écrive la date du 24 décembre 2027 en toutes lettres : elle résulte du texte et de cette lecture.

Quelles entreprises privées sont visées ?

L’article 5 septies, paragraphe 2, vise les parties utilisatrices privées que le droit de l’Union ou le droit national oblige à utiliser une authentification forte de l’utilisateur pour l’identification en ligne, ou auxquelles une « identification forte de l’utilisateur est imposée pour l’identification en ligne au titre d’une obligation contractuelle ». Il cite les transports, l’énergie, la banque, les services financiers, la sécurité sociale, la santé, l’eau potable, les services postaux, les infrastructures numériques, l’éducation et les télécommunications, après les mots « y compris » : la liste n’est pas limitative. Le considérant 56 et la version anglaise parlent, pour la loi comme pour le contrat, d’une authentification forte. Sont exclues les microentreprises et les petites entreprises au sens de la recommandation 2003/361/CE, c’est-à-dire, pour les petites, un effectif de moins de 50 personnes et un chiffre d’affaires ou un total de bilan annuel n’excédant pas 10 millions d’euros, calculés en tenant compte des entreprises partenaires et liées.

L’acceptation se fait « uniquement à la demande volontaire de l’utilisateur ». L’usage du portefeuille reste volontaire, et il doit rester possible d’accéder aux services par d’autres moyens d’identification et d’authentification (article 5 bis, paragraphe 15).

Dans notre cas, les fournisseurs d’énergie et les mutuelles ne sont pas de petites entreprises et exercent dans des domaines proches de ceux que cite le texte. S’ils sont eux-mêmes tenus à une authentification forte, par la loi ou par un contrat, ils devront accepter le portefeuille d’ici le 24 décembre 2027 pour leurs clients qui le demandent. Le fait qu’ils l’imposent à leur prestataire ne suffit pas à l’établir : c’est le premier point que l’éditeur doit vérifier avec chacun d’eux.

Que faut-il faire pour accepter le portefeuille ?

Une entreprise qui veut recourir aux portefeuilles s’enregistre dans l’État membre où elle est établie (article 5 ter, paragraphe 1). Elle déclare au moins l’État membre où elle est établie, son nom et, le cas échéant, son numéro d’enregistrement dans un registre officiel, ses coordonnées et l’utilisation prévue des portefeuilles, « y compris une indication des données que la partie utilisatrice doit demander aux utilisateurs » (paragraphe 2). Elle ne peut pas demander d’autres données que celles déclarées (paragraphe 3). Le règlement d’exécution 2025/848 détaille les informations à fournir (annexe I) : identifiants officiels, coordonnées, type de services et, pour chaque utilisation prévue, la liste des données demandées et la description de leur usage. Le règlement d’exécution 2026/1730, en vigueur depuis le 11 août 2026, oblige les États à faire délivrer des certificats d’enregistrement, de manière automatisée et sans retard injustifié, demande l’adresse de la politique de confidentialité pour chaque utilisation prévue et précise que les données et usages déclarés sont recueillis à des fins de transparence, sans autorisation préalable.

Au moment de l’échange, l’entreprise s’identifie auprès de l’utilisateur (article 5 ter, paragraphe 8). Elle doit elle-même authentifier et valider les données d’identification et les attestations qu’elle demande au portefeuille, et elle ne peut pas refuser un pseudonyme lorsque le droit de l’Union ou le droit national n’exige pas l’identification de l’utilisateur (paragraphe 9 ; considérant 60). Le portefeuille doit permettre une divulgation sélective : l’utilisateur choisit les données qu’il partage, sans transmettre l’intégralité d’une attestation (article 5 bis, paragraphe 4, point a). Depuis son portefeuille, il voit la liste des entreprises avec lesquelles il a été en relation, peut leur demander l’effacement de ses données et peut signaler à l’autorité de protection des données compétente (la CNIL pour une entreprise établie en France) une demande qu’il présume illégale ou suspecte (paragraphe 4, point d).

Le règlement d’exécution 2026/1731 prévoit que les portefeuilles devront authentifier et valider les certificats d’enregistrement des parties utilisatrices, mais seulement à partir du 11 août 2028 (règlement d’exécution 2024/2982 modifié, article 3, point 4, et article 8). Il ne modifie pas les délais fixés par le règlement. Adopté lui aussi sur le fondement de l’article 5 bis, paragraphe 23, il pourrait être lu comme faisant courir un nouveau délai ; nous retenons, comme la Commission, qui annonce les portefeuilles pour la fin de 2026, l’entrée en vigueur des actes de 2024 comme point de départ.

Et si vous gérez l’identification pour vos clients ?

« Les intermédiaires agissant pour le compte de parties utilisatrices sont réputés être des parties utilisatrices et ne conservent pas de données sur le contenu de la transaction » (article 5 ter, paragraphe 10). Le règlement d’exécution 2025/848 prévoit déjà que l’enregistrement de la partie utilisatrice signale le recours à un intermédiaire et le lien avec lui (annexe I, points 14 et 15) ; le règlement d’exécution 2026/1730 ajoute le lien inverse, vers la partie utilisatrice pour le compte de laquelle l’intermédiaire agit.

Notre éditeur est dans ce cas. Il sera traité comme une partie utilisatrice pour les échanges qu’il mène au nom des fournisseurs d’énergie et des mutuelles : identification auprès de l’utilisateur, limitation aux données déclarées, validation des données reçues. Il ne pourra pas conserver le contenu des transactions, ce qui touche ses journaux et ses outils d’assistance.

Que risque une entreprise qui ne l’accepte pas ?

Le règlement laisse aux États membres le soin de fixer les sanctions, qui doivent être « effectives, proportionnées et dissuasives » (article 16, paragraphe 1). Les seules amendes qu’il encadre sont celles des prestataires de services de confiance, qualifiés ou non : chaque État doit prévoir un montant maximal d’au moins 5 millions d’euros, ou de 1 % du chiffre d’affaires annuel mondial pour une personne morale si ce montant est plus élevé (paragraphe 2). Le considérant 18, qui n’a pas de valeur contraignante, évoque un risque distinct : lorsqu’une autorité judiciaire nationale établit une utilisation frauduleuse ou autrement illégale d’un portefeuille, les organes de contrôle devraient faire révoquer ou suspendre l’enregistrement de la partie utilisatrice jusqu’à ce qu’il ait été remédié aux irrégularités. Au 31 octobre 2026, nous n’avons trouvé aucun texte français fixant le régime de sanctions applicable aux parties utilisatrices.

Où en est le portefeuille français ?

Selon la DINUM (21 octobre 2026), l’application France Identité, qui compte plus de 5 millions d’utilisateurs, « constitue la base du portefeuille européen d’identité numérique développé par la France ». France Titres, l’Agence nationale des titres sécurisés (ANTS), le développe à partir de France Identité. La DINUM annonce qu’elle opérera le registre public des parties utilisatrices, intégré à Datapass, et écrit que le portefeuille « devra être proposé par chaque État membre courant 2027 », alors que le calcul à partir du règlement donne le 24 décembre 2026. Nous n’avons trouvé aucun texte qui reporte ce délai. La Commission, de son côté, annonce des portefeuilles disponibles d’ici la fin de 2026 (« by the end of 2026 »).

Une proposition de la Commission du 19 novembre 2025 créerait un portefeuille européen des entreprises (COM(2025) 838). Elle modifierait l’article 5 bis pour que la délivrance obligatoire des portefeuilles d’identité ne concerne que les personnes physiques (considérant 55). Le Conseil a arrêté sa position le 9 juin 2026 ; le 7 octobre 2026, la plénière du Parlement a confirmé la décision de sa commission de l’industrie (ITRE) d’ouvrir les négociations avec le Conseil. Le texte n’est pas adopté.

Mémoire

Comment on en est arrivé là

Le règlement n° 910/2014 du 23 juillet 2014, dit eIDAS, obligeait chaque État membre à reconnaître, pour l’accès aux services en ligne de ses organismes publics, les moyens d’identification électronique notifiés par les autres États membres, de niveau de garantie substantiel ou élevé ; cette obligation s’applique depuis 2018. Il n’obligeait pas les États à fournir un moyen d’identification, ni les entreprises privées à en accepter.

La Commission a proposé de le réviser le 3 juin 2021. Le Parlement a adopté le texte le 29 février 2024, le Conseil le 26 mars 2024 ; le règlement 2024/1183, daté du 11 avril 2024, a été publié le 30 avril et il est entré en vigueur le 20 mai 2024. Il crée le portefeuille, gratuit pour les personnes physiques (article 5 bis, paragraphe 13), et l’obligation d’acceptation pour certaines entreprises privées.

Notre lecture

Le portefeuille ne crée pas d’obligation générale pour toutes les entreprises. L’obligation d’acceptation s’ajoute à une obligation d’authentification forte qui existe déjà, par la loi ou par contrat, et elle ne supprime aucun moyen de connexion. Les entreprises visées sont celles qui sont tenues, par la loi ou par contrat, d’authentifier fortement leurs clients, hors micro et petites entreprises ; leurs prestataires sont traités comme des parties utilisatrices pour les échanges qu’ils mènent pour elles.

L’essentiel du travail préparatoire consiste à fixer, parcours par parcours, les données demandées. L’enregistrement fixe la liste des attributs qu’une entreprise pourra demander, et l’utilisateur pourra signaler, depuis son portefeuille, à l’autorité de protection des données compétente (la CNIL pour une entreprise établie en France) une demande de données qu’il présume illégale ou suspecte. Un parcours qui exige aujourd’hui la copie complète d’une pièce d’identité pour vérifier une seule information devra être repensé avant d’être proposé par le portefeuille.

Ce que nous ne savons pas encore

• La date effective de mise à disposition du portefeuille français : le calcul donne le 24 décembre 2026, la DINUM écrit « courant 2027 ».
• La date d’ouverture du registre français des parties utilisatrices, et les textes qui désigneront formellement la DINUM, l’organe de contrôle et le régime de sanctions : nous n’en avons trouvé aucun au 31 octobre 2026.
• Ce que recouvre une « obligation contractuelle » d’authentification forte, et qui doit en être le débiteur. La version française de l’article 5 septies parle pour ce cas d’« identification forte », mais le considérant 56 et la version anglaise visent dans les deux cas une authentification forte (« strong user authentication »).
• Le sort de la proposition de portefeuille européen des entreprises (COM(2025) 838) : le Parlement et le Conseil ont arrêté leurs mandats, et aucun accord n’est annoncé.

Questions fréquentes

Une PME doit-elle accepter le portefeuille ?

Les microentreprises et les petites entreprises (moins de 50 personnes et chiffre d’affaires ou total de bilan annuel n’excédant pas 10 millions d’euros, entreprises partenaires et liées comprises) sont dispensées de l’obligation de l’article 5 septies, paragraphe 2. Une entreprise moyenne tenue à une authentification forte ne l’est pas.

Peut-on obliger un client à utiliser le portefeuille ?

Non. Son usage est volontaire et l’accès par d’autres moyens d’identification doit rester possible (article 5 bis, paragraphe 15).

Une entreprise qui n’y est pas obligée peut-elle l’accepter ?

Oui, à condition de s’enregistrer comme partie utilisatrice dans l’État membre où elle est établie (article 5 ter, paragraphe 1).

Le portefeuille est-il payant ?

Sa délivrance, son utilisation et sa révocation sont gratuites pour les personnes physiques (article 5 bis, paragraphe 13). Pour les entreprises, le règlement ne prévoit pas de gratuité : il demande que la procédure d’enregistrement présente un bon rapport coût-efficacité et soit proportionnée au risque (article 5 ter, paragraphe 2), et le considérant 17 ajoute qu’elle ne devrait pas entraîner de coûts excessifs ni comporter d’autorisation préalable.

Ce qui a changé depuis la publication

31 octobre 2026 : publication.