Problèmes de souveraineté de l'EUDI Wallet

Le European Digital Identity Framework regroupe le règlement (UE) 2024/1183 qui vise à permettre aux citoyens et résidents de l'Union européenne de disposer d'un portefeuille européen d'identité numérique, ainsi que la proposition de règlement (UE) COM/2025/838 qui vise à doter l'ensemble des acteurs économiques européens d'un portefeuille d'identité numérique des entreprises. Ce cadre réglementaire vise à mettre en œuvre des portefeuilles européens d'identité numérique sécurisés, interopérables à l'échelle de l'Union, et garantissant un haut niveau de protection des données ainsi qu'une maîtrise par leurs utilisateurs. Le Gouvernement soutient le fait que la souveraineté d'une telle infrastructure doit être appréciée sur l'ensemble de la chaîne technique (délivrance des identités, applications, protocoles, terminaux, systèmes, navigateurs et infrastructures), afin d'éviter toute dépendance excessive à un nombre limité d'acteurs, notamment non européens. Les interfaces permettant l'usage du portefeuille depuis un navigateur ou entre plusieurs appareils répondent à un objectif d'adoption par le plus grand nombre, en proposant aux usagers une expérience simple et compatible avec les usages numériques existants. Elles ne déterminent pas, en elles-mêmes, le contenu des données d'identité échangées, qui demeure encadré par les protocoles de présentation retenus au niveau européen, ainsi que par des mécanismes de chiffrement, de consentement et de divulgation sélective. Le Gouvernement demeure néanmoins particulièrement attentif aux conditions concrètes d'implémentation de ces interfaces, notamment lorsqu'elles reposent sur des composants intégrés aux navigateurs ou aux systèmes d'exploitation dominants. Cette vigilance concerne en particulier les usages dits « cross-device », lorsqu'un usager consulte un service depuis un ordinateur et présente une attestation depuis son téléphone. Dans ce cadre, certains mécanismes d'appariement et de vérification de proximité entre appareils, tels que le protocole CTAP (client to authenticator protocol), peuvent s'appuyer sur des relais techniques ou sur des composants dont la maîtrise n'est pas assurée par des acteurs européens. Si ces mécanismes n'ont pas vocation à donner accès au contenu des données d'identité, qui demeure protégé par les protocoles de présentation, ils peuvent néanmoins créer une dépendance d'exécution et exposer certaines métadonnées techniques. Cette vigilance s'est traduite dans la position défendue par la France lors de l'examen des actes d'exécution du règlement. La France a demandé à ce que les mécanismes d'appariement et de vérification entre appareils soient assortis de garanties plus fortes en matière d'auditabilité, de réversibilité et de maîtrise européenne. Ces garanties n'ayant pas été suffisamment intégrées au texte soumis aux États membres, la France a été le seul État membre à voter contre son adoption. Cette position ne traduit pas une réserve à l'égard du principe même du portefeuille européen d'identité numérique. Elle témoigne au contraire de l'exigence constante de construire un cadre interopérable à l'échelle européenne, sans créer de dépendance excessive sur des couches critiques d'exécution. Le Gouvernement continue donc à défendre, au sujet des portefeuilles européens d'identité numérique comme pour l'ensemble des solutions développées dans l'espace numérique, le développement d'implémentations de référence, la transparence du code des composants critiques, la capacité d'audit des protocoles et le recours à des infrastructures maîtrisées au niveau national ou européen lorsque les fonctions techniques en cause le justifient. Dans ce cadre, la France développe et dispose déjà, avec France Identité, d'une solution publique opérée sous la responsabilité de l'État, dans un cadre de sécurité élevé et avec des infrastructures sous tutelle du ministère de l'Intérieur.