Administration numérique / Europe - eIDAS : un (grand) pas de plus vers le marché unique numérique

Entré en vigueur en septembre 2014, le règlement européen eIDAS (Electronic Identification and Trust Service) s'applique à tous les Etats membres de l'Union depuis le 1er juillet. Nouveau pas vers le marché unique numérique, ce règlement – qui s'impose donc aux Etats, contrairement à une directive qui les oriente – remplace et complète une directive de 1999 sur la signature électronique (Directive 1999/93/CE), désormais jugée insuffisante.

Créer un cadre juridique sécurisé et de confiance des échanges électroniques

A l'image de ce qui existe déjà pour la libre circulation des personnes, des biens et des services, ce texte vise à créer un cadre juridique sécurisé et de confiance partagé entre les Etats afin de faciliter les échanges en ligne au sein du marché intérieur. En assurant notamment les différentes parties prenantes d'une transaction, qu'elle soit marchande ou non, de l'identité de chacun. Autrement dit, en les assurant que l'identité numérique de la personne physique ou morale, corresponde bien à cette personne. Si ce règlement ne concerne que les relations administrations/usagers, et se centre principalement sur les échanges transfrontaliers, il pourra, à terme, influencer les pratiques du secteur privé. En France, ce sont la Direction interministérielle du numérique et des systèmes d'information et de communication (Dinsic) et l'Agence nationale de la sécurité des systèmes d'information qui sont chargées de sa mise en œuvre.

Interopérabilité des systèmes d'identification électronique

Dans un premier volet, le règlement vise à lever différentes difficultés limitant l'utilisation transnationale des moyens d'identification électronique employés dans les Etats membres pour l'authentification des usagers. Pour, par exemple, permettre à un étudiant de s'inscrire en ligne dans une université étrangère ; afin qu'il soit certain d'être sur le portail de service de l'université, et que l'université soit certaine qu'il s'agit du bon individu. Idem pour un citoyen qui souhaiterait télédéclarer ses impôts dans un autre pays membre. Pour cela, et sur une base de notification volontaire de la part des Etats, il s'agit de créer un cadre d'interopérabilité pour les identités électroniques des différents Etats membres. Concrètement, le règlement définit les spécifications permettant l'interopérabilité, les niveaux de garantie (faible, substantiel, élevé) et de sécurité requis et enfin les conditions de reconnaissance mutuelle de ces moyens d'identification électronique des différents Etats. Dans les faits, ils devront avoir été délivrés "conformément à un schéma d'identification électronique notifié par l'Etat", figurer sur une liste publiée par la Commission et enfin, avoir un niveau de garantie au moins égal à celui requis par l'organisme public sollicité. En France, FranceConnect pourrait être le "noeud" assurant cette interopérabilité.

Donner confiance dans les "services de confiance"

Quant au deuxième volet, il concerne les "services de confiance" (et leurs prestataires). Là où la précédente directive était limitée à la signature électronique, ce nouveau règlement intègre de nouveaux services tels que le cachet électronique, l'horodatage, le recommandé électronique et l'authentification de sites internet. On distingue ainsi les services de confiance "qualifiés", qui répondent à des exigences précises et qui pourront bénéficier d'effets juridiques spécifiques ; des services "non-qualifiés", c'est-à-dire non soumis au même degré d'exigences du règlement. Ces services ne pourront être proposés que par des prestataires de services de confiance qualifiés. Mais, ces mêmes prestataires pourront également proposer des services non-qualifiés. A terme, c'est la dématérialisation de bout en bout des échanges électroniques qui devrait être facilitée au sein de l'Union, tant du point de vue de la relation administration/usager que de l'entreprise/consommateur.
On notera enfin que les administrations, et notamment les collectivités, ne sont pas obligées de recourir à ces systèmes d'identification notifiés ou à des services de confiance qualifiés.