Services de confiance, signatures électroniques et vérification d'identité

• Regulation (EU) No 910/2014 — eIDAS as amended by Regulation (EU) 2024/1183
• Regulation (EU) 2016/679 — GDPR, Article 27
• Regulation (EU) 2024/1689 — AI Act for biometric verification

Qui doit le désigner

Fournisseurs établis en dehors de l'Union offrant des services de signature, de sceau, de timestamp ou de vérification d'identité aux utilisateurs dans l'UE. Le côté données nécessite un représentant. Le côté des services de confiance est différent : le statut qualifié nécessite une établissement dans l'Union et une supervision par un organisme national, et ne peut pas être obtenu par le biais d'un représentant.

Seuils et exemptions

Les services de confiance non qualifiés peuvent être fournis sans autorisation préalable mais restent soumis aux obligations de sécurité et de notification. Le statut qualifié nécessite une évaluation de conformité et une inclusion sur la liste de confiance d'un État membre.

Ce qui doit figurer sur l’étiquette

Non physique. Ce qui doit être publié, ce sont les conditions de service, la déclaration de pratique de certification où les certificats sont délivrés, et l'identité de l'organisme de supervision. Le représentant RGPD figure dans l'avis de confidentialité.

Champs des marketplaces

Les acheteurs d'entreprise et les marchés publics dans l'Union nécessitent un statut qualifié pour de nombreux cas d'utilisation, et le cadre du portefeuille d'identité numérique de l'UE élargit les situations où des signatures électroniques qualifiées sont attendues.

Documents à conserver

Enregistrements de l'article 30 couvrant les documents d'identité, les modèles biométriques et les journaux de signature. La désignation de l'article 27. Évaluation d'impact sur la protection des données, puisque les processus de vérification d'identité traitent des données biométriques de catégorie spéciale. Calendrier de conservation équilibrant la valeur probante contre la minimisation. Pour les services de confiance, le rapport d'évaluation de conformité, la politique de sécurité et les procédures de notification d'incidents.

Normes et essais

Évaluation de conformité par un organisme accrédité pour les services qualifiés. Pour la vérification biométrique, tests de précision et de biais, puisque la loi sur l'IA considère l'identification biométrique à distance comme à haut risque et exige des niveaux de performance déclarés.

Exigences linguistiques

Conditions, politiques de certificats et informations aux utilisateurs dans les langues des marchés desservis.

À partir de quand

Le représentant avant le début du traitement. Obligations des services de confiance dès que les services sont offerts. Le cadre eIDAS amendé introduit progressivement le portefeuille d'identité numérique européen jusqu'en 2026 et 2027.

Durée de conservation

Les preuves de signature et de certificat doivent être conservées suffisamment longtemps pour soutenir la vérification des années plus tard, ce qui est une obligation légale qui prime sur la simple minimisation, et doit être documentée en tant que telle. Les modèles biométriques doivent être supprimés une fois la vérification terminée, sauf si une base spécifique justifie la conservation.

En cas de manquement

Amendes RGPD allant jusqu'à 20 millions d'euros ou 4 %, et actions de supervision en vertu de l'eIDAS, y compris la suppression de la liste de confiance, ce qui met immédiatement fin à la proposition commerciale.

Qui contrôle

Autorités de protection des données, organismes de supervision nationaux pour les services de confiance, et autorités de surveillance du marché de la loi sur l'IA pour les systèmes biométriques.

Où se situe la limite

Fournir un service de signature n'est pas la même chose que de fournir un service qualifié, et seul ce dernier porte la présomption légale d'équivalence à une signature manuscrite. Vendre un service non qualifié sur un marché qui exige légalement une signature qualifiée est l'échec commercial le plus courant dans ce secteur.

Les questions qu’on nous pose

Un fournisseur non-UE peut-il offrir des signatures qualifiées ?

Pas directement. Le statut qualifié nécessite un établissement dans l'Union et une supervision par un organisme d'État membre, ou une reconnaissance par le biais d'un accord international.

La vérification d'identité biométrique est-elle à haut risque en vertu de la loi sur l'IA ?

Les systèmes d'identification biométrique à distance sont listés à l'annexe III, donc oui, avec des obligations s'appliquant à partir d'août 2026, y compris un représentant autorisé pour les fournisseurs non-UE.