Identité numérique et protection des données : que dit la loi ?

Chaque jour, des quantités importantes d'informations personnelles circulent en ligne. Pour encadrer leur collecte, leur usage et leur protection, plusieurs réglementations s'appliquent, en France comme à l'échelle européenne. Tour d'horizon des textes clés, de leurs implications concrètes, et de ce que le nouveau cadre eIDAS 2 change pour les années à venir. 

Le RGPD : la protection des données personnelles comme droit fondamental 

Entré en vigueur en mai 2018, le Règlement Général sur la Protection des Données (RGPD) définit les règles applicables à la collecte et à l'utilisation des données personnelles des résidents de l'Union européenne. 

Ses principes fondamentaux sont :

• Le consentement explicite : toute collecte de données requiert l'accord préalable de l'utilisateur.
• Le droit d'accès et de rectification : chaque individu peut consulter les données le concernant et demander leur correction ou suppression.
• La minimisation des données : seules les informations strictement nécessaires à la finalité du service peuvent être collectées.
• La responsabilisation des organisations : les entreprises doivent être en mesure de démontrer leur conformité. 

Dans le contexte de l'identité numérique, le principe de minimisation est particulièrement structurant. Une solution comme L'Identité Numérique La Poste ne transmet aux services en ligne que les attributs strictement nécessaires à la démarche, avec le consentement explicite de l'utilisateur à chaque usage.

eIDAS : le cadre européen de l'identité numérique 

eIDAS 1 : poser les bases 

Applicable depuis 2016, le règlement eIDAS (Electronic IDentification, Authentication and trust Services) a posé les bases d'un cadre commun européen pour l'identification électronique et les services de confiance : signature électronique, cachet, horodatage, recommandé électronique. 

Il a introduit les niveaux de garantie (faible, substantiel, élevé) qui permettent de qualifier le degré de fiabilité d'un moyen d'identification numérique. C'est dans ce cadre que L'Identité Numérique La Poste a été certifiée conforme au niveau « substantiel » par l'ANSSI, l'Agence nationale de la sécurité des systèmes d'information. 

Le niveau substantiel est la référence pour les actes engageants en ligne : ouverture de compte bancaire, souscription de crédit, accès aux services publics sensibles. Il impose des contrôles stricts à l'enrôlement (vérification documentaire, reconnaissance faciale) et à l'authentification (multi-facteurs). 

eIDAS 2 : une refonte structurelle 

Le règlement eIDAS 2, entré en vigueur en 2024, introduit une évolution majeure : l'obligation pour chaque État membre de proposer à ses citoyens un portefeuille d'identité numérique européen (EUDI Wallet). 

Ce wallet permettra à chaque citoyen de stocker des attestations d'identité vérifiées et de les présenter aux services qui les demandent, dans un format standardisé et interopérable à l'échelle de l'Union européenne. Au-delà de l'identité de base, il pourra contenir des attributs sectoriels : diplômes, permis de conduire, attestations professionnelles… 

Pour les entreprises et les organisations, eIDAS 2 crée de nouvelles obligations et de nouvelles opportunités : accepter les moyens d'identification européens, s'interfacer avec les wallets, repenser les parcours d'entrée en relation. 

FranceConnect et FranceConnect+ : deux niveaux, deux usages 

FranceConnect est le portail de connexion aux services publics en ligne. Il met en lien les fournisseurs de services avec des fournisseurs d'identité numérique, pour garantir l'identité des utilisateurs. 

Il existe deux versions aux niveaux de garantie distincts :

• FranceConnect (niveau faible) : adapté aux démarches courantes ne nécessitant pas de vérification d'identité poussée. Plusieurs fournisseurs d'identité y sont référencés.
• FranceConnect+ (niveau substantiel) : réservé aux actes engageants nécessitant une identité vérifiée. L'Identité Numérique La Poste, certifiée ANSSI au niveau substantiel eIDAS, est l'un des fournisseurs d'identité référencés sur FranceConnect+. 

Cette distinction est importante : tous les fournisseurs d'identité présents sur FranceConnect n'offrent pas le même niveau de garantie. Pour les services qui exigent une vérification rigoureuse de l'identité, seul le niveau substantiel via FranceConnect+ est adapté. 

LCB-FT et DSP2 : les obligations sectorielles 

La lutte contre le blanchiment et le financement du terrorisme 

Le dispositif LCB-FT (Lutte contre le Blanchiment de Capitaux et le Financement du Terrorisme) s'applique aux secteurs réglementés : banques, assurances, produits financiers. Il impose des obligations strictes d'identification et de vérification des clients, à l'entrée en relation comme tout au long de la relation commerciale. 

Les établissements concernés doivent collecter et vérifier les informations essentielles sur l'identité de leurs clients, conserver les preuves de cette vérification, et signaler toute activité suspecte à Tracfin, le service de renseignement financier du ministère de l'Économie. 

Le non-respect de ces obligations expose les établissements à des sanctions financières significatives. L'intégration de solutions d'identité numérique certifiées, comme L'Identité Numérique La Poste, dans les parcours d'entrée en relation permet de répondre à ces exigences de manière dématérialisée et traçable. 

DSP2 : l'authentification forte comme norme 

La directive sur les services de paiement (DSP2) impose l'authentification forte du client pour les opérations sensibles : connexion au compte, initiation de virement, paiement en ligne.

Elle exige la combinaison d'au moins deux facteurs parmi trois catégories :

• Ce que l'utilisateur sait : mot de passe, code PIN...
• Ce qu'il possède : appareil de confiance, application d'authentification...
• Ce qu'il est : empreinte biométrique, reconnaissance faciale... 

L'objectif est de réduire la fraude sur les transactions électroniques, en rendant insuffisante la seule compromission d'un identifiant ou d'un mot de passe. 

L'Identité Numérique La Poste : une solution construite pour ce cadre 

L'Identité Numérique La Poste a été conçue pour répondre à l'ensemble de ces exigences réglementaires. Opérée par Docaposte et certifiée par l'ANSSI au niveau de garantie substantiel eIDAS, elle couvre à la fois l'identification, via un processus de vérification documentaire conforme au référentiel PVID, et l'authentification forte multi-facteurs. 

Avec plus de 9 millions d'utilisateurs, c'est la solution d'identité numérique certifiée la plus utilisée en France. Pour les organisations des secteurs réglementés, son intégration permet de répondre aux exigences LCB-FT et DSP2 tout en fluidifiant les parcours client : données vérifiées transmises sans ressaisie, consentement traçable, hébergement des données en France dans une infrastructure sécurisée. 

Ce que change eIDAS 2 pour les organisations 

L'entrée en vigueur d'eIDAS 2 ne remet pas en cause les obligations existantes : RGPD, LCB-FT, DSP2 restent pleinement applicables.

Elle y ajoute une nouvelle couche : l'obligation d'accepter les moyens d'identification européens, et la perspective d'un écosystème d'identité interopérable à l'échelle de l'Union européenne. 

Pour les organisations qui ont déjà intégré des solutions d'identité numérique certifiées, la transition sera plus fluide : les principes sont les mêmes, les niveaux de garantie sont compatibles et les parcours existants pourront évoluer sans rupture. 

Docaposte se prépare à cette transition, notamment au sein du consortium WE BUILD, qui travaille à l'interopérabilité entre les solutions nationales et le futur wallet européen. L'objectif : que L'Identité Numérique La Poste puisse s'articuler avec l'EUDI Wallet dès que les standards seront stabilisés, sans rupture pour les services déjà intégrés.

Nos experts sont disponibles pour vous accompagner dans la mise en conformité de vos parcours d'identification et d'authentification avec les réglementations en vigueur.