L'UE introduit des registres et des vérifications communes pour les diplômes et les attributs officiels au format électronique

Les États membres et la Commission européenne doivent utiliser, à partir du 19 août 2026, des registres, des catalogues et des mécanismes communs pour les certificats électroniques qui confirment des informations officielles sur une personne ou une organisation. Le système est destiné à la vérification transfrontalière d'attributs tels que les qualifications, les droits professionnels, les licences ou d'autres données conservées dans des registres publics et soutiendra l'utilisation des portefeuilles européens d'identité numérique.

En résumé, un certificat électronique d'attributs confirme une information vérifiée sur une personne ou une organisation, telle qu'une qualification, une licence, un droit ou une qualité officielle. La Commission doit publier une liste des organismes publics qui émettent de tels certificats ou au nom desquels ceux-ci sont émis. Un catalogue européen décrira les attributs, leur signification, le format des données et les sources à partir desquelles ils peuvent être vérifiés. Les États membres doivent fournir des points électroniques par lesquels les fournisseurs qualifiés peuvent vérifier si l'information demandée correspond aux données des registres authentiques. L'étape du 19 août crée l'infrastructure commune, mais ne garantit pas que chaque citoyen pourra immédiatement utiliser tous les certificats dans un portefeuille numérique national.

Un attribut est une caractéristique, un droit ou une information associée à une personne physique ou morale. Il peut s'agir d'un diplôme, d'une qualification professionnelle, d'un âge, d'une adresse, d'une autorisation, d'une licence, de la qualité de représentant d'une entreprise ou d'une autre information vérifiée.

Un certificat électronique permet de confirmer cet attribut dans un format numérique qui peut être présenté et vérifié. L'utilisateur n'est pas toujours tenu d'envoyer la copie intégrale de son diplôme, de sa carte d'identité ou du certificat dont provient l'information.

Par exemple, une personne pourrait démontrer qu'elle possède une certaine qualification sans avoir à fournir toutes les données inscrites sur son diplôme. Dans une autre situation, elle pourrait prouver qu'elle remplit une condition d'âge sans avoir à communiquer la date complète de naissance, si le service et la mise en œuvre technique le permettent.

Les certificats seront liés à l'écosystème du portefeuille européen d'identité numérique. Le portefeuille est conçu pour permettre à l'utilisateur de demander, recevoir, stocker et présenter des identités, des documents et des attributs électroniques.

Les règles ne créent pas un portefeuille unique géré de manière centralisée par la Commission. Chaque État membre doit offrir ou reconnaître des solutions conformes au cadre européen, et l'utilisation reste liée aux services mis en œuvre au niveau national.

À partir du 19 août, une étape concernant l'infrastructure nécessaire à la reconnaissance et à la vérification des certificats s'applique. Sont inclus la liste des fournisseurs publics, le catalogue des attributs, le catalogue des schémas de certification et les points de vérification connectés aux sources authentiques.

Les sources authentiques sont des registres ou des systèmes officiels dans lesquels les autorités conservent les informations de base. Celles-ci peuvent inclure des registres de population, d'éducation, de professions, d'entreprises, de licences ou d'autres documents désignés par la législation nationale.

Les États membres doivent notifier à la Commission les organismes du secteur public qui émettent des certificats électroniques ou au nom desquels ils sont émis. La notification permet aux utilisateurs et aux services de vérifier si l'émetteur est reconnu officiellement.

La Commission doit maintenir et publier la liste de ces fournisseurs. La présence sur la liste indique que l'organisme a été notifié dans le cadre du système, mais ne signifie pas que toute affirmation numérique utilisant son nom est authentique.

L'authenticité d'un certificat doit être vérifiée par des signatures, des sceaux, des certificats et d'autres mécanismes techniques. Le système doit également permettre la vérification de l'état du document, y compris s'il a été révoqué.

La révocation peut être nécessaire lorsque l'information n'est plus valide, que l'utilisateur demande l'annulation, que la sécurité du document a été compromise ou que la législation impose son retrait.

Le mécanisme de révocation doit être conçu de manière à réduire la possibilité de suivi injustifié de l'utilisateur. La vérification de la validité ne devrait pas se transformer en un système par lequel l'émetteur apprend automatiquement chaque service auquel la personne a présenté son certificat.

Le catalogue européen des attributs décrira les informations qui peuvent être certifiées. Pour chaque attribut, peuvent être indiqués le nom, la signification, l'identifiant technique, le type de données et les règles d'utilisation.

Un nom commun est important pour l'interopérabilité. Si les États utilisent des termes et des formats incompatibles pour la même qualification ou autorisation, un service d'un autre pays ne peut pas interpréter automatiquement l'information.

Le catalogue ne transforme pas automatiquement les qualifications nationales en qualifications identiques et ne modifie pas les règles de reconnaissance professionnelle. Il aide les systèmes informatiques à comprendre quelles informations sont présentées et comment elles peuvent être vérifiées.

Un deuxième catalogue décrira les schémas de certification. Un schéma établit la manière dont un certain type de certificat est émis, vérifié, mis à jour et gouverné.

Le catalogue peut inclure des informations sur le modèle de confiance, les responsabilités des participants, les normes utilisées et les versions successives du schéma. L'enregistrement de certains schémas est volontaire, sous les conditions du règlement.

Les États membres doivent créer des mécanismes par lesquels les fournisseurs qualifiés de services de confiance vérifient les attributs dans les sources authentiques. La vérification peut avoir lieu directement ou par l'intermédiaire d'intermédiaires désignés.

Le point de vérification doit pouvoir confirmer si l'information présentée correspond aux données du registre officiel et identifier la source utilisée. Les réponses doivent pouvoir être traitées électroniquement et fournies dans un délai approprié.

L'accès aux registres n'est pas illimité. Les États peuvent imposer des mécanismes de contrôle pour prévenir les demandes illégales, excessives ou sans lien avec l'émission d'un certificat demandé par l'utilisateur.

Les règles générales concernant la protection des données continuent de s'appliquer. Un fournisseur ne peut pas vérifier n'importe quelle information sur une personne simplement parce qu'il a un accès technique à un point de vérification.

L'utilisateur doit être impliqué dans la demande et la présentation du certificat. Les données traitées doivent être limitées à ce qui est nécessaire pour le service concret.

Les certificats qualifiés sont émis par des fournisseurs qui répondent à des exigences strictes du cadre européen concernant les services de confiance. Ils bénéficient des effets juridiques et de la reconnaissance prévus par la législation européenne.

Il existe également des certificats émis par des organismes publics ou en leur nom, sur la base de registres authentiques. Les États membres doivent démontrer que ces organismes offrent un niveau de fiabilité et de confiance comparable aux exigences pertinentes.

Les normes techniques incluent des standards pour la sécurité, l'identification de l'émetteur, la protection de l'intégrité des données et l'interopérabilité avec les portefeuilles numériques. Ces normes visent à ce qu'un certificat émis dans un pays puisse être interprété et vérifié dans un autre.

L'application à partir du 19 août ne signifie pas que tout diplôme, licence ou certificat existant devient automatiquement un certificat électronique européen. L'autorité responsable doit développer le service, connecter les registres et respecter les spécifications techniques.

La disponibilité variera entre les États et entre les catégories d'attributs. Certains registres sont déjà numérisés et interopérables, tandis que d'autres nécessitent des modifications techniques et administratives.

Aucun service privé n'est non plus obligé d'accepter immédiatement n'importe quel certificat pour n'importe quelle transaction. Les obligations d'acceptation dépendent du cadre européen de l'identité numérique, du type de service et du calendrier applicable.

Les certificats peuvent réduire le nombre de copies de documents envoyées par e-mail ou téléchargées à plusieurs reprises sur des plateformes. Ils peuvent permettre une vérification automatique et la divulgation d'un volume de données plus réduit.

Le bénéfice dépend cependant de la mise en œuvre correcte. Un système mal configuré pourrait demander plus d'informations que nécessaire ou créer des risques de corrélation des activités de l'utilisateur.

L'étape du 19 août établit les outils communs par lesquels les États, les fournisseurs et les services pourront construire l'échange transfrontalier d'attributs vérifiés. L'utilisation à grande échelle dépendra du lancement des portefeuilles, de la connexion des registres et du développement de services concrets.