Que contient une demande de données, et que décidez-vous ?
Votre portefeuille n'envoie rien de lui-même. Un service, appelé partie utilisatrice dans le règlement, formule une demande, que vous acceptez ou non. Selon le règlement eIDAS, modifié par le règlement (UE) 2024/1183, les parties utilisatrices doivent s'identifier auprès de vous. Le portefeuille doit aussi permettre une divulgation sélective : vous partagez des données précises plutôt qu'un document entier.
La Commission européenne résume le principe : les utilisateurs ne partagent que ce qui est nécessaire et choisissent ce qu'ils partagent. Pour le calendrier et les usages, lisez Portefeuille européen d'identité numérique : usages et calendrier.
Conseil: Un service enregistré ne demande pas forcément la bonne quantité de données. À vous de juger si la demande correspond à votre démarche.
Qu'est-ce qu'un service a le droit de demander ?
Toute partie utilisatrice s'enregistre dans son État membre et y indique les données qu'elle demandera pour chaque utilisation prévue. Elle ne peut pas vous demander d'autres données. Les États membres publient ces informations en ligne.
Le règlement d'exécution (UE) 2025/848 précise ces règles ; il est applicable à partir du 24 décembre 2026. Lorsqu'un État utilise des certificats d'enregistrement, le portefeuille doit vous informer si une partie utilisatrice demande des données absentes de son certificat. Si elle demande plus d'attributs qu'elle n'en a enregistré, son enregistrement peut être suspendu ou annulé.
- Pseudonymes : si le droit n'exige pas votre identification, une partie utilisatrice ne peut pas refuser un pseudonyme.
- Très grandes plateformes en ligne : si elles exigent une authentification pour accéder au service, elles doivent aussi accepter le portefeuille si vous le souhaitez, avec les seules données minimales nécessaires.
- Usage volontaire : ne pas utiliser le portefeuille ne doit pas vous désavantager ; d'autres moyens d'identification doivent rester possibles.
Surpartage : la demande correspond-elle au but ?
Il y a surpartage quand un service vous demande plus de données que son but ne l'exige. L'enregistrement ne l'empêche pas toujours, car une partie utilisatrice peut déclarer plusieurs utilisations, chacune avec sa liste de données. Comparez donc chaque demande avec votre démarche.
| Situation | Ce qui suffit en général | Signal d'alerte |
|---|---|---|
| Vérification d'âge pour un achat réservé aux majeurs | La confirmation que vous êtes majeur | Adresse, numéro du titre ou date de naissance complète |
| Plateforme sans obligation légale d'identification | Un pseudonyme ou quelques données | Votre identité complète sans raison claire |
| Ouverture de compte, contrat avec vérification d'identité, démarche administrative | Les données d'identité exigées par la procédure | Des données sans lien avec le contrat, ou un nom de service qui ne correspond pas |
Le même réflexe vaut pour les autorisations des applications : Cette application a-t-elle besoin de vos contacts ?
Que faire si une demande ne vous convient pas ?
- Annulez. Sans votre validation, rien n'est transmis.
- Comparez le nom affiché avec le service que vous avez ouvert. Si la demande vient d'un lien reçu dans un message inattendu, ouvrez plutôt le service vous-même par un chemin connu.
- Demandez au service à quoi lui servent les données en plus. Lorsque des certificats d'enregistrement sont utilisés, il doit fournir un lien vers sa politique de confidentialité pour l'utilisation déclarée.
- Si le portefeuille affiche un avertissement, ne validez pas quand même.
- Choisissez une autre voie si elle existe, par exemple une vérification sur place.
Lire d'abord, valider ensuite : c'est le même réflexe que pour une notification de l'appli bancaire.
Déjà partagé ? Tableau de bord, effacement et plainte
Chaque portefeuille européen doit offrir un tableau de bord commun, avec une liste à jour des parties utilisatrices auxquelles vous vous êtes connecté et un journal de toutes les transactions. De là, vous demandez facilement l'effacement de vos données en vertu de l'article 17 du RGPD, ou vous signalez une partie utilisatrice à l'autorité de protection des données après une demande présumée illicite ou suspecte.
La CNIL demande de contacter d'abord l'organisme ou son délégué à la protection des données (DPO), et d'exercer vos droits avant de la saisir. L'organisme répond sous un mois maximum, délai prolongeable de deux mois dans certains cas. Gardez une copie de vos échanges.
| Pays | Règles et outils | Où vous plaindre | Bon à savoir |
|---|---|---|---|
| France | Droit de l'UE ; France Identité propose déjà un justificatif d'identité à usage unique | CNIL : plainte en ligne (compte nécessaire) ou par courrier | La CNIL vous informe de l'avancement au moins dans les trois mois |
| Belgique, Luxembourg | Droit de l'UE ; portefeuille national d'ici fin 2026 | Autorité nationale de protection des données | Le tableau de bord doit permettre de lui signaler une partie utilisatrice |
| Suisse (Romandie) | Pas de droit de l'UE ; e-ID fédérale avec le portefeuille swiyu | Prévu : signaler un abus à l'Office fédéral de la justice (OFJ) | Prévu : registre public des données demandées et avertissement dans swiyu |
Un exemple : Léa limite ce qu'elle transmet
Exemple fictif : Léa, à Lyon, dépose un dossier de location. L'agence demande une photocopie de sa carte d'identité. Léa génère plutôt un justificatif d'identité à usage unique dans l'application France Identité, qui prouve son identité sans montrer sa carte.
Elle saisit le nom de l'agence comme destinataire, ajoute le motif « dossier de location » et raccourcit la durée de validité. Le justificatif ne peut servir qu'à l'usage pour lequel il a été généré, et l'agence le vérifie en ligne grâce au QR code. Léa garde ce réflexe pour son futur portefeuille européen : qui demande, pour quoi faire, quelles données.
Erreurs fréquentes
- Valider parce que le nom du service semble familier, sans le comparer avec le service ouvert.
- Transmettre date de naissance, adresse et numéro de titre pour une simple vérification d'âge.
- Fermer un avertissement du portefeuille pour aller plus vite.
- Lancer une demande de données depuis un lien reçu dans un message inattendu.
- Après un partage douteux, ne consulter ni le journal ni demander l'effacement.
Liste de vérification
Les cases servent uniquement de repères personnels. Aucune saisie ne nous est transmise. Pour conserver la page, il suffit de l’imprimer ou de l’enregistrer au format PDF depuis le menu du navigateur.
Questions fréquentes
Dois-je accepter toutes les demandes de mon portefeuille ?
Non. L'utilisation des portefeuilles européens d'identité numérique a lieu sur une base volontaire, et vous décidez pour chaque demande. Si vous refusez, vous n'obtiendrez peut-être pas le service par ce canal. En revanche, d'autres moyens d'identification doivent rester disponibles, et ne pas utiliser le portefeuille ne doit pas vous désavantager dans l'accès aux services.
Un site peut-il exiger ma date de naissance pour vérifier mon âge ?
Il ne peut demander que les données déclarées lors de son enregistrement, et à partir du 24 décembre 2026 ces informations sont publiées en ligne. Pour une simple vérification d'âge, la confirmation de votre majorité suffit en général. Si le site demande davantage, annulez et demandez pourquoi. La licéité d'une demande précise relève de la CNIL ou d'un conseil spécialisé.
Qu'en est-il en Suisse romande ?
Le règlement européen ne s'applique pas en Suisse. La Confédération introduit sa propre e-ID avec le portefeuille swiyu. Selon les mesures annoncées le 25 février 2026, les vérificateurs devront inscrire dans un registre public les données qu'ils veulent consulter et à quelle fin. En cas de demande excessive, swiyu doit vous avertir, et vous pourrez signaler l'abus à l'Office fédéral de la justice.
Sources et informations complémentaires
Sources primaires d’autorités publiques, d’organismes de protection des consommateurs et de fournisseurs. Certaines sont dans une autre langue ; retenez les indications adaptées à votre service et à votre lieu de résidence.
- EUR-Lex : règlement eIDAS (UE) n° 910/2014, version consolidée (articles 5 bis, 5 ter et 5 septies)Sources consultées le:
- EUR-Lex : règlement d'exécution (UE) 2025/848 sur l'enregistrement des parties utilisatrices de portefeuilleSources consultées le:
- Commission européenne : Identité numérique européenneSources consultées le:
- CNIL : Adresser une plainteSources consultées le:
- France Identité : le justificatif d'identité à usage uniqueSources consultées le:
- DFJP : Mesures visant à renforcer l'acceptation de l'e-ID (25 février 2026)Sources consultées le:
