règlement eIDAS (910/2014, modifié par 2024/1183)

Le règlement eIDAS (règlement (UE) n° 910/2014) règle l'identification électronique dans l'Union européenne : l'espace européen des données de santé renvoie par exemple aux moyens d'identification reconnus en vertu de l'article 6 de ce règlement^[1]. Un niveau de garantie indique le degré de certitude qu'un moyen d'authentification offre quant à l'identité de l'utilisateur ; les niveaux sont précisés dans le règlement d'exécution 2015/1502, et le cadre belge du FAS les applique sans dérogation^[2]. Le service fédéral belge d'authentification (FAS) intègre l'eIDAS-node ainsi que les schémas et clés d'autres États membres, notifiés et mutuellement reconnus^[2]. Dans le FAS, une clé reconnue au niveau européen a le niveau élevé ou substantiel^[3].

Selon itsme, la Commission européenne a approuvé le 18 décembre 2019 la notification du schéma belge FAS/itsme au titre d'eIDAS^[4], au niveau de garantie élevé^[4].

Le règlement (UE) 2024/1183 modifie le règlement et est appelé eIDAS 2.0 ; il ajoute le portefeuille européen d'identité numérique (EUDI wallet)^[5]. Le règlement définit ce portefeuille comme un moyen d'identification électronique permettant à l'utilisateur de stocker, de gérer et de valider en toute sécurité des données d'identification personnelle et des attestations électroniques d'attributs afin de les fournir aux parties utilisatrices, et de signer au moyen de signatures électroniques qualifiées^[5]. La manière dont cela s'inscrit dans les soins de santé belges, notamment via l'application MyGov.be, est décrite sur Authentification dans les soins de santé.

Les considérants (et non un article) demandent en outre des garanties pour le traitement par les parties utilisatrices, en particulier pour les catégories particulières de données telles que les données de santé^[5]. Les considérants citent le secteur de la santé comme exemple où l'authentification en mode hors ligne est importante, notamment pour pouvoir se fier aux prescriptions électroniques figurant sur des codes QR^[5].

Lien avec l'espace européen des données de santé

Le règlement relatif à l'espace européen des données de santé s'appuie sur eIDAS. Les citoyens peuvent s'identifier auprès des services d'accès au moyen de tout moyen d'identification reconnu en vertu de l'article 6 d'eIDAS^[1]. Les services d'accès des professionnels de la santé ne sont accessibles qu'avec un moyen reconnu au titre d'eIDAS ou un moyen conforme aux spécifications communes de l'article 36^[1] (voir Utilisation primaire des données de santé électroniques (EHDS) – chapitre II). Le règlement d'exécution (UE) 2026/2099 précise l'échange transfrontalier via MaSanté@UE : un prestataire de soins qui demande un tel échange à la demande en ligne du patient identifie et authentifie ce patient à l'aide d'un moyen eIDAS d'abord d'un niveau au moins substantiel, puis, à partir du 26 mars 2030, d'un niveau élevé^[6]. Selon le même règlement d'exécution, à partir du 26 mars 2029, un professionnel de la santé ou prestataire de soins de santé qui demande un échange transfrontalier doit accepter les attributs de soins de santé présentés sous forme d'attestation électronique via un portefeuille européen^[6]. La position belge en matière d'identification transfrontalière est qu'un prestataire de soins ou un établissement s'authentifie à l'aide d'un moyen eIDAS de niveau substantiel, y compris les EUDI wallets^[7].

Selon le considérant 3 du règlement d'exécution (UE) 2024/2977, la Commission s'acquitte de la tâche prévue à l'art. 5 bis, par. 23, au moyen de quatre règlements d'exécution (2024/2982, 2024/2979, 2024/2977 et 2024/2980)^[8]. Le délai de 24 mois renvoie toutefois aussi aux actes de l'art. 5 quater, par. 6^[5]. Interprétation : si les actes de fin 2024 font courir le délai, le délai de 24 mois tombe vers fin décembre 2026 et celui de 36 mois vers fin décembre 2027 ; aucune source ne confirme quels actes servent de référence.

• Portails patients : un hôpital qui doit appliquer une authentification forte pour un portail patient peut relever de l'obligation d'acceptation imposée aux parties utilisatrices privées^[5] ; la question de savoir si et quand cela vaut pour une institution de soins dépend des actes d'exécution et de la mise en œuvre nationale (interprétation).
• Soins transfrontaliers : selon le règlement d'exécution 2026/2099, les prestataires de soins de santé doivent, à partir du 26 mars 2029, accepter lors d'un échange transfrontalier les attributs de soins de santé présentés via le portefeuille^[6].
• Données de santé : les considérants demandent des garanties supplémentaires pour le traitement des données de santé par les parties utilisatrices^[5].
• Actuellement : les applications de soins belges atteignent les clés eIDAS via le FAS, qui intègre l'eIDAS-node^[2] ; il n'a pas été trouvé si l'eHealth IDP propose des clés d'autres États membres (voir Authentification dans les soins de santé).

Recommandation : intégrez l'acceptation du portefeuille européen dans la planification des portails patients et de la gestion des identités, et suivez la mise en œuvre belge des délais.

1. Délai de départ : les délais de 24 et 36 mois courent à partir d'actes d'exécution^[5] ; le règlement 2024/2977 relève des actes de l'art. 5 bis, par. 23^[8], mais il n'a pas été trouvé quel acte fait effectivement courir le délai ni quelle date d'échéance la Belgique retient.
2. Portefeuille belge : selon le Conseil des ministres de 2023, MyGov.be devient la mise en œuvre belge du portefeuille européen^[9], mais une notification formelle n'a pas été trouvée.
3. Application aux institutions de soins : la question de savoir quels acteurs de soins comptent comme partie utilisatrice privée tenue à une authentification forte n'est pas développée dans les sources consultées.