Règlement (UE) 2026/798 : ce que l'enrôlement à distance des EUDI Wallet change (et ce qu'il ne change pas)

Le 7 avril 2026, la Commission européenne a publié au Journal officiel le règlement d'exécution (UE) 2026/798. Derrière ce numéro austère se cache une pièce technique attendue depuis des mois par les acteurs de l'identité numérique : le cadre normatif de l'enrôlement à distance des futurs portefeuilles européens d'identité numérique, les EUDI Wallet.

Pour les DPO, RSSI et juristes d'entreprise qui suivent eIDAS 2.0, cette publication fixe enfin un repère concret. Mais elle suscite aussi une question récurrente que nous entendons régulièrement : un EUDI Wallet va-t-il rendre obsolètes les autres briques de preuve numérique, à commencer par l'horodatage ? Réponse courte : non. Réponse longue dans les paragraphes qui suivent.

Ce que dit le règlement 2026/798 en quelques phrases

Le règlement d'exécution fixe les spécifications techniques et procédurales applicables à l'enrôlement à distance des utilisateurs d'un EUDI Wallet. Il renvoie explicitement à la norme ETSI TS 119 461 V2.1.1, publiée en février 2025, qui détaille les exigences de vérification d'identité applicables aux processus d'enregistrement des prestataires de services de confiance.

Concrètement, ce texte traite de questions très opérationnelles :

• comment un utilisateur peut prouver son identité sans se déplacer en agence,
• quels mécanismes biométriques, documentaires et techniques sont admis,
• comment combiner ces mécanismes pour atteindre un niveau de confiance élevé (high) au sens d'eIDAS,
• quelles obligations pèsent sur l'opérateur qui mène l'enrôlement.

Pourquoi ce texte arrive maintenant

Le calendrier eIDAS 2.0 prévoit que chaque État membre proposera un EUDI Wallet d'ici décembre 2026. Pour tenir cette échéance, il fallait stabiliser les conditions techniques d'enrôlement, faute de quoi chaque pays aurait construit son propre référentiel, avec un risque évident de fragmentation.

Le règlement 2026/798 répond à ce besoin d'harmonisation. Il ne décrit pas l'apparence du wallet, ni ses fonctionnalités finales. Il se concentre sur l'étape d'entrée : comment lier de façon fiable un utilisateur à son portefeuille numérique, à distance, dès la première activation.

Niveau substantiel, niveau élevé : la mécanique

Le règlement eIDAS distingue trois niveaux de confiance pour les schémas d'identification électronique : faible, substantiel, élevé. L'enjeu de l'enrôlement à distance est de pouvoir atteindre le niveau élevé sans présence physique, ce qui était jusqu'ici difficile.

La logique retenue par le règlement 2026/798 combine plusieurs facteurs :

• vérification du document d'identité (lecture NFC du chip de la carte d'identité ou du passeport, contrôle des éléments de sécurité visuels),
• vérification biométrique de la personne (selfie dynamique, détection du vivant),
• mise en correspondance entre les données du document et la personne devant la caméra,
• journalisation de l'opération avec horodatage et traçabilité.

L'empilement contrôlé de ces vérifications permet d'atteindre le niveau élevé sans rendez-vous en agence — ce qui rend l'EUDI Wallet utilisable à l'échelle de plusieurs centaines de millions de citoyens européens.

Ce que ça prouve, ce que ça ne prouve pas

C'est ici que l'analyse devient intéressante pour un DPO ou un juriste d'entreprise.

Un EUDI Wallet apporte une réponse robuste à une question précise : qui est l'utilisateur qui interagit avec mon service à un instant donné ? Une fois l'enrôlement réalisé conformément au règlement 2026/798, l'identité de l'utilisateur est attestée à un niveau de confiance élevé, opposable dans toute l'Union européenne.

En revanche, l'EUDI Wallet ne dit rien :

• de la forme exacte d'un fichier que l'utilisateur a produit ou consulté,
• de la date à laquelle un livrable existait sous telle ou telle version,
• de l'intégrité d'un contenu entre le moment où il a été créé et le moment où il est versé au débat.

Cas concrets pour DPO et juristes d'entreprise

Quelques scénarios qui illustrent la complémentarité.

Signature d'un contrat dématérialisé. L'EUDI Wallet permettra à un cocontractant d'attester son identité au moment de la signature. Mais si vous voulez pouvoir prouver, deux ans plus tard, que la version du contrat signé est bien celle que vous détenez (et pas une variante modifiée ensuite), un horodatage électronique sur le PDF signé apporte une garantie distincte.

Soumission d'un dossier d'innovation à un partenaire. Vous présentez un livrable confidentiel à un industriel. Six mois plus tard, vous découvrez une fonctionnalité similaire chez ce partenaire. L'EUDI Wallet aurait identifié les destinataires de votre envoi. Un horodatage horodate la version exacte du livrable que vous leur avez présentée — utile pour reconstituer l'antériorité.

Conservation d'éléments probants RGPD. Un DPO doit pouvoir démontrer, le cas échéant, qu'un registre de traitements ou un PIA existait dans une version donnée à une date donnée. L'EUDI Wallet identifie l'auteur du document. L'horodatage atteste de son contenu et de sa date.

Calendrier : ce qu'il faut anticiper

Le règlement 2026/798 est en vigueur. Pour autant, sa mise en oeuvre opérationnelle dépend de l'avancement des projets nationaux d'EUDI Wallet. Quelques jalons à garder en tête.

Pour un DPO ou un RSSI, la fenêtre 2026-2027 est celle pendant laquelle se construisent les architectures internes : comment intégrer un EUDI Wallet dans un parcours utilisateur, quelles données stocker, quelles preuves conserver.

Et LegalStamp dans tout ça ?

LegalStamp se positionne sur la couche preuve de contenu, en complément de la couche identité. Le service calcule le hash SHA-256 d'un fichier directement dans le navigateur — le fichier ne quitte jamais votre machine — puis ancre ce hash sur la blockchain Bitcoin via OpenTimestamps. Vous obtenez un reçu vérifiable indépendamment qui atteste que ce fichier exact existait à une date donnée.

C'est un mécanisme qui ne concurrence pas l'EUDI Wallet : il s'y articule. Le wallet répond à la question "qui ?", LegalStamp répond à la question "quoi, et quand ?".

Soyons honnêtes sur le périmètre : LegalStamp est un service d'horodatage non qualifié au sens d'eIDAS. Il ne bénéficie pas de la présomption de fiabilité réservée aux prestataires de services de confiance qualifiés (QTSP). En revanche, l'article 41(1) du règlement eIDAS interdit d'écarter un horodatage électronique au seul motif qu'il est non qualifié. Concrètement, un horodatage LegalStamp constitue un élément probant qui renforce un faisceau d'indices, à apprécier par le juge dans le contexte du dossier.

Pour aller plus loin sur l'écosystème des prestataires de services de confiance, l'ANSSI propose une page de référence qui répertorie les acteurs qualifiés français.

Conclusion

Le règlement 2026/798 marque une étape concrète d'eIDAS 2.0 : l'enrôlement à distance des EUDI Wallet dispose désormais d'un cadre technique européen homogène. Pour les entreprises, c'est un signal clair que l'identité numérique de niveau élevé devient un standard accessible à grande échelle.

Cette avancée ne couvre toutefois qu'une partie du paysage probatoire. La preuve de contenu — figer un fichier dans une version exacte à une date précise — reste un sujet distinct, qui appelle d'autres outils. Les architectures les plus solides combineront les deux briques, en assumant ce qu'elles font et ce qu'elles ne font pas.

FAQ

Disclaimer : cet article est fourni à titre informatif et pédagogique. Il ne constitue pas un avis juridique. Pour un cas concret (intégration d'un EUDI Wallet dans un parcours métier, choix d'un prestataire de services de confiance, stratégie probatoire d'entreprise), faites valider votre approche par un avocat spécialisé en droit du numérique ou par votre DPO.