Attestations Électroniques d’Attributs Qualifiées (QEAA)

Qu’est-ce qu’une Attestation Électronique d’Attributs Qualifiée ? 

Les Attestations Électroniques d’Attributs Qualifiées (QEAA en Anglais) sont des justificatifs numériques sécurisés et juridiquement reconnus, qui permettent de vérifier des attributs, caractéristiques ou droits spécifiques d’une personne ou d’une organisation sous forme électronique. Il peut s’agir, par exemple, d’une adresse postale, d’un numéro d’identification fiscale, d’une qualification professionnelle, d’un âge ou d’une habilitation à agir au nom d’une autre personne ou entité.

Une QEAA est délivrée par un Prestataire de Services de Confiance Qualifié (QTSP), conformément au règlement eIDAS de l’Union européenne, y compris eIDAS 2.0. Son caractère qualifié lui confère un niveau élevé de garantie, d’intégrité et de valeur probante. En vertu du règlement eIDAS, les QEAA ont une valeur juridique dans l’ensemble de l’Union européenne et sont conçues pour offrir un niveau de confiance équivalent à celui des attestations papier officielles revêtues d’un sceau.

Les QEAA permettent de vérifier un attribut particulier sans divulguer automatiquement l’ensemble des données d’identité d’une personne. Ce mécanisme favorise la divulgation sélective : les utilisateurs peuvent partager uniquement les informations nécessaires à une transaction donnée, sans exposer de données personnelles superflues.

Les QEAA peuvent être utilisées avec un Portefeuille Européen d’Identité Numérique (EUDI Wallet), mais elles peuvent également s’intégrer à des parcours de vérification numérique en dehors du portefeuille, selon l’implémentation du prestataire et l’intégration de la partie utilisatrice.

En termes simples, une QEAA est un moyen qualifié d’attester qu’un fait précis concernant une personne ou une organisation est avéré. Le principe est similaire à celui de la Signature Électronique Qualifiée (QES), qui confère à une signature numérique la même valeur juridique qu’une signature manuscrite : la QEAA applique ce niveau de confiance qualifié à un attribut ou une déclaration.

Que signifie PID ? 

Les Données d’Identification Personnelle (PID en Anglais) constituent les informations d’identité de base permettant d’identifier une personne ou une organisation : nom de naissance, prénom, date de naissance ou identifiant unique. Dans l’écosystème EUDI des portefeuilles numérique, le PID est le socle de l’identité numérique. Toutefois, le PID ne contient pas nécessairement tous les attributs dont une organisation peut avoir besoin pour une transaction spécifique. Selon le pays et le dispositif d’identité en vigueur, des informations telles que l’adresse de résidence, le numéro d’identification fiscale ou le numéro administratif personnel peuvent devoir être obtenues séparément.

Quelle est la différence entre une QEAA, une EAA et un PID ? 

Dans le cadre d’eIDAS 2.0, plusieurs types de justificatifs numériques peuvent être utilisés pour identifier une personne ou une organisation, ou pour attester d’attributs spécifiques les concernant. Bien qu’ils puissent servir des finalités similaires, ils se distinguent par ce qu’ils attestent, par les entités habilitées à les délivrer, ainsi que par le niveau de garantie et la reconnaissance juridique qu’ils offrent.

Acronyme	Nom complet	Émetteur	Caractéristiques principales	Cas d’usage
PID	Données d’Identification Personnelle	Gouvernements nationaux (ou entités officiellement désignées par les États membres)	Données d’identité de base permettant d’identifier une personne ou une organisation ; ne comprend pas nécessairement tous les attributs requis pour l’entrée en relation ou les décisions d’éligibilité	Identification générale, création du Wallet
EAA	Attestation Électronique d’Attributs	Émetteur public ou privé autorisé	Attestation numérique confirmant un attribut spécifique ; applicable aux parcours réglementés et non réglementés	Principalement les parcours numériques (réglementés et non réglementés)
QEAA	Attestation Électronique d’Attributs Qualifiée	QTSP (Prestataire de Services de Confiance Qualifié)	Forme qualifiée de l’EAA ; délivrée conformément aux exigences eIDAS ; offre une garantie, une intégrité et une valeur probante renforcées	Cas d’usage réglementés et à haute exigence de confiance
Pub-EAA	Attestation Électronique d’Attributs du Secteur Public	Organisme public ou autorité compétente connectée à une source authentique	Le statut juridique et les conditions d’utilisation dépendent du cadre eIDAS applicable et des modalités de transposition nationale	Cas d’usage du secteur public / définis au niveau national

Note terminologique : IDnow distingue les attributs (les informations individuelles faisant l’objet d’une vérification) des justificatifs numériques (la preuve numérique utilisée pour les attester). Dans les contextes réglementaires et de conformité, nous utilisons la terminologie précise d’eIDAS, telle que QEAA et EAA. Dans des contextes plus larges ou internationaux, nous pouvons y faire référence de manière plus générale en parlant de justificatifs numériques qualifiés ou vérifiés, lorsque cette terminologie est plus communément comprise.

Comment fonctionnent les QEAA ? 

Un processus QEAA type comprend les étapes suivantes : 

1. L’attribut requis est identifié. Par exemple, un établissement bancaire peut avoir besoin de vérifier l’adresse de résidence ou le numéro d’identification fiscale d’un client.
2. Le client ou l’organisation est identifié et authentifié. Le niveau de garantie et la méthode de vérification dépendent de l’attribut et du cas d’usage.
3. Le QTSP vérifie l’attribut auprès d’une source appropriée ou de pièces justificatives. Cela peut inclure un registre public, une base de données autorisée, un document d’identité ou toute autre source fiable.
4. Le QTSP émet la QEAA. L’attestation est sécurisée par voie cryptographique au moyen d’une signature électronique qualifiée (QES) ou d’un cachet électronique qualifié (QSeal), garantissant que son origine, son authenticité et son intégrité peuvent être vérifiées de manière indépendante.
5. La partie utilisatrice vérifie et exploite l’attribut. Le destinataire peut s’assurer que l’attestation est authentique, valide et non altérée avant de l’utiliser dans un processus d’entrée en relation, de conformité ou de prise de décision.
6. Le saviez-vous ? Les QEAA peuvent être délivrées via un EUDI Wallet ou par d’autres canaux numériques intégrés. Selon l’implémentation, un prestataire peut, par exemple, délivrer une QEAA lisible par machine via une API ou un flux JSON, pour une utilisation directe au sein des systèmes existants d’une organisation. IDnow prend en charge l’émission et la délivrance de QEAA aussi bien en dehors que dans le cadre de l’EUDI Wallet, permettant aux organisations d’intégrer des attestations qualifiées directement dans leurs parcours d’entrée en relation et de conformité numériques existants.

Quels sont les avantages des QEAA pour les organisations ? 

• Vérifier des attributs spécifiques sans collecter de données personnelles superflues. La divulgation sélective réduit le volume d’informations personnelles partagées lors d’une transaction, dans le respect des exigences de protection de la vie privée et de minimisation des données.
• Répondre aux obligations AMLR et KYC. Les QEAA fournissent des preuves qualifiées et auditables des données clients requises au titre de l’AMLR, aidant les organisations à rester conformes lorsque des attributs tels que l’adresse de résidence, le numéro d’identification fiscale ou le numéro administratif personnel ne sont pas disponibles via l’eID national ou le PID.
• Réduire le traitement manuel de documents. Les attestations délivrées sous forme numérique limitent les demandes répétées de certificats papier, les téléchargements de documents et les vérifications manuelles, améliorant ainsi l’efficacité opérationnelle et l’expérience client.
• Renforcer la prévention de la fraude. Les attestations sécurisées par voie cryptographique facilitent la détection des altérations et fournissent des preuves d’origine plus solides et vérifiables, réduisant ainsi le risque de fraude à l’identité.
• Faciliter la vérification transfrontalière. Les QEAA s’appuient sur le cadre européen des services de confiance et permettent des transactions numériques fiables dans l’ensemble des 27 États membres, simplifiant l’entrée en relation et la conformité à l’échelle transfrontalière.
• Créer des preuves de vérification réutilisables. Une attestation qualifiée peut être réutilisée dans le cadre de plusieurs interactions et auprès de différentes parties utilisatrices, réduisant les demandes de vérification répétées et améliorant l’expérience utilisateur, sous réserve que l’attribut reste valide et que la partie utilisatrice accepte le justificatif.

Comment les QEAA soutiennent-elles la conformité à l’AMLR ? 

Le Règlement européen sur la lutte contre le blanchiment d’argent (AMLR) impose aux entités assujetties commeles établissements bancaires, les opérateurs de jeux et paris en ligne, les compagnies d’assurance et autres institutions financières réglementées, de collecter et de vérifier des informations clients spécifiques dans le cadre de la vigilance à l’égard de la clientèle. En vertu de l’AMLR, les organisations doivent obtenir des informations d’identité et une adresse de résidence (obligatoires), ainsi qu’un numéro d’identification fiscale (le cas échéant) et un numéro administratif personnel (si applicable).

L’AMLR n’impose pas aux organisations de recourir spécifiquement aux QEAA. L’obligation de conformité porte sur l’obtention et la vérification des données requises au niveau de garantie approprié. Toutefois, une QEAA peut constituer un moyen qualifié et vérifiable numériquement d’obtenir des attributs qui ne sont pas systématiquement inclus dans les dispositifs nationaux de PID ou d’eID.

Les QEAA présentent ainsi un intérêt particulier pour : 

• L’entrée en relation client et le KYC 
• La vérification d’adresse et les mises à jour KYC 
• La collecte du numéro d’identification fiscale 
• La vérification du numéro administratif personnel, le cas échéant 
• La vigilance transfrontalière à l’égard de la clientèle 
• L’ouverture et la gestion de comptes résistantes à la fraude 
  

Les QEAA et l’EUDI Wallet 

Les QEAA constituent un élément central de l’écosystème eIDAS 2.0 et du Portefeuille Européen d’Identité Numérique. Elles peuvent compléter le PID en permettant aux utilisateurs de stocker et de partager des attributs vérifiés supplémentaires, tels qu’une preuve de domicile, des qualifications professionnelles ou des droits d’accès à des services.

L’EUDI Wallet est appelé à devenir un canal majeur pour le stockage et le partage de données d’identité numérique et d’attestations. Cependant, les services QEAA ne se limitent pas au portefeuille : selon le prestataire et l’intégration retenue, les attestations qualifiées peuvent également s’intégrer à des parcours numériques en dehors de l’EUDI Wallet.

Quelle est la différence entre une QEAA et un certificat numérique ? 

Un certificat numérique est un terme générique désignant un certificat électronique utilisé à des fins d’authentification, de chiffrement, de signature ou de cachet. Une QEAA est un type spécifique d’attestation électronique qualifiée au sens d’eIDAS, qui confirme un attribut relatif à une personne ou à une organisation. Son objet n’est pas nécessairement d’identifier l’utilisateur dans sa globalité, mais de fournir une preuve fiable d’un fait ou d’un droit particulier.

Quels sont les exemples de cas d’usage des QEAA ? 

Les QEAA peuvent être utilisées partout où une organisation a besoin d’une preuve fiable et vérifiable numériquement d’un attribut spécifique. Parmi les exemples : 

Services financiers : Vérification de l’adresse, du numéro d’identification fiscale ou du numéro administratif personnel lors de l’entrée en relation client. 

Crédit basé sur les attributs : Utilisation d’attributs qualifiés liés aux revenus ou à la fiscalité pour étayer les décisions d’éligibilité au crédit et d’octroi de prêts. 

Assurance : Vérification de l’adresse, de l’éligibilité ou d’autres attributs requis pour la gestion des contrats et l’évaluation des risques. 

Services professionnels : Confirmation de qualifications professionnelles, de licences ou d’habilitations à agir au nom d’une personne ou d’une organisation. 

Santé et services publics : Fourniture de preuves fiables d’éligibilité, d’autorisation ou d’autres attributs réglementés. 

Mobilité et services soumis à restriction d’âge : Vérification du droit à conduire, de l’âge ou d’autres attributs d’éligibilité, selon les cas. 

Comment IDnow peut-elle vous accompagner sur les QEAA ? 

IDnow combine vérification d’identité et services de confiance qualifiés au sein de l’IDnow Trust Platform. Cela permet aux organisations de vérifier l’identité, d’attester des attributs pertinents et de recourir à des services de confiance qualifiés via une intégration unique, dans le périmètre produit et réglementaire applicable.

L’offre QEAA d’IDnow est conçue pour prendre en charge une vérification d’attributs flexible et peut délivrer des attestations qualifiées via des parcours numériques intégrés, y compris en dehors de l’EUDI Wallet. Cela permet aux institutions financières réglementées de combler les lacunes en matière d’attributs dans leurs processus d’entrée en relation existants, tout en se préparant à l’écosystème eIDAS 2.0 et EUDI dans son ensemble.

IDnow prend également en charge les Attestations Électroniques d’Attributs (EAA) pour les cas d’usage non réglementés ou à niveau de garantie moindre, pour lesquels une attestation qualifiée n’est pas nécessaire.

FAQ sur les Attestations Électroniques d’Attributs Qualifiées