Rapport explicatif

- Les définitions de « clé de signature » et de « clé de vérification de signature » qui figu-

rent dans la loi en vigueur (let. d et e) ont été supprimées parce qu’on parle de l’utilisation des clefs en général dans l’avant-projet et qu’on emploie donc les expressions « clef cryptographique privée » et « clef cryptographique publique ».

- let. e : certificat numérique

La notion de « certificat numérique » apparaît dans la définition large de la notion de « certificat qualifié » sans pour autant être elle-même définie, ce qui rompt avec la logique et va à l’encontre de la directive de l’UE et de la législation des pays voisins. Une définition de cette notion figure même dans la législation d’exécution. L’ajout de cette nouvelle définition, qui n’entraîne aucune modification matérielle, est certes contraire au principe de cette révision, qui veut que seuls les changements nécessaires pour remplir les objectifs définis au chap. 1.1 soient effectués, mais il permet d’assurer une meilleure compréhension et une meilleure cohérence dans la systématique.

Dans un certificat numérique quelconque, la paire de clefs peut en principe aussi bien être liée à une personne qu’à un objet, par exemple une machine ou un site Web – ce qui n’est pas le cas dans un certificat réglementé ou un certificat qualifié. Dans la terminologie spécialisée anglaise, on utilise ici souvent le concept d’« entity ». Nous avons choisi ici le terme de « titulaire ». Nous avons estimé que le calque de l’anglais (« entité ») ou une solution telle qu’« objet » n’étaient pas suffisamment clairs.

- let. f : certificat réglementé

La définition du certificat réglementé s’inspire de celle du certificat qualifié figurant à l’actuelle let. f. Au vu des exigences posées par l’art. 7, on peut dire qu’il s’agit d’un certificat numérique plus simple et plus général que le certificat qualifié, dont il constitue la base. Par souci de simplification, on a précisé – ce qui n’est pas le cas dans la législation en vigueur – que tout certificat réglementé devait être délivré par un fournisseur reconnu de services de certification.

- let. g : certificat qualifié

Il s’agit du certificat qualifié défini à l’actuelle let. f. Selon la nouvelle systématique, il constitue une forme particulière du certificat réglementé introduit à la let. f et doit, à ce titre, répondre à des exigences supplémentaires. Hormis le fait qu’il devra toujours être délivré par un fournisseur reconnu – condition applicable au certificat réglementé –, les exigences auxquelles il sera soumis sont les mêmes qu’aujourd’hui.

2.1.3 Section 2 : Reconnaissance des fournisseurs

Aucun changement ne sera apporté au système de reconnaissance actuel. Une solution qui a été envisagée mais qui n’a pas été retenue était de prévoir deux types de reconnaissance : une pour les fournisseurs ne proposant que des certificats réglementés simples et une autre pour les fournisseurs proposant aussi des certificats qualifiés. Elle n’aurait toutefois fait que compliquer un système déjà complexe sans pour autant répondre à un réel besoin.

Conserver le texte actuel, comme on le propose ici, implique qu’il n’y aura toujours qu’un seul type de reconnaissance. Pour être reconnus, les fournisseurs devront être en mesure de délivrer des certificats qualifiés, et donc automatiquement aussi des certificats réglementés, puisque les certificats qualifiés sont des certificats réglementés soumis à des exigences supplémentaires. Les fournisseurs déjà reconnus pourront donc à l’avenir proposer un autre type de certificat réglé par la loi et, bien entendu aussi, continuer de délivrer d’autres types de certificats qui ne sont pas prévus par la loi.

On s’est donc contenté d’adapter les renvois à la cessation d’activité (nouvel art. 14) et à la responsabilité (nouvel art. 17) qui figurent à l’art. 3, al. 1, let. f.