Rapport sur les résultats

dard. ISSS indique aussi dans sa prise de position les moyens qui existent en Suisse comme en Europe pour obtenir une authentification sûre. Des moyens qui ne sont pas, ou pas toujours, basés sur la norme ISO/IEC 29115. ISSS souhaite que l’on applique des MID électroniques déjà définis et rappelle que le standard eCH doit être déterminant pour la définition d’autres MID. Dans ces conditions, la let. a doit être reformulée comme suit : « a. satisfaire à l’une des normes ou prescriptions suivantes : - niveau de qualité 3 de la norme eCH-0170 ; certificat qualifié au sens de la SCSE ; - Certificat d’authentification d’ID selon la norme eCH-0113 ; - eIDAS ». La SQS demande elle aussi le remplacement de la norme ISO/IEC 29115 par la signature électronique selon la SCSE.

Art. 22, let. c : La Poste demande une formulation plus précise dont il ressorte que le mTAN est un MID possible. L’OSP salue l’obligation d’utiliser une procédure d’authentification conforme aux progrès techniques comportant au moins deux facteurs d’authentification. La sécurité de l’accès aux données sensibles doit correspondre au moins à celle des banques. HIN salue le principe d’adapter le niveau de sécurité à la situation et l’exigence stricte d’un deuxième facteur d’authentification. Par analogie au niveau des MID couramment appliqués aux professionnels de la santé exerçant en milieu ambulatoire et en pratique libérale, les exigences de sécurité doivent aussi s’appliquer en milieu hospitalier. HIN dit disposer en tant qu’IPD de solutions adéquates et de l’expérience nécessaire pour l’utilisation dans de grands établissements hospitaliers. La SSMI plaide quant à elle pour qu’on abandonne l’idée de deux niveaux d’authentification.

Art. 22, let. d : Six participants⁶⁰ font valoir qu’une période de validité maximale de dix ans paraît très longue au vu de la rapidité des progrès techniques. Malheureusement, le rapport explicatif ne livre pas de réflexions contextuelles à ce sujet. Ils demandent que ce délai maximum de dix ans soit réexaminé. DSBAG propose concrètement qu’il soit fixé à deux ans, BE propose cinq ans. VAKA et La Poste demandent la suppression de cette exigence. Si par contre le principe d’un délai était estimé indispensable, La Poste considère qu’il doit être réglé dans l’art. 25 et harmonisé avec les autres lois.

Art. 23 Vérification d’identité

¹L’éditeur est tenu de vérifier l’identité de la personne qui demande un moyen d’identification. Pour établir son identité, le demandeur doit présenter un document d’identité conforme à la loi du 22 juin 2001 sur les documents d’identité ou un titre de séjour conforme aux art. 41 à 41b de la loi fédérale du 16 décembre 2005 sur les étrangers ou encore déposer par voie électronique une demande sur laquelle est apposée une signature électronique qualifiée selon la loi fédérale du 19 décembre 2003 sur la signature électronique.

²Si le moyen d’identification demandé est destiné à authentifier un professionnel de la santé, il faut en outre vérifier si ce dernier a la qualité de professionnel de la santé au sens de l’art. 2, let. b, LDEP.

³La vérification de l’identité des demandeurs visée à l’al. 1 et la vérification de la qualité de professionnel de la santé visée à l’al. 2 peuvent être déléguées à des tiers.

Les PKS et la SSIM déplorent qu’à l’image de l’art. 22, on ait mis la barre trop haut pour le contrôle d’identité. Il faut pouvoir recourir à des méthodes bien établies qui ont fait leurs preuves. La Poste critique la contradiction manifeste entre les exigences très élevées posées aux MID dans ce projet et les très faibles exigences auxquels est soumise la vérification d’identité. Aussi demande-t-elle que l’on applique les mêmes exigences que celles fixés dans le projet de révision de l’ordonnance sur la signature électronique (OSCSE) pour l’établissement de certificats réglementés. STSAG est d’avis que le problème de la vérification d’identité doit pouvoir être résolu de manière plus pragmatique. Il devrait suffire que l’institution procède elle-même à cette vérification (dans le cadre du rapport de travail avec l’employé), que le rôle de ce dernier soit défini (par ex. dans le système KIS) et que l’accès lui soit donné au moyen d’une validation technique (par ex. HIN access gateway). L’identification/authentification dans le système primaire, couplée à une infrastructure d’accès sécurisée, pourrait être utilisée pour une authentification par deux facteurs qui permettrait d’accéder au dossier électronique d’un patient sans avoir à subir d’autres contrôles d’identité.