Rapport explicatif

Le niveau de confiance 3 ne requiert pas que la personne se présente en personne pour l’enregistrement du moyen d’identification. Cependant, il y a lieu de s’assurer que la pièce d’identité produite est valable et qu’elle concerne bien la personne en question ou le demandeur. Des dispositions doivent donc être prises pour réduire les risques que l’identité d’un demandeur diffère de l’identité revendiquée, dans le cas, p. ex., de pièces d’identité perdues, volées, suspendues, révoquées ou échues (cf. art. 23, al. 1).

Sur le plan technique et organisationnel, le moyen d’identification doit être conçu de manière à garantir que son titulaire soit le seul à pouvoir l’utiliser. Par exemple, il ne doit pas être possible de transférer les données cryptées protégées qui y figurent sur un autre système ou support, p. ex. en captant des mots de passe transmis en clair (let. b).

La procédure prévue à la let. c doit combiner au moins deux techniques d’authentification et correspondre aux progrès techniques. Des procédures combinant les facteurs « savoir » (p. ex. mot de passe secret) et « possession » (p. ex. possession d’une carte à puce ou d’une carte SIM dédiée comme support du matériel codé) sont courantes.

En vertu de la let. d, la durée de validité du moyen d’identification ne doit pas dépasser dix ans.

Art. 23 Vérification d’identité

L’éditeur vérifie l’identité de la personne qui sollicite un moyen d’identification sur la base d’une pièce d’identité valable selon la loi fédérale sur les documents d’identité (RS 143.1) ou la loi fédérale sur les étrangers (RS 142.20). Pour les demandes par correspondance, le demandeur adresse à l’éditeur la copie certifiée authentique d’une pièce d’identité (p. ex. « identification jaune » de La Poste ou procédure d’identification par vidéo certifiée). Une confirmation de l’identité ou des caractéristiques d’identité au moyen d’une signature électronique qualifiée selon la loi sur la signature électronique (RS 943.03) a la même valeur.

Dans l’optique de disposer d’un vaste réseau de services d’enregistrement en Suisse, l’éditeur du moyen d’identification peut déléguer à des tiers la vérification de l’identité d’un demandeur (al. 3). Les exigences auxquelles doit satisfaire le service d’enregistrement (registration authority) sont définies dans le profil de protection selon l’art. 30, al. 2 (chap. 4.2 Objectifs de sécurité portant sur l'environnement).

Le moyen d’identification peut également servir à confirmer les données du « professionnel de la santé » (cf. art. 8, let. b et d). A cet effet, l’éditeur saisit et vérifie l’identifiant (GLN) du professionnel de la santé (cf. art. 24, al. 2). Selon l’al. 3, la preuve que le demandeur est réellement un professionnel de la santé au sens de l’art. 2, let. b, LDEP doit être établie au préalable. Cela peut se faire, par exemple, en comparant les données personnelles de la personne avec celles figurant dans le registre des professions médicales pour les titulaires d’un diplôme ou d’un titre postgrade fédéral ou délivré à l’étranger et reconnu selon la loi fédérale du 23 juin 2006 sur les professions médicales universitaires (RS 811.11). L’éditeur du moyen d’identification peut déléguer à des tiers le soin de confirmer les données du « professionnel de la santé » (al. 3). Cette preuve pourrait être fournie par les associations professionnelles ou les institutions de santé concernées de la communauté ou de la communauté de référence.

Art. 24 Données du moyen d’identification

L’éditeur enregistre les données d’identification des patients (al. 1) et des professionnels de la santé (al. 1 et 2) à des fins de preuve et de vérification d’identité. Ces données peuvent être transmises accompagnées du moyen d’identification aux portails d’accès des communautés et communautés de référence (al. 3).

Selon l’al. 4, l’éditeur doit informer le demandeur des dispositions de sécurité à respecter lors de l’utilisation du moyen d’identification. Ces précisions concernent, par exemple, la manière de gérer en toute