Rapport explicatif

Les FI sont tenus de mettre périodiquement à jour les données d’identification personnelle rattachées au numéro d’enregistrement d’un e-ID. Selon le niveau de garantie, ils doivent procéder à cette mise à jour tous les ans (niveau de garantie faible), tous les trimestres (niveau de garantie substantiel) ou toutes les semaines (niveau de garantie élevé) (cf. art. 8, al. 1, AP).

Organisme de reconnaissance des fournisseurs d’identité (organisme de reconnais-

sance)

Reconnaissance

Les FI (du secteur privé ou du secteur public) satisfaisant aux conditions requises peuvent faire reconnaître par l’organisme de reconnaissance leurs systèmes e-ID présentant l’un des trois niveaux de garantie prévus. Un FI peut gérer plusieurs systèmes e-ID présentant des niveaux de garantie différents et les faire reconnaître tous ou uniquement certains d’entre eux. Le Conseil fédéral fixe, pour ce faire, des exigences juridiques, organisationnelles et techniques que les FI doivent satisfaire, l’organisme de reconnaissance devant s’assurer que celles-ci soient bien remplies.

L’organisme de reconnaissance publie une liste des FI et des systèmes e-ID reconnus, qui doit permettre aux exploitants d’un service utilisateur et aux personnes physiques de vérifier le statut d’un FI ou d’un système e-ID en particulier (art. 22 AP).

Surveillance

L’organisme de reconnaissance surveille les FI et les systèmes e-ID reconnus et prend des mesures en cas de non-respect des exigences fixées ou d’incidents remettant en cause la sécurité informatique. Pour ce faire, il demande aux FI de lui apporter, à une fréquence définie préalablement, les preuves de conformité requises et les vérifie. Il peut imposer des mesures et dans certains cas retirer la reconnaissance à un FI ou à un système e-ID (art.

12 AP).

1.3 Justification et évaluation des solutions proposées

1.3.1 Solution développée par le marché

Plusieurs e-ID sont déjà utilisés à l’heure actuelle. Un profil e-ID est ainsi généralement établi lors de la configuration d’un appareil mobile connecté à Internet (par ex. AppleID, Google ID). Son titulaire peut, de cette manière, avoir facilement accès à d’autres services en ligne, qui se fient alors à cette identification.

Les services de cyberadministration proposés par l’État requièrent une identification claire et fiable du titulaire de l’e-ID, vérifiée par un processus standardisé. Plusieurs États ont créé leur propre e-ID, soit en reconnaissant des systèmes privés, soit dans un cadre entièrement étatique. Dans ce dernier cas, les solutions ne sont pas pour autant acceptées par le citoyen et s’accompagnent de coûts d’investissement mais aussi et surtout de coûts d’exploitation élevés pour les pouvoirs publics. Les solutions purement étatiques ne peuvent faire face à l’évolution des technologies que très difficilement et au prix d’adaptations coûteuses ou en faisant l’objet de nouvelles mises au concours. Elles ne se développent souvent pas comme on le souhaiterait et sont parfois utilisées par obligation et uniquement une fois par an pour