Rapport explicatif

Let. f

Le FI doit garantir que les données seront traitées et conservées exclusivement en Suisse. Il y a lieu d'empêcher que des tiers non autorisés établis à l'étranger puissent avoir accès aux données. La notion de traitement des données englobe toutes les opérations effectuées sur les données indépendamment des moyens et procédés utilisés, en particulier la collecte, la conservation, l'archivage et la destruction. Cette disposition s'applique à toutes les données que le FI traite dans le cadre des prestations prévues par la loi e-ID, y compris les données temporaires, celles provenant d'enregistrements intermédiaires et les données secondaires.

Let. g

Le FI a l’obligation de s’assurer contre les risques en matière de responsabilité civile. La responsabilité est régie par le code des obligations (cf. section 9, art. 24 AP).

Al. 3

Les évolutions techniques de ces prochaines années dans le domaine de l’identification et de l’authentification électroniques ne peuvent guère être prévues. La reconnaissance doit être renouvelée à intervalles réguliers. Le FI rédige un rapport de sécurité annuel qui inclut tous les systèmes e-ID reconnus qu’il gère et le transmet à l’organisme de reconnaissance. Le Conseil fédéral définit la forme et le contenu du rapport de sécurité.

Al. 4

La réglementation de la procédure et des détails techniques est déléguée aux autorités chargées d’édicter les ordonnances.

Sont en particulier réglés par voie d’ordonnance ou de directive les normes et les protocoles techniques applicables aux systèmes e-ID. L’organisme de reconnaissance contrôle régulièrement l’application de ces normes et protocoles. Cette procédure établit la reconnaissance des systèmes e-ID.

Art. 5 Niveau de garantie

Al. 1

Toutes les transactions ne requièrent pas le même niveau de garantie. En général, plus le niveau de sécurité est élevé, plus l’obtention est fastidieuse et compliquée pour les utilisateurs et plus les coûts augmentent. Pour cette raison, l’avant-projet prévoit que les FI puissent s’adapter aux besoins du marché et proposer des systèmes e-ID de trois niveaux de garantie différents, comme définis par l’UE et le NIST. Les exploitants d’un service utilisateur peuvent déterminer eux-mêmes le niveau de garantie qu’ils souhaitent appliquer (cf. art. 15 AP).

Pour bénéficier de la reconnaissance, un système e-ID doit offrir un niveau de garantie faible au moins. Les systèmes e-ID d’un niveau de garantie substantiel ou élevé doivent non seulement remplir les conditions minimales, mais aussi satisfaire à d’autres conditions. Cela signifie que les e-ID d’un niveau de garantie élevé remplissent les conditions des niveaux de garantie faible et substantiel, mais que le contraire n’est pas vrai.

Les e-ID offrent un degré de fiabilité différent selon le niveau de garantie du système. Les niveaux de garantie faible et substantiel réduisent le risque d’utilisation abusive ; le niveau de garantie élevé vise à empêcher l’utilisation abusive ou l’altération de l’identité.