Rapport explicatif

Al. 2

Les niveaux de garantie sont définis plus en détail par voie d’ordonnance. Ils dépendent de la procédure d’établissement, de la gestion du système, de l’utilisation des e-ID et d’autres mesures de sécurité techniques et organisationnelles. Ces conditions sont inscrites dans la loi de la manière la plus neutre possible sur le plan technologique, et seront détaillées par voie d’ordonnance ou de directive ; les conditions relatives aux différents types de support d’un e-ID sont également précisées.

Al. 3

Un e-ID d’un niveau de garantie supérieur peut également être utilisé pour un service utilisateur qui requiert un niveau de garantie moins élevé. Les titulaires d’un e-ID peuvent utiliser celui-ci pour tous les services utilisateurs, à condition que l’e-ID soit d’un niveau de garantie égal ou supérieur à celui exigé par l’exploitant du service utilisateur.

Art. 6 Procédure d’établissement

Remarque préliminaire

Le requérant, le FI et le service d’identité participent à la procédure d’établissement. Suivant le niveau de garantie, le requérant doit se présenter en personne ou s’identifier d’une manière équivalente. Le Conseil fédéral règle la procédure d’établissement selon les niveaux de garantie ; la délégation de cette compétence est mentionnée à plusieurs reprises dans l’avant-projet, en particulier aux art. 3, al. 3, et 5, al. 4.

Al. 1

Le FI ne peut pas décider de lui-même d’établir un e-ID, même si la personne concernée est l’un de ses clients. Une personne qui souhaite obtenir un e-ID doit en faire la demande ; le FI n’a pas l’obligation de satisfaire à cette demande.

Al. 2 et 3

Le FI contrôle que le requérant remplit les conditions personnelles définies à l’art. 3 et demande au service d’identité de lui transmettre les données d’identification personnelle par voie électronique. Si le FI ne souhaite établir des e-ID que pour certaines personnes

(clients), il vérifie également qu’il existe une relation de clientèle avec le requérant. Celui-ci doit expressément consentir à ce que ses données d’identification personnelle soient transmises. Le service d’identité doit s’assurer par des mesures techniques et organisationnelles que les données d’identification personnelle ne puissent pas être obtenues de manière abusive. Les FI ne devraient par exemple pas pouvoir obtenir les données d’identification personnelle en donnant uniquement le numéro du document d’identité ou sans le consentement exprès du titulaire. Le consentement doit être donné lors d’un contact direct entre le service d’identité et le requérant.

Al. 4

Le FI attribue les données d’identification personnelle à l’e-ID et garantit que celui-ci est attribué à la personne physique correspondante (rattachement). Pour Mobile-ID par exemple, l’e-ID est attribué à une carte SIM qui sert aussi de support pour l’abonnement du requérant et qui est insérée dans l’appareil. Les exigences relatives à l’attribution dépendent du niveau de garantie. Le FI doit notamment contrôler le ou les facteurs d’authentification nécessaires pour l’utilisation de l’e-ID. Il vérifie par exemple que le requérant possède un appareil personnel, qu’il connaît la réponse à une question secrète ou que les données biométriques lui correspondent.