Rapport explicatif

Art. 12 Mesures de surveillance et retrait de la reconnaissance

Al. 1 et 2

L’organisme de reconnaissance intervient lorsqu’il constate, au cours d’un contrôle ou par le biais d’une notification, qu’un FI enfreint les prescriptions de la loi e-ID ou qu’il ne remplit plus les conditions de la reconnaissance (art. 4 AP). Sont en particulier considérées comme mesures nécessaires les exigences techniques, par exemple le respect des normes les plus récentes, et les mesures organisationnelles, comme les exigences relatives à la formation des collaborateurs. L’organisme de reconnaissance fixe un délai au terme duquel le manquement doit être corrigé. Si ce n’est pas le cas, il peut retirer la reconnaissance.

Al. 3

Let. a à c

Le retrait de la reconnaissance est une sanction administrative. Elle est prononcée si le FI enfreint les dispositions de la loi e-ID ou si les conditions de la reconnaissance ou les exigences formulées lors de la procédure de reconnaissance ne sont pas remplies dans les délais. La disposition potestative garantit que cette sanction, qui a des conséquences graves, ne soit prononcée que si le principe de proportionnalité est respecté.

Let. d

Les infractions en lien avec la criminalité sur Internet qui peuvent mener à une usurpation d’identité doivent faire l’objet d’une attention particulière. L’usurpation d’identité désigne l’usage abusif de données personnelles (de l’identité) d’une tierce personne. Elle vise souvent, soit à nuire à la réputation d’une personne, soit à se procurer un avantage patrimonial indu. Lorsque l’auteur cherche, par ce moyen, à se procurer ou à procurer à un tiers un enrichissement illégitime, il peut se rendre punissable d’escroquerie ou de tentative

d’escroquerie (art. 146 du code pénal, CP, RS 311.0) et s’exposer ainsi à une peine privative de liberté pouvant aller jusqu’à cinq ans. Dans le cadre du « phishing » ou hameçonnage (usurpation d’identité à des fins d’enrichissement indu), l’usurpation d’identité peut tomber sous le coup de l’art. 143^bisCP (accès indu à un système informatique), si l’auteur s’introduit sans droit dans le système informatique d’un tiers, ou du piratage, puni par l’art. 143 CP (soustraction de données), s’il accède à des données qui ne lui sont pas destinées. Selon l’intention de l’auteur et les circonstances du cas d’espèce, d’autres infractions peuvent entrer en ligne de compte, notamment la détérioration de données, l’atteinte astucieuse aux intérêts pécuniaires d’autrui, la menace ou la contrainte (art. 144^bis, 151, 180 ou 181 CP).

L’usurpation d’identité peut aussi être sanctionnée par les art. 173 ss CP, si elle sert de moyen pour commettre une infraction contre l’honneur ou une infraction contre le domaine secret ou le domaine privé. Enfin, dans les rares cas où elle ne se rattache pas à l’un de ces cas de figure, l’auteur peut encore, selon le canton, s’exposer à une amende pour troubles causés à une personne ou trouble de l’ordre public.

Art. 13 Système e-ID subsidiaire de la Confédération

L’avant-projet présuppose que des acteurs du secteur privé demanderont la reconnaissance. Si aucun FI du secteur privé ne souhaite faire reconnaître un système e-ID d’un niveau de garantie substantiel ou élevé, la Confédération se réserve la possibilité de gérer son propre système e-ID, en particulier pour identifier et authentifier les personnes qui utilisent des applications de la cyberadministration ou qui entrent en contact avec l’administration. L’al. 2 établit également la possibilité de mettre en place et de gérer un système e-ID étatique,

éventuellement en collaboration avec des partenaires privés.