Rapport explicatif

niques et organisationnelles de la reconnaissance, réglées par voie d’ordonnance ou de directive, incluent la sécurité des processus associés à la gestion du système.

Let. b

Lors de l’établissement d’un e-ID, le FI est responsable de l’attribution correcte des données d’identification personnelle à cet e-ID ainsi que du rattachement et de la remise corrects de l’e-ID à une personne physique. Pour ce faire, il suit trois étapes qui peuvent varier selon le niveau de garantie.

1. Avec le numéro d’enregistrement de l’e-ID, le FI attribue de manière univoque les don-

nées d’identification personnelle transmises par le service d’identité (art. 7 AP) à l’e-ID et au moyen d’authentification qui permet d’établir l’identité du titulaire. Au moins pour le niveau de garantie élevé, le moyen d’authentification est généralement directement intégré au support (par exemple à la puce d’une carte ou à la carte SIM d’un téléphone portable).

2. Il garantit que l’e-ID est bien attribué à la personne physique identifiée (par exemple que

les données déjà présentes sur la puce de la carte correspondent à la même personne, ou que l’abonnement de téléphone est au même nom).

3. Il veille à ce que l’e-ID soit remis à cette personne, par exemple lorsqu’elle se présente

en personne, au cours d’un contact virtuel sûr pendant lequel le moyen d’authentification est rattaché à la bonne personne, ou par l’envoi d’une lettre recommandée.

Let. c

Le domaine de la transmission sécurisée des données est sujet à des évolutions techniques rapides. L’avant-projet prévoit que la validité de tous les e-ID puisse être vérifiée selon une procédure usuelle, par analogie avec la formulation employée dans la révision de la SCSE. Actuellement, la procédure usuelle consiste à tenir une liste électronique. Le service

d’identité pourrait par exemple tenir et publier une liste des numéros d’enregistrement d’e-ID qui ne peuvent prétendre, temporairement ou durablement, à l’obtention ou à l’utilisation d’un e-ID, comme en cas de déclaration d’absence, de décès d’une personne ou d’expiration d’un titre de séjour pour un étranger. Le FI consulte régulièrement la liste des numéros

d’enregistrement des e-ID bloqués ou révoqués et détermine si les numéros

d’enregistrement des e-ID qu’il a établis sont concernés en suivant la procédure usuelle qu’il a fixée.

Let. d

Le FI est tenu de se renseigner sur les nouvelles conditions de sécurité et de contrôler que les systèmes qu’il gère les respectent.

Let. e

La mise à jour des données d’identification personnelle améliore la sécurité. La périodicité de cette mise à jour dépend du niveau de garantie ; elle est fixée à l’art. 8, al. 1.

Let. f

Lorsqu’un e-ID est utilisé et que des données d’identification personnelle doivent être transmises (au moment de l’enregistrement auprès d’un service utilisateur par exemple), le FI doit obtenir le consentement du titulaire.

Un exemple : la titulaire d’un e-ID souhaiterait jouer au casino en ligne. Elle doit prouver qu’elle a dépassé dix-huit ans. Ce casino a conclu un accord avec un FI. La titulaire dispose d’un e-ID installé sur son smartphone ; elle en informe le casino. Le casino prend contact avec le FI par Internet. Celui-ci envoie un message à la titulaire et lui demande si elle accepte de transmettre son nom, son prénom et sa date de naissance à ce casino. Elle donne