Rapport explicatif

Art. 18 Système de confirmation des identifiants

Al. 1

La Confédération met en place un mécanisme étatique permettant de vérifier si un identifiant et une clé cryptographiques appartient à un émetteur inscrit dans le registre de base ou un vérificateur intéressé. Il constitue le deuxième volet de l’ancre de confiance du système : il permet aux titulaires et aux vérificateurs de savoir à qui ils ont effectivement à faire. La Confédération pourrait par exemple recourir à un répertoire de confiance ou à de certificats émis par une autorité compétente.

Un mécanisme de confirmation de l’identifiant vise à établir un lien entre le monde virtuel et le monde réel: il permet d'associer un identifiant technique inscrit dans le registre de base à une organisation, entité ou particulier existant dans le monde réel. Ce mécanisme est d'une grande importance pour les utilisateurs et les vérificateurs. Sachant qu'un vérificateur n’a pas forcément de relation directe avec un émetteur, le vérificateur peut recourir à ce mécanisme pour n'accepter des moyens de preuve électroniques que des émetteurs fiables. Par exemple, l’e-ID sera émise par fedpol, et l’identifiant technique de l’émetteur apparaîtra dans l'e-ID. Un vérificateur utilisera le mécanisme de confirmation de l’identifiant pour s’assurer que l’identifiant et les clés cryptographiques de l’émetteur de l’e-ID proviennent effectivement de fedpol.

La Confédération s'assure que le mécanisme de confirmation de l'identifiant est accessible à toute autorité et à toute personne privée intéressée. Cet accès leur permet de s'assurer que leur interlocuteur dans le monde virtuel est bien l'organisation, l'entité et la personne qu'il prétend être. Il permet de vérifier l'authenticité de la partie prenante à une transaction.

La mise en place du système de confirmation des identifiants des émetteurs et des vérificateurs sera effectuée en différentes étapes. Dès le début, la Confédération se voit déléguer la compétence de confirmer l'identité des autorités fédérales, cantonales et communales qui agissent en tant qu'émetteurs et vérificateurs. Elle charge une entité au sein de l'administration fédérale de gérer et d'entretenir le système de confirmation d'identité. Cette entité maintient une liste d'autorités agissant en tant qu'émetteurs et vérificateurs qu'elle publie sur son site et la met régulièrement à jour.

Al. 2

Le Conseil fédéral pourra éventuellement prévoir que la Confédération confirme l'identifiant et les clés cryptographiques des émetteurs et vérificateurs du secteur privé. Un tel besoin pourra se poser lorsque l'écosystème de l'e-ID se développera suffisamment et lorsque que la demande du secteur privé sera assez forte. Ainsi, le niveau de confiance dont bénéficie l'infrastructure de confiance dans le contexte de l'identification électronique pourra également être augmenté. Le Conseil fédéral pourra alors définir par voie d'ordonnance les exigences applicables à la confirmation de l'identifiant de ces organisations, entités et particuliers. Il s'agira également de prévoir les mesures techniques et organisationnelles qui seront à prendre dans ce cadre.

Il est possible que les acteurs du secteur privé décideront de mettre en place, à leur propre compte et séparément, un mécanisme de confirmation des identifiants non-étatique (privé); l'al. 2 ne limite pas leurs activités dans ce domaine.

Al. 3

Toute autorité et toute personne privée intéressée peut consulter les attributions des identifiants confirmées par le système dans le cadre du contrôle des moyens de preuve électroniques.

Art. 19 Application pour la conservation et la présentation des moyens de preuve électroniques

La Confédération établit une application pour la conservation et la présentation des moyens de preuve électroniques, dite portefeuille électronique étatique, aux personnes qui en font la demande. Il s'agit d'une application logicielle qui permet de demander et d'obtenir de manière sécurisée, stocker, sélectionner, combiner et partager des moyens de preuve électroniques d'une manière transparente et traçable pour l'utilisateur. L'e-ID comme tant d'autres moyens de preuve électroniques peut en faire partie. La mise en place du portefeuille électronique étatique suit autant que possible les standards qui sont présentement élaborés par l'Union européenne.

Le titulaire du portefeuille sauvegarde le moyen de preuve électronique dans un portefeuille électronique sur un support de son choix, tel un smartphone. Le vérificateur peut demander au titulaire de lui présenter des données via un canal de communication sécurisé. En réponse, le titulaire peut décider quelles données il transmet effectivement au vérificateur à partir de son portefeuille électronique.

La loi ne règle pas l'utilisation des portefeuilles électroniques émis par les acteurs privés. En sus du portefeuille électronique étatique, les utilisateurs peuvent se servir d’autres applications pour la conservation et la présentation de leurs moyens de preuve électroniques. La Confédération peut soumettre les prestataires offrant des portefeuilles électroniques à un processus d'évaluation et de certification selon l’art. 13 nLPD. Il n'est dont plus nécessaire de régler la possibilité de certification dans l'avant-projet de loi.

Art. 20 Système concernant la vérification des moyens de preuve électroniques

La présente disposition potestative permet au Conseil fédéral de mettre en place d'une application permettant de vérifier la validité des moyens de preuve électroniques. Il s'agit d'une mesure de sécurité supplémentaire qui pourra être prise en cas de besoin. Elle pourra notamment servir à augmenter la confiance dont bénéficie l'infrastructure de confiance au sein de la population.