Rapport explicatif

effet, il convient d’encourager l’examen régulier des mesures de sécurité mises en œuvre quant à leur efficacité par rapport aux objectifs de protection requis, leur actualité et leur degré d’innovation. Il en résulte également une comparaison des mesures de sécurité avec les produits de sécurité existants sur le marché : Ce qui est considéré aujourd’hui comme correspondant à « l’état de la technique » peut être considéré demain en raison du décalage dû à l’innovation, c’est-à-dire de l’obsolescence de la mesure de sécurité par rapport à des autres mesures de sécurité disponibles, comme une des « règles reconnues de la technique ».

Pour des raisons de transparence, l'art. 2 énumère les données qui feront partie d'une e-ID. Il s'agit des données d'identification personnelles de base (al. 2) et des données supplémentaires (al. 3). Les données d'identification personnelles de base du titulaire sont les suivantes: le nom officiel, les prénoms, la date de naissance, le genre, le lieu de naissance, la nationalité et la photographie enregistrée dans ISA et SYMIC. Il s'agit de données disponibles dans les registres officiels de l'Etat auxquels fedpol à accès selon l'art 11, al. 3. En sus des données d'identification personnelles de base, une e-ID contient le numéro AVS et des données supplémentaires créées par fedpol lors de l’émission de l'e-ID : Il s'agit du numéro de l'e-ID, de la date d'émission, de la date d'expiration, et des données relatives au processus d'émission. En outre, l'e-ID contient les données relatives au document d'identité utilisé pour émettre l'e-ID, en particulier en ce qui concerne le type, le numéro et la durée de validité du document d'identité. Les détails seront précisés par voie d'ordonnance.

En vertu de l'art. 34, al. 1, nLPD, un organe fédéral n’est en droit de traiter et de communiquer des données personnelles que s’il existe une base légale. En application de l'art. 6, al. 3, nLPD, il y a lieu de définir la finalité du système envisagé de manière précise et reconnaissable pour les personnes concernées. Ainsi, la présente loi prévoit des règles précises permettant à fedpol de gérer un système d’information pour l’identification des requérants. L’art. 11 définit la nature, le contenu et la finalité de ce système. L’art. 11, al. 2, énumère les types de données qui y sont enregistrées: les données supplémentaires visées à l'art. 2, al. 3 ainsi que les données liées à la révocation d'une e-ID. En outre, on y conserve également les données, dites secondaires, créés durant le processus de vérification de l'identité et d’émission de l’e-ID, qui sont requises à des fins d'analyse statistique, d'assistance et de prévention d'abus. Les données personnelles sont consultées directement dans les registres fédéraux et ne sont pas sauvegardées dans le système d’information de fedpol (cf. al. 3). L'art. 11, al. 3 énumère les registres fédéraux auxquels fedpol aura accès afin de mettre en concordance les données personnelles. La finalité du système envisagé est de permettre à fedpol d'accomplir ses tâches dans le cadre de l’émission et de la révocation des moyens d’identification électronique. En outre, l'al. 4 fixe une limite de 5 ans pour la conservation des données dans le système suivant l'expiration de l'e-ID. Le Conseil fédéral se voit déléguer la compétence de régler par voie d'ordonnance les délais de conservation des différents types de données.

L'infrastructure de confiance mise en place par l'avant-projet de loi se fonde sur le principe de minimisation des données, de protection de la vie privée dès la conception et par défaut et d'enregistrement décentralisé des données. Les composants principaux de cette infrastructure sont réglés à la section 5. Il s'agit du registre de base, du mécanisme de confirmation des identifiants et de l'application pour la conservation et la présentation des moyens de preuve électroniques. Le registre de base et le système de confirmation des identifiants ne contiennent de trace des moyens de preuves électroniques. Seul le registre de base contient des informations liées à leur révocation. Les données des titulaires de l'e-ID et des moyens de preuve électroniques ne sont uniquement communiqué entre l’émetteur, le titulaire et des vérificateurs sans intermédiaire. Une base légale au sens de l'art. 34, al. 1, nLPD n'est donc pas requise. Le concept au cœur de l'infrastructure de confiance vise à créer un système dans lequel les flux de données sont directs et transparents pour tous les utilisateurs, où les émetteurs ne savent pas comment les moyens de preuve électroniques émis sont utilisées sans perdre le droit de les révoquer et dans lequel les titulaires profitent des mesures de sécurité correspondant à l'état actuel de la technologie.

Enfin, le Conseil fédéral se voit également déléguer à l'art. 28, let. e la compétence de régler par voie d'ordonnance les les mesures techniques et organisationnelles à prendre pour garantir la protection et la sécurité des données lors de l’exploitation et de l’utilisation de l’infrastructure de confiance.