Rapport explicatif

des normes techniques et organisationnelles contraignantes pour une collaboration TIC entre la Confédération et les cantons.¹⁵

Le présent avant-projet de loi règle certains aspects de droit civil relatifs aux relations entre les émetteurs et les titulaires d'une e-ID ainsi que les vérificateurs et les titulaires d’une e-ID. Cependant, étant donné leur importance accessoire, le préambule ne cite pas l’art. 122, al. 1, Cst, qui établit la compétence de la Confédération en matière de droit civil.

Section 1 Objet et but

Art. 1

Al. 1

L'avant-projet de loi établit le cadre juridique des moyens de preuve électroniques en Suisse, y compris l'identité électronique étatique. Il règle également les exigences relatives à l'infrastructure de confiance servant à l'émission, la révocation, le contrôle, la conservation et la présentation des moyens de preuve électroniques. En outre, l'avant-projet de loi règle les rôles et les compétences prévues dans le cadre de l'exploitation de l'infrastructure de confiance.

Al. 2

Let. a

L'avant-projet de loi vise à mettre en place une identité électronique (e-ID) étatique sûre qui pourra être utilisée entre personnes privées et auprès des autorités publiques. L'e-ID permettra aux titulaires de s'identifier plus facilement dans le cadre des transactions exécutées dans le monde numérique. Elle permettra ainsi de remplacer les processus d'identification (en ligne) existants qui sont beaucoup plus complexes. Pouvant être téléchargée sur un smartphone, l'e-ID pourra également être utilisée dans le monde réel.

Let. b.

La protection des données devant être préservée, la présente lettre reprend le but fixé à l’art. 1 de la loi du 25 septembre 2020 sur la protection des données (nLPD)¹⁶. Elle rappelle que le traitement des données personnelles effectué dans le cadre de l'obtention et de l'utilisation de l'e-ID respecte les exigences de la protection des données. Ce but sera notamment atteint par la mise en œuvre des exigences des six motions de même teneur intitulées « À l'État de mettre en place une identification électronique fiable » (cf. 21.3124, 21.3125, 21.3126, 21.3127, 21.3128 et 21.3129) qui ont été déposées par tous les groupes parlementaires qui ont été soumises suite au rejet de l'ancien projet de loi lors de la votation du 7 mars 2021. Selon les motionnaires, l'identité électronique étatique doit respecter les principes suivants: prendre en compte la protection de la vie privée dès la conception du produit (privacy by design), ne collecter que les données nécessaires et enregistrer celles-ci de manière décentralisée (par exemple auprès de l'utilisateur en ce qui concerne les données d'identification). La présente lettre reformule ces exigences en tant que buts spécifiques à atteindre dans le cadre de la protection des données personnelles.

La nLPD s'applique au traitement de données personnelles effectué dans le cadre de la mise œuvre du présent projet de loi. Afin d'éviter des répétitions et de faciliter la compréhension, les dispositions de l'avant-projet de loi ne renvoient pas aux articles pertinents de la nLPD (cf. ch. 6.8 protection des données).

Let. c

La présente lettre vise à garantir que la conception de l'e-ID et de l'infrastructure de confiance corresponde à l'état actuel de la technique.¹⁷ Avec l’emploi de cette notion, le législateur vise un niveau élevé de sécurité et de protection des données grâce à des procédures avancées. A cet effet, il convient d’encourager l’examen régulier des mesures de sécurité mises en œuvre quant à leur efficacité par rapport aux objectifs de protection requis, leur actualité et leur degré d’innovation. Il en résulte également une comparaison des mesures de sécurité avec les produits de sécurité existants sur le marché.¹⁸

Let. d

Afin de faciliter l'obtention et l'utilisation de l'e-ID, l'avant-projet de loi établit des nouveaux standards ou harmonise les standards existants concernant l'émission, la vérification et la révocation de l'e-ID. Il vise également à assurer la sécurité de l'infrastructure et des processus d'émission et de vérification des autres moyens de preuve électroniques. Afin d'atteindre ces buts, il convient toutefois de ne pas limiter le progrès technique. Ainsi, l'avant-projet de loi ne règle le choix de la solution technique que lorsque cela est absolument nécessaire pour atteindre les objectifs législatifs. Il prévoit notamment une gestion décentralisée des données et exclut ainsi toute solution technique selon laquelle un fournisseur de services d'identification s'interpose entre le titulaire et le vérificateur d'un moyen de preuve électronique. Cela permet d'éviter de laisser une trace chez un tel fournisseur et de donner aux titulaires un plus grand contrôle sur leurs données.