Recevant un certain nombre de requêtes concernant la votation du 7 mars prochain en Suisse portant sur la Loi fédérale sur les services d’identification électronique (LSIE), et n’ayant malheureusement pas encore vu d’analyse sur le site de l’excellent François Charlet, j’ai décidé de mettre la main à la pâte et tenter de répondre à certaines d’entre elles. Bien évidemment, mon analyse ne sera pas aussi poussée que celle d’un juriste, mais j’ose espérer qu’elle permettra d’éclaircir les opinions de chacun sur le sujet. Voyons donc en détail de quoi on parle.

Je précise, à toute fin utile, que les propos utilisés dans cet article n’engagent que moi, et qu’ils servent un but de vulgarisation. Je ne suis pas rémunéré pour cet article (et aucun des précédents, à vrai dire), il ne s’agit donc que de mon avis et de mon expérience personnelle, basée sur les documents de vote distribués.

Qu’est-ce que l’e-ID suisse ?

Premier écueil: de quoi parle-t-on ?

L’e-ID suisse cherche à apporter de la simplicité dans les procédures de vérification d’identité numérique. Je tiens à préciser d’emblée que l’e-ID n’est pas un passeport numérique. J’ai trouvé cette citation intéressante à ce propos, qui émane directement du Conseil fédéral:

Il ne s’agit ni d’un passeport électronique, ni d’une carte d’identité électronique, ni d’une pièce d’identité. Un passeport vous donne des droits. Il montre, par exemple, que vous êtes citoyen suisse et vous permet de voyager. L’e-ID n’est liée à aucun droit particulier, et elle ne vous permet pas de passer un contrôle de police.

La conseillère fédérale Karin Keller-Sutter, pour le journal Cooperation

Le but visé par l’e-ID est donc davantage de vérifier votre identité lorsque vous réalisez des opérations en ligne et de réduire les chances d’usurpation d’identité. Cela sera vraisemblablement réalisé sous la forme que vous connaissez aujourd’hui sous le nom de SSO ou SAML tel que la connexion via votre compte Facebook, Twitter, etc.

La différence fondamentale avec les systèmes de connexion précédemment cités est que vos données sont gérées par des personnes morales, des cantons ou des communes basées en Suisse, stockées en Suisse et vérifiées par la Confédération (fedpol, en l’occurrence). Le but est de protéger vos données selon les modalités suisses. Je doute réellement que ça change quelque chose par rapport à aujourd’hui personnellement, mais j’aimerais être surpris en bien.

Qui s’occupe des e-ID ?

Les e-ID seront créés et émis par des entreprises suisses, des cantons ou des communes (nommés « fournisseurs »), après que votre identité ait été validée par la Confédération. Il y a donc vraisemblablement un peu de paperasse à faire pour en obtenir une, mais cela ne me semble pas être un obstacle infranchissable. Les données d’identification, d’utilisation ainsi que les autres données générées par l’e-ID seront stockées de manière séparées pour éviter de tout perdre si une attaque informatique réussit, malgré les mesures mises en place. C’est un signe encourageant de voir cette disposition dans la loi.

Les organisations chargées de l’émission des e-ID devront au préalable être validés par la Confédération (EIDCOM). Cette validation dure 3 ans, peut être renouvelée ou révoquée par l’EIDCOM. Les modalités de la résiliation sont indiqués dans la LSIE, ce qui est encourageant là aussi.

Les e-ID pourront être gratuites comme payantes, il est encore trop tôt pour se prononcer sur des prix. Mme Keller-Sutter se dit confiante sur le fait qu’elles seront gratuites.

Quelles données va-t-on avoir sur moi ?

J’ai été agréablement surpris de constater que l’e-ID est divisée en plusieurs catégories, nommées « niveaux de garantie », à savoir:

• Faible: contient seulement des informations de base telles que votre numéro e-ID, votre nom d’état civil, votre ou vos prénom(s) et votre date de naissance
• Substantiel: contient, en plus des informations du niveau « faible », votre sexe, votre lieu de naissance et votre nationalité
• Élevé: contient, en plus des informations des niveaux « faible » et « substantiel », votre photographie et d’autres informations que fedpol peut juger importantes d’intégrer

Chaque exploitant qui voudra accéder à vos données (par exemple: un magasin en ligne) devra demander le niveau de garantie qui convient. Pour acheter en ligne, par exemple, le niveau faible sera certainement suffisant, là où pour une administration communale le niveau substantiel sera probablement requis. Il faut savoir que tout niveau de garantie inclus les données du ou des niveaux inférieurs et donc que l’exploitant y aura également accès.

La première fois que vous vous connecterez avec un exploitant, vous devrez accepter explicitement de partager les informations avec lui. Il n’y a pas d’échange automatique sans votre consentement. Il semble que le niveau substantiel permettra de réaliser une signature électronique vous abstenant d’être physiquement présent et remplaçant votre signature physique. Certains exploitants sélectionnés et autorisés explicitement pourront également accéder à votre n° AVS pour réaliser certaines actions. Comme cette information est relativement sensible, je pense que son utilisation sera essentiellement réservée aux organes d’État, mais le texte de loi n’est pas plus clair à ce sujet.

Enfin, dernier élément: l’e-ID protégera certaines de vos informations comme votre âge par exemple, en indiquant simplement si vous êtes mineur ou majeur. Après tout, c’est tout ce qu’un magasin en ligne a besoin pour vous vendre de l’alcool, non ?

Vers un nouveau scandale des fiches ?

S’il est vrai que fedpol aura des informations sur les personnes disposant d’un e-ID, il ne disposera pas d’une vision de ce que vous en faites. Cette vision, réservée à la personne morale, à la commune ou au canton désigné comme fournisseur, ne pourra cependant pas être utilisée pour autre chose que vous procurer les services que vous demandez (donc la vérification de votre identité).

La loi sur les documents d’identité du 22 juin 2001 sera modifiée pour indiquer que fedpol a le droit de traiter les données d’identification dans un cadre stricte (identifier les personnes). Pas de tracking dans la loi, donc. On peut à mon avis être confiants qu’un nouveau scandale ne nous pend pas au nez, sachant que la base légale est en place pour protéger contre ce cas.

Est-ce que ce sera obligatoire ?

Non. La LSIE prévoit que si l’e-ID est mis en place par un exploitant, celui-ci doit impérativement prévoir une seconde méthode de connexion à ses services, pour les personnes qui ne disposent pas d’e-ID. Le but de l’e-ID est donc de simplifier l’identification tout en réduisant les risques d’usurpation d’identité, selon le texte de loi, pas de forcer les gens à l’utiliser.

Et enfin, quel est ton avis ?

Malgré la criante différence de vocabulaire entre celui de la Confédération (identification = vérifier que la personne est bien celle qu’elle dit être) et le vocabulaire de la sécurité informatique (identification = présenter son identité; authentification = vérifier que l’on est bien qui on dit être), je dois dire que je penche davantage pour un « oui » qu’un « non », dans la mesure où le système reste facultatif.

J’ai lu les arguments du comité référendaire, qui ne me semble pour la plupart pas pertinents. Le seul argument que je partage avec eux concerne la collecte de données sur l’utilisation d’une e-ID. Les partisans de l’e-ID diront que c’est pour retracer une utilisation frauduleuse, et leurs détracteurs que c’est pour nous pister et revendre des profils de données. J’ai personnellement tendance à penser que l’on peut faire confiance à la LSIE, notamment grâce à:

• L’article 9 al.1 qui indique que les données peuvent être utilisées par le fournisseur qu’aussi longtemps que l’e-ID n’a pas été révoquée, et uniquement pour procéder aux identifications prévues par la présente loi
• L’article 15 al.1 let.k qui indique que les données d’utilisation seront supprimées après six mois
• L’article 15 al.1 let.l qui indique que le PFPDT (préposé fédéral à la protection des données) est impliqué dans le processus d’accord entre un fournisseur et un exploitant
• L’article 16 al.1 qui indique que le fournisseur ne peut communiquer des informations aux exploitants qui offrent le niveau de garantie requis, qui sont nécessaires pour l’identification personnelle et que le titulaire de l’e-ID a consenti

En bref, je trouve que contrairement à la LRens (voir cet article de François Charlet), qui ne m’a pas convaincu et ne me convainc toujours pas, cette LSIE me semble bien ficelée et aller dans le bon sens.

Ceci reste mon avis personnel et je vous invite fortement à vous documenter via les liens suivants pour vous faire votre propre opinion:

• Texte soumis au vote (LSIE)
• Article « La campagne sur l’e-ID est lancée » de ICTJournal
• L’argumentaire du comité référendaire
• Les autres liens déjà situés dans mon texte, à garder dans leur contexte

Source de l’image d’entête: Pixabay.