LOI sur les moyens d’identification électronique et le portail sécurisé des prestations en ligne de l’Etat
(LCyber)

La présente loi fixe les conditions et la procédure de délivrance d'un moyen d'identification électronique par l'Etat ainsi que les conditions d'organisation, d'exploitation et d'utilisation du portail sécurisé des prestations en ligne de l'Etat (ci-après : le portail sécurisé).

On entend par :

• a. portail sécurisé : le dispositif global de communication électronique sécurisée que l'Etat met à disposition des usagers afin de leur permettre d'accéder à des prestations en ligne ;

• b. prestations en ligne : les services offerts par l'Etat aux usagers par l'intermédiaire du portail sécurisé ;

• c. moyen d'identification électronique : les éléments électroniques utilisés pour l'identification et l'authentification d'une personne physique ;

• d. données d'identification personnelle : l'ensemble de données permettant à l'Etat de délivrer un moyen d'identification électronique, notamment les noms et prénoms, la date de naissance, la copie du document d'identité, l'adresse de domicile, l'adresse de courrier électronique, le numéro d'assuré AVS ;

• e. usager : la personne physique ou l'entité disposant d'un numéro d'identification des entreprises au sens de la loi fédérale du 18 juin 2010 sur le numéro d'identification des entreprises^A (ci-après : une entité disposant d'un IDE) qui bénéficie d'un accès au portail sécurisé ;

• f. données de compte : les données relatives à la procédure d'accès au portail sécurisé, à la création et au maintien du compte de l'usager, notamment, pour l'usager personne physique, ses données d'identifications personnelles et, pour l'usager entité disposant d'un IDE, le numéro d'identification de l'entreprise, sa raison de commerce ou son nom, son adresse du domicile ou de siège, le numéro d'assuré AVS, la date de naissance et l'adresse de courrier électronique des personnes habilitées à le représenter ;

• g. données de contenu : les données intrinsèques aux demandes et communications, y compris aux décisions, transmises entre l'usager et l'Etat par le portail sécurisé ;

• h. métadonnées : les données décrivant les caractéristiques formelles des données de contenu transitant sur le portail sécurisé, notamment leur auteur, titre, destinataire, date et heure.

La délivrance d'un moyen d'identification électronique par l'Etat et l'accès au portail sécurisé sont gratuits.

Un émolument peut être prélevé lorsque l'accès au portail sécurisé est effectué avec un autre moyen d'identification électronique que celui délivré par l'Etat.

Le département en charge des systèmes d'information (ci-après : le département)^B est l'autorité compétente pour exécuter la loi, notamment :

• a. délivrer, gérer et désactiver des moyens d'identification électronique ;

• b. octroyer l'accès au portail sécurisé à un usager ;

• c. exercer la surveillance sur le portail sécurisé ;

• d. assurer l'organisation administrative du portail sécurisé ;

• e. développer l'infrastructure technique du portail sécurisé et en assurer la maintenance ;

• f. assurer la sécurité du portail sécurisé ;

• g. édicter les conditions d'utilisation du portail sécurisé ;

• h. désigner les personnes agréées pour accéder aux données de l'usager conformément à l'article 13, alinéas 2 et 3 de la présente loi. ;

• i. prononcer toute décision en application de la présente loi.

Le département peut confier l'exécution de ses tâches au service en charge des systèmes d'information (ci-après : le service)^B.

Le Conseil d'Etat peut prévoir que d'autres services et autorités cantonales concourent à la réalisation de la procédure de délivrance des moyens d'identification électroniques et d'accès au portail sécurisé.

Afin de réaliser les tâches que leur confie la présente loi, les autorités compétentes au sens de l'article 4 sont autorisées à employer systématiquement le numéro d'assuré AVS :

• a. des personnes sollicitant la délivrance par l'Etat d'un moyen d'identification électronique ;

• b. des titulaires d'un moyen d'identification électronique délivré par l'Etat ;

• c. des usagers.

Afin de permettre les vérifications d'identité et de pouvoirs de représentation nécessaires à l'exécution de la présente loi ainsi qu'un contrôle de sécurité continu des échanges par l'intermédiaire du portail sécurisé, les autorités compétentes au sens de l'article 4 peuvent accéder :

• a. aux données figurant dans le registre cantonal des personnes, à l'exception de celles relatives à la détention dans un établissement pénitentiaire et à l'appartenance à une communauté religieuse ;

• b. aux données figurant dans le registre cantonal des entreprises.

Les données désignées à l'alinéa 1 leur sont rendues accessibles par l'intermédiaire d'une procédure d'appel.

Le Conseil d'Etat peut autoriser l'accès à d'autres registres ou bases de données si cela se révèle nécessaire à l'exécution de la présente loi.

Au début de la procédure, les autorités compétentes au sens de l'article 4 sensibilisent quiconque sollicite un moyen d'identification électronique ou demande à être usager du portail sécurisé aux bonnes pratiques en matière de sécurité informatique et de protection des données personnelles.

Le Conseil d'Etat détermine les conditions personnelles à remplir et la procédure à suivre pour obtenir un moyen d'identification électronique délivré par l'Etat.

Il peut reconnaître des moyens d'identification électronique délivrés par d'autres fournisseurs publics ou concessionnés.

Le refus de délivrance d'un moyen d'identification électronique par l'Etat ou sa désactivation fait l'objet d'une décision.

Le titulaire d'un moyen d'identification électronique délivré par l'Etat doit le garder strictement confidentiel.

Il prend les mesures nécessaires et raisonnables au vu des circonstances pour en empêcher une utilisation abusive. Ces obligations lui sont rappelées lors de la délivrance d'un moyen d'identification électronique.

En cas d'utilisation abusive d'un moyen d'identification électronique délivré par l'Etat, ou s'il y a lieu de le craindre, les autorités compétentes au sens de l'article 4 peuvent le désactiver sans demande préalable du titulaire. Dans ce cas, les autorités compétentes en informent le titulaire.

L'utilisation du portail sécurisé pour accéder à une prestation de l'Etat est facultative, sauf exception prévue par le Conseil d'Etat.

Le titulaire d'un moyen d'identification électronique et l'entité disposant d'un IDE, par l'intermédiaire des personnes habilitées à l'engager et titulaires d'un moyen d'identification électronique, peuvent demander à être usager du portail sécurisé.

Le Conseil d'Etat détermine la procédure et les conditions d'accès au portail sécurisé.

Si un usager viole les conditions d'utilisation du portail sécurisé, son accès peut être limité, suspendu ou révoqué.

Le refus, la limitation, la suspension ou la révocation de l'accès au portail sécurisé fait l'objet d'une décision.

Les autorités compétentes au sens de l'article 4 sont autorisées à traiter :

• a. les données d'identification personnelle ;

• b. les données de compte ainsi que les données de contenu et les métadonnées liées à la gestion de l'accès des usagers au portail sécurisé ;

• c. les données relatives à une procédure de refus ou de désactivation du moyen d'identification électronique délivré par l'Etat, ou relatives à une procédure de limitation, suspension ou révocation de l'accès au portail sécurisé ;

Elles limitent le traitement des données mentionnées à l'alinéa 1 à ce qui est strictement nécessaire à la réalisation des tâches qui leurs sont assignées par la loi.

Les données mentionnées à l'alinéa 1 sont détruites cinq ans après la désactivation du moyen d'identification électronique délivré par l'Etat ou le refus de la délivrance de celui-ci respectivement cinq ans après que l'accès de l'usager a pris fin.

L'usager a accès aux données de compte, aux données de contenu et aux métadonnées le concernant durant leur durée de conservation.

Les personnes agréées au sens de l'article 4, alinéa 1, lettre h peuvent accéder aux données de compte et aux métadonnées de l'usager dans le cadre de leur fonction.

L'usager peut autoriser l'accès aux données de contenu le concernant aux personnes agréées au sens de l'article 4, alinéa 1, lettre h, notamment lorsqu'il doit être guidé dans l'utilisation du portail sécurisé ou qu'il signale au département une anomalie de fonctionnement ou de contenu. Un accord exprès est requis.

Les données de compte de l'usager sont conservées sur le portail sécurisé jusqu'à la fin de son accès.

Les données de contenu échangées entre l'usager et l'Etat et les métadonnées y relatives sont conservées sur le portail sécurisé durant le traitement par l'autorité concernée de la demande de prestation en ligne et pendant dix-huit mois après la clôture de la procédure mais au plus tard jusqu'à la fin de l'accès de l'usager. Les données de contenu et les métadonnées relatives aux décisions sont conservées sur le portail sécurisé dix-huit mois après leur notification mais au plus tard jusqu'à la fin de l'accès de l'usager.

Les données mentionnées aux alinéas 1 et 2 sont détruites sur le portail au terme de leur durée de conservation respective.

L'autorité concernée au sens de l'alinéa 2 statue sur les demandes de communication des données de contenu et des métadonnées y relatives.

L'Etat ne répond pas des dommages causés par l'impossibilité d'utiliser un moyen d'identification électronique qu'il a délivré ou d'accéder au portail sécurisé et de l'utiliser.

Au surplus, la loi du 16 mai 1961 sur la responsabilité de l'Etat, des communes et de leurs agents (LRECA)^C s'applique.

L'usager supporte tous les risques résultant de l'utilisation par un tiers de son moyen d'identification électronique.

Il est seul responsable de la protection et du bon fonctionnement de son système informatique.

Le Conseil d'Etat édicte les dispositions d'application de la présente loi.

Le Conseil d'Etat soumettra au Grand Conseil un rapport d'évaluation concernant la mise en œuvre de la présente loi dans les 5 ans suivant son entrée en vigueur.

Ce rapport sera accompagné d'un projet de décret amenant des mesures si les objectifs de la loi tels que définis dans l'exposé des motifs ne sont pas atteints.

Les conditions personnelles que doivent remplir les personnes physiques pour obtenir un moyen d'identification électronique délivré par l'Etat et celles pour devenir usager du portail sécurisé seront identiques pendant les trois années suivant l'entrée en vigueur de la présente loi.

Le Conseil d'Etat est chargé de l'exécution de la présente loi. Il en publiera le texte conformément à l'article 84, alinéa 1, lettre a) de la Constitution cantonale et en fixera, par voie d'arrêté, la date d'entrée en vigueur.