Ordonnance d'exécution de la loi sur l'administration numérique (VDVG) (VDVG)

1. L'autorité administrative qui externalise le traitement de données ou la gestion de solutions informatiques reste responsable du respect des exigences relatives à la protection des données et à la sécurité des données.

2. Si l'externalisation concerne plusieurs autorités, une autorité principale responsable doit être désignée.

1. Au moyen d'un accord, d'une condition ou de toute autre manière appropriée, les points suivants doivent au minimum être réglés

a) Contenu du service ;

b) Respect du secret de fonction ainsi que des obligations particulières de confidentialité ;

c) Responsabilités ;

d) Mesures techniques et organisationnelles pour garantir la protection des données et la sécurité des données ;

e) Lieu du traitement des données ;

f) * Contrôle de l'exécution du contrat ;

g) Recours à des tiers ;

h) * Durée du contrat et conditions de sa résiliation ainsi que leurs conséquences, notamment le rapatriement et la suppression des données ;

i) * Sanctions prévues en cas de violation des obligations.

1. Sont considérés comme services de base

a) un portail pour les prestations des autorités et pour l'interaction avec les autorités (portail d'administration électronique);

b) un E-compte et la gestion centrale des identités des utilisateurs et utilisatrices (gestion de l'identité et des accès);

c) un service de signature électronique de documents nécessitant une signature (service de signature);

d) des services pour l'échange de communications et de documents avec les autorités via le portail d'administration électronique (plateforme de distribution);

e) un service pour la création et la gestion centralisée et unifiée de formulaires web en vue de fournir des prestations via le portail d'administration électronique ou un site internet (service de formulaire).

1. Les services existants sur Internet peuvent continuer à être exploités sous leur forme actuelle. Ils doivent en outre être proposés via le portail d'administration électronique, dans la mesure où cela est judicieux et techniquement faisable.

1. Le service central de l'administration numérique est l'unité administrative responsable du fonctionnement administratif du portail de l'administration électronique et des services de base associés.

1. Le Bureau de l'informatique est l'unité administrative responsable de l'informatique.

1. L'ouverture d'un compte électronique s'effectue via un formulaire électronique.

2. Pour l'ouverture du compte électronique, il est nécessaire de fournir au minimum les données de compte conformément à l'article 17, alinéa 1, lettres a à e de la loi sur l'administration numérique.

3. Chaque utilisatrice et utilisateur ne peut disposer que d'un seul compte électronique.

1. Lors de l'ouverture du compte, une vérification des doublons est effectuée en comparant les données saisies avec les comptes existants.

2. Si un compte électronique existant est trouvé lors de la comparaison, celui-ci peut être utilisé ou réactivé. Cela ne s'applique pas si le compte a été suspendu par l'autorité compétente en vertu de l'article 16, alinéa 2, lettre a de la loi sur l'administration numérique.

1. Les utilisateurs et utilisatrices doivent être informés en temps utile et de manière appropriée de leurs droits et obligations lors de l'ouverture du compte électronique et à chaque modification de leurs droits et obligations.

2. Les utilisateurs et utilisatrices doivent accepter les droits et obligations lors de l'ouverture du compte électronique et à chaque modification de ces droits et obligations. L'utilisation du compte électronique peut être restreinte tant que les modifications apportées n'ont pas été acceptées.

3. L'accord doit être enregistré de manière appropriée par l'unité administrative responsable de l'informatique.

1. L'étendue du pouvoir de représentation doit être clairement définie, en particulier en ce qui concerne les services concernés.

2. La relation de représentation peut être révoquée à tout moment par les deux parties.

1. Pour l’acquisition de services par des personnes morales, celles-ci doivent être enregistrées une seule fois dans le système et les utilisatrices et utilisateurs habilités doivent être désignés.

2. Lors de l'enregistrement, au moins une utilisatrice ou un utilisateur doit être désigné comme représentant de l'entreprise.

3. L'autorité compétente peut demander des preuves supplémentaires de l'autorisation de représentation. Ces exigences doivent être communiquées aux utilisatrices et utilisateurs par l'autorité compétente de manière appropriée.

1. **Personnes morales avec un numéro d'identification d'entreprise (numéro UID) selon la loi fédérale sur le numéro d'identification d'entreprise (unités UID) demandent l'enregistrement via le compte électronique d'une utilisatrice ou d'un utilisateur en fournissant le nom de l'entreprise et le numéro UID.**

2. Après la demande, un code d'activation est envoyé à l’adresse du siège de l'unité UID telle qu’enregistrée dans le registre UID de la Confédération, à l'attention de la direction.

3. En saisissant le code d'activation via le compte électronique de l'utilisatrice ou de l'utilisateur désigné à cet effet, l'unité UID est activée et la personne concernée est autorisée à représenter l'entreprise.

4. Pour les personnes morales sans numéro UID, l'envoi du code d'activation se fait à l'adresse saisie par l'utilisatrice ou l'utilisateur. Certains services de niveaux de confiance spécifiques peuvent être exclus de l'utilisation par des personnes morales sans numéro UID.

1. La représentation de l'entreprise peut autoriser d'autres utilisatrices et utilisateurs à accéder aux services.

2. La représentation de l'entreprise est responsable de la mise à jour des utilisatrices et utilisateurs autorisés. Elle est régulièrement sollicitée par le système pour vérifier les autorisations accordées.

3. Le compte électronique des utilisatrices et utilisateurs autorisés à accéder aux services doit présenter le niveau de confiance requis pour le service.

1. L'utilisateur ou l'utilisatrice peut solliciter la désactivation de son E-compte à tout moment et sans avoir à fournir de justification, directement depuis son E-compte.

1. Une autorité peut ordonner une désactivation ou une restriction, si les conditions de l'article 16 paragraphe 2 de la loi sur la gestion numérique sont remplies.

2. Un abus du compte électronique par le compte d'une utilisatrice ou d'un utilisateur se manifeste notamment lorsque celle-ci ou celui-ci viole les droits et obligations ou qu'il existe des indices d'une compromission du compte électronique par des tiers.

3. La désactivation ou la restriction doit être notifiée à l'utilisatrice ou à l'utilisateur à l'adresse électronique enregistrée dans le système.

4. L'utilisatrice ou l'utilisateur peut demander à l'autorité la réactivation du compte ou la levée de la restriction. L'autorité peut rejeter la demande si une personne a enfreint à plusieurs reprises ou de manière grave les droits et obligations ou si le risque de compromission n'est pas encore éliminé.

5. La personne concernée peut, conformément à l'article 5, demander à l'unité administrative compétente de rendre une décision écrite sur le refus.

1. Après la désactivation ou la limitation, il n'y a plus d'accès aux données stockées sur le portail et liées au compte électronique. L'utilisateur ou l'utilisatrice est seul(e) responsable de la sauvegarde préalable de ses propres données.

2. Si, au moment de la désactivation ou de la limitation, l'utilisateur ou l'utilisatrice est partie à une procédure en cours qui, selon les dispositions de la loi sur la procédure administrative, est menée via le portail de l'administration électronique en tant que système de transmission, les actes de procédure ultérieurs doivent être effectués sous forme papier.

1. Pour s'authentifier à un service dans une application spécialisée, l'utilisatrice ou l'utilisateur doit

a) posséder le niveau de confiance défini par l'autorité compétente ; et

b) avoir été lié avec l'application spécialisée une seule fois.

2. Pour l'accès à l'application spécialisée, différents niveaux de confiance sont prévus en fonction des besoins de protection des données traitées

a) Niveau de confiance 0 : données publiques ;

b) Niveau de confiance 1 : besoin de protection de base ;

c) Niveau de confiance 2 : besoin de protection accru ;

d) Niveau de confiance 3 : besoin de protection très élevé.

1. Un niveau de confiance supérieur peut être atteint si l'utilisatrice ou l'utilisateur

a) suit une procédure d'identification officielle ; ou

b) présente une unité d'identification électronique répondant aux critères du niveau de confiance respectif.

2. Les exigences pour atteindre un niveau de confiance sont définies selon le modèle de qualité pour l'authentification des sujets (Norme eCH-0170).

1. La procédure officielle d'identification est effectuée par

a) une comparution personnelle devant un centre d'identification ; ou

b) une procédure d'identification en ligne sécurisée selon l'état actuel de la technique.

2. L'unité administrative compétente définit les processus d'identification et les centres d'identification, et doit publier les exigences pour chaque niveau de confiance.

3. La preuve du passage par le processus d'identification peut être enregistrée dans le compte électronique.

1. La liaison d'un E-compte avec une application spécialisée est établie si les données du compte correspondent aux données correspondantes de l'application spécialisée. Selon le niveau de confiance, la saisie de données supplémentaires, connues de l'utilisateur ou de l'utilisatrice, peut être requise.

2. Si les données du compte ne sont pas enregistrées dans une application spécialisée, elles peuvent être mises à disposition de l'application spécialisée avec le consentement de l'utilisateur ou de l'utilisatrice.

3. Les données personnelles provenant des applications spécialisées sont temporairement stockées dans l'E-compte pendant la liaison.

4. En cas de liaison réussie, le numéro d'identification de l'utilisateur provenant de l'application spécialisée est conservé de manière permanente dans l'E-compte.

1. Sont reconnues comme unités d'identification électronique

a) SwissID ;

b) des unités d'identification électronique reconnues selon les prescriptions du droit fédéral.

2. Les données provenant de l'unité d'identification électronique reconnue sont enregistrées dans le compte électronique avec le consentement de l'utilisatrice ou de l'utilisateur.

3. L'unité administrative responsable de l'informatique définit, en respect des prescriptions du droit fédéral, les niveaux de confiance que doivent remplir les unités d'identification électronique.

1. Le stockage comprend l'utilisatrice ou l'utilisateur accédant, le moment de l'accès ainsi que la nature des actions entreprises.

2. Les journaux peuvent être consultés et contrôlés par un cercle restreint de personnes.

3. Les données stockées sont supprimées après douze mois. Les délais de conservation différents prévus par la législation spéciale applicable restent réservés.

1. L'unité administrative compétente peut charger des tiers de traiter les données en lien avec le compte électronique, notamment pour mener à bien le processus d'identification et assurer le support aux utilisateurs.

1. Les accords existants, les conditions ou les arrangements conclus de manière appropriée concernant la sous-traitance restent valides jusqu'à leur expiration. Ils doivent, en cas de renouvellement éventuel, être adaptés aux dispositions de ce règlement.