Document ID: 702b534c-c56e-4b52-8f83-bc89dd369221

RS 943.03   1   Loi fédérale   sur les services de certification dans le domaine  de la signature électronique et des autres applications  des certificats numériques*  (Loi sur la signature électronique, SCSE)   du 18 mars 2016 (Etat le 1er janvier 2020)     L’Assemblée fédérale de la Confédération suisse,  vu les art. 95, al. 1, et 122, al. 1, de la Constitution1,   vu le message du Conseil fédéral du 15 janvier 20142,   arrête:   Section 1 Dispositions générales   Art. 1 Objet et but  1 La présente loi règle:   a. les exigences de qualité auxquelles doivent répondre certains certificats nu- mériques et leur utilisation;   b. les conditions auxquelles les fournisseurs de services de certification dans le  domaine de la signature électronique et des autres applications des certificats  numériques (services de certification) peuvent être reconnus;   c. les droits et les devoirs des fournisseurs reconnus de services de certifi- cation.   2 À l’exception de la responsabilité au sens des art. 17 et 18, elle ne règle pas les  effets juridiques de l’utilisation des certificats numériques.  3 Elle vise à:   a. promouvoir la fourniture de services de certification sûrs à un large public;   b. favoriser l’utilisation des certificats numériques, des signatures électroniques  et des cachets électroniques;   c. permettre la reconnaissance internationale des fournisseurs de services de  certification et de leurs prestations.   Art. 2 Définitions  Au sens de la présente loi, on entend par:        RO 2016 4651  * Les termes désignant des personnes s’appliquent également aux femmes et aux hommes.  1 RS 101  2 FF 2014 957   943.03    Exercice du commerce   2   943.03   a. signature électronique: un ensemble de données électroniques qui sont  jointes ou liées logiquement à d’autres données électroniques et qui servent à  vérifier leur authenticité;   b. signature électronique avancée: une signature électronique qui remplit les  conditions suivantes:  1. être liée uniquement au titulaire,  2. permettre d’identifier le titulaire,  3. être créée par des moyens que le titulaire peut garder sous son contrôle   exclusif,  4. être liée aux données auxquelles elle se rapporte de telle sorte que toute   modification ultérieure des données soit détectable;   c. signature électronique réglementée: une signature électronique avancée  créée au moyen d’un dispositif sécurisé de création de signature au sens de  l’art. 6 et fondée sur un certificat réglementé se rapportant à une personne  physique et valable au moment de sa création;   d. cachet électronique réglementé: une signature électronique avancée créée au  moyen d’un dispositif sécurisé de création de cachet au sens de l’art. 6 et  fondée sur un certificat réglementé se rapportant à une entité IDE au sens de  l’art. 3, al. 1, let. c, de la loi fédérale du 18 juin 2010 sur le numéro d’iden- tification des entreprises (LIDE)3 et valable au moment de la création du ca- chet électronique;   e. signature électronique qualifiée: une signature électronique réglementée  fondée sur un certificat qualifié;   f. certificat numérique: une attestation numérique qui lie la clé publique d’une  paire asymétrique de clés cryptographiques à son titulaire;   g. certificat réglementé: un certificat numérique qui remplit les conditions  fixées à l’art. 7 et est délivré par un fournisseur de services de certification  reconnu en vertu de la présente loi;   h. certificat qualifié: un certificat réglementé qui remplit les conditions fixées à  l’art. 8;   i. horodatage électronique: l’attestation que des données numériques déter- minées existent à un moment précis;   j. horodatage électronique qualifié: un horodatage électronique qui est opéré  par un fournisseur de services de certification reconnu en vertu de la pré- sente loi et qui est muni d’un cachet électronique réglementé;   k. fournisseur de services de certification (fournisseur): un organisme qui cer- tifie des données dans un environnement électronique et qui délivre à cette  fin des certificats numériques;       3 RS 431.03     L sur la signature électronique   3   943.03   l. organisme de reconnaissance: un organisme qui est habilité à reconnaître et  à surveiller les fournisseurs en vertu des règles d’accréditation de la législa- tion sur les entraves techniques au commerce4.   Section 2 Reconnaissance des fournisseurs   Art. 3 Conditions de la reconnaissance  1 Peuvent être reconnues comme fournisseurs les personnes physiques ou morales  qui:   a. sont inscrites au registre du commerce;   b. sont en mesure de délivrer et de gérer des certificats qualifiés conformément  aux exigences de la présente loi;   c. emploient du personnel possédant les connaissances, l’expérience et les qua- lifications nécessaires;   d. utilisent des systèmes et des produits informatiques, notamment des disposi- tifs de création de signature et de cachet, qui soient fiables et sûrs;   e. possèdent des ressources ou des garanties financières suffisantes;   f. ont contracté les assurances nécessaires à la couverture de la responsabilité  visée à l’art. 17 et des frais que peuvent entraîner les mesures prévues à  l’art. 14, al. 2 et 3;   g. assurent le respect du droit applicable, notamment de la présente loi et de ses  dispositions d’exécution.   2 Les conditions fixées à l’al. 1 sont applicables également aux fournisseurs étran- gers. L’organisme de reconnaissance suisse peut reconnaître un fournisseur étranger  qui est déjà reconnu par un organisme étranger s’il est prouvé que:   a. la reconnaissance a été octroyée conformément au droit de l’État en ques- tion;   b. les règles du droit de l’État étranger applicables à l’octroi de la reconnais- sance sont équivalentes à celles du droit suisse;   c. l’organisme de reconnaissance étranger possède des qualifications équiva- lentes à celles qui sont exigées d’un organisme de reconnaissance suisse;   d. l’organisme de reconnaissance étranger garantit sa collaboration à l’orga- nisme de reconnaissance suisse pour la surveillance du fournisseur en  Suisse.   3 Les unités administratives de la Confédération, des cantons et des communes  peuvent être reconnues comme fournisseurs sans avoir à s’inscrire au registre du  commerce.       4 RS 946.51, 946.511, 946.512, 946.513.7     Exercice du commerce   4   943.03   Art. 4 Désignation de l’organisme d’accréditation  1 Le Conseil fédéral désigne l’organisme d’accréditation des organismes de recon- naissance (organisme d’accréditation).  2 Faute d’organisme de reconnaissance accrédité, le Conseil fédéral désigne comme  tel l’organisme d’accréditation ou un autre organisme approprié.   Art. 5 Liste des fournisseurs reconnus  1 Les organismes de reconnaissance annoncent à l’organisme d’accréditation les  fournisseurs qu’ils reconnaissent.  2 L’organisme d’accréditation tient à la disposition du public la liste des fournisseurs  reconnus.   Section 3  Élaboration, stockage et utilisation de clés cryptographiques   Art. 6  1 Le Conseil fédéral règle l’élaboration, le stockage et l’utilisation des clés crypto- graphiques pouvant faire l’objet de certificats réglementés au sens de la présente loi;  il veille à assurer un degré de sécurité élevé conforme à l’évolution de la technique.  2 Les systèmes d’élaboration, de stockage et d’utilisation de clés cryptographiques  privées, notamment les dispositifs de création de signatures et de cachets, doivent au  moins:   a. garantir que les clés ne puissent, pratiquement, se rencontrer qu’une seule  fois et que leur confidentialité soit suffisante;   b. garantir avec une marge de sécurité suffisante que les clés ne puissent être  trouvées par déduction et que leur utilisation soit protégée contre toute falsi- fication par les moyens techniques disponibles;   c. garantir que les clés peuvent être protégées de manière fiable par le titulaire  légitime contre toute utilisation abusive.   Section 4 Certificats réglementés   Art. 7 Conditions applicables aux certificats réglementés  1 Un certificat réglementé peut être délivré au nom d’une personne physique ou  d’une entité IDE.  2 Il doit contenir les informations suivantes:   a. le numéro de série;   b. la mention qu’il est délivré à titre de certificat réglementé;     L sur la signature électronique   5   943.03   c. le nom ou la désignation du titulaire de la clé cryptographique privée; s’il  existe un risque de confusion, le nom ou la désignation doit être complété  par un élément distinctif;   d. pour les personnes physiques, éventuellement un pseudonyme identifié  comme tel à la place du nom;   e. pour les entités IDE, le numéro unique d’identification des entreprises au  sens de la LIDE5;   f. la clé cryptographique publique;   g. la durée de validité;   h. le nom, le pays d’établissement et le cachet électronique réglementé du  fournisseur qui délivre le certificat.   3 Le certificat peut également contenir les éléments suivants:   a. les qualités spécifiques du titulaire de la clé cryptographique privée, telles  que ses qualifications professionnelles;   b. si le titulaire est une personne physique, la mention qu’elle est habilitée à  représenter une entité IDE;   c. le domaine d’utilisation pour lequel le certificat est prévu;   d. la valeur limite des transactions pour lesquelles le certificat est prévu.  4 Le Conseil fédéral règle le format des certificats réglementés.   Art. 8 Conditions supplémentaires applicables aux certificats qualifiés  1 Le certificat qualifié ne peut être délivré qu’à une personne physique.  2 Il contient la mention qu’il est destiné à n’être utilisé que pour la signature électro- nique.  3 Il contient, en lieu et place de la mention visée à l’art. 7, al. 2, let. b, la mention  qu’il est délivré à titre de certificat qualifié.   Section 5 Devoirs des fournisseurs reconnus   Art. 9 Délivrance des certificats réglementés  1 Les fournisseurs reconnus exigent de toute personne qui demande la délivrance  d’un certificat réglementé:   a. pour une personne physique: qu’elle se présente en personne et qu’elle ap- porte la preuve de son identité;   b. pour une entité IDE qui n’est pas une personne physique: qu’une personne  habilitée à la représenter se présente en personne et apporte la preuve de son  identité et de son pouvoir de représentation.       5 RS 431.03     Exercice du commerce   6   943.03   2 Ils vérifient que les qualifications professionnelles et les autres qualités spécifiques  (art. 7, al. 3, let. a) ont été confirmées par l’organisme compétent.  3 Ils vérifient que la mention des pouvoirs de représentation (art. 7, al. 3, let. b) a été  approuvée par l’entité IDE représentée.  4 Le Conseil fédéral désigne les documents de nature à prouver l’identité des per- sonnes qui demandent un certificat et, le cas échéant, à justifier de leurs qualités  spécifiques. Il peut prévoir de dispenser les demandeurs de l’obligation de se présen- ter en personne à certaines conditions.  5 Les fournisseurs reconnus s’assurent en outre que les personnes qui demandent un  certificat réglementé possèdent la clé cryptographique privée qui s’y rapporte.  6 Ils peuvent déléguer l’identification d’un requérant à un tiers (bureau d’enregistre- ment). Ils répondent de l’exécution correcte de cette tâche par ce dernier.   Art. 10 Obligation d’informer et de documenter  1 Les fournisseurs reconnus tiennent à la disposition du public leurs conditions  contractuelles générales et des informations sur leur politique de certification.  2 Ils informent leurs clients, au plus tard lors de la délivrance du certificat régle- menté, des conséquences de l’utilisation abusive de leur clé cryptographique privée  et des dispositions à prendre, selon les circonstances, pour assurer la confidentialité  de cette clé.  3 Ils tiennent un journal de leurs activités. Le Conseil fédéral fixe la durée pendant  laquelle le journal et les documents qui s’y rapportent doivent être conservés.   Art. 11 Annulation des certificats réglementés  1 Les fournisseurs reconnus annulent immédiatement le certificat réglementé:   a. si le titulaire ou son représentant le demande;   b. s’il s’avère qu’il a été obtenu de manière illicite ou que les renseignements  visés à l’art. 7, al. 3, ne sont pas ou ne sont plus exacts;   c. s’il ne permet plus de garantir le lien avec le titulaire.  2 Dans le cas de l’al. 1, let. a, ils s’assurent que la personne qui a demandé  l’annulation a qualité pour le faire.  3 Ils informent immédiatement de l’annulation le titulaire du certificat réglementé.   Art. 12 Service d’annuaire pour les certificats réglementés  1 Tout fournisseur reconnu garantit aux intéressés de pouvoir vérifier de façon  fiable, en tout temps et selon une procédure usuelle, la validité de tous les certificats  réglementés qu’il a délivrés.  2 Il peut en outre offrir un service d’annuaire permettant aux intéressés de rechercher  et de consulter les certificats réglementés qu’il a délivrés. Un certificat n’est inscrit  dans cet annuaire qu’à la demande de son titulaire.     L sur la signature électronique   7   943.03   3 Les pouvoirs publics peuvent consulter ces données gratuitement.  4 Le Conseil fédéral détermine la durée minimale pendant laquelle les certificats  réglementés qui ne sont plus valables doivent pouvoir continuer d’être vérifiés.   Art. 13 Horodatage électronique qualifié  Les fournisseurs reconnus procèdent, sur demande, à un horodatage électronique  qualifié.   Art. 14 Cessation d’activité  1 Les fournisseurs reconnus annoncent en temps utile à l’organisme d’accréditation  la cessation de leur activité. Ils lui annoncent immédiatement toute commination de  faillite qui leur a été notifiée.  2 L’organisme d’accréditation charge un autre fournisseur reconnu de tenir la liste  des certificats réglementés valables, échus ou annulés et de conserver le journal des  activités et les documents qui s’y rapportent. Lorsqu’il n’y a pas de fournisseur  reconnu, le Conseil fédéral désigne l’organisme compétent pour reprendre ces  tâches. Le fournisseur reconnu qui cesse son activité supporte les frais qui en résul- tent.  3 L’al. 2 est également applicable en cas de faillite d’un fournisseur reconnu.   Art. 15 Protection des données  1 Les fournisseurs reconnus et les bureaux d’enregistrement qu’ils ont mandatés ne  peuvent traiter que les données personnelles nécessaires à l’accomplissement de  leurs tâches. Tout commerce de ces données est interdit.  2 Au surplus, la législation sur la protection des données est applicable.   Section 6 Surveillance des fournisseurs reconnus   Art. 16  1 Les organismes de reconnaissance assurent la surveillance des fournisseurs recon- nus conformément aux règles de la législation sur les entraves techniques au com- merce6.  2 Lorsqu’un organisme de reconnaissance retire la reconnaissance à un fournisseur,  il l’annonce immédiatement à l’organisme d’accréditation. L’art. 14, al. 2, est appli- cable.       6 RS 946.51, 946.511, 946.512, 946.513.7     Exercice du commerce   8   943.03   Section 7 Responsabilité   Art. 17 Responsabilité des fournisseurs  1 Lorsque les fournisseurs reconnus contreviennent à des obligations découlant de la  présente loi ou de ses dispositions d’exécution, ils répondent du dommage causé au  titulaire d’un certificat réglementé valable et aux tiers qui se sont fiés à ce certificat.  2 Il leur incombe d’apporter la preuve qu’ils ont respecté les obligations découlant  de la présente loi et de ses dispositions d’exécution.  3 Les fournisseurs reconnus ne peuvent exclure leur responsabilité découlant de la  présente loi pour les dommages causés par eux-mêmes ou leurs auxiliaires. Ils ne  répondent toutefois pas du dommage résultant de l’inobservation ou de la violation  d’une restriction de l’utilisation du certificat (art. 7, al. 3, let. c et d).   Art. 18 Responsabilité des organismes de reconnaissance  Lorsque les organismes de reconnaissance contreviennent à des obligations décou- lant de la présente loi ou de ses dispositions d’exécution, ils répondent du dommage  causé au titulaire d’un certificat réglementé valable et aux tiers qui se sont fiés à ce  certificat. L’art. 17, al. 2 et 3, s’applique par analogie.   Art. 197 Prescription  1 Les actions prévues par la présente loi se prescrivent par trois ans à compter du  jour où la partie lésée a eu connaissance du dommage ainsi que de la personne tenue  à réparation, et, dans tous les cas, par dix ans à compter du jour où le fait dom- mageable s’est produit ou a cessé.  2 Si le fait dommageable résulte d’un acte punissable de la personne tenue à répara- tion, l’action se prescrit au plus tôt à l’échéance du délai de prescription de l’action  pénale. Si la prescription de l’action pénale ne court plus parce qu’un jugement de  première instance a été rendu, l’action civile se prescrit au plus tôt par trois ans à  compter de la notification du jugement.  3 Les prétentions résultant d’un contrat sont réservées.   Section 8 Conventions internationales   Art. 20  1 Le Conseil fédéral peut conclure des conventions internationales pour faciliter  l’utilisation et la reconnaissance juridique internationales des signatures électro- niques et des autres applications de clés cryptographiques, notamment sur:       7 Nouvelle teneur selon l’annexe ch. 27 de la LF du 15 juin 2018 (Révision du droit de la  prescription), en vigueur depuis le 1er janv. 2020 (RO 2018 5343; FF 2014 221).     L sur la signature électronique   9   943.03   a. la reconnaissance des signatures électroniques, des cachets électroniques et  des certificats numériques;   b. la reconnaissance des fournisseurs et l’accréditation des organismes de re- connaissance;   c. la reconnaissance des essais et des évaluations de conformité;   d. la reconnaissance des marques de conformité;   e. la reconnaissance des systèmes d’accréditation et des organismes accrédités;   f. l’octroi de mandats de normalisation à des organismes internationaux de  normalisation, dans la mesure où la législation renvoie à des normes tech- niques déterminées ou lorsqu’un tel renvoi est prévu;   g. l’information et la consultation concernant l’élaboration, l’adoption, la mo- dification et l’application de prescriptions ou de normes techniques.   2 Il édicte les dispositions nécessaires à l’application des conventions internationales  portant sur les domaines énumérés à l’al. 1.  3 Il peut déléguer à des organismes privés des activités relatives à l’information et à  la consultation concernant l’élaboration, l’adoption et la modification de prescrip- tions ou de normes techniques et prévoir une indemnité à ce titre.   Section 9 Dispositions finales   Art. 21 Exécution  1 Le Conseil fédéral édicte les dispositions d’exécution. Il tient compte du droit  international pertinent et peut déclarer applicables des normes techniques interna- tionales.  2 Il peut charger l’Office fédéral de la communication d’édicter des prescriptions  administratives et techniques.  3 Afin d’atteindre le but de la loi, il peut charger une unité administrative fédérale ou  cantonale de délivrer des certificats réglementés, valables aussi dans les rapports  juridiques de droit privé, ou de participer à l’entreprise d’un fournisseur privé.   Art. 22 Abrogation et modification d’autres actes  L’abrogation et la modification d’autres actes sont réglées en annexe.     Exercice du commerce   10   943.03   Art. 23 Référendum et entrée en vigueur  1 La présente loi est sujette au référendum.  2 Le Conseil fédéral fixe la date de l’entrée en vigueur.   Date de l’entrée en vigueur: 1er janvier 20178       8 ACF du 23 nov. 2016.     L sur la signature électronique   11   943.03   Annexe  (art. 22)   Abrogation et modification d’autres actes  I   La loi du 19 décembre 2003 sur la signature électronique9 est abrogée.   II   Les actes mentionnés ci-après sont modifiés comme suit:   …10       9 [RO 2004 5085, 2008 3437 ch. II 55]  10 Les mod. peuvent être consultées au RO 2016 4651.     Exercice du commerce   12   943.03