Convention d adhésion au service FranceConnect à destination des fournisseurs d identité

Transcription

1 Direction interministérielle du numérique et des systèmes d information et de communication Convention d adhésion au service FranceConnect à destination des fournisseurs d identité 9 Avril 2016

2 Table des matières 1. Préambule Objet du document Définition du «fournisseur d identité» Rôles et engagements du SGMAP Rôles et engagements du fournisseur d identité Coût du service Modification des termes des conditions générales et résiliation Glossaire Liste des annexes PM/SGMAP/DINSIC 2 / 13 Mars 2016

3 1. PREAMBULE Ce document présente les modalités d engagement des partenaires fournisseurs d identité au sein de l écosystème FranceConnect. Il traduit les engagements de chacun en vue de faciliter et de simplifier la réalisation de démarches administratives pour les usagers. Il s inscrit dans le cadre juridique : Du Code des relations entre le public et l administration e dans les mesures prévoyant la saisine par voie électronique prévues aux articles plus particulièrement des dispositions de l article L114-8 et suivants et notamment Des dispositions de la loi n du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés. Du règlement n 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur. Du décret n du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives. De l arrêté du 23 juillet 2013, pour les collectivités et leurs établissements, autorisant la mise en œuvre par les collectivités territoriales, les établissements publics de coopération intercommunale, les syndicats mixtes, les établissements publics locaux qui leur sont rattachés ainsi que les groupements d'intérêt public et les sociétés publiques locales dont ils sont membres de traitements automatisés de données à caractère personnel ayant pour objet la mise à disposition des usagers d'un ou de plusieurs téléservices de l'administration électronique. De l arrêté du 24 juillet 2015 portant création d'un traitement de données à caractère personnel par la direction interministérielle des systèmes d'information et de communication d'un téléservice dénommé «FranceConnect». Le service FranceConnect a pour ambition de fédérer les identités numériques des usagers et permettre : Aux usagers de bénéficier d une véritable chaîne de confiance facilitant l accès aux différents services numériques offerts, de permettre le suivi par l usager des échanges de données le concernant et de garantir la confidentialité des informations et par conséquent, d utiliser un même compte d accès pour effectuer leurs démarches en ligne auprès de diverses entités en s affranchissant de l étape d envoi de pièces justificatives transmises antérieurement. Aux fournisseurs de services de déléguer l identification et l authentification de leurs usagers à des fournisseurs d identités membres de la plateforme France Connect La finalité principale de FranceConnect est d offrir un accès simplifié aux téléservices. PM/SGMAP/DINSIC 3 / 13 Mars 2016

4 2. OBJET DU DOCUMENT Le présent document a pour objet de définir les conditions de fourniture d identité dans le cadre de FranceConnect, appelé ci-après le «Service» entre le SGMAP et les partenaires qui garantissent l identification et l authentification des usagers, appelés ci-après «fournisseur d identité». PM/SGMAP/DINSIC 4 / 13 Mars 2016

5 3. DEFINITION DU «FOURNISSEUR D IDENTITE» Les fournisseurs d identité sont des partenaires offrant les dispositifs d identification et d authentification vérifiés permettant aux usagers d attester de leur identité dans le cadre de téléservices. Sont susceptibles d être fournisseurs d identité, les personnes morales en mesure de : Respecter l ensemble des critères exprimés dans la présente convention et ses annexes, obtenir la labellisation du niveau eidas 1 de ses moyens d identification et d authentification auprès de l ANSSI ou d un organisme habilité dont les modalités sont définies par l Agence nationale SSI. Cette obligation est réalisée à compter de la publication des modalités de labellisation et des organismes labellisés, y compris pour les fournisseurs d identité déjà engagés dans le Service. 1 Le règlement européen n 910/2014 dit «e-idas» a été adopté par les législateurs de l UE le 23 Juillet PM/SGMAP/DINSIC 5 / 13 Mars 2016

6 4. ROLES ET ENGAGEMENTS DU SGMAP 4.1. Le SGMAP met en œuvre et opère le Service conformément aux dispositions légales et réglementaires en vigueur Le SGMAP procède au raccordement du fournisseur d identité qui en a préalablement fait la demande, dès lors qu il a réalisé l étape préalable de labellisation eidas selon les modalités définies par l ANSSI à compter de la publication de ces modalités Le SGMAP s engage à enregistrer le fournisseur d identité en fonction du niveau eidas délivré par l ANSSI Le SGMAP s engage à transmettre uniquement les informations du fournisseur d identité demandées par le fournisseur de service Le SGMAP s engage à contrôler les informations d identité en faisant appel aux services de l INSEE et, le cas échéant, à corriger les attributs de l identité de l usager retournés par le fournisseur d identité avant leur transmission effective au fournisseur de service. La responsabilité du SGMAP ne pourra être engagée en cas d usurpation d identité ou de toute utilisation frauduleuse du Service Le SGMAP s engage à réaliser une recette d implémentation avant chaque mise en service de FranceConnect réalisée par le fournisseur d identité Le SGMAP s engage à ce que le service FranceConnect soit accessible à minima aux mêmes conditions que le fournisseur d identité. Les exigences de ce niveau sont définies en annexe iv Le SGMAP s engage à mettre en œuvre toutes mesures appropriées, dont certaines sont décrites dans l annexe iii, afin de protéger les données traitées dans le cadre du Service et notamment celles prévues par l ordonnance du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives et le décret n du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n du 8 décembre Le SGMAP est responsable des informations traitées dans le cadre du Service et, à ce titre, s engage à respecter les obligations inhérentes à ce traitement, notamment celles relevant de la loi n du 6 janvier 1978 relative à l informatique aux fichiers et aux libertés Le SGMAP s engage à assurer la traçabilité de toutes les actions réalisées par les utilisateurs du Service, et à conserver ces informations conformément à l article 6 de l arrêté du 24 juillet Le SGMAP s engage à fournir l ensemble des ressources graphiques nécessaires à la mise en œuvre du dispositif par le fournisseur d identité. PM/SGMAP/DINSIC 6 / 13 Mars 2016

7 4.12. Le SGMAP offre aux fournisseurs d identité un support en cas d incident ou d alerte sécurité défini à l annexe iv - qualité de service et chaîne d alerte Le SGMAP s engage à assurer le suivi et l évaluation de l utilisation du Service, et à communiquer les résultats obtenus aux différents partenaires. PM/SGMAP/DINSIC 7 / 13 Mars 2016

8 5. ROLES ET ENGAGEMENTS DU FOURNISSEUR D IDENTITE 5.1. La demande de raccordement du fournisseur d identité au Service emporte acceptation des présentes conditions d utilisation Le fournisseur d identité respecte l ensemble de la procédure de labellisation eidas et de raccordement conformément aux dispositions décrites à l annexe XX Le fournisseur d identité s engage à fournir l intégralité des données mentionnées au I de l annexe XX et le cas échéant, les données optionnelles mentionnées au II de la même annexe Le fournisseur d identité s engage à garantir un niveau de service au moins conforme aux dispositions présentées à l annexe IV intitulée «niveau de service» Le fournisseur d identité est responsable des traitements qu il opère sur les données envoyées au moyen du Service et, à ce titre, respecte les obligations inhérentes à ce traitement, notamment celles prévues par la loi n du 6 janvier 1978 relative à l informatique, aux fichiers et aux libertés. Il s engage à effectuer toutes formalités préalables obligatoires auprès de la commission nationale de l informatique et des libertés. Il s engage également à transmettre au SGMAP, sur simple demande, le résultat de ces formalités Le fournisseur d identité s engage à mettre en œuvre toutes mesures appropriées, dont certaines sont décrites en annexe iii, afin de protéger les données traitées dans le cadre du Service et le cas échéant, les mesures prévues par l ordonnance du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives et le décret n du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n du 8 décembre Le fournisseur d identité s engage à mettre en œuvre les mesures de sécurité techniques et organisationnelles nécessaires définies à l annexe iii et à informer, le cas échéant, le SGMAP de toute difficulté de nature à compromettre le bon fonctionnement du Service Le fournisseur d identité s engage à être en mesure de retracer l ensemble des transactions en rapport avec le Service Le Fournisseur d Identité s engage à ne pas céder ou mettre à la disposition de tiers, que ce soit à titre gratuit ou à titre onéreux, toute donnée utilisée pour identifier et authentifier les usagers et de manière générale toute donnée à caractère personnel Le fournisseur d identité s engage à respecter les dispositions prévues dans le Référentiel Général d Accessibilité des Administrations disponible à l adresse suivante : dans la mesure où le Service a pour principale finalité l accès aux téléservices de l administration. PM/SGMAP/DINSIC 8 / 13 Mars 2016

9 6. COUT DU SERVICE 6.1. Les coûts d investissement et de fonctionnement du Service sont pris en charge par le SGMAP La participation au Service ne donne lieu à aucune compensation financière entre le SGMAP et le Partenaire.. PM/SGMAP/DINSIC 9 / 13 Mars 2016

10 7. MODIFICATION DES TERMES DES CONDITIONS GENERALES ET RESILIATION 7.1. Toute modification par le SGMAP des dispositions prévues par ce document (annexes comprises) fera l objet d une information aux fournisseurs d identité Le fournisseur d identité pourra librement se désengager du Service en respectant un préavis de trois mois adressé par courriel à : franceconnect.sgmap@modernisation.gouv.fr Le SGMAP se réserve le droit de mettre un terme à la relation avec le Partenaire mise en œuvre dans le cadre de la présente convention dès lors qu il constate que le Partenaire ne respecte pas les engagements du présent document. * * * PM/SGMAP/DINSIC 10 / 13 Mars 2016

11 8. GLOSSAIRE ANSSI CNIL DINSIC FC FI FS PSSI RGS SSI Agence Nationale de la Sécurité des Systèmes d Information. Commission Nationale de l Informatique et des Libertés. Direction Interministérielle du Numérique et des Systèmes d Information et de Communication FranceConnect Fournisseur d Identités Fournisseur de Services Politique de Sécurité des Systèmes d Information Référentiel Général de Sécurité Sécurité des Systèmes d Information PM/SGMAP/DINSIC 11 / 13 Mars 2016

12 9. LISTE DES ANNEXES Annexe i - Annexe technique - Processus d implémentation de FranceConnect par le fournisseur d identité Annexe ii - Annexe technique - Échange de données entre le fournisseur d identité et FranceConnect Annexe iii - Annexe sécurité Annexe iv - Annexe qualité de service et chaîne d alerte PM/SGMAP/DINSIC 12 / 13 Mars 2016

13 Direction interministérielle du numérique et des systèmes d information et de communication Tour Mirabeau quai André Citroën Paris PM/SGMAP/DINSIC 13 / 13 Mars 2016