Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

zones de sécurité. Dans la pratique, ces zones concernent principalement des locaux abritant des serveurs ou encore des lieux de commandement ou des chambres-fortes.

1.2.4 Contrôles de sécurité relatifs aux personnes

L’une des menaces les plus critiques et les plus graves se présente lorsque des personnes qui ont accès à des informations classifiées aux échelons supérieurs ou qui gèrent ou exploitent des moyens TIC particulièrement critiques se rendent coupables de trahison ou de sabotage, ou tentent de déstabiliser les institutions de l’Etat. Les fonctions sensibles ne doivent par conséquent être confiées qu’à des personnes présentant toutes les garanties qu’elles n’abuseront pas de la confiance placée en elles. Ce n’est pas le cas lorsque des indices donnent à penser que la personne pourrait être victime de chantage ou de corruption. L’expérience montre que souvent, ces deux risques sont liés à des facteurs conjoncturels qui peuvent être, par exemple des difficultés personnelles ou financières. Un contrôle de sécurité relatif aux personnes (CSP) peut attirer l’attention des supérieurs hiérarchiques sur des risques en rapport avec les antécédents ou l’environnement de la personne contrôlée (cf. également le message du 7 mars 1994 concernant la LMSI ainsi que l’initiative populaire «S. o. S. - pour une Suisse sans police fouineuse», FF 1994 II 1123).

Le CSP est une mesure de prévention destinée à protéger des malveillances internes. Elle vise à identifier le risque d'une atteinte volontaire ou par négligence à d’importants intérêts publics lorsque une personne donnée exerce une activité sensible. L’autorité ou l’organisation compétente pour la décision d'engagement de la personne concernée porte seule la responsabilité de décider si elle prend un risque accru, si elle veut assortir l’engagement de charges supplémentaires pour réduire le risque ou si, pour éviter ou supprimer le risque, elle entend renoncer à l’engagement ou licencier. Même une évaluation positive du risque de sécurité par les services compétents en matière de contrôles de sécurité relatifs aux personnes (services spécialisés CSP) ne saurait en aucun cas dégager la responsabilité des supérieurs hiérarchiques. Ceux-ci sont tenus d’identifier et de gérer les risques associés à leur personnel. Le CSP a donc une portée similaire à celle d’une évaluation des compétences (assessment), souvent ordonnée par un employeur avant l’engagement de dirigeants ou de personnes destinées à revêtir une fonction clé.

1.2.4.1 Transfert de la réglementation de la LMSI à la loi sur la sécurité de l’information

Les bases légales formelles du contrôle de sécurité relatif aux personnes se trouvent actuellement dans deux lois, dont la LMSI pour la Confédération. La LENu quant à elle prévoit à son art. 24 des contrôles de fiabilité pour le personnel des exploitants de centrales nucléaires. Le Conseil fédéral a institué deux services spécialisés CSP: l’un est rattaché au DDPS et est compétent pour la majorité des contrôles. Le second est administrativement rattaché à la ChF et contrôle les cadres supérieurs de l’administration, de même que le personnel de l’autre service spécialisé CSP.

La future loi sur le service de renseignement videra la LMSI de presque toute sa substance, et l’on n’y trouvera plus que les dispositions régissant les CSP et les tâches ressortissant à la compétence de fedpol. La réglementation de la LMSI relative aux CSP servant exclusivement à la protection des informations (cf. art. 19, al. 1, LMSI), il est judicieux de transférer ces dispositions dans la présente loi. L’opportunité d’élaborer une loi séparée pour les CSP (et pour les procédures de sécurité relatives aux entreprises; cf. ch. 1.2.5) a également été examinée, mais cette variante a été rejetée parce qu’elle ne répondait pas à l’objectif de regrouper dans un même acte toutes les mesures de sécurité de l’information.

1.2.4.2 Suppression de lacunes juridiques

Le transfert dans le présent projet des bases légales formelles du contrôle de sécurité relatif aux personnes permettra de combler certaines lacunes du droit en vigueur. Le CSP représente une intervention marquée dans les droits individuels de la personne qui doit être contrôlée. Le principe constitutionnel de la légalité exige pour de telles interventions une base légale formelle et détaillée. La réglementation proposée est à cet égard bien plus précise que la LMSI. Elle répond également aux attentes du Parlement quant à une définition légale formelle des critères d’évaluation du risque (cf. art. 42).

Bien que la réglementation de la LMSI relative aux CSP réponde exclusivement aux besoins de protection des informations, les motifs justifiant un CSP ont été étendus contra legem dans l’OCSP. On propose dès lors d’énumérer exhaustivement dans la future loi sur la sécurité de l’information les motifs de contrôle et de limiter ces derniers aux besoins directs de la sécurité de l’information. Ces motifs, définis de façon restrictive, sont réunis sous l’expression générique «activité sensible», par laquelle il faut entendre:

 le traitement d’informations des échelons CONFIDENTIEL ou SECRET ainsi que la manipulation de

matériel classifié à ces échelons;