Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

 l’administration, l’exploitation, la maintenance ou la vérification de moyens TIC des catégories de sécu-

rité «protection élevée» ou «protection très élevée»;

 l’accès aux zones de sécurité, en particulier les zones de protection 2 ou 3 d’une installation au sens de la

législation sur la protection des ouvrages militaires.

Certains motifs de contrôle sont ainsi biffés sans remplacement. Il s’agit notamment de l’accès régulier à des données personnelles sensibles dont la révélation pourrait porter gravement atteinte aux droits individuels des personnes concernées (art. 19, al. 1, let. e, LMSI). Dans la pratique, il n’est guère possible de déterminer quelles sont les informations qui répondent à ce critère.

Dans la mesure où, pour des raisons de sécurité, un contrôle est nécessaire pour d'autres activités que celles de la présente loi, les motifs devront figurer dans la législation spéciale. Pour que l’on puisse distinguer clairement les CSP au sens de la loi sur la sécurité de l’information des contrôles prévus par d’autres actes, une autre terminologie devrait être utilisée pour les seconds: «contrôles de fiabilité». C’est pourquoi l’annexe au présent projet propose une modification de la LPers et de la LAAM. Ainsi, des personnes qui représentent régulièrement la Suisse à l’étranger, ou qui ont des compétences décisionnelles ou des tâches de surveillance dans d’importants dossiers financiers, pourront faire l'objet d'un contrôle de fiabilité.

Les opinions divergeaient quant à la question de savoir si, pour inscrire une fonction dans la liste des employés à contrôler, le critère de l’exercice unique d’une activité sensible suffisait ou s’il convenait de s’en tenir au principe de la régularité prévu par le système en vigueur (cf. art. 19, al. 1, LMSI). Le critère de la régularité repose, entre autres, sur l’appréciation du Service de renseignement de la Confédération qui, en matière de protection de l’Etat, juge le risque particulièrement élevé lorsque des collaboratrices et collaborateurs ont régulièrement et durablement accès à des informations classifiées. Les personnes qui ne disposent que d’un accès ponctuel et temporaire sont moins menacées ou sont moins intéressantes pour des services désireux de se procurer des informations. Le critère de la régularité pose toutefois deux problèmes. D'une part, les activités de renseignement ne constituent qu’une menace parmi d’autres pour la sécurité de l’information. En n’accédant ne serait-ce qu’une seule fois à une information classifiée SECRET, une personne est déjà en mesure de nuire gravement aux intérêts de la Confédération. Ce pourrait être le cas, par exemple, si elle divulguait des informations sur la stratégie de négociation de la Suisse dans un dossier particulièrement important. Le dommage découlerait alors non seulement de la régularité de l’accès, mais encore du contenu de l’information. D'autre part, la notion de «régularité» n’est guère univoque et a déjà mené, sous le droit en vigueur, à des interprétations divergentes.

Les conditions matérielles de l’inscription d’une fonction dans la liste, et partant d’un contrôle de sécurité relatif aux personnes, diffèrent quelque peu entre le projet et le système actuel. Du point de vue légal formel, il convient de renoncer au critère de la régularité, notamment en ce qui concerne le traitement d’informations classifiées. Pour soumettre un membre du personnel de la Confédération à un CSP, il est bien plus important de savoir si la personne qui exerce une fonction donnée doit traiter des informations classifiées CONFI-DENTIEL ou SECRET dans l’accomplissement de ses tâches, doit administrer, exploiter, entretenir ou vérifier des moyens TIC des catégories de sécurité «protection élevée» ou «protection très élevée», ou doit pouvoir accéder à des zones de sécurité. Lorsqu’une telle activité est indispensable à l’accomplissement des tâches liées à la fonction, alors - mais alors seulement - la fonction doit figurer dans la liste des fonctions à contrôler. Ce principe correspond à ceux de la délivrance restrictive d’autorisations (art. 29) et du «need to know» (besoin de savoir), qui s’appliquent au traitement d’informations classifiées (art. 15, al. 1).

En outre, la réglementation en vigueur a été notamment modifiée sur les points suivants:

 nature juridique de la déclaration à établir: l’art. 22 OCSP dispose qu’à l’issue du CSP, les services spé-

cialisés CSP rendent une décision au sens de l’art. 5 PA. L’évaluation du risque pour la sécurité par les services spécialisés CSP ne correspond toutefois pas à la définition légale d’une décision, car du point de vue juridique, elle n’a aucune influence directe sur les droits et obligations de la personne concernée, ni sur son statut. Le service appelé à confier l’activité sensible n’est en effet pas lié par la décision du service spécialisé CSP compétent (cf. art. 46) et la personne contrôlée n’a aucun droit à être engagée, ni à se voir confier une fonction donnée ou un mandat. Les évaluations des services spécialisés CSP sont donc, sous l’angle juridique, des actes matériels au sens de l’art. 25a PA (en ce qui concerne les voies de recours, cf. art. 51);

 déclaration de sécurité assortie de réserves au lieu de conditions: en présence d’un risque conditionnel

pour la sécurité, que l’on peut suffisamment réduire par certaines mesures ou conditions, les services spécialisés CSP établissent une déclaration assorties de réserves (et non plus de conditions). Elles ne décident pas elles-mêmes des conditions, se bornant à les recommander. La nouvelle formulation montre d’une part que les services spécialisés CSP émettent des réserves quant à la déclaration de sécurité. D’autre part,