Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

pas considérée comme sensible (seul le contenu des informations à traiter détermine si l’utilisateur exerce une activité sensible ou non). La let. b concerne avant tout certains administrateurs ou responsables d’application.

 Let. c : pour terminer, est considéré comme sensible l’accès aux zones de sécurité réglées par l’art. 31, car

les dommages que peuvent occasionner l’espionnage ou le sabotage dans ces zones peuvent être considérables en raison des informations sensibles et des moyens TIC qu’elles contiennent.

L’al. 3 s’écarte de la réglementation en vigueur de l’art. 19, al. 1, LMSI. Ainsi, la présente loi ne qualifie plus d’activité sensible l’accès régulier à des données personnelles sensibles dont la révélation pourrait porter gravement atteinte aux droits individuels des personnes concernées. En outre, le traitement de secrets d’affaires ou de fabrication n’est pas considéré comme sensible selon la LSI. A signaler néanmoins qu’en matière de données personnelles et de secrets d’affaires ou de fabrication, certains besoins de protection sont couverts par les dispositions relatives à l'engagement de moyens TIC. Une autre modification importante par rapport à la réglementation actuelle tient au fait que la régularité de l’exercice des activités mentionnées n’est pas un élément constitutif du caractère sensible de ces activités. Le traitement ponctuel d’informations classifiées CONFIDENTIEL est déjà considéré comme sensible par la LSI. Cette modification est nécessaire en rapport avec le contrôle de sécurité dont les tiers devant exécuter des mandats de la Confédération doivent faire l'objet. Ces catégories de personnes n’effectuant pas en permanence leurs activités sous le contrôle des autorités ou organisations concernées, elles doivent être soumises à des conditions spéciales dans le cadre de leur assujettissement au CSP.

Pour les conditions en lien avec les contrôles de sécurité relatifs aux personnes, cf. ch. 1.2.4.

Art. 3

Al. 1 : de par la réserve émise pour les dispositions de la LTrans, il est clairement établi que le domaine d’application de la loi sur la transparence n’est, en aucune façon, restreint par la réglementation sur la sécurité de l’information. Les informations qui ont été classifiées conformément à la LSI ne sont pas concernées par la réserve de l’art. 4 LTrans (dispositions spéciales déclarant certaines informations secrètes). Ainsi, les dispositions de la LTrans relatives à l’accès à des documents officiels s’appliquent également pleinement aux informations classifiées selon la LSI.

L’appréciation des documents dans le cadre de la procédure prévue par la LTrans est indépendante des dispositions de la LSI. En cas de demande d’accès à des documents officiels, l’autorité compétente examine donc, indépendamment de toute mention éventuelle de classification, s’il y a lieu d’autoriser, de restreindre, de différer ou de refuser l’accès. La classification d’informations peut toutefois, lors de l’examen de documents selon la LTrans, être jugée comme un indicateur de non-divulgation du document correspondant. La décision de classification implique en effet une évaluation du besoin de protection de l’information concernée au regard d’une éventuelle atteinte portée aux intérêts publics au sens de l’art. 1, al. 2, LSI, qui, dans le fond, devrait correspondre matériellement à une évaluation de la restriction, du report ou du refus du droit d’accès selon l’art. 7, al. 1, LTrans. Le contenu des dispositions sur la classification est structuré de telle sorte qu’il ne puisse pas contredire celui du catalogue des exceptions visé à l’art. 7 LTrans.

En outre, il convient de souligner que le champ d’application de la LSI doit, en principe, être plus large que celui de la LTrans du fait que la LSI doit s’appliquer à l’ensemble des autorités fédérales. Par ailleurs, la LSI ne se concentre pas uniquement sur la protection de la confidentialité, mais protège aussi la disponibilité, l’intégrité et la traçabilité des informations.

L’al. 2 règle les liens entre le nouvel acte normatif et les nombreuses lois fédérales fixant les exigences en matière de protection de la confidentialité, de la disponibilité, de l’intégrité et de la traçabilité des informations, ou en matière de protection de la disponibilité et de l’intégrité des moyens TIC (cf. art. 4, al. 2, let. a à d). Les dispositions de la LSI doivent s’appliquer, à titre complémentaire, à de telles lois. Cela signifie que la LSI donne un cadre uniforme à l’évaluation du besoin de sécurité lié à ces informations et à la mise en œuvre des exigences de sécurité fixées par les lois spéciales pour ces informations.

L’exemple de la LSP permet de clarifier ce principe. La LPD fixe les exigences concernant le traitement légitime et la protection des données personnelles. Il va de soi que le traitement de ces données dans le cadre des tâches assignées aux autorités fédérales devra répondre aux exigences de la loi sur la protection des données. Comme la LPD ne contient que peu de prescriptions détaillées sur les mesures pratiques de protection personnelles, techniques et physiques, celles de la présente loi devront s’appliquer, à titre de droit complémentaire, au traitement des données personnelles. Enfin, si des données personnelles sont jugées importantes, par exemple pour le maintien de la sécurité publique, elles seront traitées conformément aux prescriptions de la présente loi et, le cas échéant, classifiées.