Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

Art. 12

L’al. 1 dispose que la classification d’informations est impérative lorsque les critères de classification visés à l’art. 14 sont remplis. A l’heure actuelle, chaque autorité concernée est, en principe, libre d’établir (le cas échéant) son propre système de classification, ses propres motifs de classification et ses propres prescriptions de traitement. Certains incidents qui se sont produits au cours de ces dernières années ont montré qu’une différence dans le traitement des informations classifiées peut accroître le sentiment de méfiance entre autorités et/ou organisations. Une réglementation uniforme des échelons de classification et des motifs de classification s’avère donc nécessaire.

L’al. 2 confirme, au niveau de la loi, que la classification d’informations doit être l’exception et non la règle, eu égard notamment au principe de la transparence et aux charges occasionnées par la classification.

L’al. 3 précise que la classification doit, dans la mesure du possible, être limitée dans le temps. Souvent, les informations dignes de protection deviennent anodines avec le temps ou après un événement précis (par ex. publication d’un rapport ou levée d’une mesure spécifique). La classification de ces informations (par ex. après être devenues désuètes) ne se justifie alors plus. Elle n’entraînerait que des dépenses inutiles ou provoquerait des problèmes après l’archivage des informations. Par ailleurs, les informations devant demeurer classifiées durant une longue période requièrent des mesures de sécurité techniques différentes de celles applicables aux informations dont le besoin en protection est plus limité dans le temps.

Dès lors qu’une classification dans le temps ne peut être établie à l’avance, l’obligation que renferme l’al. 4 - la nécessité de contrôler périodiquement la classification - garantit que les informations ne resteront pas inutilement classifiées.

Art. 13

Al. 1 : les autorités concernées doivent déterminer qui a la compétence de procéder à la classification. Actuellement, au sein de l’administration fédérale, cette compétence revient à l’auteur d’un document car il est celui qui peut le mieux estimer le besoin de protection des informations et les risques éventuels. La réglementation du Conseil fédéral ne doit toutefois pas être contraignante pour les autres autorités fédérales. Ainsi, ces dernières doivent pouvoir aussi décider que la classification soit, par exemple, le fait de l’organe directionnel de l’autorité, d’un service central jugé compétent ou simplement par les supérieurs hiérarchiques. La notion d’auteur de la classification est particulièrement importante pour la décision concernant le cercle des destinataires autorisés, la déclassification, l’archivage et la destruction d’informations classifiées ; elle l’est cependant aussi pour les éventuelles mesures préalables de protection qui doivent être prises lorsqu’un danger menace des informations classifiées (cf. art. 18).

L’al. 2 établit le caractère contraignant de la classification. Lorsqu’une information est classifiée, ce statut l’accompagnera pour ainsi dire toute sa vie. Quiconque accède à une information de cette nature est tenu de respecter les prescriptions liées à la classification. En principe, une modification ou une suppression de la classification ne peut être le fait que de l'auteur de la classification lui-même. Bien évidemment, les dispositions régissant la voie de service, la surveillance des services et le droit de donner des instructions des supérieurs et des autorités de surveillance s’appliquent. Ces dernières peuvent, le cas échéant, corriger les décisions du service auteur de la classification.

Art. 14

Concernant les objectifs de la réglementation de la classification, cf. ch. 1.2.3.4.

L’art. 14 règle les conditions matérielles de la classification des informations et fixe les échelons correspondants pour toutes les autorités et organisations concernées. Le texte proposé se limite à des critères de classification assez généraux et prend directement en compte les intérêts publics à protéger décrits à l’art. 1, al. 2, let. a à d. La référence à ces intérêts est limitée : la protection des intérêts publics selon la let. e n’est pas un motif de classification en soi. Cette protection doit, notamment, assurer le traitement conforme au droit des informations dont la protection est prévue dans le cadre d’autres lois ou d’accords conclus avec des tiers. Ainsi, les données personnelles au sens de la LPD ou les secrets d’affaires, de fabrication ou professionnels ne sont en principe pas classifiées, à moins que certaines informations ne doivent l'être pour protéger un intérêt au sens de l’art. 1, al. 2, let. a à d. Il en va de même pour les informations traitées par les tribunaux ou les ministères publics lors de leurs procédures ordinaires. La plupart d’entre elles sont des données personnelles, et donc sensibles, qui ne sont toutefois pas soumises à classification en vertu de la présente loi. Par contre, les mesures particulières prises pour protéger ces informations peuvent, voire doivent, être classifiées. Ainsi, le traitement de données personnelles sensibles dans un système d’information implique la classification du concept de sécurité de l’information y relatif.