Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

Selon l’al. 4, l’autorité ou l’organisation peut avoir la possibilité d’exploiter, si nécessaire et dans certaines zones de sécurité seulement, une installation perturbatrice au sens de l’art. 34, al. 1^ter, de la loi du 30 avril 1997 sur les télécommunications (LTC; RS 784.10). Le besoin effectif d’une telle installation ainsi que les conditions de son exploitation sont établis à l’aune de la LTC.

A l’art. 5, les dispositions relatives aux zones de sécurité selon les conventions de droit international public (art. 90) et les dispositions correspondantes relatives à la protection des ouvrages militaires sont réservées. Dans les deux cas, l’instauration d’une zone de sécurité ou de protection ne constitue pas une option, mais une obligation (cf. par ex. ISA CH-UE).

2.1.3 Contrôles de sécurité relatif aux personnes

Art. 32

Le contrôle de sécurité relatif aux personnes (CSP) est une mesure préventive de protection contre les infractions venant de l’intérieur. Il doit permettre d’identifier le risque de voir les intérêts au sens de l’art. 1, al. 2, menacés par une personne donnée dans l’exercice d’une activité sensible. Le CSP consiste donc à estimer l’éventualité qu’une personne donnée puisse menacer, intentionnellement ou par négligence, les intérêts visés à l’art. 1, al. 2. C’est pourquoi des données pertinentes sur le parcours de cette personne sont récoltées. Sur la base de ces données, le risque pour la sécurité est évalué par des spécialistes spécialement formés à cette tâche (profileurs de risques). Il va de soi qu’une telle évaluation ne peut être absolument fiable dans tous les cas.

Après avoir pris connaissance de cette évaluation, l’autorité ou l’organisation concernée décide seule si elle entend assumer un éventuel risque élevé, le réduire en posant certaines conditions ou l’éviter en n’engageant pas la personne concernée ou en la licenciant.

Pour comprendre la réglementation proposée, deux points important sont à relever.

 L’évaluation du risque pour la sécurité par les services spécialisés responsables du CSP (services spéciali-

sés CSP) constitue une recommandation. La décision d’éventuellement engager ou mandater une personne dépend uniquement de l’autorité qui engage ou qui mandate. Le risque n’est donc jamais assumé par le service spécialisé CSP responsable de l’évaluation. Cela vaut autant pour une déclaration de risque (un risque pour la sécurité existe) que pour une déclaration de sécurité (aucun risque pour la sécurité n'a été identifié). Les supérieurs hiérarchiques ne sont pas non plus déchargés de leur obligation d’identifier, voire d'écarter, des risques potentiels élevés auxquels une personne au bénéfice d’une déclaration de sécurité peut être liée.

 Le CSP doit être engagée en fonction des risques réels. La présente loi fixe des conditions claires à la

réalisation du contrôle. Cela ne signifie pas que les fonctions qui avaient fait l'objet d'un CSP selon la LMSI soient aujourd'hui moins importantes ou ne puissent pas être exposées à un risque élevé. Pour ces fonctions et toutes celles qui ne sont pas contrôlées, la responsabilité de l’évaluation du risque pour la sécurité est uniquement et seulement assumée par les organes hiérarchiques. L’introduction proposée d'un nouvel l’art. 20a LPers mettra, à l’avenir, des moyens adéquats (extraits du casier judiciaire, du registre des poursuites et des faillites) à la disposition des employeurs au sens de l’art. 3 LPers.

Art. 33

L’art. 33 règle, en relation avec l’art. 34, al. 1, l’assujettissement du personnel des autorités et organisations concernées au CSP. Les autorités concernées (c’est-à-dire hormis les organisations au sens de l’art. 2, al. 2) doivent édicter, pour leur domaine de compétence, une liste des fonctions dont l'accomplissement des tâches implique nécessairement l’exercice d’une activité sensible et qui doivent, dès lors, être contrôlées. Concernant les conditions matérielles permettant l’inscription d’une fonction sur cette liste, le système actuel de la LMSI n’est toutefois pas repris purement et simplement. Comme le mentionne le ch. 1.2.4., le critère de la régularité est mis à part, en particulier dans le cadre du traitement d’informations classifiées. La question décisive pour l’assujettissement du personnel fédéral au CSP est de savoir si la personne titulaire d’une fonction doit exercer une activité sensible pour accomplir sa tâche. Si l'exercice d'une telle activité est effectivement nécessaire, alors - et alors seulement - la fonction doit être reportée sur la liste de celles à contrôler.

Quelques exemples fictifs permettent d’illustrer l’application de ce principe.

 Une collaboratrice de l’Office fédéral de l’environnement est, dans le cadre de ses tâches, responsable de

l’étude de l’impact des constructions et des ouvrages militaires sur l’environnement. Pour accomplir ses tâches, elle doit traiter des informations classifiées et, parfois, accéder à des ouvrages militaires. Sa fonction doit figurer sur la liste.