Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

 Un collaborateur de l’Administration fédérale des finances doit, à titre exceptionnel, évaluer les effets

d’une demande classifiée CONFIDENTIEL formulée par le DFJP à l’intention du Conseil fédéral. En situation normale, d’autres collaborateurs sont responsables du traitement de pareilles affaires, mais ils sont soit en vacances, soit en arrêt maladie. Cette tâche n’entre en principe pas dans le cahier des charges de ce collaborateur et, par conséquent, sa fonction ne doit pas être inscrite dans la liste.

 De temps en temps, le personnel de nettoyage employé par une autorité accède involontairement à des

informations classifiées lorsque, dans le cadre de ses activités ordinaires de nettoyage des bureaux, il tombe sur des supports d’informations que les membres du personnel de la Confédération n’ont pas rangés ou détruits conformément aux prescriptions. Le personnel de nettoyage n'a pas pour tâche de traiter des informations classifiées. Les fonctions y relatives ne doivent donc pas être reprises dans la liste, à moins qu'à la fonction particulière ne soient attribués les travaux de nettoyage à l’intérieur d’une zone de sécurité.

Le critère de la régularité, qui est de facto presque toujours rempli, n’est de iure pas pertinent. Même si le cahier des charges d’une fonction donnée ne prévoit que 5% du temps de travail pour accomplir des tâches sensibles, cette fonction doit être inscrite sur la liste, et cela même lorsque la personne titulaire de cette fonction n’a, peut-être, pas dû accomplir de pareilles tâches pendant un temps relativement longtemps. L’éventualité de l’exercice d’une activité sensible liée à cette fonction ne justifie par contre en aucun cas le report d’une fonction sur la liste.

Cette approche restrictive implique que les autorités et organisations concernées ont un aperçu net des processus d’affaires et des domaines d’activité, tant internes que transversaux, liés nécessairement à l'exercice d'activités sensibles. Prendre du recul dans ce domaine et garder une vue d’ensemble constitue, en parallèle, une mesure de base dans le domaine de la gestion des risques pour la sécurité de l’information. Les raisons menant à l’inscription d’une fonction dans la liste correspondante doivent être justifiables : les descriptifs de postes (ou cahiers des charges) des différentes fonctions doivent décrire précisément les tâches dont l’exécution nécessite l’exercice d’une activité sensible. En outre, les autorités et organisations concernées sont tenues, indépendamment de tout assujettissement à un CSP, de prendre les mesures d'organisation et relatives aux personnes qui s’imposent afin de réduire à son strict minimum le cercle des personnes devant exercer des activités sensibles.

L’utilisation du verbe édicter indique clairement qu’il s’agit d’une délégation formelle du pouvoir législatif aux autorités concernées. Ainsi, les listes des fonctions devront donc figurer dans des ordonnances ou des règlements. Concernant l’administration fédérale, il s’agit, en principe, de maintenir le système selon lequel le Conseil fédéral désigne ces fonctions dans les annexes de l’OCSP (cf. ch. 1.2.4). Toutefois, en raison de la réglementation sur les compétences au sens de la LOGA, il pourra, s'il le désire, continuer d’habiliter les départements et la Chancellerie fédérale à établir leurs propres listes détaillées.

Art. 34

Al. 1: l’art. 34 précise qui doit faire l'objet d'un CSP.

 Let. a : pour le personnel des autorités et organisations concernées, seules les personnes dont la fonction

figure sur les listes visées à l’art. 33 font l'objet d'un CSP. La liste a donc un caractère impératif. Les exceptions sont réglées aux al. 3 et 4.

 Let. b : les tiers font l'objet d'un CS lorsqu’ils exercent une activité sensible dans le cadre d’un mandat.

 Let. c : dans le contexte international, les conditions relatives au CSP sont réglées par les conventions de

droit international public correspondantes. En principe, la règle de l’al. 2 s’applique.

Al. 2 : le principe de l’al. 1, let. b, s’applique aussi aux personnes devant exercer une activité sensible sur mandat d’une autorité étrangère ou internationale.

L’al. 3 règle le cas d’une fonction remplissant les critères visés à l’art. 33, mais qui n’est pas encore répertoriée dans la liste correspondante. Dans ce cas, le contrôle peut être réalisé avec l’accord exprès de l’autorité concernée. Une modification rapide de la liste s’impose alors.

Al. 4 : les membres des autorités élus par le peuple ou les magistrats nommés par l’Assemblée fédérale ne font l'objet d'un CSP, même s’ils exercent souvent une activité sensible.

Art. 35

Concernant les degrés de contrôle, la LMSI ne donne pas de règles précises. Le principe de légalité exige cependant, en raison de l'atteinte profonde dans les droits fondamentaux des personnes assujetties à un CSP, que les modalités les plus importantes de cette atteinte soient définies au niveau de la loi au sens formel. Etant donné que les degrés de contrôle déterminent l’ampleur de l'atteinte, ils doivent être réglés dans la LSI.