Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

possible d’obtenir des données ou en tous les cas pas des données fiables. La notion de données suffisantes sur une période suffisamment longue est expressément floue. La formulation de l’art. 19, al. 3, OCSP, selon laquelle les services spécialisés CSP doivent, pour le moins, disposer de données couvrant la période de cinq ans précédant l'ouverture de la procédure du contrôle de sécurité de base et la période de dix ans précédant l'ouverture de celle du contrôle de sécurité élargi, a été partiellement critiquée comme étant disproportionnée et trop absolue. Deux solutions sont donc envisageables : soit le Conseil fédéral précise, dans le cadre de ses dispositions d’exécution relatives aux CSP, la notion de un nombre suffisant de données sur une période suffisamment longue, soit la définition de cette notion relève de l’appréciation des services spécialisés CSP.

L’al. 5 prévoit que les services spécialisés CSP peuvent auditionner les personnes concernées, indépendamment du degré de contrôle lorsque, dans le cadre de la récolte de données, ils découvrent des indices en rapport avec la sécurité. Une telle audition peut avoir lieu lorsque le service spécialisé CSP compétent n'a pas pu obtenir de données suffisantes sur une période suffisamment longue au sens de l’al. 4. Cette audition personnelle ne doit pas être confondue avec celle visée à l’al. 2, let. d. Cette dernière peut être réalisée sans la présence d’indices sur un risque pour la sécurité et n’est pas limitée dans son contexte. Pour faire la lumière sur des éléments particulièrement pertinents pour la sécurité ou pour obtenir un complément de données sur une plus longue période, services spécialisés CSP peuvent aussi interroger des tiers. De telles auditions ne peuvent être menées qu’avec l’assentiment de la personne contrôlée et celui des tiers concernés.

Al. 6 : il arrive que les données nécessaires à l’évaluation du risque concernent non seulement les personnes contrôlées, mais aussi des tiers. Cela peut, par exemple, être le cas pour des extraits de comptes bancaires d’une personne mariée. L’al. 6 prévoit alors que ces données personnelles peuvent également être traitées dans la mesure où elles sont indissociablement liées à la personne faisant l'objet du contrôle et indispensables à l’évaluation du risque. La charge que représente à chaque fois l’obtention de l’assentiment des tiers pour traiter des données serait disproportionnellement élevée pour les services spécialisés CSP. Pour des raisons de transparence, les services spécialisés CSP doivent donc informer ces tiers sur le traitement des données. Si le devoir d’informer est impossible à respecter ou nécessite des efforts disproportionnés, l’art. 18a, al. 4, let. b, LPD s’applique.

Art. 40

La participation des autorités à la procédure reste gratuite (al. 1). Les tiers, par exemple des banques ou des instituts de crédit associés à la procédure, doivent être indemnisés si leur participation leur occasionne une charge considérable. Une charge est réputée considérable notamment lorsqu’elle dépasse l’établissement d’extraits de comptes ou d’autres documents similaires et qu’elle exige des recherches particulièrement intensives de la part des tiers sollicités. Le Conseil fédéral réglera les conditions et les montants de ces indemnités dans le cadre de dispositions d’exécution.

Art. 41

Al. 1 : La procédure déjà engagée est suspendue lorsque la personne concernée revient sur son accord ou lorsqu’elle refuse de participer à la procédure, ou encore lorsque, pour une autre raison, elle n’entre plus en considération pour la fonction prévue ou pour l’exécution du mandat (par ex. en cas d’insolvabilité de l’entreprise pour laquelle la personne concernée aurait dû travailler).

L’al. 2 prévoit que tant la personne concernée que le service requérant doivent être informés de la suspension de la procédure. La personne concernée est, dès lors, réputée non contrôlée et ne peut exercer l’activité sensible en question ou la fonction envisagée.

L’al. 3 dispose que la suspension de la procédure entraîne la destruction de toutes les données et de tous les documents déjà récoltés par le service spécialisé CSP. La déclaration de suspension et le procès-verbal de destruction ne sont pas concernés. Toutefois, ni la déclaration de suspension ni le procès-verbal de destruction ne doivent contenir de données pouvant porter préjudice à la personne concernée. Les dispositions d’exécution du Conseil fédéral régleront la durée de conservation de ces deux documents.

Art. 42

Dans le passé, il a à plusieurs reprises été regretté que la réglementation de la LMSI ne précise pas explicitement ce qu’il faut entendre par « risque pour la sécurité ». Une nouvelle disposition s’impose donc à cet égard. Celle-ci reflète, par analogie, la jurisprudence y relative du Tribunal administratif fédéral et du Tribunal fédéral. Il va de soi qu’il n’existe pas de méthode purement quantitative lorsqu’il s’agit d’évaluer un risque en rapport avec les agissements ou omissions des humains. D’où le recours à une méthode qualitative qui repose sur la présence et l’interaction de facteurs de risque.