Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

Al. 1: la doctrine définit le risque comme le produit de la probabilité de survenance d’un incident et des conséquences de la survenance de ce dernier. La notion d’activité sensible, déterminante pour tout assujettissement à un CSP, renferme dans sa définition les conséquences dont l’élément déclencheur doit être évité. En l’occurrence, il s’agit d’un préjudice considérable ou grave porté aux intérêts visés à l’art. 1, al. 2. Si la personne assujettie au CSP effectue correctement et dans le respect des prescriptions les tâches qui lui sont confiées, aucun dommage ne peut survenir par sa faute. A contrario, l’incident à éviter est celui qui résulte de l’exercice inadéquat ou contraire aux prescriptions d’une activité sensible donnée par la personne faisant l'objet du contrôle. Un risque pour la sécurité existe donc, au sens de la présente loi, lorsque la probabilité est élevée de voir la personne concernée exercer l’activité sensible particulière de manière inadéquate ou contraire aux prescriptions, causant de ce fait, pour le moins, une atteinte considérable aux intérêts visés à l’art. 1, al. 2.

L’al. 2 précise clairement que les services spécialisés CSP doivent avant tout se concentrer sur la probabilité de survenance d’un incident. Par la force des choses, l’appréciation d’une telle probabilité restera toujours une prévision assortie d’incertitudes. L’appréciation se fonde sur l’ensemble des éléments disponibles - par exemple, la personnalité de la personne concernée, ses antécédents et son train de vie - dans la mesure où ils permettent d’en tirer des conclusions quant à son comportement futur. L’al. 2 énumère donc les facteurs de risque permettant de conclure à un haut degré de probabilité d’un préjudice, à savoir les caractéristiques personnelles particulièrement porteuses de risque. L’énumération s’inspire de la pratique actuelle des services spécialisés CSP, de même que de la jurisprudence du Tribunal administratif fédéral et du Tribunal fédéral.

Elle se fonde en principe sur des caractéristiques constatables autant que possible objectivement, mais qui ne peuvent souvent être tirées que d’indices ou déduites du contexte ; de plus, ces caractéristiques se recoupent partiellement. L’intégrité et la fiabilité d’une personne se jugent en premier lieu par le caractère de celle-ci, ses habitudes et les relations qu’elle a avec son entourage. Ces caractéristiques sont ni plus ni moins que les aptitudes de base nécessaires à l’exercice d’une activité sensible. Lorsqu’elles sont présentes, il y a de fortes chances que la personne à qui l’activité sensible sera confiée assumera loyalement ses tâches et veillera aux intérêts de l’employeur ou de l’institution en ce qui concerne la sécurité. Il est impossible de spécifier au niveau de la loi les indices et corrélations qui pourraient témoigner du manque de fiabilité d’une personne, de sa vulnérabilité au chantage ou de l’insuffisance de ses capacités de jugement et de décision : il conviendra de les mettre en lumière dans le cadre de chaque appréciation concrète.

L’al. 3 précise clairement qu’un risque pour la sécurité peut exister sans faute commise par la personne concernée. Le CSP est une mesure préventive de protection des intérêts publics supérieurs face à des actes commis intentionnellement ou par négligence de l’intérieur, qui se fonde sur une menace objective et non sur un comportement fautif, ce qui n’est pas le cas par exemple du droit pénal pour lequel la faute est une condition sine qua non de la peine. En cas de doute, et contrairement au droit pénal (in dubio pro reo), la sécurité de l’Etat ou les intérêts du pays priment les intérêts de la personne concernée. Il est également établi que l’existence d’un risque pour la sécurité doit être justifiée par des faits et des circonstances réelles touchant de près la personne concernée. De pures conjectures, en particulier sur la couleur politique de cette personne, ne sont pas recevables.

Enfin, l’al. 4 doit assurer l’indépendance des services spécialisés CSP lors de l'évaluation du risque. Le CSP ne doit pas être détourné à des fins politiques.

Art. 43

L’al. 1 règle les diverses déclarations des services spécialisés CSP dans lesquelles figurent les résultats des appréciations.

 Let. a : lorsque le service spécialisé CSP compétent parvient à la conclusion que l'exercice de l'activité

sensible par la personne concernée ne représente pas de risque pour la sécurité, il établit une déclaration de sécurité.

 Let. b : lorsque le service spécialisé CSP compétent constate qu'un certain risque pour la sécurité existe en

cas d'exercice de l’activité sensible par la personne concernée, mais que celui-ci peut être atténué à certaines conditions, il établit une déclaration de sécurité assortie de réserves et émet, à l’intention de l'instance chargée de confier l’activité sensible (instance de décision), les recommandations de mesures qui s’imposent.

 Let. c : lorsque le service spécialisé CSP parvient à la conclusion que l’activité sensible exercée par la

personne concernée représente un risque, il émet une déclaration de risque.

 Let. d : lorsque le risque relatif à une personne ne peut pas être évalué correctement par manque de don-

nées au sens de l’art. 39, al. 4, le service spécialisé CSP émet une déclaration de constatation.