Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

reprise ou la mise en lieu sûr immédiates de certains documents ou matériels. Lorsque la sécurité de l'information ne peut être garantie autrement, Il est aussi autorisé à mettre lui-même certains documents ou matériels en sûreté. Cela s’applique également aux cas où, suite à la faillite d'une entreprise, des documents ou moyens TIC doivent être retirés rapidement de la masse de la faillite.

Art. 72

Al. 1 : lors de l'attribution de nouveaux mandats sensibles, les entreprises au bénéfice d'une DSE sont réputées qualifiées au sens de l'art. 62 et leur qualification n'est donc pas réévaluée. Une procédure simplifiée est appliquée ; le Conseil fédéral la réglera au niveau de l'ordonnance.

Selon l'al. 2, il s'agit néanmoins de contrôler, face à des cas de cette nature, s'il faut adapter le concept de sécurité. Ce devrait, par exemple, être le cas si l'entreprise concernée, qui ne devait traiter jusque-là « que » des informations classifiées CONFIDENTIEL, était également chargée du traitement d'informations classifiées SECRET.

Art. 73

Les entreprises dont le siège est en Suisse et qui entendent soumissionner pour un mandat sensible à l'étranger doivent présenter aux autorités de l'endroit une attestation de sécurité officielle émise par les autorités suisses (cf. art. 57, al. 1, let. b, et art. 68, al. 1). Le service spécialisé PSE délivre donc une attestation correspondante à l'usage international aux entreprises bénéficiant d'une DSE valable.

Art. 74

Al. 1 : la DSE est révoquée lorsque l'entreprise ne remplit pas ses obligations au sens de l'art. 70 ou qu'une évaluation au sens de l'art. 62, menée dans le cadre de la répétition de la procédure, décèle un risque pour la sécurité.

La révocation doit, selon l'al. 2, être notifiée sous la forme d'une décision contre laquelle il est possible de recourir devant le Tribunal administratif fédéral, conformément à l'art. 76, al. 3. Le droit de recours s’étend également à l'adjudicateur dans la mesure où une telle révocation peut aussi lui être défavorable. Il peut avoir grand intérêt, financièrement parlant, à ce que la DSE ne soit pas révoquée.

Art. 75

La PSE est répétée lorsque le mandat sensible traité par l'entreprise est encore pendant alors que la durée de validité de la DSE est échue. Durant la répétition de la procédure, l'exécution du mandat n'est pas suspendue. Si le mandat est presque rempli et qu'aucun nouveau mandat n'est attribué, le service spécialisé PSE, pour des raisons d'économie de procédure, ne répétera pas le contrôle. Si des indices concrets donnent à penser que de nouveaux risques pour la sécurité sont apparus suite à des changements importants survenus dans l'entreprise, la procédure est répétée.

Art. 76

L'al. 1 accorde aux organes de l'entreprise, lors de la PSE, différents droits (consultation, rectification, suppression, contestation) analogues à ceux énumérés à l'art. 51, al. 1 pour le CSP.

Selon l'al. 2, il est possible de recourir contre les décisions du le service spécialisé PSE auprès du Tribunal administratif fédéral. Cette norme dispose explicitement que la disposition de l'art. 32, al. 1, let. a, de la loi sur le Tribunal administratif fédéral (le recours est, en principe, irrecevable contre les décisions concernant la sûreté intérieure ou extérieure du pays) ne s'applique pas. Toutefois, si la décision du le service spécialisé PSE se fonde sur des informations relevant du SRC qui ne doivent être divulguées ni à l'entreprise ni au public, les dispositions correspondantes relatives à la procédure sont applicables (art. 27 et 28 PA).

Art. 77

Al. 1 : le service spécialisé PSE engage un système d'information pour réaliser et gérer la PSE. Ce système existe depuis des années et a récemment été entièrement reconçu. Sa base juridique actuelle (art. 150 ss LSIA) doit, pour des raisons de systématique, être reprise dans la présente loi.

Al. 2 : étant donné que le système peut contenir des données personnelles sensibles et des profils de la personnalité, il a besoin d'une base ancrée dans une loi formelle (art. 17, al. 2, LPD) que les art. 77 à 80 créent.

L'al. 3 établit la liste exhaustive de toutes les données enregistrées dans le système d'information.

L'al. 4 règle la responsabilité du traitement conforme au droit des données dans le système et la sécurité du système même.