Rapport sur les résultats

[Geben Sie Text ein]

Selon le Conseil des EPF, cet article va trop loin en ce qui concerne les mandataires devant traiter des informations ou utiliser des moyens TIC des EPF, respectivement de la Confédération dans le cadre de leurs tâches ou d’un mandat. Dans la pratique, cela signifierait que lorsqu’elle confierait un mandat à un tiers (une entreprise), l’EPF devrait veiller à la formation et à la formation continue des mandataires dans le domaine de la sécurité de l’information. Une mise en œuvre de cette réglementation aurait un impact financier dans la pratique.

Art. 29 Délivrance restrictive d’autorisations

TG salue le fait qu’il n’y ait pas ici diverses catégories de contrôles de sécurité généraux, mais que les autorités s’assurent de ne délivrer que les autorisations dont les personnes concernées ont besoin pour l’accomplissement de leurs tâches. Il pourrait éventuellement s’avérer judicieux d’instaurer ici une période pour le contrôle de sécurité par analogie à la répétition du contrôle de sécurité relatif aux personnes figurant à l’art. 50 du projet de LSI A l’al. 2, il est dit que les autorisations peuvent être bloquées ou retirées sans préavis lorsque des indices concrets donnent lieu de penser que la sécurité de l’information est menacée. Pour les personnes concernées, cela pourrait constituer une mesure très sévère, étant donné qu’éventuellement, dans le cas concret et en y regardant de plus près, on pourrait conclure ultérieurement que, malgré la présence d’indices, la sécurité de l’information n’aurait nullement été menacée. Lorsque, par exemple, une personne ayant fait l’objet d’un contrôle de sécurité épouse un conjoint provenant d’une région en crise, ce fait peut de prime abord constituer un indice concret donnant lieu de penser que la sécurité de l’information est menacée. Mais, ultérieurement, cette personne devrait avoir la possibilité d’apporter la preuve concrète qu’en dépit de l’existence d’indices, il n’existe aucun danger concret. En se fondant sur le principe juridique «audiatur et altera pars» («que l’autre partie soit aussi entendue»), la possibilité devrait exister, dans le contexte des mesures personnelles, que la personne concernée soit en droit, après que l’autorisation lui a été provisoirement retirée, d’exposer dans une procédure d’envergure qu’en dépit d’indices présumés, elle continuait précisément à ne constituer aucune menace pour la sécurité de l’information.

Le PDC est favorable à ce que les autorités délivrent de manière restrictive des autorisations pour traiter des informations et utiliser des moyens TIC et que la validité de ces autorisations soit régulièrement vérifiée.

Clusis salue le contenu de cet article, mais se demande pourquoi le retrait des autorisations n’est pas expressément mentionné comme automatique? Si cela va de soi, cela va encore mieux en le disant.

Art. 31 Zones de sécurité

Concernant les méthodes de vérifications biométriques, SO estime, au vu de réflexions relatives à la protection des données, qu’il conviendrait de mentionner clairement (dans le texte de loi ou tout au moins dans les commentaires) que les données brutes elles-mêmes ne devront pas être sauvegardées.

TG est d’avis que la mise en œuvre des méthodes de vérifications biométriques devrait faire l’objet d’une réglementation précise. Ainsi, il conviendrait, par exemple en particulier de déterminer la durée de conservation des profils en la matière. En ce qui concerne l’autorisation de contrôler les sacs et les personnes, on pourrait aussi de fait violer par ce biais des secrets de fonctions ou des secrets professionnels. Par ailleurs, cette disposition présente un grand danger pour la sécurité, en ce sens que, lors d’un contrôle des effets de détenteurs des plus hauts secrets, du personnel de contrôle qui n’est pas assez qualifié concernant les échelons hiérarchiques prenne inévitablement connaissance de secrets pour lesquels l’échelon de sécurité auquel est soumis ledit personnel de contrôle est insuffisant. Voilà pourquoi il convient absolument, pour que le but de la loi ne devienne pas obsolète, de définir avec plus de précision l’autorisation de procéder à des fouilles corporelles et à des contrôles de sacs, contrôles qui concerneront certainement aussi à l’avenir les ordinateurs portables (avec le risque d’une manipulation effective). Les contrôles spontanés de pièces/bureaux du personnel devraient également être définis avec davantage de précision, d’autant plus qu’ils peuvent éventuellement concerner des pièces d’habitation privées, ce qui, en cas d’autorisation d’un contrôle général, pourrait se traduire par un conflit face au principe énoncé à l’art. 8 de la