Rapport sur les résultats

[Geben Sie Text ein]

Art. 52 Système d’information sur le contrôle de sécurité relatif aux personnes

Clusis salue cet article qui constitue une base légale suffisante pour le traitement de données personnelles, notamment les données sensibles.

Pour LB, le libellé de l’art. 52, al. 1, LSI n’est pas clair: les services spécialisé CSP mettentils en œuvre un système d’information en vertu d’une structure élaborée selon les consignes de la Confédération – ce qui faciliterait l’accès aux services concernés selon l’art. 53 LSI – ou, au contraire, la LSI laisse-t-elle aux services spécialisés CSP le soin d’installer et d’exploiter un système d’information de leur choix?

Pour des motifs relevant de la protection des données, LB fait part de ses préoccupations quant au fait que le système d’information doive comporter le numéro d’assuré des personnes concernées, puisqu’en vertu des dispositions de l’art. 52, al. 4, let. a, LSI, le système dispose d’ores et déjà des données d’identité des personnes devant être contrôlées ou qui ont été contrôlées. Par ailleurs, aux termes des dispositions de l’art. 36, al. 4, let. c, LPD et de l’art. 50e LAVS, l’enregistrement du numéro AVS dans un autre contexte que celui des assurances sociales fédérales est soumis à des conditions et des restrictions très strictes du fait qu’il faciliterait la collecte d’informations sur des personnes concernées et le «profiling». De l’avis de LB, rien ne justifie que l’on enregistre le numéro d’assuré AVS dans les systèmes d’information sur le contrôle de sécurité relatif aux personnes: le fait que l’on facilite ainsi l’accès à des informations sur des personnes, en vertu des dispositions de l’art. 53 LSI, ne constitue pas une justification suffisante pour l’utilisation supplémentaire du numéro d’assuré AVS, d’ailleurs sujet à caution du point de vue de la loi sur la protection des données, en dehors des assurances sociales fédérales. Au demeurant, LB recommande que, par analogie avec les dispositions de l’art. 77, al. 4, LSI, l’art. 52, al. 2, LSI soit doté d’un complément précisant que le service spécialisé CSP est responsable de la sécurité du système d’information. En effet, comparées aux données concernant les résultats du contrôle de sécurité, les données personnelles enregistrées dans le système d’information impliquent des exigences beaucoup plus élevées en matière de sécurité.

Art. 53 Communication des données

TG estime que la disposition de l’art. 53, al. 3, let. c, ch. 1, du projet de loi LSI en vertu de laquelle l’Etat-major de conduite de l’armée peut accéder – par l’intermédiaire d’une interface

– au système d’information, en vue du contrôle de l’accès aux zones de sécurité, va beaucoup trop loin. Ainsi en vertu de l’art. 3 de l’ordonnance sur la protection des ouvrages militaires (SR 510.518.1), la zone protégée 1 consiste en des ouvrages, parties d’ouvrages et aires attenantes qui sont en règle générale visibles de l’extérieur et même en partie librement accessibles. Par conséquent, l’Etat-major de conduite de l’armée ne devrait être autorisé à avoir accès aux données découlant du contrôle de sécurité relatif aux personnes qu’en ce qui concerne les zones protégées 2 et suivantes. TG propose donc d’adapter cette règle en conséquence. Par ailleurs TG estime qu’on peut se demander dans quelle mesure l’Etatmajor de conduite de l’armée devrait avoir accès – en vertu de cette même let. c, mais ch. 3

– aux contrôles de sécurité relatifs aux personnes dans le cadre du recrutement des conscrits, d’autant qu’il s’agit essentiellement de jeunes personnes qui n’ont vraisemblablement jamais, pour la plupart, été soumises à un contrôle de sécurité relatif aux personnes.

Privatim relève que les commentaires figurant dans le rapport explicatif ne disent pas pourquoi l’autorité de contrôle doit pouvoir par principe avoir accès à des données personnelles «ultrasensibles» pour accomplir ses tâches. Le contrôle portant sur l’exécution du contrôle CSP ne peut-il donc pas être effectué à l’aide de données anonymisées? Ne pourrait-on pas éventuellement envisager la possibilité de ne recourir à des données «ultrasensibles» que dans des situations exceptionnelles et, dans les cas ordinaires, effectuer les contrôles avec des ensembles de données (blocs de données) ne comportant pas d’autres références à des personnes? Pour privatim, il convient d’éclaircir cette question.

Clusis salue cet article qui constitue une base légale suffisante pour le traitement de données personnelles, notamment les données sensibles. La communication électronique de données doit se faire de manière sécurisée. Là encore, il faut le préciser.