Rapport sur les résultats

[Geben Sie Text ein]

mises aux règles de la LSI. Si l’on se limite au caractère de recommandation ou de déclaration facultative, il est impossible, selon privatim – d’atteindre un niveau de protection uniforme.

La CSI déclare qu’étant donné que, d’une part, des autorités fédérales et cantonales collaborent très étroitement dans divers domaines ou que des autorités cantonales et communales accomplissent des mandats de la Confédération et que, d’autre part, des fichiers ou systèmes TIC de différentes autorités doivent souvent être reliés pour que ces autorités puissent accomplir leurs tâches, il n’est pas judicieux que les différentes autorités partenaires appliquent des niveaux de sécurité distincts. Voilà pourquoi c’est une autorité compétente unique désignée par le Conseil fédéral qui devrait déterminer le niveau de sécurité de l’information pour l’ensemble de l’activité à accomplir. Pour éviter qu’une autorité fédérale détermine unilatéralement des mesures qui engendreraient davantage de frais supplémentaires pour les cantons, il conviendrait d’avoir l’accord des autorités cantonales éventuellement concernées. La CSI demande dès lors de compléter l’art. 88 par un nouvel al. 4 ayant la teneur suivante:

«⁴ Le Conseil fédéral règle, par voie d’ordonnance, quelles autorités concernées sont compétentes, individuellement ou collectivement, pour établir des déclarations obligatoires au sujet des exigences et mesures standard ayant trait à des activités ou à des systèmes exécutés ou utilisés en commun par plusieurs autorités concernées. Lorsque des autorités cantonales concernées sont impliquées, leur consentement est nécessaire.»

Le TF déclare que cet article est crucial pour le Tribunal fédéral et qu’il ne faut rien y changer à son détriment.

Pour it-rm, il y a impérativement lieu de désigner une institution (service de coordination) chargée d’édicter les dispositions d’exécution qui seront contraignantes pour toutes les autorités concernées par la présente loi et qui, par conséquent devront être respectées (contradiction avec l’art. 88, al. 3, LSI). Sinon cela conduirait à un manque d’homogénéité dans le dispositif de sécurité et contribuerait en outre à ce que l’on tienne trop peu compte de l’évolution de la technique et donc des modifications en matière de besoins de sécurité qui en découlent. Par ailleurs, it-rm estime qu’il est improductif pour l’échange d’informations que les autorités prennent des mesures distinctes pour protéger un même bien juridique. En effet, l’autorité qui a mis en œuvre les mesures de sécurité les plus efficientes – et donc les plus onéreuses –considérera que le manque d’homogénéité n’est pas rentable. On sait pertinemment que l’on évalue la sécurité de l’information en se fondant sur le maillon le plus faible du dispositif. Il ne faudrait donc pouvoir s’écarter de cette règle que dans des cas exceptionnels et par le biais d’une demande écrite motivée.

Selon le SRC, le fait de déléguer l’élaboration et le traitement de standards de sécurité au SRC (par analogie à fedpol, voir à ce sujet les commentaires au sujet de l’art. 88, al. 2, LSI,

p. 71-72 du rapport explicatif) se justifie tout à fait. A l’instar de fedpol, le SRC a des besoins particuliers quant au traitement et à l’archivage des données. Notamment, l’échange de données entre différents services étatiques en Suisse et à l’étranger revêt une importance particulière pour le SRC. On ne saurait donc comparer ces besoins-là avec ceux des autres services fédéraux. Et même à l’égard de la protection des sources, les standards de sécurité spécifiques au SRC sont incontournables.

Art. 89 Cantons

Aux termes des dispositions de l’art. 89 LSI, les autorités et les services cantonaux ne sont soumis à cette loi que s’ils exercent des activités sensibles sur mandat et sous la surveillance directe de la Confédération. «La présente loi ne s’applique pas aux autorités et services cantonaux qui appliquent la législation fédérale de manière autonome» dit le rapport explicatif en p. 37. Mais pour ZH, cette réglementation cruciale concernant le champ d’application de la loi soulève davantage de questions qu’elle n’en résout. Quelles activités des cantons entend-on ici? Dans quels domaines les cantons exercent-ils des mandats et sous quelle surveillance directe? Comme le rapport explicatif ne mentionne pas un seul exemple concret, on peut donc partir du principe que, pour la Confédération aussi, ce point n’est pas clair. Pourtant, il est nécessaire que les cantons puissent évaluer si cette loi est