Rapport explicatif

Art. 5 Octroi et retrait des droits d‘accès

Comme le prévoit le droit actuel (voir art. 3 OSI-SRC), les droits d’accès à un système d’information ne sont accordés qu’à la suite d’une demande individuelle et à titre personnel (voir al. 1). Cette disposition s'applique désormais également aux systèmes de stockage visés à l'art. 1, al. 2, du projet d'ordonnance. L’accès au système PES peut aussi être octroyé selon les fonctions exercées par la personne. En effet, un accès à ce système doit pouvoir être accordé rapidement à un cercle de personnes dont l'identité n'est pas connue au préalable en cas d'événement particulier. En outre, il est courant que des services de piquet externes dont les membres changent constamment doivent y accéder. En l'occurrence, l'octroi individualisé des droits d'accès n'est ici pas réalisable avec des moyens raisonnables. L'individualisation des droits d'accès intervient plutôt au niveau de la fonction. Etabli en premier lieu uniquement pour une fonction donnée, le profil d'accès est attribué à une personne précise. L'organisation des utilisateurs est tenue de documenter l'identité des personnes qui accèdent au système PES. Cette mesure garantit la traçabilité des accès en tout temps.

Il est désormais explicitement que la demande doit aussi préciser, outre les coordonnées personnelles et la fonction de la personne, la relation avec un but inscrit dans la LRens (voir al. 2). Cette disposition est conforme à la pratique en vigueur. Elle constitue une condition impérative pour l'examen formel.

Ce n'est d'ailleurs plus le responsable de l'unité de direction (voir al. 3) qui est compétent pour l'examen formel des demandes d'accès. Conséquence: les autorisations d’accès pour l'ensemble du SRC ainsi que pour tous les systèmes d'information et de stockage de données sont octroyées de façon centralisée et selon des critères identiques. Le retrait de droits d'accès inutilisés pendant 6 mois est aussi prévu explicitement (voir al. 4). Le service de gestion des applications du SRC est déjà familier des mandats de ce type.

L'al. 5 précise que le SRC n'est compétent que pour l’exécution des droits d’accès aux systèmes d’information qu’il exploite lui-même.

Art. 6 Accès à plusieurs système et classements temporaires

Les autorisations régies par les al. 1 et 2 en lien avec l'accès à plusieurs systèmes (concerne tous les systèmes d'information), la saisie dans plusieurs systèmes (ne concerne que IASA SRC et IASA-EXTR SRC) ainsi que la fonction de recherche et de distribution d'informations sont conformes au droit actuel (voir art. 4 OSI-SRC). Les systèmes de stockage de données visés à l'art. 1, al. 2, du projet d'ordonnance sont intentionnellement exclus car ils ne sont accessibles qu'à des spécialistes et ne doivent pas être mis en réseau avec les systèmes d'information du SRC.

L'al. 3 précise qu'en vue du pilotage de la recherche d’informations ou de l’analyse opérationnelle dans le cadre de projets thématiques limités dans le temps (groupes de travail, cellules de crise), des copies des données issues des systèmes d’information et de stockage de données du SRC peuvent être versées séparément et à titre temporaire dans le réseau SiLAN, afin de n'être accessibles qu'aux membres du projet en question. Cette mesure peut être ordonnée pour remplir le devoir de protection des sources inscrit à l'art. 35 LRens. Elle est conforme à la pratique actuelle et au concept de conservation des données du SRC. Ces évaluations temporaires doivent être autorisées par le SRC. Le concept de protection des données du SRC désigne le service interne chargé de l'octroi de ces autorisations. Au terme des travaux, tous les résultats sont versés dans les systèmes d'information ordinaires du SRC. Les copies de données présentes sur la plate-forme d'analyse sont détruites.

Le service du SRC chargé d'assurer la qualité intègre ces évaluations et leur nécessité dans ses activités de contrôle par sondage.

Des classements temporaires peuvent être réalisés en cas d'enlèvement par exemple. Les collaborateurs chargés de l'affaire ont besoin que toutes les informations en lien avec l'enlèvement puissent être regroupées à partir de d'ensemble des systèmes d'information du SRC pour être analysées ensemble sur une seule plateforme. Au terme des travaux, tous les résultats sont