Rapport sur les résultats

Modification de la loi fédérale sur les systèmes d’information de l’armée

Rapport sur les résultats de la procédure de consultation

de reformuler le titre comme suit : « Loi fédérale sur les systèmes d’information de l’armée et du DDPS ».

Art. 1, al. 1

Le PS salue l’extension du champ d’application, trop restrictif selon lui, aux systèmes d’information autres que militaires. Il trouve cependant incompréhensible que le service civil ne soit pas mentionné dans l’art. 1, al. 1, let. c. Quant à la let. d de ce même alinéa, elle est à ses yeux une clause insuffisante. Il demande donc une extension plus poussée du champ d’application de la LSIA.

La CNAM critique la formulation de l’art. 1 qui, à ses yeux, donne la fausse impression que l’armée est subordonnée au DDPS ou qu’elle en fait partie. Selon la CNAM, l’armée, qui est subordonnée au Parlement, et le DDPS, qui est subordonné au Conseil fédéral, sont deux entités distinctes ; le DDPS, notamment l’administration militaire, sert l’armée et s’occupe des affaires militaires tant que l’armée n’est pas mobilisée. La CNAM demande donc d’adapter l’art. 1, al. 1, en ces termes : « La présente loi règle le traitement des données personnelles, y compris sensibles, et des profils de la personnalité (données) dans les systèmes d’information et lors de l’engagement de moyens de surveillance à l’armée et au Département fédéral de la défense, de la protection de la population et des sports (DDPS). »

Art. 2, al. 1, phrase introductive

Concernant la création d’une base légale pour l’utilisation des numéros AVS dans les systèmes d’information autres que militaires du DDPS, VD attire l’attention sur les risques d’une utilisation systématique de ce numéro en cas de mise en réseau étendue des systèmes.

Art. 7, al. 2, première phrase

AG demande la liste des tâches que l’administration fédérale doit accomplir elle-même. Il est d’avis qu’il faudrait éviter toute dépendance envers des tiers dans les domaines sensibles et que, pour garantir la sécurité des données, tel que c’est explicitement exigé lorsque des tiers sont impliqués, l’administration devrait disposer du savoir-faire nécessaire à l’interne.

VD renvoie aux exigences de l’art. 10a LPD. Selon ce canton, puisque la plupart des systèmes d’information concernés sont destinés à traiter des données sensibles, voire des secrets intéressant la défense nationale, il faudrait mieux définir quand il est possible de communiquer des données personnelles à des tiers, et en particulier lorsqu’il s’agit de transmettre de telles données à des États figurant sur la liste du préposé fédéral à la protection des données et à la transparence et qui n’offrent pas un niveau de protection adéquat. Dans cet ordre d’idées, VD indique que le Cloud-Act appliqué par les États-Unis ne soumet pas seulement les entreprises américaines à la juridiction de ce pays, mais aussi les étrangères à capital américain. Et d’ajouter que le choix d’une solution de type Cloud ou d’une entreprise contrôlée par les États-Unis pourrait entraîner la divulgation de données militaires suisses. VD souligne aussi que les secrets de fonction pourraient être violés si des données soumises à ce secret venaient à être traitées à l’étranger.

Le PS considère que la collaboration avec les prestataires informatiques externes est intrinsèquement transparente et salue le fait que la sécurité des données y soit garantie. Il ne relève cependant aucune trace de sa concrétisation dans le rapport explicatif, et de se demander : « De quelles données à caractère personnel s’agit-il ? Pendant combien de temps les fournisseurs informatiques externes peuvent-ils accéder aux données personnelles ? Qu’est-ce qui garantit que les données sensibles ne seront pas utilisées abusivement ? Comment garantir que les données personnelles ne seront pas conservées plus longtemps que nécessaire ? Qui contrôle le respect des procédures et quelles sont les possibilités de l’imposer ? »