Rapport sur les résultats

L’AL BE et l’AAB demandent que l’alinéa soit revu étant donné qu’il n’est pas judicieux. Selon eux, ce genre de règles ne fonctionnent pas lorsqu’elles portent sur la collaboration entre la Confédération et les cantons. Ils proposent que la LPD s’applique à moins que le traitement des données soit réglé dans la loi procédurale applicable.

5.1.7.2 Art. 27 Sécurité de l’information

AG, BL, BS, TG, ZH et privatim soulignent que garantir la sécurité de l’information est fondamental pour assurer la confiance en la plateforme. Les exigences à fixer par le Conseil fédéral et le règlement à édicter par le comité sont essentiels (TG). À cet égard, il faudrait insérer dans le projet de loi une obligation de faire régulièrement une sauvegarde de tous les documents enregistrés (Bär&Karrer). La plateforme devrait en outre être exploitée selon une norme de sécurité standardisée, comme ISO 27001 ou 27002 (ZG et DB ZG). Renvoyer à des normes généralement reconnues est beaucoup trop vague (AL BE). La plateforme doit assurer un niveau de protection maximal, y compris pour les téléchargements (TAF et DB LU), étant donné que le projet de loi ne fait pas de distinction en ce qui concerne les informations classifiées et celles qui ne le sont pas (TAF). FR ajoute que les mesures et exigences de sécurité de l’information devront être assurées. Un autre participant (DB LU) exige que le respect du niveau de protection maximal soit strictement contrôlé. Pour VD, cette disposition n’est pas suffisante. Des éléments importants comme le chiffrement des données ou encore une définition précise des accès à ces données devraient déjà être traités au niveau de la loi.

LU suggère de retravailler la disposition du point de vue formel. Le canton critique l’ordre des alinéas, le Conseil fédéral n’étant mentionné qu’à l’al. 3. Le fait que le comité (en tant qu’organe responsable de la protection des données) établisse un règlement sur le traitement des données (al. 1) est surprenant compte tenu de la liste exhaustive de ses attributions énumérées à l’art. 9, al. 5. ZG est d’avis que les art. 26 et 27 doivent être formulés de façon plus précise pour qu’ils soient clairement délimités. La journalisation automatique doit elle aussi être réglée au niveau de la loi, vu son importance en matière de droit procédural et de droit sur la protection des données.

AG voit une contradiction entre le fait que le Conseil fédéral doive régler les exigences en matière de sécurité des données et que dans certaines circonstances le droit cantonal sur la protection des données et les exigences cantonales en matière de sécurité des données soient applicables.

Quatre participants (GE, ObG GL, TC VD et PJ GE) demandent que la compétence attribuée au Conseil fédéral revienne à la corporation. BL estime qu’elle doit être conférée au Tribunal fédéral ou à la corporation.

La fondation pEp critique le fait qu’une sécurité efficace des données ne soit mise en place qu’une fois que le comité a adopté un règlement. Elle demande que la loi prévoie une architecture de sécurité moderne et propose un programme de chasse aux bogues (bug bounty) qui récompense les personnes qui dénoncent les problèmes de sécurité pour que ces lacunes puissent être comblées rapidement. Le code source du logiciel devrait en outre être mis à disposition des utilisateurs en tant que logiciel « open source ».

Swimag propose que la plateforme donne aux utilisateurs concernés un accès complet à tous les jeux de données et journaux de suivi.

Al. 1

L’AL BE et l’AAB relèvent que les al. 1 et 3 sont contradictoires et créent des conflits de compétence. Vu l’importance de la plateforme, c’est le Conseil fédéral qui doit être compétent, et l’al. 1 doit être biffé (AL BE, PS et AAB).