Rapport sur les résultats

economiesuisse propose de formuler des objectifs plus explicites dans les buts de la loi, comme une meilleure intégration des processus, un flux de données ininterrompu ou la standardisation au sein de l’administration.

Selon le CCC-CH, il convient d’ajouter une lettre à la liste proposée pour préciser sur quels principes techniques les systèmes de cyberadministration doivent se fonder. Il s’agirait de mentionner non seulement le principe des logiciels à code source ouvert visé à l’art. 10, mais aussi d’autres principes dont il n’est pas fait état dans le projet. Le CCC-CH propose en outre d’ajouter une lettre supplémentaire afin de garantir que les services de cyberadministration soient conçus de façon à permettre également l’interaction avec les services de cyberadministration d’autres pays. Cela soulignerait par ailleurs

l’importance de l’art. 13 et des normes à respecter ou sur lesquelles il faudra se mettre d’accord (sur le plan international). Pour le CCC-CH, il serait très important que la loi énonce encore d’autres principes dont l’absence s’est fait sentir dans de récents projets de numérisation et a aussi joué un rôle dans le rejet de la loi sur l’identité électronique lors de la votation du 7 mars 2021. La loi devrait ainsi énoncer que la conception technique des services de cyberadministration doit reposer sur le principe de la décentralisation, afin que les données personnelles utiles restent en possession des usagers. Cet aspect joue un rôle particulier dans les projets de cyberadministration traitant de données

personnelles (sensibles). Il conviendrait en outre de renoncer à l’enregistrement de métadonnées et à s’assurer que ce soit techniquement le cas. En résumé, le CCC-CH demande que les systèmes de cyberadministration soient conformes aux principes de la protection des données dès la conception (Privacy by Design) et par défaut (Privacy by Default). Le CCC-CH relève aussi que les services de cyberadministration qui portent sur des données personnelles devraient être sécurisés afin que seules les personnes

impliquées puissent lire les données en clair. Il faut notamment appliquer un modèle de cryptage de bout en bout dans lequel le matériel secret qui est chiffré ne soit disponible et ne puisse être décrypté que par les stations terminales concernées. Or l’avant-projet prévoit que tous les documents puissent être lus et récupérés de manière centralisée, ce qui pourrait se traduire par des violations massives de la confidentialité et entraîner une érosion de la confiance dans les plateformes de cyberadministration comme le dossier électronique du patient ou la justice numérique. De plus, la loi devrait prévoir des

programmes Bug Bounty (prime à la faille ou prime au bogue) pour tous les systèmes de cyberadministration, afin qu’il soit possible de récompenser des personnes physiques ou des organisations qui mettraient à nu des failles de sécurité concernant la sphère privée et qui les communiqueraient. Ces communications devraient par ailleurs être rendues publiques, pour des questions de transparence mais aussi pour développer une (saine) culture de l’erreur au sein de l’administration. Enfin, le CCC-CH estime que les services de cyberadministration devraient être régulièrement contrôlés quant aux risques pour la sphère privée et pour la sécurité. À cette fin, la Confédération devrait soit renforcer les effectifs de ses centres de compétences (comme MELANI) et leur attribuer de nouveaux mandats en ce sens, ou mandater régulièrement des tiers spécialisés (privés) pour contrôler ces programmes au niveau du code source et de l’exploitation. Tous les rapports de sécurité (y compris ceux établis par des tiers privés) devraient être publiés dans leur intégralité une fois que les failles détectées ont été réparées.

L’USS soumet la proposition de modification suivante à l’al. 1:

« ¹ Les autorités fédérales visent, en vue de gains d’efficience et de la création de

nouvelles possibilités ainsi que de l’accessibilité pour tous, l’utilisation des moyens électroniques pour l’interaction: …»

Enfin, le canton de BE constate que la LMETA mentionne les autorités cantonales et communales à l’art. 4, al. 1, let. a, mais pas à l’art. 2, al. 2, ni aux art. 12 et 13, ce qui pourrait donner lieu à des incertitudes quant à savoir si les communes sont aussi visées par les art. 2, 12 et 13 en leur qualité d’autorités relevant du droit cantonal. Le canton de BE invite à examiner la nécessité éventuelle de préciser ce point.