Rapport explicatif

Digitalisation et cybersécurité DDPS au sein du Secrétariat général du DDPS. Les tâches et compétences visées aux let. d et f font l’objet des traités internationaux selon l’art. 87 LSI (message LSI sur l’art. 88, p. 3071 ; p. 3090).

Section 8 Coûts et évaluation Art. 42 Coûts

Les unités administratives supportent les coûts de leur propre sécurité. Ces coûts doivent être pris en compte et déclarés lors de la planification de projets. C’est en particulier le cas pour les coûts afférents aux mesures de sécurité informatique.

Art. 43 Évaluation

Voir le message LSI, commentaire de l’art. 89 LSI, page 3071.

Section 9 Traitement des informations et des données personnelles

Les art. 44 à 46 règlent le traitement d’informations et de données personnelles dans le cadre de la gestion de la sécurité de l’information selon l’OSI. La maîtrise des incidents de sécurité implique le traitement de données personnelles relatives à des auteurs potentiels d’infraction qui pourraient faire l’objet de poursuites ou de sanctions pénales ou administratives et qui sont, dès lors, des données sensibles au sens de l’art. 3, let. c, LPD. La législation sur la protection des données requiert pour leur traitement une base légale au sens formel explicite qui fait aujourd’hui défaut. La base légale nécessaire sera créée dans le cadre de la révision en cours de la LSI (cf. ch. 3.1).

Art. 44 Généralités

Al. 1 et 2 – Sans échange mutuel d’informations et de données personnelles, les unités administratives et leurs organes de sécurité ne peuvent pas s’acquitter de leurs tâches. Concernant le traitement de données personnelles lors de la gestion des incidents, voir le commentaire de la section 9.

Art. 45 Application SMSI

Cette disposition crée la base légale nécessaire à l’exploitation d’applications SMSI. Celles-ci permettent la digitalisation des tâches et processus de l’OSI (cf. ch. 3.8). Concernant le traitement de données personnelles lors de la gestion des incidents, voir le commentaire de la section 9.

Art. 46 Services électroniques de formulaire

Al. 1 – Un service de formulaire est une petite application simple avec laquelle des formulaires numériques sont remplis puis envoyés. Les services de formulaire mentionnés à l’al. 1 servent à automatiser la délivrance de demandes de visite (request for visit, al. 1, let. a), d’attestations de sécurité (al. 1, let. b) et de certificats de sécurité dans le contexte international (facility security clearances, al. 1, let. c).

Al. 2 – Concernant les données de l’annexe 2, il s’agit de données personnelles qui sont exigées comme lors d’une demande d’autorisation de voyage ESTA pour les voyages aux États-Unis. Les données suivies d’un astérisque (*) sont transmises aux autorités étrangères. Les dispositions de la législation sur la protection des données relatives à la transmission de données à l’étranger sont respectées (cf. notamment les art. 16, al. 1, et 17 nLPD). Les personnes qui demandent accès à des projets classifiés à l’étranger ne l’obtiennent pas si elles refusent de transmettre ces données.

Al. 3 à 6 – Des informations classifiées ou des données personnelles peuvent être traitées dans le cadre d’une annonce de sécurité. Dès que l’annonce est envoyée, les données alimentent immédiatement l’application SMSI où l’annonce et l’incident sont traités. Pour des raisons de sécurité de l’information et de protection des données, les données potentiellement sensibles ne doivent pas être conservées plus de 24 heures dans le service de formulaire. Concernant le traitement de données personnelles lors de la gestion des incidents, voir le commentaire de la section 9.

Section 10 Dispositions finales Art. 47 Abrogation et modification d’autres actes

L’OPCy et l’OPrI sont abrogées.