Rapport explicatif

Art. 3, al. 1

Jusqu’ici, les données sur les identités ne sont proposées que sur demande aux systèmes IAM en aval ou autres systèmes d’enregistrement des identités, lesquels les utilisent selon leurs propres rythmes et besoins. Dans le cadre de mesures de protection réactives (p. ex. modification immédiate d’autorisations ou blocages d’urgence), il n’est plus possible de se reposer sur la date de la mise en œuvre de l’annonce dans des applications ; il s’agit au contraire d’être réactif et d’approvisionner les systèmes IAM en aval avec ces informations intéressant la sécurité. Ce nouveau mode d’alimentation est important et doit donc être ancré dans l’OIAM. La formulation actuelle qui prévoit qu’un système IAM ne mette les données à la disposition des systèmes en aval ou d’autres systèmes IAM que sur demande est donc adaptée en conséquence, d’où la suppression de sur demande.

Art. 5 Systèmes IAM

Al. 1 – Les autres organes de la Confédération responsables des systèmes IAM (let. c et g) sont mentionnés en plus des organes de la Confédération responsables déjà mentionnés dans l’IAM.

Al. 2 – Actuellement, le traitement des données personnelles dans les systèmes IAM n’est pas contrôlé. L’art. 26, let. e, LSI exige à présent explicitement, et pas uniquement en lien avec les systèmes IAM, qu’un contrôle périodique du traitement des données personnelles par un service externe soit prévu. Un alinéa supplémentaire est inséré en conséquence à l’art. 5.

Al. 3 – Vu l’art. 84, al. 3, LSI, l’OIAM s’applique aussi aux autorités visées à l’art. 2, al. 1, let. a et c à e, LSI, dans la mesure où elles n’édictent pas leurs propres dispositions. Pour que cela fonctionne, les autres autorités doivent pour le moins définir qui, dans leur domaine, est responsable en matière de législation sur la protection des données.

Al. 4 – Du fait des nouveaux al. 2 et 3, l’actuel al. 2 devient l’al. 4, sans changement de contenu.

Art. 11, al. 2 et 3

Vu l’art. 20, al. 2, LSI et sur la base de la nLPD, les actuels al. 2 et 3, d’après lesquels aucun profil de la personnalité et, sans base juridique particulière, aucune donnée personnelle sensible ne peut être traité dans les systèmes IAM, doivent être doublement contrôlés (cf. les explications sous ch. 3.4). Premièrement, la disposition interdisant le traitement des profils de la personnalité est remplacée par une interdisant le profilage (art. 5, let. f, de la nouvelle loi sur la protection des données). Deuxièmement, les données biométriques permettant d’identifier clairement une personne sont désormais considérées d’emblée comme des données sensibles ; pour leur traitement, une base générale est créée dans l’art. 20, al. 2, LSI. Ces données biométriques doivent donc désormais, selon l’annexe (let. a, ch. 11), être traitées en principe dans tous les systèmes IAM dans lesquels cela s’avère nécessaire pour identifier des personnes sous l’angle des risques.

Art. 13, al. 4

Pour des raisons de clarté, la let. a précise explicitement que la base légale en question doit (aussi) prévoir le traitement des données devant être rendues disponibles.

Art. 14, al. 2

Cette disposition ne change pas en substance ; cependant, il n’est plus question de renvoyer à l’art. 2a de la loi fédérale sur les systèmes d’information de l’armée du 3 octobre 2008²⁸ (LSIA), mais à la LSI.

Titre précédant l’art. 18 et art. 18, al. 1 et 2

La sécurité de l’information et le respect de ses consignes ne doivent pas s’appliquer uniquement aux systèmes IAM mêmes. Ils concernent également les services d’annuaires. C’est également valable pour les prestataires de services d’annuaires externes à la Confédération, notamment si ces prestataires n’exploitent pas déjà un système IAM. Le texte de l’ordonnance est donc complété en conséquence.

Art. 20 Système global IAM

Conformément à l’art. 20 actuel, les systèmes IAM de l’administration fédérale peuvent être reliés entre eux ainsi qu’avec les systèmes IAM des Services du Parlement et de l’armée pour