Rapport explicatif

permettre une répartition efficace des tâches. Cela signifie qu’ils peuvent échanger entre eux des données d’utilisateurs à l’instar d’une fédération. Désormais, les systèmes IAM mentionnés peuvent aussi être reliés aux systèmes IAM visés à l’art. 21, raison pour laquelle l’art. 20 est complété en conséquence. Une nouveauté formelle tient dans le fait que tous les systèmes IAM externes à l’administration fédérale – c’est-à-dire aussi les systèmes IAM des Services du Parlement et de l’armée énumérés jusqu’ici dans l’art. 20 – sont repris dans l’art. 21.

Art. 21 Conditions pour le raccordement de systèmes IAM externes

Phrase introductive – Quand un système IAM externe au sens de l’art. 21 doit être relié aux systèmes IAM de l’administration fédérale, des Services du Parlement ou de l’armée, il est impératif, pour des raisons de sécurité, de soumettre les exploitants en question à l’OIAM. La phrase est donc complétée en conséquence.

Let. a et b – Désormais, les systèmes IAM des Services du Parlement et de l’armée, mentionnés jusqu’ici dans l’art. 20, sont aussi repris dans la liste.

Les let. c à f correspondent aux actuelles let. a à d.

Annexe

Sur la base de l’art. 20, al. 2, LSI, les données biométriques peuvent être traitées tant pour les personnes qui sont gérées dans les systèmes utilisés par l’armée que pour toutes les personnes gérées dans les systèmes IAM (aujourd’hui, ceci n’est possible que pour les systèmes de l’armée sur la base de l’art. 2a LSIA). Les données biométriques, mentionnées actuellement sous la let. g, intègrent donc la let. a ; la let. g peut donc être abrogée.

Ces données ne doivent pas forcément être reprises systématiquement dans tous les systèmes IAM et utilisées dans tous les cas. Il s’agit plutôt d’examiner, pour chaque système IAM et chaque scénario d’application, si l’utilisation de données biométriques est indispensable pour l’identification de personnes sous l’angle des risques. À noter que ces données doivent être détruites après l’échéance du droit d’accès (art. 20, al. 3, LSI et art. 14, al. 2, OIAM).

Par ailleurs, les colonnes services d’annuaires et systèmes IAM avec personnes selon art. 8 et 9, let. a sont regroupées. Une différenciation entre les services d’annuaires et les systèmes IAM en question s’est révélée, par le passé, extrêmement gênante dans l’offre de prestations IAM à des processus de gestion, c’est pourquoi, à l’avenir, tous les destinataires doivent divulguer les règlements complets de traitement lors d’une connexion à des services IAM (comme c’était uniquement le cas jusqu’ici pour les systèmes IAM).

Enfin, deux modifications linguistiques sont apportées au contenu de la let. f (phrase introductive et ch. 2), conformément au libellé de la LSI.

4.3 Ordonnance sur les contrôles de sécurité relatifs aux personnes (OCSP)

Titre

La notion de contrôles de sécurité relatifs aux personnes regroupe, outre les contrôles de sécurité relatifs aux personnes (CSP) au sens de la LSI, l’ensemble des vérifications, évaluations et contrôles visés par d’autres lois, auxquels s’applique, directement ou par analogie, la procédure de contrôle de sécurité relatif aux personnes prévue par la LSI.

Préambule

Le préambule renvoie à toutes les normes légales qui attribuent au Conseil fédéral la compétence de légiférer dans le domaine des CSP.

Section 1 Dispositions générales Art. 1 Objet

Al. 1 et 2 – l’OCSP porte sur toutes les compétences d’exécution relatives aux CSP qui entrent dans le cadre de l’art. 48 LSI ainsi qu’aux vérifications, évaluations et contrôles visés par d’autres lois.

Al. 3 – L’autorité soumise à la présente loi, le Conseil fédéral, a des tâches d’exécution spécifiques pour l’administration fédérale, d’après l’art. 2, al. 1, LSI.