Rapport explicatif

que compromettre la tâche légale consistant à garantir le bon fonctionnement de l’infrastructure de confiance et du système d’information. La LSI³⁹ et l’ordonnance correspondante (OSI)⁴⁰ constituent la base légale permettant de garantir au mieux la sécurité de l’information.

L’OFJ et l’OFIT, en ce qui concerne l’infrastructure de confiance, et fedpol, en ce qui concerne le système d’information pour l’émission et la révocation de l’e‑ID, sont tenus de veiller à ce que les violations de la sécurité de l’information soient rapidement identifiées, à ce que leurs causes soient élucidées et à ce que leurs éventuelles conséquences soient minimisées. À cette fin, les autorités concernées prennent les mesures nécessaires pour identifier les incidents ou les failles de sécurité (par exemple en analysant régulièrement les log files). En cas d’incident ou de faille de sécurité, l’OFIT prend les mesures d’urgence nécessaires concernant l’infrastructure de confiance et fedpol prend les mesures d’urgence nécessaires concernant le système d’information afin de minimiser les éventuelles répercussions sur la sécurité de l’information. Dans le contexte de l’infrastructure de confiance et de l’e-ID, on parle d’incidents ou de failles de sécurité notamment lorsque la confidentialité, l’intégrité ou la disponibilité des preuves électroniques ou de l’infrastructure de confiance ou du système d’information sont menacées ou compromises, lorsqu’il existe un risque de perturbations graves du fonctionnement ou que de telles perturbations se sont produites, ou lorsqu’il existe des vulnérabilités ou des erreurs dans le système qui représentent une cybermenace importante.

Il n’est pas nécessaire que l’OeID contienne des règles détaillées sur la gestion des risques en matière de sécurité de l’information étant donné que la LSI et l’OSI constituent déjà la base légale pour traiter ces risques. De manière analogue à ce qui est prévu dans la LPD, on renvoie ici au système juridique en vigueur : les dispositions existantes dans les lois pertinentes sont suffisantes pour garantir une gestion sûre des risques en matière de sécurité de l’information.

6.2 Protection des données

Les règles de la législation sur la protection des données (LPD et ordonnances correspondantes) s’appliquent à tous. Les personnes physiques, les émetteurs et les vérificateurs du secteur privé sont soumis aux dispositions de la LPD applicables aux particuliers. La Confédération (fedpol et autres autorités) ainsi que les émetteurs et les vérificateurs du secteur public sont soumis aux dispositions applicables aux organes fédéraux. Afin d’éviter des répétitions et de faciliter la compréhension, l’ordonnance ne renvoie pas aux articles pertinents de la LPD. La LeID précise déjà comment la protection des données s’applique dans le cadre de la mise en œuvre de la législation sur l’e-ID. Les dispositions d’exécution précisent le cadre créé par la LeID pour le traitement, la conservation et l’effacement des données.