Ordonnance du 8 novembre 2023 sur les contrôles de sécurité relatifs aux personnes (OCSP)

 La présente ordonnance régit les procédures suivantes:

1. a.

   les contrôles de sécurité relatifs aux personnes (CSP) visés dans la LSI;

2. b.

   les contrôles de sécurité visés aux art. 41b, al. 2, LEI et 6a, al. 2, LDI;

3. c.

   les contrôles de loyauté visés aux art. 29a LAsi, 20b LPers, 14 LAAM et 20a LApEl;

4. d.

   les contrôles de sécurité relatifs aux personnes visés aux art. 23, al. 2, let. d, et 103, al. 3, let. d, LAAM;

5. e.

   l’évaluation du potentiel d’abus ou de dangerosité visée à l’art. 113, al. 4, let. d, LAAM;

6. f.

   les contrôles de fiabilité visés à l’art. 24, al. 1, LENu.

 Elle régit également:

1. a.

   l’organisation des services spécialisés (services spécialisés CSP) chargés de réaliser les contrôles de sécurité relatifs aux personnes;

2. b.

   le certificat de sécurité relatif aux personnes;

3. c.

   les responsabilités en matière de protection des données traitées dans le système d’information visé à l’art. 45 LSI et la sécurité des données;

4. d.

   le contrôle périodique réalisé par un organe externe du traitement des données personnelles dans le cadre des contrôles de sécurité relatifs aux personnes.

 Elle fixe dans le domaine de compétence du Conseil fédéral:

1. a.

   les fonctions requérant un contrôle visé à l’al. 1;

2. b.

   l’attribution d’un degré de contrôle aux activités sensibles;

3. c.

   les services chargés de demander le contrôle et les instances décisionnelles.

La présente ordonnance s’applique:

1. a.

   aux autorités visées à l’art. 2, al. 1, LSI;

2. b.

   aux unités de l’administration fédérale centrale visées à l’art. 7 de l’ordonnance du 25 novembre 1998 sur l’organisation du gouvernement et de l’administration¹;

3. c.

   à l’armée;

4. d.

   aux cantons.

L’application de la présente ordonnance aux unités de l’administration fédérale décentralisée visées à l’art. 2, al. 3, de la loi du 21 mars 1997 sur l’organisation du gouvernement et de l’administration (LOGA)² et aux organisations visées à 2, al. 4, LOGA est régie par l’art. 2, al. 2 et 3, de l’ordonnance du 8 novembre 2023 sur la sécurité de l’information (OSI)³.

Sont réservées les dispositions d’exécution visées à l’art. 84, al. 1, LSI édictées par les autorités soumises à la LSI et portant sur:

1. a.

   les fonctions qui impliquent l’exercice d’une activité sensible;

2. b.

   l’attribution d’un degré de contrôle aux activités sensibles;

3. c.

   les services chargés de demander le contrôle et les instances décisionnelles.

 Les listes des fonctions suivantes s’appliquent à l’administration fédérale et aux organisations visées à l’art. 2, al. 4, LOGA¹:

1. a.

   pour les contrôles de sécurité relatifs aux personnes visés dans la LSI: la liste de l’annexe 1;

2. b.

   pour les contrôles de loyauté visés dans la LAsi: la liste de l’annexe 2;

3. c.

   pour les contrôles de loyauté visés dans la LPers: la liste de l’annexe 3.

 Les listes des fonctions suivantes s’appliquent à l’armée:

1. a.

   pour les contrôles de sécurité relatifs aux personnes visés dans la LSI: la liste de l’annexe 4;

2. b.

   pour les contrôles de loyauté visés à l’art. 14 LAAM: la liste de l’annexe 5.

 La liste de l’annexe 6 s’applique aux fonctions visées à l’art. 20a, al. 1, LApEl.

 Les responsables de projet d’une nouvelle installation nucléaire, les titulaires d’une autorisation générale, d’une autorisation de construire ou d’une autorisation d’exploiter une installation nucléaire et les destinataires d’une décision de désaffectation tiennent une liste des fonctions requérant un contrôle de fiabilité visé à l’art. 24, al. 1, LENu. L’Inspection fédérale de la sécurité nucléaire (IFSN) fixe dans des directives les exigences auxquelles doivent répondre ces listes et leur mise à jour.

Sur demande des départements ou de la Chancellerie fédérale, le Département fédéral de la défense, de la protection de la population et des sports (DDPS) peut décider s’il y a lieu de compléter ou de modifier les listes des fonctions figurant dans les annexes 1 à 6. Il consulte au préalable le service spécialisé de la Confédération pour la sécurité de l’information.

 En vertu de l’art. 6 de la loi du 18 juin 2004 sur les publications officielles¹, les annexes 1, 4 et 6 ne sont pas publiées dans le Recueil officiel du droit fédéral.

 Le DDPS conserve les listes des fonctions figurant dans les annexes 1, 4 et 6 et les communique aux services et aux personnes accomplissant des tâches prévues par la présente ordonnance.

 Les départements et la Chancellerie fédérale contrôlent l’actualité des listes des fonctions relevant de leur domaine de compétence:

1. a.

   au moins tous les trois ans;

2. b.

   en cas de réorganisation ou de prise ou de remise de tâches.

 Ils rendent compte de leur contrôle au DDPS et lui adressent si nécessaire une demande de modification conformément à l’art. 4.

Le DDPS décide à la demande du département compétent ou de la Chancellerie fédérale des contrôles extraordinaires visés à l’art. 29, al. 3, LSI. Il consulte au préalable le service spécialisé de la Confédération pour la sécurité de l’information.

 Le DDPS décide à la demande du canton si une fonction du personnel cantonal comprend l’exercice d’une activité sensible. Il consulte au préalable le service spécialisé de la Confédération pour la sécurité de l’information. L’art. 10, al. 2, let. e, est réservé.

 Le service spécialisé de la Confédération pour la sécurité de l’information tient une liste des fonctions cantonales selon l’al. 1.¹

 Avant de soumettre un tiers à un contrôle de sécurité relatif aux personnes, les services suivants vérifient s’il exercera une activité sensible:²

1. a.

   dans le cadre de la procédure de sécurité relative aux entreprises: le service spécialisé chargé de mener la procédure de sécurité relative aux entreprises;

2. b.

   dans tous les autres cas: le préposé à la sécurité de l’information du service demandeur au sens de l’art. 2, let. c, de l’ordonnance du 1^er mai 2024 sur l’organisation des marchés publics de l’administration fédérale³.

Les fonctions qui ne remplissent que brièvement les conditions visées à l’art. 24, al. 1, LENu ne sont pas mentionnées dans les listes de fonctions visées à l’art. 3, al. 4. L’IFSN statue sur la fiabilité des personnes concernées. Elle peut renoncer à réaliser le contrôle de fiabilité visé à l’art. 24, al. 1, LENu et se référer notamment aux renseignements fournis par les entités suivantes:

1. a.

   une entreprise suisse ou étrangère pour laquelle la personne concernée travaille ou a travaillé;

2. b.

   une chambre de commerce suisse ou étrangère;

3. c.

   une autorité du pays étranger dont la personne concernée est originaire.

 Les activités sensibles visées dans la LSI suivantes requièrent un contrôle de sécurité de base:

1. a.

   le traitement des informations classifiées «confidentiel»;

2. b.

   l’administration, l’exploitation, la maintenance et le contrôle de moyens informatiques relevant de la catégorie de sécurité «protection élevée»;

3. c.

   l’accès à une zone de sécurité 1 visée à l’art. 35, al. 1, let. a, OSI¹ ou à une zone de protection 2 visée à l’art. 3, al. 2, let. b, de l’ordonnance du 2 mai 1990 sur la protection des ouvrages²;

4. d.

   les activités soumises à un contrôle correspondant à ce degré de contrôle en vertu d’un traité international.

 Les activités sensibles visées dans la LSI suivantes requièrent un contrôle de sécurité élargi:

1. a.

   le traitement des informations classifiées «secret»;

2. b.

   l’administration, l’exploitation, la maintenance et le contrôle de moyens informatiques relevant de la catégorie de sécurité «protection très élevée»;

3. c.

   l’accès à une zone de sécurité 2 visée à l’art. 35, al. 1, let. b, OSI ou à une zone de protection 3 visée à l’art. 3, al. 2, let. c, de l’ordonnance sur la protection des ouvrages;

4. d.

   les activités sensibles des employés de la Confédération et des collaborateurs externes:

   1. 1.

      du Service de renseignement de la Confédération (SRC),

   2. 2.

      du Renseignement militaire (RM) et du Service de protection préventive de l’armée (SPPA),

   3. 3.

      du service Actions dans le cyberespace et dans l’espace électromagnétique (ACEM),

   4. 4.

      de l’autorité de surveillance indépendante des activités de renseignement (AS-Rens);

5. e.

   les activités sensibles des collaborateurs des autorités d’exécution cantonales visées à l’art. 9, al. 1, de loi fédérale du 25 septembre 2015 sur le renseignement (LRens)³;

6. f.

   les activités soumises à un contrôle correspondant à ce degré de contrôle en vertu d’un traité international.

 Les activités visées à l’art. 20b LPers suivantes requièrent un contrôle de sécurité de base:

1. a.

   les activités relevant de la puissance publique visées à l’art. 20b, al. 1, let. a, LPers accomplies par des employés de la Confédération affectés à l’étranger et par des employés du Département fédéral des affaires étrangères soumis à la discipline des transferts;

2. b.

   les activités visées à l’art. 20b, al. 1, let. b, LPers, dont l’exécution déloyale est susceptible de provoquer un préjudice de 50 millions à 500 millions de francs suisses;

3. c.

   les activités visées à l’art. 20b, al. 1, let. c, LPers exercées par le personnel de l’Office fédéral de la police (fedpol), de l’Office fédéral de la justice ainsi que de l’Office fédéral de la douane et de la sécurité des frontières, notamment en rapport avec les moyens et les méthodes opérationnels de lutte contre les crimes ou les délits ou avec l’identité de personnes exposées.

 Les activités visées à l’art. 20b LPers suivantes requièrent un contrôle de sécurité élargi:

1. a.

   les activités exercées dans le cadre de rapports de travail dont la conclusion, la modification et la résiliation relèvent de la compétence du Conseil fédéral en vertu de l’art. 2, al. 1, de l’ordonnance du 3 juillet 2001 sur le personnel de la Confédération (OPers)¹;

2. b.

   les activités exercées dans le cadre de rapports de travail dont la conclusion, la modification et la résiliation relèvent de la compétence du chef de département en vertu de l’art. 2, al. 1^bis, OPers;

3. c.

   les activités des responsables des unités administratives décentralisées visées à l’art. 2, al. 1, let. e, LPers;

4. d.

   les activités visées à l’art. 20b, al. 1, let. b, LPers dont l’exécution déloyale est susceptible de provoquer un préjudice supérieur à 500 millions de francs suisses;

5. e.

   les activités visées à l’art. 20b, al. 1, let. c, LPers du personnel de fedpol dont l’exercice inadéquat ou contraire aux prescriptions est susceptible de compromettre gravement la lutte contre la grande criminalité relevant de la compétence de la Confédération;

6. f.

   les activités des employés des services spécialisés CSP.

 Les activités et les contrôles visés dans la LAAM suivants requièrent un contrôle de sécurité de base:

1. a.

   les activités exercées en uniforme à l’étranger visées à l’art. 14, al. 1, let. a, LAAM dans le cadre de la représentation officielle de la Suisse ou de la diplomatie militaire;

2. b.

   les activités visées à l’art. 14, al. 1, let. b, LAAM, dont l’exécution déloyale est susceptible de provoquer un préjudice de 50 à 500 millions de francs suisses;

3. c.

   les contrôles visés à l’art. 23, al. 2, let. d, LAAM.

 Un contrôle de sécurité relatif aux personnes visé à l’art. 103, al. 3, let. d, LAAM ne peut être exigé pour les candidats que:

1. a.

   s’il existe un motif justifiant le contrôle visé à l’al. 1 ou à l’art. 10 concernant la nouvelle fonction, et

2. b.

   si le délai minimal fixé pour la répétition du contrôle à l’art. 43, al. 1, LSI est échu.

 Font l’objet d’une évaluation du potentiel d’abus ou de dangerosité visée à l’art. 113, al. 4, let. d, LAAM, sur demande du commandement de l’Instruction:

1. a.

   tous les conscrits;

2. b.

   tous les membres du Service de la Croix-Rouge qui sont équipés d’une arme personnelle;

3. c.

   tout militaire, lorsque ont été communiqués des soupçons laissant présumer:

   1. 1.

      qu’il pourrait utiliser son arme personnelle d’une manière dangereuse pour lui-même ou pour des tiers, ou

   2. 2.

      qu’il pourrait faire un usage abusif de son arme personnelle ou que des tiers pourraient en faire un usage abusif.

 Concernant les conscrits, les procédures de contrôle s’effectuent dans le cadre du recrutement.

 Les contrôles de fiabilité visés à l’art. 24, al. 1, LENu des personnes suivantes requièrent un contrôle de sécurité de base:

1. a.

   les personnes qui ont accès à des informations classifiées «confidentiel» relatives à des installations ou à des matières nucléaires;

2. b.

   les personnes exerçant des activités dont l’exécution déloyale est susceptible de compromettre considérablement le respect des objectifs fondamentaux de protection visés à l’art. 1, let. d, de l’ordonnance du DETEC du 17 juin 2009 sur les hypothèses de risque et sur l’évaluation de la protection contre les défaillances dans les installations nucléaires¹;

3. c.

   les personnes exerçant une activité dans le domaine de la sûreté des installations nucléaires, en particulier le personnel de surveillance.

 Les contrôles de fiabilité des personnes qui ont accès à des informations classifiées «secret» relatives à des installations ou à des matières nucléaires requièrent un contrôle de sécurité élargi.

 Les activités de la société nationale du réseau de transport visée à l’art. 18 LApEl dont l’accomplissement exige un accès à des informations critiques en matière de sécurité de l’approvisionnement ou à des applications ou des infrastructures critiques requièrent un contrôle de sécurité de base.

 Les activités de la société nationale du réseau de transport dont l’accomplissement exige un accès à des informations extrêmement critiques en matière de sécurité de l’approvisionnement ou à des applications ou des infrastructures extrêmement critiques requièrent un contrôle de sécurité élargi.

Les départements et la Chancellerie fédérale désignent pour leur domaine de compétence les services qui demandent le contrôle et les instances décisionnelles et en informent les services spécialisés CSP.

 Si la compétence en matière de sélection ou de changement d’office ou de fonction relève du Conseil fédéral, celui-ci est l’instance décisionnelle.

 En cas de décision de renoncer à la procédure de sécurité en vertu de l’art. 53, al. 2, LSI, l’adjudicateur est le service qui demande le contrôle et l’instance décisionnelle.

 Pour les contrôles de fiabilité visés à l’art. 24, al. 1, LENu, les responsables de projet d’une nouvelle installation nucléaire, les titulaires d’une autorisation générale, d’une autorisation de construire ou d’une autorisation d’exploiter une installation nucléaire ou les destinataires d’une décision de désaffectation sont les services qui demandent le contrôle et les instances décisionnelles. L’IFSN émet des directives concernant l’évaluation du risque pour la sécurité par les instances décisionnelles.¹

 La société nationale du réseau de transport est le service qui demande le contrôle et l’instance décisionnelle en ce qui concerne les contrôles de loyauté visés à l’art. 20a LApEl.

 Les autorités soumises à la LSI et les cantons informent les services spécialisés CSP des services qui demandent le contrôle et des instances décisionnelles dans leur domaine de compétence. Si un canton ne désigne pas de service qui demande le contrôle, c’est l’unité administrative de la Confédération responsable de l’activité sensible qui est chargée de demander le contrôle.²

 Le service qui demande le contrôle est chargé d’apporter la preuve du consentement donné aux contrôles pour autant que le système d’information visé à l’art. 45 LSI ne la fournisse pas.

 Les services spécialisés CSP sont:

1. a.

   le service spécialisé CSP de la Chancellerie fédérale (Service spécialisé CSP ChF);

2. b.

   le service spécialisé CSP du DDPS (Service spécialisé CSP DDPS).

 Le Service spécialisé CSP DDPS fait partie du Secrétariat d’État à la politique de sécurité (SEPOS).¹

 Le Service spécialisé CSP ChF est chargé de contrôler les personnes suivantes:

1. a.

   les personnes élues ou nommées par le Conseil fédéral ou dont l’élection est approuvée ou confirmée par le Conseil fédéral, à l’exception des fonctions au sein de la Chancellerie fédérale;

2. b.

   les suppléants des secrétaires d’État, des directeurs d’office et des secrétaires généraux;

3. c.

   les personnes élues ou nommées par la direction supérieure des autres autorités soumises à la LSI et qui lui sont directement subordonnées;

4. d.

   les employés du SEPOS.²

 Le Service spécialisé CSP DDPS est chargé de tous les autres contrôles.

 S’il y a des raisons de supposer un conflit d’intérêts potentiel dans le cadre du contrôle d’une personne particulière, sans qu’il soit possible de le résoudre de manière satisfaisante par la récusation prévue à l’art. 10 de la loi fédérale du 20 décembre 1968 sur la procédure administrative³, les services spécialisés CSP décident d’un commun accord de la compétence.⁴

 Après l’ouverture de la procédure, les services spécialisés CSP vérifient si les conditions formelles suivantes sont remplies:

1. a.

   la fonction concernée figure sur la liste des fonctions ou les conditions visées à l’art. 7 ou 8 sont remplies;

2. b.

   la procédure a été ouverte par le service compétent;

3. c.

   la personne soumise au contrôle y a consenti, pour autant que son consentement soit nécessaire;

4. d.

   toutes les données de la personne soumise au contrôle nécessaires à la collecte des données et à la conduite des procédures sont disponibles.

 Lors de la répétition extraordinaire du contrôle, ils vérifient si cette répétition est suffisamment fondée.

 Si l’une des conditions n’est pas remplie, ils n’effectuent pas le contrôle et en informent immédiatement le service qui a demandé le contrôle.

 La personne soumise au contrôle doit notamment:

1. a.

   fournir les documents et les données utiles au contrôle;

2. b.

   donner des renseignements conformes à la vérité.

 Si la personne soumise au contrôle ne respecte pas son obligation de collaborer malgré un avertissement, cela peut être pris en considération dans l’évaluation des risques.

 Les services spécialisés CSP peuvent collecter et traiter les données visées à l’annexe 7.

 Une audition visée à l’art. 34, al. 2, let. d, LSI est menée auprès des personnes suivantes:¹

1. a.

   les personnes élues ou nommées par le Conseil fédéral ou dont l’élection est approuvée ou confirmée par le Conseil fédéral;

2. b.

   les suppléants des secrétaires d’État, des directeurs d’office et des secrétaires généraux;

3. c.

   des personnes exerçant une fonction dans l’un des services suivants ou dont il est prévu qu’elles exercent une telle fonction:

   1. 1.

      le SRC,

   2. 2.

      les autorités d’exécution cantonales visées à l’art. 9 LRens²,

   3. 3.

      le RM et le SPPA,

   4. 4.

      …

   5. 5.

      l’AS-Rens,

   6. 6.

      fedpol,

   7. 7.

      les services spécialisés CSP;

4. d.

   des personnes qui, en tant qu’employés de la Confédération, doivent traiter des informations classifiées «secret» et qui:

   1. 1.

      ont ainsi largement connaissance d’importants dossiers de la politique de sécurité sur lesquels elles peuvent exercer une influence importante, ou

   2. 2.

      assument des tâches de coordination ou de surveillance concernant les fonctions visées à la let. c;

5. e.

   des personnes pour lesquelles elle est prescrite par un traité international.

 Il n’est pas nécessaire de procéder à une audition en cas de répétition du contrôle de sécurité si les données disponibles sont suffisantes à l’évaluation du risque pour la sécurité.

 Les tiers suivants peuvent être auditionnés en vertu de l’art. 34, al. 3, LSI ou de l’art. 113, al. 5, let. e, LAAM:

1. a.

   les spécialistes du domaine médical ou psychologique qui s’occupent ou se sont occupés de la personne soumise au contrôle;

2. b.

   les institutions de formation auprès desquelles la personne soumise au contrôle a suivi des formations;

3. c.

   les supérieurs professionnels ou militaires anciens ou actuels de la personne soumise au contrôle;

4. d.

   les autres personnes susceptibles de posséder des informations utiles concernant la personne soumise au contrôle.

 Les services spécialisés CSP peuvent auditionner les personnes à l’aide de moyens audiovisuels.

 Les autorités ou les organisations chargées de collecter les données à l’étranger les transmettent aux services spécialisés CSP:

1. a.

   en indiquant la source des données;

2. b.

   en fournissant une évaluation de la fiabilité des données et de leur source.

 Sont considérées comme pertinentes pour la sécurité au sens de l’art. 35, al. 2, LSI toutes les données qui, en elles-mêmes ou en lien avec d’autres données, sont susceptibles de fournir des indices concrets de risques pour la sécurité.

 Si une activité requiert plusieurs contrôles visés à l’art. 1, al. 1, une seule procédure a lieu.

 Si l’activité correspond à plusieurs degrés de contrôle, la procédure est réalisée selon les exigences du degré le plus élevé.

Si le contrôle relève tant du Service spécialisé CSP ChF que du Service spécialisé CSP DDPS, il est réalisé par le Service spécialisé CSP ChF. Les évaluations du potentiel d’abus ou de dangerosité visées à l’art. 113, al. 4, let. d, LAAM, qui sont toujours effectuées par le service spécialisé CSP DDPS, constituent une exception.

Le service spécialisé CSP compétent inscrit le résultat de l’évaluation de chaque contrôle dans la déclaration visée à l’art. 39, al. 1, LSI.

Les services spécialisés CSP peuvent recommander aux instances décisionnelles:

1. a.

   d’obliger la personne concernée à communiquer des données personnelles à l’instance décisionnelle, notamment:

   1. 1.

      les données sur des relations avec des tiers,

   2. 2.

      les données financières, y compris celles qui concernent les comptes bancaires et les impôts,

   3. 3.

      les données concernant les examens visés à la let. b,

   4. 4.

      les données sur les procédures en cours au moment de la déclaration;

2. b.

   de procéder à des examens médicaux ou psychologiques, notamment pour ce qui est de la capacité de discernement et de décision de la personne soumise au contrôle et de la consommation d’alcool, de drogue, de stupéfiants ou d’autres substances addictives;

3. c.

   de prendre les mesures visées à l’art. 25 LPers;

4. d.

   de prendre les mesures concernant la possession de l’arme personnelle, si la personne soumise au contrôle est un conscrit ou un militaire;

5. e.

   de prendre les autres mesures qui semblent à même, dans le cas d’espèce, de ramener à un niveau acceptable le risque pour la sécurité qui a été constaté.

 Si une personne est soumise à différents motifs de contrôle et qu’un service spécialisé CSP constate un facteur de risque lors d’un contrôle ultérieur, il communique sa déclaration aux instances décisionnelles des contrôles précédents. L’art. 25, al. 2, est réservé.

 Les services spécialisés CSP communiquent leurs constatations intermédiaires s’il existe des signes de risque pour la sécurité requérant une action immédiate. Lors des contrôles des conscrits ou des militaires, ces signes peuvent prendre les formes suivantes:

1. a.

   les signes ou les indices sérieux visés à l’art. 113, al. 1, LAAM;

2. b.

   les signes ou les indices d’une aptitude au service militaire limitée, d’une inaptitude au service militaire ou d’une incapacité à assumer ses fonctions;

3. c.

   les signes ou les indices sérieux laissant présumer que la personne concernée pourrait constituer un danger pour elle-même ou pour des tiers.

 Les instances décisionnelles indiquent aux services spécialisés CSP à quelle personne ou à quel service les communications visées aux al. 1 et 2 doivent être adressées.

 L’instance décisionnelle communique sa décision sur l’exercice de l’activité (art. 41, al. 2, LSI) à la personne contrôlée et au service spécialisé CSP compétent dans un délai d’un mois.

 Lorsqu’une déclaration de sécurité visée à l’art. 39, al. 1, let. a, LSI est rendue, l’autorisation d’exercer l’activité est présumée. L’instance décisionnelle peut ne pas communiquer sa décision.

 Si une personne est l’objet d’une déclaration de sécurité valable reposant sur un contrôle antérieur selon l’art. 1, al. 1, l’instance décisionnelle ou, si le Conseil fédéral est l’instance décisionnelle, le département qui dépose la proposition peut ne pas procéder à une nouvelle évaluation:¹

1. a.

   si l’évaluation antérieure est fondée sur les mêmes facteurs de risque que le nouveau contrôle, et

2. b.

   s’il n’y a aucune raison de procéder à une répétition extraordinaire du contrôle.

 Les risques pour la sécurité constatés lors d’une évaluation correspondant à un degré de contrôle plus élevé ne peuvent être pris en considération que si:

1. a.

   ces risques peuvent également être décelés à l’aide des données collectées qui correspondent à un degré de contrôle moins élevé, ou

2. b.

   les intérêts publics visés à l’art. 1, al. 2, LSI l’emportent sur les droits de la personnalité de la personne contrôlée.

 Si une déclaration de sécurité a été rendue conformément à l’art. 39, al. 1, let. a, LSI, le contrôle doit faire l’objet d’une répétition ordinaire dans les délais suivants:

1. a.

   pour les contrôles de sécurité de base: dans les trois mois qui précèdent l’expiration du délai maximal de dix ans;

2. b.

   pour les contrôles de sécurité élargi: dans les trois mois qui précèdent l’expiration du délai maximal de cinq ans.¹

 Si une déclaration ou une constatation visée à l’art. 39, al. 1, let. b à d, LSI a été rendue, le contrôle doit faire l’objet d’une répétition ordinaire dans les délais suivants:

1. a.

   pour les contrôles de sécurité de base: dans les trois mois qui suivent l’expiration du délai minimal de cinq ans;

2. b.

   pour les contrôles de sécurité élargi: dans les trois mois qui suivent l’expiration du délai minimal de trois ans.²

 Les délais fixés dans un traité international sont réservés.

 Pour les fonctions de l’armée et de la protection civile, le contrôle de sécurité de base n’est pas l’objet d’une répétition ordinaire s’il est probable que la personne soumise au contrôle n’exercera plus sa fonction que pour une période inférieure à cinq ans.

 Les évaluations du potentiel d’abus ou de dangerosité visées à l’art. 113, al. 4, let. d, LAAM ne sont pas l’objet d’une répétition ordinaire.

 Lorsque l’instance décisionnelle a des raisons de penser que des risques importants sont apparus depuis le dernier contrôle qui ne peuvent être évalués sans nouveau contrôle, elle lance immédiatement une répétition extraordinaire du contrôle.

 Lorsqu’elle a des raisons de penser que les risques constatés lors du dernier contrôle n’existent plus, elle peut lancer une répétition extraordinaire du contrôle.

La dernière décision rendue reste valable jusqu’à ce que la nouvelle décision visée à l’art. 41, al. 1, LSI soit rendue.

Les services spécialisés CSP ont qualité pour recourir auprès du Tribunal fédéral contre les décisions du Tribunal administratif fédéral concernant leurs déclarations.

 Le service spécialisé de la Confédération pour la sécurité de l’information est chargé de délivrer les certificats nationaux et internationaux de sécurité.

 Un certificat de sécurité est délivré sur demande si:

1. a.

   un contrôle correspondant au degré de contrôle requis a été réalisé;

2. b.

   la personne concernée a été autorisée à exercer l’activité, et

3. c.

   il peut être prouvé que la personne concernée a été formée pour exercer l’activité.

 Si le service qui demande le contrôle ne fait pas partie de l’administration fédérale et a besoin du certificat de sécurité pour un motif autre que l’accomplissement d’un mandat de la Confédération, il assume les coûts de la procédure.

 Le Service spécialisé CSP DDPS est responsable de la protection et de la sécurité du système d’information visé à l’art. 45 LSI et des données qu’il contient.

 La protection et de la sécurité des données traitées en dehors du système d’information conformément à l’art. 45, al. 5, LSI incombe au service chargé de leur traitement.

 Les données produites lors du contrôle de sécurité relatif aux personnes ne doivent pas être utilisées à d’autres fins.

Le DDPS et la Chancellerie fédérale veillent à ce qu’un organe indépendant contrôle au moins tous les cinq ans la licéité du traitement des données personnelles par leurs services spécialisés CSP.

 Dans la mesure du possible, la communication entre la personne soumise au contrôle, les autorités, les tiers et les instances judiciaires s’effectue par voie électronique.¹

 Les personnes qui ne sont pas des employés de la Confédération peuvent demander que la communication avec elles s’effectue en format papier.

 Les services spécialisés CSP peuvent utiliser des plateformes de messagerie et des listes d’identité autorisées.

 Les services spécialisés CSP perçoivent des émoluments pour les contrôles qu’ils effectuent auprès des services n’appartenant pas à l’administration fédérale centrale ou à l’armée; ces émoluments correspondent au temps consacré.

 Le tarif horaire est de 100 à 400 francs. Il dépend de l’urgence de la tâche et de la fonction occupée par le personnel qui conduit le contrôle.

 Aucun émolument n’est perçu pour les contrôles de sécurité relatifs aux personnes visés dans la LSI ni pour les contrôles de loyauté visés à l’art. 20b LPers.

 Pour le reste, l’ordonnance générale du 8 septembre 2004 sur les émoluments (OGEmol)¹ s’applique.

 Les cantons peuvent recourir aux prestations du Service spécialisé CSP DDPS pour leur propre sécurité de l’information:

1. a.

   lorsqu’ils disposent d’une base légale suffisante pour les contrôles à effectuer en vertu de la présente ordonnance;

2. b.

   lorsqu’ils entendent effectuer des évaluations à l’instar de la Confédération pour garantir la sécurité de l’information, et

3. c.

   lorsqu’ils ont conclu une convention de prestations avec le DDPS.

 La convention de prestations visée à l’al. 1, let. c, règle notamment:

1. a.

   le nombre de contrôles à réaliser;

2. b.

   les services qui demandent le contrôle et les instances décisionnelles du canton;

3. c.

   le financement des prestations, y compris ses modalités.

 Le montant des émoluments est calculé en fonction du temps consacré. Le tarif horaire est de 100 à 400 francs. Il dépend de l’urgence du mandat et de la fonction occupée par le personnel qui conduit le contrôle. Pour le reste, l’OGEmol¹ s’applique.

L’abrogation et la modification d’autres actes sont réglées dans l’annexe 8.

 La LSI et la présente ordonnance s’appliquent aux évaluations en cours au moment de l’entrée en vigueur de la présente ordonnance. Les services spécialisés CSP vérifient en collaboration avec les services qui demandent le contrôle si les conditions à satisfaire pour la réalisation du contrôle sont toujours remplies.

 Les contrôles de sécurité relatifs aux personnes réalisés selon l’ancien droit correspondent durant la période transitoire visée à l’art. 90, al. 3, LSI aux degrés de contrôle du nouveau droit comme suit:

1. a.

   contrôle de sécurité de base selon l’ancien droit: contrôle de sécurité de base selon le nouveau droit;

2. b.

   contrôle de sécurité élargi selon l’ancien droit: contrôle de sécurité élargi selon le nouveau droit;

3. c.

   contrôle de sécurité élargi avec audition selon l’ancien droit: contrôle de sécurité élargi selon le nouveau droit.

 Les personnes ayant des fonctions requérant un premier contrôle ou un contrôle correspondant à un degré de contrôle plus élevé selon le nouveau droit sont contrôlées dans les six mois. L’instance décisionnelle détermine si la personne est autorisée à continuer d’exercer des activités sensibles jusqu’à ce que soit rendue la décision visée à l’art. 41, al. 2, LSI. Si le contrôle en cours révèle des signes de risque pour la sécurité, l’instance décisionnelle prend les mesures préventives nécessaires.

 Les contrôles de sécurité que la société nationale du réseau de transport a reçus sur la base du droit privé avant et jusqu’à un an après l’entrée en vigueur de la présente ordonnance restent applicables comme suit dans le cadre des délais fixés pour les répétitions visés aux art. 26 et 27:

1. a.

   contrôles de sécurité pour les fonctions critiques: en tant que contrôle de sécurité de base selon la présente ordonnance;

2. b.

   contrôles de sécurité pour les fonctions extrêmement critiques: en tant que contrôle de sécurité élargi selon la présente ordonnance.

La présente ordonnance entre en vigueur le 1^er janvier 2024.