Ordonnance sur les services numériques des autorités

La présente ordonnance a pour but de préciser et de compléter les dispositions de la loi sur les services numériques des autorités (LSNA).

Le Conseil d’Etat peut étendre par voie de décision le champ d’application de la LSNA aux personnes physiques ou morales et organismes chargés de remplir des tâches de droit public cantonal ou communal, dans les limites de l’accomplissement des dites tâches, et aux groupements d’autorités, lorsque:

1. un intérêt avéré pour le canton, notamment économique, le justifie, ou

2. les entités concernées en font la demande.

On entend par:

1. déploiement: ensemble des opérations nécessaires pour qu'une application logicielle ou un système soit introduit dans son environnement d'utilisation prévu; cela comporte l'installation, la configuration, les tests et les modifications;

2. cyberattaque: un événement, provoqué intentionnellement, survenant lors de l’utilisation de moyens informatiques et ayant pour conséquence une atteinte à la confidentialité, à la disponibilité ou à l’intégrité d’informations ou à la traçabilité de leur traitement.

L’unité d’organisation en charge de l’administration numérique est le service en charge de l’administration numérique (ci-après: le SAN).

L’unité d’organisation en charge de l’exploitation et de l’hébergement des services de base et des prestations numériques cantonales est le service en charge de l’informatique (ci-après: le SCI).

Lorsqu’un service numérique cantonal est destiné à des usagers spécifiques, il peut être exceptionnellement:

1. disponible uniquement grâce à des technologies spécifiques;

2. accompagné d’informations techniques, ou

3. dans une seule langue officielle.

Les besoins particuliers de certaines catégories de personnes (personnes en situation de handicap, âgées ou issues de la migration) sont pris en compte dans la mesure du possible. Les standards informatiques nationaux et internationaux régissant l’accessibilité des pages Internet sont garantis.

Dans la mesure du possible, les informations et les aides adressées aux usagers par les autorités cantonales sont rédigées en des termes clairs et simples.

Les projets de services numériques cantonaux sont conçus en examinant les solutions mises en place auprès d’autres cantons ou de la Confédération. Ces solutions doivent respecter les normes et standards visés à l’article 11.

Le déploiement des services numériques est traité dans le cadre général de la transmission et du traitement des demandes selon les modalités prévues à l’article 13. La date de déploiement est communiquée à l’autorité requérante au sens de l’article 13 alinéa 1 après consultation des entités concernées.

Le SCI peut demander à l’autorité requérante au sens de l’article 13 alinéa 1 la preuve du respect de certaines règles techniques prévues à l’article 11 alinéa 3. Les compétences du préposé cantonal à la protection des données et à la transparence sont réservées.

Le SCI fixe les modalités du déploiement. L’autorité requérante au sens de l’article 13 alinéa 1 collabore gratuitement au processus.

L’autorité qui fournit la prestation fixe le moment à partir duquel l’utilisation d’une prestation numérique qu’elle fournit est obligatoire.

Elle est compétente pour déterminer les exceptions à l’utilisation des prestations numériques qu’elle fournit au sens de l’article 7 alinéa 2 LSNA.

Les usagers bénéficient d’un support gratuit.

Ce support est fourni par:

1. le SCI, pour les services de base;

2. l’autorité, pour les prestations numériques qu’elle délivre.

L’autorité qui met à disposition un logiciel à code source ouvert choisit la licence appropriée.

Lorsqu’une autorité fournit des prestations complémentaires prévues à l’article 10 alinéa 3 LSNA, elle peut facturer au bénéficiaire un émolument calculé selon les coûts effectifs.

Les normes et standards fixés par le Comité de direction stratégique sont en principe publiés.

La publication peut renvoyer à des normes ou des standards qui émanent de tiers.

Le SCI édicte les règles techniques qu’un service numérique déployé sur ses infrastructures doit respecter. Il en informe le Comité de direction stratégique.

La promotion de l’utilisation des services numériques peut notamment comprendre:

1. des mesures d’information;

2. une mise en avant des prestations numériques par le biais des guichets physiques.

Les autorités déposent une demande lorsqu'elles souhaitent obtenir une des trois prestations suivantes:

1. mise à disposition de services numériques sur les infrastructures informatiques du canton conformément à l’article 7 alinéa 1 lettre c LSNA;

2. intégration d’un projet au plan de mise en œuvre tel que prévu à l’article 11 alinéa 1 lettre c LSNA;

3. obtention de ressources TIC ou de prestations qui y sont liées conformément à l’article 9 alinéa 1 LSNA.

Elles sont transmises pour traitement:

1. au coordinateur informatique responsable, pour les autorités cantonales, ou

2. au SAN, pour les autres autorités.

Les demandes d’aides financières visées à l’article 25 alinéa 1 LSNA doivent également être déposées auprès du SAN qui les traite.

Le SAN met à disposition un outil permettant le dépôt des demandes visées aux alinéas 2 lettre b et 3.

Le Comité de direction stratégique (ci-après: le Comité) adopte son règlement de fonctionnement interne qui traite notamment de la manière dont les décisions sont prises et communiquées.

Le chef du département en charge de l’administration numérique est un des trois représentants cantonaux visés à l’article 12 alinéa 2 lettre a LSNA. Il préside le Comité.

Le chef du SAN participe aux séances du Comité avec voix consultative.

Le SCI héberge, exploite et maintient les services de base ainsi que les prestations numériques cantonales. Il peut déléguer ces tâches.

Le SCI peut également héberger, exploiter et maintenir des prestations numériques d’autres autorités, si elles en font la demande. Dans ce cas, une convention est conclue avec l’autorité requérante. Elle détermine notamment l’émolument et le niveau de service.

Chaque autorité est responsable de l’hébergement, l’exploitation et la maintenance de son infrastructure informatique.

Le SCI documente et informe suffisamment tôt les organisations concernées des activités de maintenance planifiées sur les services de base.

Le SCI peut effectuer toute opération de maintenance sur ses infrastructures sans préavis, si la sécurité des systèmes ou de l’information l’exige.

Le SCI peut bloquer, sans préavis ni justification, l’accès à un service numérique s’il constate, notamment lors du déploiement, que la sécurité des systèmes ou de l’information est compromise.

La stratégie sur les services numériques des autorités (ci-après: la stratégie) vise à inciter les usagers à utiliser en priorité le canal numérique dans leurs interactions avec les autorités. Elle énonce notamment une vision, des principes, des buts stratégiques, des objectifs opérationnels et un concept de mise en œuvre.

Chaque 2 ans, le Comité rédige à l’intention du Conseil d’Etat un rapport qui évalue la stratégie. Le cas échéant, ce rapport est accompagné de propositions de modification ou d’un projet de nouvelle stratégie.

Le Conseil d’Etat adopte les propositions du Comité par voie de décision.

Le plan de mise œuvre est l’instrument qui permet de concrétiser la stratégie.

Il consigne les projets qui:

1. contribuent à la réalisation des buts ou objectifs opérationnels de la stratégie, et

2. nécessitent des ressources humaines ou financières du canton.

Le Comité met à jour le plan de mise en œuvre chaque année, en tenant compte de l’avancement prévisible des projets sur 4 ans. Le Conseil d’Etat adopte le plan de mise en œuvre mis à jour par voie de décision.

Les demandes d’intégration d’un projet au plan de mise en œuvre suivent les prescriptions de l’article 13 et comprennent au moins une description:

1. de son but;

2. de ses livrables;

3. de ses liens avec les buts ou les objectifs opérationnels de la stratégie;

4. de l’unité d’organisation responsable.

Par ordre d’importance, la priorité des projets retenus est déterminée par:

1. l’alignement stratégique: la demande est indispensable à la mise en application d’une base légale, d’une décision du Conseil d’Etat ou d’une stratégie;

2. le bénéfice pour les usagers: la demande couvre un besoin avéré et permet de simplifier les interactions avec l’autorité;

3. le bénéfice métier: la demande permet d’élargir l’offre de prestations, de gagner en efficience (réduction des coûts), en qualité, en temps de traitement;

4. les impacts: la demande impacte les processus liés à la production de la prestation et à l’organisation du travail.

Le chef de projet fournit en principe chaque trimestre les informations nécessaires au contrôle du projet notamment une appréciation de la tenue des délais, des coûts, des objectifs et des risques en matière de personnel et d’évolution liée au périmètre et à la réglementation.

Le canton soutient dans la mesure de ses disponibilités les autres autorités en matière de cybersécurité, notamment en:

1. mettant à disposition des bonnes pratiques;

2. participant à la gestion de crise et à l’élaboration de la stratégie de récupération en cas de cyberattaque.

Il peut également, contre indemnisation:

1. proposer des sensibilisations ou formations dédiées;

2. promouvoir des labellisations et des certifications.

Les autorités signalent à la police cantonale toute cyberattaque qui:

1. met en péril le fonctionnement des services numériques;

2. a entraîné une manipulation ou une fuite d’informations;

3. n’a pas été détectée pendant une période prolongée, en particulier si des indices laissent penser qu’elle a été exécutée en vue de préparer d’autres cyberattaques, ou

4. s’accompagne d’actes de chantage, de menaces ou de contrainte.

En cas de signalement d’une cyberattaque, le SCI, selon ses disponibilités, soutient l’autorité concernée dans la gestion de cet événement.

Le signalement doit avoir lieu dès la découverte de la cyberattaque. Il doit contenir les informations suivantes:

1. l’autorité concernée par la cyberattaque;

2. la nature de la cyberattaque;

3. les effets de la cyberattaque;

4. les mesures prises et/ou envisagées.

Si les informations listées à l’alinéa 3 ne peuvent être fournies au moment du signalement, l’autorité les transmet au SCI dès qu’elle les connaît.

Un signalement fondé sur le présent article ne peut être utilisé dans le cadre d’une procédure pénale contre la personne tenue de signaler qu’avec son consentement.

L’usager est informé, lors de sa première connexion au portail prévu à l’article 6 alinéa 3 lettre a LSNA, que ses données personnelles sont utilisées pour le fonctionnement des services de base.

Il est également informé, lors de toute demande de prestation numérique, des catégories de données personnelles qui sont utilisées pour son traitement. L’autorité fournissant la prestation numérique est responsable des informations fournies.

Les données personnelles des usagers utilisées pour les services numériques sont conservées uniquement pendant la durée nécessaire aux finalités pour lesquelles elles sont traitées. Les principes suivants s’appliquent:

1. les données liées à la titularité du compte et à l’accès au compte sont conservées aussi longtemps que le compte est actif. En cas de suppression d’un compte, les données sont conservées au maximum trois mois après la suppression;

2. les données issues des prestations numériques sont en principe conservées pendant 18 mois sur le portail. Il appartient à l’usager de sauvegarder ces données sur un appareil ou un espace de stockage privé s’il souhaite les conserver plus longtemps;

3. les données de journalisation sont conservées durant un an, conformément à l’article 30 alinéa 2 du règlement d'exécution de la loi sur l'information du public, la protection des données et l'archivage (RELIPDA).

Les autorités publient en principe les données publiques ouvertes sur la plateforme nationale opendata.swiss, dans un format respectant les standards nationaux et internationaux du domaine concerné.

Une publication sur une autre plateforme est également possible si l’autorité le juge pertinent.

Les documents suivants sont publiés sur le site web officiel du canton:

1. la stratégie sur les services numériques des autorités;

2. le plan de mise en œuvre;

3. les normes et standards visés à l’article 11 alinéa 1;

4. les codes sources ouverts.

Les mesures prévues à l’article 22 alinéa 1 LSNA peuvent prendre la forme subventions ou de mandats d’expertise ou d’étude, d’aides financières à des projets innovants, de soutien à la sensibilisation et à la formation ou encore de partenariats.

Les mesures font l’objet d’un contrat de droit public ou d’un mandat de prestations en fonction de leur type.

Les tarifs horaires sont déterminés par l'autorité qui fournit la prestation en tenant compte du principe de couverture des coûts et des tarifs horaires appliqués dans le secteur d'activité concerné.

La répartition du financement des prestations conjointes prévues selon l’article 24 alinéa 2 LSNA se fait en considérant la part que chacune des autorités peut raisonnablement assumer.

Les aides financières prévues dans la LSNA sont octroyées pour la planification, l’élaboration et la mise en œuvre de mesures qui concrétisent au moins un des objectifs opérationnels de la stratégie.

Leur montant est déterminé en fonction de l’utilité et de l’effet de la mesure. Elles doivent, en principe, être subsidiaire. Elles sont fixées par le Chef du département en charge de l’administration numérique.

Il n'existe aucun droit aux aides financières

Chaque bénéficiaire doit pouvoir justifier l'utilisation de l'aide allouée. La restitution totale ou partielle des aides peut être exigée lorsque celles-ci ont été accordées sur la base d'indications fausses ou si leur utilisation ne poursuit pas les buts pour lesquels elles ont été allouées.