Ordonnance sur la sécurité de l'information

La présente ordonnance règlemente la sécurité de l’information de la Ville de Bienne.

Elle vise à garantir la sécurité des données et des informations ainsi que des moyens informatiques avec lesquels on traite celles-ci.

La présente ordonnance fixe les exigences fondamentales en matière de sécurité ainsi que les procédures et les compétences concernant leur mise en œuvre.

La présente ordonnance s’applique aux autorités de la Ville de Bienne.

Dans la présente ordonnance, les termes suivants signifient :

1. Données : toutes les indications, notamment les données techniques, financières ou personnelles, au format tant numérique que physique, que les autorités traitent ;

2. Informations : présentation de faits au moyen de l’interprétation ou du traitement de données ou de combinaisons de données, au format tant numérique que physique ;

3. Moyens informatiques : moyens relevant des techniques de l’information et de la communication, notamment les systèmes informatiques, les applications informatiques et les fichiers, ainsi que les installations, les produits et les services servant au traitement électronique des informations ;

4. Systèmes informatiques : appareils et installations ainsi qu’infrastructures et logiciels d’exploitation en faisant partie qui sont utilisés pour traiter ou échanger numériquement des données ou des informations ;

5. Applications informatiques : programmes (logiciels) qui permettent d’utiliser des systèmes informatiques pour remplir ou soutenir certaines tâches et les données et informations traitées dans ce contexte ;

6. Autorités : le Conseil de ville et ses commissions, le Secrétariat parlementaire, le Conseil municipal et ses commissions, la Chancellerie municipale, les directions et leurs unités d’organisation ainsi que des tiers, dans la mesure où ils assument des tâches de la Ville et, pour ce faire, obtiennent l’accès aux moyens informatiques de la Ville.

La Ville doit prendre des mesures organisationnelles et techniques appropriées pour protéger les moyens informatiques, les données et les informations contre les atteintes extérieures négatives comme les abus, les perturbations ou les accès non autorisés.

Les mesures au sens de l’al. 1 obéissent notamment aux exigences suivantes :

1. Confidentialité : seules les personnes autorisées ont accès aux données et aux informations.

2. Disponibilité : les données et les informations ainsi que les systèmes et applications informatiques sont accessibles et utilisables.

3. Intégrité : les données et les informations ainsi que les systèmes et applications informatiques sont protégés contre des modifications non autorisées. Toutes les données et informations sont complètes et correctes.

4. Traçabilité : on peut retracer a posteriori l’accès aux données et aux informations ainsi que leur traitement.

Il faut tenir compte des principes de la proportionnalité, de l’économicité et de la simplicité d’emploi lors de la mise en œuvre de la sécurité de l’information.

Les autorités veillent, dans leur domaine de compétences, à ce que la sécurité de l’information soit organisée, mise en œuvre et contrôlée conformément à l’état des connaissances scientifiques et techniques.

Le Département Informatique et Logistique aide les autorités à mettre en œuvre la sécurité de l’information et vérifie le respect de la présente ordonnance dans le cadre du système de gestion de la sécurité de l’information. Il peut édicter des directives et des recommandations concernant la sécurité de l’information.

Les autorités sont habilitées à édicter des directives complémentaires à la présente ordonnance pour leur domaine de compétences. Le Département Informatique et Logistique doit approuver ces directives complémentaires.

Le Département Informatique et Logistique planifie et coordonne la mise en œuvre de la sécurité de l’information au sein des autorités, en coordination avec la Chancellerie municipale ainsi que les secrétaires généraux et secrétaires générales.

Les collaboratrices et collaborateurs des autorités sont responsables de la mise en œuvre des exigences en matière de sécurité de l’information au travail, dans leur domaine de compétences. Ils sont aussi responsables de l’utilisation sûre de leurs moyens informatiques conformément aux prescriptions de la législation supérieure et de la présente ordonnance. Le personnel est formé concernant l’usage correct des moyens informatiques et reçoit régulièrement des informations à ce sujet.

L’une des catégories suivantes est attribuée aux données et aux informations ainsi que, le cas échéant, aux systèmes et applications informatiques, selon leur besoin de protection :

1. CONFIDENTIEL

2. INTERNE

3. ACCESSIBLE À TOUT LE MONDE

Les données et les informations sont classées dans la catégorie « CONFIDENTIEL » lorsque seul un cercle très limité de personnes a le droit de connaître leur contenu et que leur publication aurait des répercussions extrêmement négatives pour la Ville (par exemple en termes de finances, de réputation ou de sécurité). Les données personnelles particulièrement dignes de protection au sens de la protection des données font notamment partie de cette catégorie.

Les données et les informations sont classées dans la catégorie « INTERNE » lorsque leur contenu n’est pas destiné ou ne se prête pas à être rendu public en raison d’intérêts dignes de protection et que leur publication pourrait avoir des répercussions négatives pour la Ville (par exemple en termes de finances, de réputation ou de sécurité). Les données personnelles au sens de la protection des données font notamment partie de cette catégorie.

Les données et les informations qui ne sont ni internes, ni confidentielles sont classées dans la catégorie « ACCESSIBLE À TOUT LE MONDE ».

Il faut choisir avec soin les personnes qui obtiennent l’accès aux données et aux informations confidentielles et ces personnes doivent s’engager à maintenir le secret. Il ne faut communiquer ou donner accès aux données confidentielles et internes qu’aux personnes qui ont besoin de connaître ces données pour accomplir leurs tâches. Toute personne qui traite des données confidentielles ou internes est personnellement responsable de leur protection.

Les dispositions concernant la consultation de dossiers officiels au sens de la législation cantonale demeurent réservées.

Après avoir consulté le Département Informatique et Logistique, les autorités peuvent confier à des tiers le traitement de données et d’informations, y compris de celles qui sont confidentielles et internes. Dans ce contexte, elles doivent tenir compte des exigences relatives à la protection des données, en particulier concernant les données personnelles.

Les données et les informations confidentielles et internes doivent être traitées sur le territoire suisse ou sur le territoire d’un État garantissant un niveau de protection des données équivalent. Une technologie appropriée doit aussi garantir la sécurité des données et des informations confidentielles vis-à-vis du sous-traitant.

L’autorité qui procède à une externalisation de données ou d’informations demeure responsable de leur protection et de leur sécurité. Elle doit garantir la continuité du travail de l’Administration au moyen de mesures de sécurité appropriées. En particulier, l’autorité :

• a. prend les précautions commandées par les circonstances en vue du respect des présentes dispositions quant au choix du sous-traitant, à son instruction et à sa surveillance ;

• b. assure la protection et la sécurité des données et des informations par la conclusion d'un contrat écrit qui décrit au minimum :

• 1. l'objet, la nature, la finalité et la durée de l'externalisation ;

• 2. les catégories de données concernée ;

• 3. les obligations et les droits de chaque partie ;

• 4. les possibilités de contrôle de l’autorité qui a procédé à l’externalisation et des autorités de surveillance en matière de protection des données et de sécurité de l’information concernant le sous-traitant ;

• 5. l'interdiction faite au sous-traitant de sous-traiter à son tour un traitement sans l'autorisation préalable de l’autorité responsable du traitement des données ;

• 6. le devoir du sous-traitant d’informer immédiatement l’autorité responsable concernant des incidents liés à la sécurité et les mesures prises pour y remédier ;

• 7. le devoir du sous-traitant d'informer immédiatement l’autorité responsable lorsque, en vertu d’une loi étrangère ou d'une décision de justice, il est tenu de communiquer des données ou des informations à une autorité étrangère ou risque de devoir le faire ;

• c. ne confie pas au sous-traitant des traitements qu’elle n’est pas en droit d'effectuer elle-même ;

• d. veille à ce que les données et les moyens informatiques concernés par une externalisation puissent être récupérés en tout temps, notamment dans le but de changer de sous-traitant ou de procéder à leur réinternalisation.

Les autorités doivent mettre en œuvre d’ici au 31 décembre 2024 les mesures techniques et organisationnelles appropriées pour garantir l’organisation et le contrôle de la sécurité de l’information.

La présente ordonnance entre en vigueur le 1^er mai 2023.