Ordonnance sur le système de traitement des données relatives à la protection de l’Etat (Ordonnance ISIS)

ISIS a pour but de faciliter:

1. la mise en œuvre de mesures préventives dans le domaine de la protection fédérale de l’Etat;

2. les tâches de police de sécurité et de police administrative;

3. l’exécution de la législation sur les armes;

ISIS est utilisé pour:

1. 4 l’exécution de travaux de recherche et d’analyse des données saisies;

2. l’élaboration de rapports de situation;

3. l’exécution de travaux administratifs;

ISIS se compose des systèmes et banques de données suivants:

1. «ISIS00 Général» avec classement des dossiers, gestion des mandats, analyse des risques, statistique et module d’archivage;

2. 9 «ISIS01 Protection de l’Etat» avec les banques de données «Protection de l’Etat», «Documentation» et «Système numérique»;

3. «ISIS02 Administration» avec la banque de données «Administration»;

4. 10 «ISIS03 Armes» avec les banques de données «Acquisition d’armes par des étrangers», «Révocation d’autorisations et mise sous séquestre d’armes» et «Police administrative»;

5. «ISIS04 Explosifs» avec la banque de données «BARBARA»;

6. «ISIS05 News» avec les banques de données «NEWS», «Portail interactif pour Open Sources», «ELIS», «IPIS», «Infopress» et «ISIS-Info»;

7. «ISIS06 Contrôles de sécurité relatifs aux personnes» avec la banque de données «Contrôles de sécurité relatifs aux personnes».

Les banques de données contiennent les informations suivantes:

1. «Protection de l’Etat» (ST): informations relatives aux personnes et aux événements, tirées des activités préventives déployées dans le domaine de la protection de l’Etat;

2. 11 «Police administrative» (VP): informations relatives aux personnes et aux événements relevant du domaine des offices centraux de police administrative de l’Office fédéral de la police (fedpol);

3. «Documentation» (DO): informations documentaires relevant de l’ensemble du domaine d’activité du SAP, conformément à l’art.¹¹ de l’ordonnance du 27 juin 2001 sur les mesures visant au maintien de la sûreté intérieure (OMSI)¹²;

4. «Système numérique» (NU): informations relatives aux événements, tirées de programmes déterminés de recherches;

5. «Administration» (VE): informations nécessaires au contrôle des affaires;

6. «Acquisition d’armes par des étrangers» (DEWA): informations personnelles concernant l’acquisition d’armes par des ressortissants étrangers non titulaires d’un permis d’établissement en Suisse;

6. fbis. 13 «Acquisition d’armes par des personnes domiciliées dans un autre Etat Schengen» (DEWS): informations personnelles concernant l’acquisition d’armes ou d’éléments essentiels d’armes par des personnes domiciliées dans un autre Etat lié par l’un des accords d’association à Schengen;

7. «Révocation d’autorisations et mise sous séquestre d’armes» (DEBBWA): informations personnelles concernant la révocation d’autorisations et la mise sous séquestre d’armes en Suisse;

7. gbis. 14 «Remise et retrait d’armes de l’armée» (DAWA): informations relatives aux personnes qui se sont vu remettre une arme en propriété ou qui se sont vu retirer en vertu de la législation militaire leur arme personnelle ou l’arme qui leur avait été remise en prêt;

7. gter. 15 «Exploitation des traces laissées par des armes à feu» (ASWA): informations personnelles destinées à l’exploitation des traces laissées par des armes à feu sur des armes, des munitions, en particulier des munitions utilisées pour la commission de délits, et des personnes impliquées dans des délits ou concernées par des délits.

8. «BARBARA»: informations relatives aux événements, tirées du domaine d’activité de l’Office central pour les explosifs et la pyrotechnie;

9. «NEWS»: communiqués de presse relevant de la protection de l’Etat, tirés d’Internet;

10. «Portail interactif pour Open Sources» (IPOS): portail personnalisé permettant d’utiliser des sources d’information accessibles au public;

11. «ELIS»: représentation électronique de la situation en matière de sécurité intérieure;

12. «IPIS»: communiqués des agences de presse relevant de la protection de l’Etat;

13. «Infopress»: revue de presse quotidienne établie par le SAP;

14. «ISIS-Info»: plate-forme d’information destinée aux utilisateurs d’ISIS;

15. «Contrôles de sécurité relatifs aux personnes» (PSP): informations nécessaires au contrôle des affaires dans le domaine des contrôles de sécurité relatifs aux personnes.

Les accords d’association à Schengen sont mentionnés en annexe.¹⁶

Les données enregistrées dans les banques de données d’ISIS sont classées en catégories en fonction des domaines spécialisés, dans la mesure où cette classification est judicieuse pour la gestion des accès.

Les banques de données d’ISIS sont structurées selon les critères ci-après: communications, objets et relations. Les différents champs de données sont réglés par le Département fédéral de la défense, de la protection de la population et des sports (DDPS) et par le Département fédéral de justice et police (DFJP) dans leur domaine de compétence fixé à l’art.²². 18

L’«Intranet ISIS» est un système de communication codé au sein d’ISIS.¹⁹

Le SAP ne met ce système qu’à la disposition des utilisateurs d’ISIS.

Les utilisateurs d’ISIS sont les suivants:

1. les agents du Service d’analyse et de prévention (SAP) et ceux des organes cantonaux chargés du maintien de la sûreté intérieure; ils sont raccordés au système par une procédure d’appel;

2. les collaborateurs du Service fédéral de sécurité (SFS), de la Police judiciaire fédérale (PJF), des offices centraux des armes, pour les explosifs et la pyrotechnie et le service compétent pour décider de mesures d’éloignement à l’encontre d’étrangers conformément aux art. 67, al. 2, et 68 de la loi fédérale du 16 décembre 2005 sur les étrangers²¹; ils peuvent effectuer des consultations ponctuelles par une procédure d’appel;

3. les collaborateurs du Service fédéral chargé des contrôles de sécurité relatifs aux personnes (intégré à la Division de la protection des informations et des objets); ils peuvent effectuer des consultations ponctuelles par une procédure d’appel.^{22 2} Les utilisateurs d’ISIS ont accès aux données nécessaires à l’accomplissement de leurs tâches légales.

Les organes cantonaux chargés du maintien de la sûreté intérieure ne peuvent pas consulter les données classifiées issues des contacts directs avec les autorités de sécurité étrangères.

Les droits d’accès sont réglés par le DDPS et le DFJP dans leur domaine de compétence fixé à l’art.²². Le directeur du SAP ou de fedpol, ou leurs suppléants statuent sur les demandes individuelles.²³

La Section Assurance qualité du SAP et l’unité compétente auprès de fedpol sont responsables de l’application des droits d’accès dans leur domaine de compétence fixé à l’art.²². 24

Seules peuvent être traitées dans ISIS des informations qui répondent aux buts définis à l’art.².

La Section Analyse préliminaire du SAP introduit les données dans ISIS et détermine la catégorie de communications.²⁸

Les personnes suivantes peuvent également introduire des données et déterminer les catégories de communications:

1. les collaborateurs du Service des étrangers du SAP: données issues du contrôle des photos d’identité;

2. les collaborateurs de l’Office central des armes de fedpol: données issues des banques de données DEWA, DEWS, DEBBWA, DAWA et VP;

3. les collaborateurs de l’Office central pour les explosifs et la pyrotechnie de fedpol: données issues des banques de données BARBARA et VP;

4. les collaborateurs de l’Analyse du SAP: factsheets;

La Section Assurance qualité du SAP et l’unité compétente auprès de fedpol vérifient, dans leur domaine de compétence fixé à l’art.²², les saisies provisoires, notamment l’indication des sources, l’appréciation de la fiabilité et la date de la prochaine appréciation globale; enfin, elle confirme l’enregistrement définitif des données (code «k»).³¹

Le directeur du SAP et de fedpol, respectivement leurs suppléants, peuvent charger l’Assurance qualité d’apprécier le contenu des autres banques de données dans leur domaine propre de compétence.³²

Le classement des dossiers doit garantir leur gestion et leur archivage conformément aux instructions.

Les informations à l’origine des objets et des communications peuvent être saisies comme données OCR, sauf dans les banques de données ST, BARBARA et PSP, où elles sont saisies uniquement comme données d’image.

Il est possible de renoncer au classement-papier des dossiers dans la mesure où les informations à l’origine des objets et des communications sont saisies comme données d’image.

Les données peuvent être consultées suivant les critères ci-après: objets, relations, communications, mandats et recherche dans l’ensemble du texte. Les données d’image ne peuvent pas être consultées séparément.³⁴

La consultation des communications n’est possible que dans un seul système à la fois.³⁵

Les agents du SAP spécialement formés peuvent procéder à des appréciations dans le cadre de leur domaine d’activité.

Les objets et leurs relations peuvent être représentés et enregistrés visuellement.³⁶

Dans des cas déterminés, le SAP peut communiquer des données traitées dans ISIS, à l’exception des données prélevées dans le cadre de contrôles de sécurité relatifs aux personnes:³⁷

1. aux autorités pénales cantonales, aux fins de prévenir et de poursuivre les actes punissables;

2. au Département fédéral des affaires étrangères (DFAE), pour l’appréciation des demandes d’accréditation et du droit de séjourner en Suisse de ressortissants d’Etats étrangers ou de membres d’organisations internationales, en vue du respect des engagements de protection découlant du droit international public ainsi que dans le cadre du droit de coopérer du DFAE dans le domaine de la législation régissant les échanges extérieurs;

3. 38 à fedpol: 1. pour soutenir les enquêtes de police judiciaire, ainsi que dans le cadre de recherches préliminaires utiles à l’établissement de faits dans le domaine de la lutte contre le crime organisé et le trafic illicite des stupéfiants, 2. dans le cadre de l’entraide administrative internationale liée à des affaires pénales (INTERPOL), 3. pour saisir des informations dans le système de recherches informatisées de police RIPOL et dans le N-SIS, 4. pour apprécier les risques sur le plan sécuritaire lors de la mise en œuvre de mesures de protection en faveur de personnes ou de bâtiments;

4. à l’Office fédéral de la justice, pour compléter ou exécuter une requête d’entraide judiciaire en matière pénale;

5. 39 à l’Office fédéral des migrations pour l’application de mesures contre des étrangers, notamment en vue de leur éloignement, ainsi que pour traiter des demandes de naturalisation et pour apprécier des demandes d’asile;

6. …40

7. 41 à d’autres unités administratives du DDPS pour l’exercice du droit de coopérer du DDPS dans le domaine de la législation régissant les échanges extérieurs;

8. au Service de sécurité militaire pour: 1. apprécier la situation militaire en matière de sécurité, 2. protéger des informations et des ouvrages militaires, 3. exécuter, dans le domaine de l’armée, des tâches en matière de police criminelle et de police de sécurité, et, lorsque les membres du service sont mis sur pied pour un service actif, pour: 4. garantir la sécurité préventive de l’armée à l’égard de l’espionnage, du sabotage et d’autres activités illicites, 5. rechercher des renseignements, 6. veiller à la protection de personnes occupant des postes de représentants de l’Etat;

9. 42 au Service de renseignement stratégique du DDPS, dans le contexte d’informations importantes pour la politique de sécurité, et au Service de renseignement militaire du DDPS, en relation avec des informations qui peuvent avoir une importance pour l’armée;

10. à la justice militaire, pour l’exécution de tâches de police judiciaire et de police de sécurité;

11. aux organes des gardes-frontière et de la douane, pour localiser des personnes, opérer des contrôles douaniers et effectuer des enquêtes pénales administratives;

12. au Secrétariat d’Etat à l’économie, pour l’application de la loi fédérale du 13 décembre 1996 sur le matériel de guerre⁴³, et pour l’exécution de mesures dans le domaine de la législation régissant les échanges extérieurs;

13. à l’Office fédéral de la formation professionnelle et de la technologie, pour l’octroi de permis d’emploi de substances explosibles;

14. à l’Office fédéral de l’aviation civile et à La Poste Suisse, pour l’exécution des mesures en matière de police de sécurité;

15. à l’Office fédéral de l’énergie, pour l’application de la loi du 23 décembre 1959 sur l’énergie atomique44 et pour l’exercice de son droit de coopérer dans le domaine de la législation régissant les échanges extérieurs;

[RO 1960 585, 1983 1886 art. 36 ch. 2, 1987 544, 1993 901 annexe ch. 9, 1994 1933

Pour la communication à l’étranger, sont applicables les art. 17, al. 3 à⁵, et 7 LMSI.

La communication de données n’est pas autorisée lorsque des intérêts prépondérants publics ou privés s’y opposent.

Lors de toute communication, le destinataire doit être renseigné sur la fiabilité et l’actualité des données (art. 10). Il ne peut utiliser les données que dans le but pour lequel elles lui ont été transmises. Il doit être rendu attentif aux restrictions d’emploi et au fait que l’autorité qui communique les données se réserve le droit de se renseigner sur l’utilisation qui en aura été faite.

La communication, ainsi que ses destinataires, son objet et ses motifs, doivent être enregistrés.

La communication de données issues des banques DEWA, DEWS, DEBBWA, DAWA et ASWA est régie par les art. 63 et 64 de l’ordonnance du 2 juillet 2008 sur les armes⁴⁹.50

Les données d’ISIS ne peuvent être reportées dans d’autres fichiers ni par le biais d’installations de communication ni au moyen de supports de données. L’archivage électronique des données d’ISIS aux Archives fédérales n’est pas soumis à la présente disposition.

Des données d’ISIS peuvent être passagèrement transférées dans des banques de données de travail aux fins de travaux d’exploitation particuliers. Ceux-ci terminés, les données doivent être effacées.

Le droit d’être renseigné est régi par l’art. 18 LMSI.

Le droit d’être renseigné sur les banques de données DEWA, DEWS, DEBBWA, DAWA et ASWA est régi par l’art. 32g de la loi du 20 juin 1997 sur les armes.⁵¹

La Section Assurance qualité du SAP procède à une appréciation générale de chaque bloc de données au plus tard cinq ans après la saisie de la première communication et trois ans après la dernière appréciation générale.⁵²

Elle vérifie, à la lumière des dangers et des risques qui menacent la sécurité du pays, si les communications et les objets saisis dans un bloc présentent un degré de vraisemblance élevé s’agissant du risque pour la sécurité intérieure, en vue d’une appréciation administrative, et si les données sont nécessaires pour d’autres tâches de protection de l’Etat.⁵³

Les communications et les relations qui figurent dans la banque de données depuis plus de trois ans, avec l’appréciation «peu fiables», ne peuvent continuer d’être traitées comme telles (code «u») jusqu’à la prochaine appréciation générale que si elles sont nécessaires à l’accomplissement de tâches légales et si le chef du SAP ou l’un de ses suppléants en a autorisé le traitement.⁵⁴

Les objets identifiés depuis plus de trois ans comme des données relatives à des tiers sont effacés lors de l’appréciation générale.⁵⁵

L’Assurance qualité efface les données devenues inutiles. En cas de traitement ultérieur de données encore nécessaires, la date de la dernière appréciation générale doit être enregistrée.

Les données de police préventive peuvent être mémorisées dans ISIS pendant une durée maximum de quinze ans.

Pour les données ci-après, la durée de conservation maximale est la suivante:

1. 20 ans pour les données relatives à des programmes de recherches de police préventive en cours;

2. dix ans au plus pour les données relatives à des interdictions d’entrée, à compter de leur expiration;

3. cinq ans pour les données recueillies dans le cadre de procédures de contrôles de sécurité relatifs aux personnes;

4. 30 et 10 ans respectivement pour les données relevant de la correspondance avec des organes administratifs et des particuliers.

Les données des banques DO, BARBARA, IPOS, NEWS, IPIS, Infopress et ISIS- Info peuvent être conservées pendant une durée illimitée.⁵⁶

La conservation des données dans les banques DEWA, DEWS, DEBBWA, DAWA et ASWA est régie par l’art.⁶⁶ de l’ordonnance du 2 juillet 2008 sur les armes⁵⁷.58

A l’expiration de leur durée de conservation, les données sont effacées dans un délai de trois mois, à moins que le chef du SAP ou l’un de ses suppléants ne décide, à la lumière des dangers et des risques existants, qu’elles sont indispensables à l’accomplissement de tâches légales.⁵⁹

Dans les cas visés à l’al.¹, la durée de conservation ultérieure des données s’élève à trois ans. Elle ne peut être prolongée qu’une fois.

Tout le bloc de données ainsi que toute factsheet éventuelle sont supprimés avec l’effacement de la dernière communication (y compris les relations, données d’image et mandats correspondants).⁶⁰

Les données destinées à être supprimées, à l’exception des informations définies à l’art.²⁰, al. 2, sont transférées dans le module d’archivage.⁶¹

Les organes cantonaux chargés du maintien de la sécurité intérieure peuvent conserver cinq ans au plus après la première saisie les données et les dossiers établis dans le cadre des tâches de protection de l’Etat qu’ils effectuent pour la Confédération.

A l’expiration de leur durée de conservation, les données doivent être effacées et les dossiers détruits.

Les données et les dossiers devenus inutiles ou destinés à être effacés ou détruits sont proposés aux Archives fédérales aux fins d’archivage.⁶³

Les documents classifiés (données et dossiers) émanant des relations avec les autorités de sécurité étrangères et de la recherche opérative ne sont pas proposés aux fins d’archivage, mais conservés en interne d’entente avec les Archives fédérales.⁶⁴

Les données que les Archives fédérales jugent sans valeur archivistique sont effacées du module d’archivage. Les autres dispositions légales en matière de destruction de données sont réservées.⁶⁵

Avant la remise des documents d’un dossier personnel aux Archives fédérales, le SAP introduit dans la banque de données VE la date de livraison, le numéro d’enregistrement, ainsi que les données établissant l’identité de la personne concernée; ces informations sont conservées pendant dix ans, puis effacées.

Pour assurer la sécurité des données, sont applicables l’art.²⁰ de l’ordonnance du 14 juin 1993 relative à la loi fédérale sur la protection des données (OLPD)⁶⁶, l’ordonnance du 26 septembre 2003 sur l’informatique et la télécommunication dans l’administration fédérale⁶⁷ ainsi que les conditions fixées par le DDPS⁶⁸ selon l’art.⁸ de la présente ordonnance pour le raccordement des organes cantonaux chargés du maintien de la sécurité intérieure.⁶⁹

Le SAP précise dans un règlement ISIS les mesures organisationnelles et techniques contre le traitement non autorisé des données et les modalités de la journalisation automatique des données.

Les données ISIS ne peuvent être transmises que sous forme chiffrée durant toute l’opération de transmission.

Le SAP assume la responsabilité d’ISIS pour les systèmes et banques de données suivants: «ISIS00 Général», «ISIS01 Protection de l’Etat», «ISIS02 Administration», «ISIS05 News» et «ISIS06 Contrôles de sécurité relatifs aux personnes». Il en édicte le règlement de traitement.⁷⁰

Fedpol assume la responsabilité d’ISIS pour les systèmes et banques de données suivants: «ISIS03 Armes», DEWA, DEWS, DEBBWA, DAWA, «ISIS04 Explosifs» et BARBARA. Il en édicte le règlement de traitement.⁷¹

Le SAP et fedpol sont chargés de la formation et de l’assistance aux utilisateurs et veillent à la mise en œuvre de leurs règlements de traitement.⁷²

La responsabilité technique intégrale d’ISIS incombe au DDPS. Le prestataire de services du système d’information veille à l’exploitation, à l’entretien et à la sécurité d’ISIS. Les développements ultérieurs du système d’information ISIS s’effectuent en accord avec les responsables de l’application au sein de fedpol. Les détails de la collaboration sont réglés dans un accord administratif.⁷³

Les conseillers à la protection des données du SAP et de fedpol peuvent vérifier au cas par cas et dans leur domaine de compétence que le traitement de données dans ISIS est bien conforme aux dispositions relatives à la protection des données.⁷⁴

La Confédération finance le transport des données jusqu’aux centraux de raccordement des cantons.

Les cantons prennent en charge:

Le DDPS⁷⁵ détermine les exigences techniques auxquelles doivent satisfaire les terminaux des cantons.

Les détails sont fixés dans le règlement ISIS.

[RO 1999 3461, 2000 1227 annexe ch. II 1 2027] Annexe⁷⁸ (art.⁴, al. 3) Accords d’association à Schengen Les accords d’association à Schengen comprennent les accords suivants:

1. Accord du 26 octobre 2004 entre la Confédération suisse, l’Union européenne et la Communauté européenne sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen⁷⁹;

2. Accord du 26 octobre 2004 sous forme d’échange de lettres entre le Conseil de l’Union européenne et la Confédération suisse concernant les Comités qui assistent la Commission européenne dans l’exercice de ses pouvoirs exécutifs⁸⁰;

3. Accord du 17 décembre 2004 entre la Confédération suisse, la République d’Islande et le Royaume de Norvège sur la mise en œuvre, l’application et le développement de l’acquis de Schengen et sur les critères et les mécanismes permettant de déterminer l’État responsable de l’examen d’une demande d’asile introduite en Suisse, en Islande ou en Norvège⁸¹;

4. Accord du 28 avril 2005 entre la Confédération suisse et le Royaume de Danemark sur la mise en œuvre, l’application et le développement des parties de l’acquis de Schengen basées sur les dispositions du Titre IV du Traité instituant la Communauté européenne⁸²;

5. Protocole du 28 février 2008 entre la Confédération suisse, l’Union européenne, la Communauté européenne et la Principauté de Liechtenstein sur l’adhésion de la Principauté de Liechtenstein à l’accord entre la Confédération suisse, l’Union européenne et la Communauté européenne sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen⁸³.