Loi sur la sécurité de l‘information

Aebi Andreas · P-M · Conseil national · Berne · Groupe de l'Union démocratique du Centre

Bundesgesetz über die Informationssicherheit beim Bund

Loi fédérale sur la sécurité de l'information au sein de la Confédération

Art. 20 Abs. 3; 26

Antrag der Mehrheit

Zustimmung zum Beschluss des Ständerates

Antrag der Minderheit

(Porchet, Addor, Fivaz Fabien, Schlatter, Zuberbühler)

Festhalten

Art. 20 al. 3; 26

Proposition de la majorité

Adhérer à la décision du Conseil des Etats

Proposition de la minorité

(Porchet, Addor, Fivaz Fabien, Schlatter, Zuberbühler)

Maintenir

Porchet Léonore · Mit-F · Conseil national · Vaud · Groupe des VERT-E-S

Nous avons discuté en commission ce matin, une nouvelle fois, de la loi sur la sécurité de l'information et, une nouvelle fois, de l'utilisation du numéro AVS. Vous le savez, les Verts se sont opposés à l'utilisation systématique du numéro AVS, car il s'agit pour nous d'un problème important dans la sécurité des données. Il s'agit pour nous d'une question de sécurité ou d'insécurité de l'information, comme cela l'a été dit, ce matin, en commission.

Cette discussion semble obsolète, après notre vote de mardi sur l'utilisation du numéro AVS, car, en effet, une volonté politique claire s'est exprimée. Mais cela ne veut pas dire - et c'est clairement dans la loi fédérale sur l'assurance-vieillesse et survivants (LAVS) que nous avons votée mardi - que l'utilisation du numéro AVS est maintenant systématique, ou l'est de manière obligatoire. La LAVS statue, en effet, que l'utilisation du numéro AVS est possible si le droit applicable prévoit cette utilisation systématique du numéro AVS. C'est l'article 153c; ce n'est pas forcé: l'article 153c alinéa 2 dit que cette utilisation est interdite si la loi exclut cette utilisation.

Il s'agit donc d'une question de volonté politique, y compris après le vote de mardi. D'autant plus que ce dont nous débattons ici et maintenant, ce n'est ni l'utilisation ni la non-utilisation du numéro AVS, mais le degré de protection que nous fixons pour le numéro AVS. Il s'agit, en effet, de savoir si nous voulons une étape supplémentaire dans le codage, d'une certaine manière, du numéro AVS avant son utilisation.

La généralisation du numéro AVS - en faveur de laquelle mes opposants vont certainement argumenter ici - n'est pas une bonne nouvelle, et ce n'est pas une raison supplémentaire pour baisser les bras face à la protection de nos données. Aux Etats-Unis, la généralisation de l'utilisation du numéro de sécurité sociale a donné lieu à une vraie épidémie de vols d'identité. Et nous ne voulons pas de telles brèches de sécurité dans notre pays, d'autant plus quand on parle de protection des données et de la loi sur la sécurité de l'information.

Ce que nous voulons, c'est suivre la version du Conseil fédéral, qui a déjà été soutenue par notre conseil, qui l'a été jusqu'à maintenant et qui reste plus sûre, tout en étant simple. L'utilisation du numéro AVS à des fins d'identification doit être accompagnée de sécurités supplémentaires. C'est ce qui est prévu, par exemple, pour le dossier électronique du patient. Cette semaine, le conseiller fédéral Berset a rappelé que, pour le dossier électronique du patient, il préférait un codage supplémentaire, car pour les données médicales, c'était trop dangereux. Eh bien, je considère que toutes nos données ont une valeur et que toutes doivent être protégées avec le niveau de qualité le plus élevé, et c'est bien ce qui est dit dans le message du Conseil fédéral.

La proposition que nous défendons aujourd'hui permet de garantir un niveau élevé des données au sein des systèmes de gestion de données d'identification et des accès. D'après le message du Conseil fédéral, le projet de loi sur la sécurité de l'information met l'accent sur les informations et systèmes les plus critiques, il est donc important que la protection soit la meilleure.

J'aimerais vous donner un exemple concret, parce que, ici, on a toujours l'impression qu'on a affaire à une équipe de fous de la protection des données, et que ce n'est que d'une histoire de valeurs et de principes que l'on débat ici. Non, la population est inquiète quant à l'utilisation de ses données. J'ai moi-même créé avec une équipe de bénévoles - et on n'est pas des informaticiens fous furieux de la protection des données - une application qui utilise l'adresse IP de chaque natel ou portable ou ordinateur, et la question qu'on reçoit le plus souvent, c'est: "Qu'est-ce que vous faites de mon adresse IP?" Or l'adresse IP n'est même pas encore le numéro AVS! Cette question-là revient régulièrement. Et nous avons justement mis en oeuvre un système similaire, où nous codons cette adresse IP pour l'attribuer.

Cela a l'air compliqué, mais, en fait, c'est la meilleure manière de protéger les données. C'est justement ce que nous proposons là, ce que nous défendons et ce que nous vous encourageons à soutenir en votant pour la proposition défendue par mes minorités.

Aebi Andreas · P-M · Conseil national · Berne · Groupe de l'Union démocratique du Centre

Präsident (Aebi Andreas, Präsident): Die SP-Fraktion verzichtet auf ein Votum und unterstützt die Mehrheit. Auch die FDP-Liberale Fraktion und die Mitte-Fraktion verzichten auf ein Votum.

Hurter Thomas · Mit-M · Conseil national · Schaffhouse · Groupe de l'Union démocratique du Centre

Ich erlaube mir, für die SVP-Fraktion hier noch einmal zu sprechen, weil wir ja dann in einer Woche die Schlussabstimmung machen. Ich möchte hier ein paar grundsätzliche Dinge noch einmal erwähnen und dann auf diese Minderheit eingehen.

Grundsätzlich ist es ja so, dass wir von der SVP für Sicherheit sind. Das Informationssicherheitsgesetz ist in diesem Bereich anzusiedeln. Es sollte eigentlich ein Mantelerlass für verschiedene Dinge sein, ist aber über die Jahre zu einem riesigen Gesetz geworden. Man könnte zwar sagen: Was lange währt, wird endlich gut. Wenn man aber anschaut, was daraus geworden ist, stellen sich einem doch ein paar Fragen. Im Bereich Cyber sind sicher Verbesserungen angebracht worden, wie auch bei den Personensicherheitsprüfungen. Aber sonst lässt das Gesetz noch ein paar Dinge offen, sage ich einmal. Es gibt vier Bereiche, die nicht gut waren und die nur teilweise verbessert werden konnten:

Ein erster Bereich ist der Mehrwert. Dieser konnte erst aufgezeigt werden, nachdem das Gesetz in den Nationalrat zurückgebracht wurde. Bundesrat Parmelin hat damals dieses Gesetz zurückgenommen und überarbeitet. Hier ist also der Mehrwert noch wenig erkennbar.

Der zweite Bereich ist der Umfang. Denken Sie daran: Als das Gesetz 2017 im Parlament lanciert wurde, gab es mehrere hundert Änderungsanträge. Das Gesetz umfasste ursprünglich 40 Artikel, mittlerweile hat es 92 Artikel. Es ist ein riesiges Gesetz geworden.

Dritter Bereich sind die Kosten. Die Kosten sind auch der Grund, warum die SVP-Fraktion in der Schlussabstimmung dieses Gesetz ablehnen oder sich enthalten wird. Erst nach der Rücknahme konnten die Kosten aufgezeigt werden. Noch einmal, damit wir wissen, wovon wir sprechen: Wir sprechen von 1,5 Millionen Franken bis 87 Millionen Franken, in der Umsetzung von 5 bis 20 Millionen Franken und bei den Stellen von etwa 9,5 bis 87 Stellen. Also Sie sehen, die Bandbreite ist sehr gross. Der Nationalrat wollte hier, sage ich jetzt einmal, Druck aufbauen, indem man gesagt hat, der Bundesrat soll das immer wieder in die Kommission bringen. Das wollte der Ständerat nicht. Damit ist eigentlich diese Kontrollfunktion abgegeben, und deshalb wird die SVP-Fraktion in der Schlussabstimmung dieses Gesetz in dieser Form nicht unterstützen können. Sicher aber werden es einige nicht ablehnen, weil doch gewisse Bereiche gut gemacht worden sind.

Dann noch zum letzten Punkt, zur AHV-Nummer: Hier haben ja auch der Gewerbeverband und der Hauseigentümerverband gesagt, man soll vorsichtig vorgehen. Ich muss Ihnen sagen, diese Geschichte ist leider gelaufen, wenn ich ehrlich bin. Die Frau Bundesrätin hat es ausgeführt, es sind mittlerweile 9000 Organisationen, die die AHV-Nummer verwenden. Sie hat zum Beispiel im Ständerat gesagt: Sogar Coiffeursalons benützen diese Nummer. Da muss ich Ihnen sagen: Wenn wir jetzt sagen, die Coiffeursalons dürfen sie benützen, die Armee darf sie benützen, aber die Verwaltung darf das für Personenüberprüfungen im Bereich Cybersicherheit nicht machen, dann sind wir hier ein bisschen ambivalent. Deshalb sage ich jetzt einmal, diese Diskussion hätten wir schon viel früher führen müssen. Also dieser Kampf ist verloren. Deshalb wird auch ein Teil der SVP-Fraktion diesen Minderheitsantrag jetzt ablehnen.

Wenn wir hier über diesen Minderheitsantrag diskutieren, dann muss ich Ihnen sagen: Wahrscheinlich ist er schon obsolet. Wir haben vor zwei Tagen genau in diesem Bereich das AHV-Gesetz revidiert. Das heisst eigentlich, dass wir das heute nicht mehr tun müssen. Wir machen das jetzt also wahrscheinlich für die Galerie. Aber es ist, wie es ist.

Zusammengefasst: Die SVP-Fraktion wird zu gewissen Teilen diese Minderheit nicht mehr unterstützen. Ein paar wenige werden sie unterstützen. In der Schlussabstimmung werden wir uns bei diesem Gesetz grossmehrheitlich enthalten.

Pointet François · Mit-M · Conseil national · Vaud · Groupe vert'libéral

Nous avons entériné, à une large majorité, l'utilisation systématique du numéro AVS en acceptant la modification de la loi fédérale sur l'assurance-vieillesse et survivants (loi sur l'AVS). Dans ce débat-ci, nous tergiversons sur cette utilisation. J'avoue ne pas comprendre. Certes, la loi sur l'AVS autorise l'emploi d'une autre méthode d'identification dans des cas particuliers justifiables. Mais ici, il n'y en a pas.

Il s'agirait de donner un identificateur aux données des personnes qui ont accès aux informations et aux moyens informatiques de la Confédération. Je ne vois pas le problème. Madame la conseillère nationale Porchet, votre discours qui mélange allègrement protection des données, utilisation raisonnable desdites données et traçage Internet par numéro IP et numéro AVS me ferait sourire si le résultat n'était pas de faire peur à la population, vu ce manque de précision. Le numéro IP contient bien plus d'informations qu'un numéro AVS. Rappelons que le numéro AVS ne contient en lui-même aucune information personnelle, ce qui n'a pas toujours été le cas. Et assurer que l'on ne peut pas croiser les données entre différentes bases doit se régler par l'attribution des droits d'accès et la protection des systèmes.

Les Vert'libéraux soutiendront la version du Conseil des Etats et rejetteront la minorité Porchet.

Amherd Viola · BR-F · Conseil fédéral · Valais

Ich glaube, ich muss mich nicht mehr lange bei dieser Diskussion aufhalten. Wir haben in beiden Räten und auch in den Kommissionen bereits verschiedentlich über die Benutzung der AHV-Nummer diskutiert. Das vorläufige Resultat lautet wie folgt: Der Ständerat hat am Dienstag mit 30 zu 10 Stimmen der Verwendung der AHV-Nummer für die Bereiche des Informationssicherheitsgesetzes zugestimmt. Ebenfalls am Dienstag, gleichzeitig, hat der Nationalrat die Revision des AHV-Gesetzes verabschiedet, wonach die AHV-Nummer von allen Behörden der Schweiz benutzt werden kann. Das wurde hier im Nationalrat mit 144 zu 37 Stimmen bei 1 Enthaltung beschlossen.

Herr Nationalrat Hurter hat darauf hingewiesen, dass die AHV-Nummer heute von über 9000 Stellen ausserhalb des Sozialversicherungsbereichs als Personenidentifikator benutzt wird, unter anderem von Kindertagesstätten oder von Coiffeurschulen - von Schulen, nicht von Salons, das muss ich hier präzisieren. Sie wird also bereits breit benutzt. Und ausgerechnet im Informationssicherheitsgesetz will man diese Möglichkeit jetzt nicht geben, in einem Gesetz, das sehr wichtig ist und bei dem eben der Persönlichkeits- und der Datenschutz auch sehr stark sein müssen. Deshalb sind wir der Meinung, dass hier die AHV-Nummer auch benutzt werden soll.

Die Minderheitssprecherin, Frau Porchet, hat gesagt, der Bevölkerung sei der Datenschutz sehr wichtig. Das ist so; ich hoffe, das sei so. Wenn ich mich manchmal auf sozialen Plattformen bewege und sehe, wie man überall freiwillig Daten hinterlässt, bin ich nicht sicher, ob das Bewusstsein überall so gross ist. Es wäre sehr wichtig, dass sich die Bevölkerung um den Schutz der eigenen Daten kümmert. Das ist gut so.

Bei allem Respekt vor Ihrer Freiwilligengruppe, die ein Angebot im Bereich Internet oder auf einer Internetplattform macht, ist es für mich verständlich, dass die Leute nachfragen, was mit ihren Daten passiert. Eine Freiwilligengruppe ist nicht unbedingt mit einer Behörde vergleichbar. Ich denke, das Vertrauen in eine Behörde ist grösser als in eine Freiwilligengruppe, die zweifelsohne gute Arbeit leisten kann und sehr wahrscheinlich auch leistet.

Nichtsdestotrotz, auch wenn das Vertrauen in die Behörden da ist, braucht es ein hohes Sicherheitsbewusstsein. Und das ist hier im Informationssicherheitsgesetz und bei den Behörden, die dieses Gesetz anwenden, sicher zu hundert Prozent gegeben. Es macht also keinen Sinn, die AHV-Nummer bei über 9000 Stellen in der Schweiz benutzen zu können, unter anderem auch bei der Armee, nicht aber bei den Behörden, die dieses Gesetz anwenden sollen.

Ich bitte Sie entsprechend, hier die Differenz zum Ständerat auszuräumen, der Mehrheit der Kommission zuzustimmen und dann dem Gesetz auch in der Schlussabstimmung zuzustimmen, weil es wichtige Regeln, insbesondere für die Sicherheit der Daten der Bevölkerung, enthält. Ich hoffe, dass wir das Gesetz jetzt bereinigen können.

Zuberbühler David · Mit-M · Conseil national · Appenzell Rh.-Ext. · Groupe de l'Union démocratique du Centre

Frau Bundesrätin, einfach um es nochmals klarzustellen: Ist es richtig, dass der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte sowie die kantonalen Datenschutzbeauftragten die systematische Verwendung der AHV-Nummer ablehnen?

Amherd Viola · BR-F · Conseil fédéral · Valais

Das ist möglich. Ich habe jetzt hier keine Unterlagen, die das definitiv besagen, aber das ist möglich. Das war aber, nehme ich an, genauso der Fall beim AHV-Gesetz, das jetzt revidiert wurde. Das AHV-Gesetz, das Sie hier beschlossen haben, das auch der Ständerat beschlossen hat und bei dem es keine Differenz mehr gibt, gibt eben allen Behörden die Möglichkeit, die AHV-Nummer zu benutzen. Das dann ausgerechnet bei diesem Gesetz nicht zu erlauben, macht überhaupt keinen Sinn.

Addor Jean-Luc · Mit-M · Conseil national · Valais · Groupe de l'Union démocratique du Centre

Madame la conseillère fédérale, vous nous citez l'exemple des salons de coiffure. Etes-vous sûre que cela va rassurer la population? Lorsque je vais chez ma coiffeuse, elle ne me demande pas mon numéro AVS, et, franchement, cela me rassure plutôt. Donc, est-ce qu'il est digne d'une loi sur la sécurité de l'information de créer finalement l'insécurité de l'information, sous l'angle de la protection de nos données personnelles?

Amherd Viola · BR-F · Conseil fédéral · Valais

Je dois préciser, Monsieur Addor, que je n'ai pas parlé des salons de coiffure, mais des écoles de coiffure, pour leurs étudiants. Elles utilisent aussi le numéro AVS pour l'identification. Je pense aussi que les écoles de coiffure sont conscientes de l'importance de la protection des données. Je dirai que c'est la même chose pour la Confédération, pour les cantons. Et si on décide, dans la révision de la loi sur l'AVS, de donner la possibilité à tous les offices, à toutes les autorités fédérales et cantonales, d'utiliser ce numéro AVS, pourquoi voudrait-on explicitement ne pas donner cette possibilité dans la loi sur la sécurité de l'information? Ce n'est absolument pas raisonnable.

Fridez Pierre-Alain · Mit-M · Conseil national · Jura · Groupe socialiste

Nous allons peut-être terminer aujourd'hui la saga de cette loi sur la sécurité de l'information qui a commencé en 2017. Dans un premier temps, notre conseil avait refusé d'entrer en matière sur le projet. Il nous reste maintenant une seule divergence, qui a été traitée par le Conseil des Etats en début de semaine. Le Conseil des Etats a décidé, par 30 voix contre 10, de maintenir sa position, c'est-à-dire la possibilité d'utiliser le numéro AVS comme identificateur de personne.

Nous avons affaire à une minorité Porchet qui propose d'adopter la version initiale du Conseil fédéral, soit d'utiliser temporairement le numéro AVS pour générer un nouveau numéro qui serait totalement inédit et, selon les auteurs de cette proposition, plus sécurisé et qui offrirait une meilleure protection des données.

Les arguments qui ont été émis ce matin contre cette proposition de minorité sont les suivants. Tout d'abord, nous avons accepté il y a quelques jours le principe d'une utilisation assez généralisée du numéro AVS. Ensuite, il faut dire que le numéro AVS est sécurisé. A l'époque, on pouvait en lisant le numéro AVS d'une personne déterminer sa date de naissance. Maintenant, il n'y a plus aucune donnée personnelle dans le nouveau numéro AVS. En outre, il y a une grande importance à mettre cette loi sous toit. Il ne faudrait pas que, pour un argument, je ne vais pas dire aussi futile mais un peu secondaire, cette loi ne puisse pas être acceptée par nos deux conseils. Enfin, par rapport à la décision du Conseil des Etats, nous devons faire un calcul au sujet de la conférence de conciliation. Le Conseil des Etats a accepté massivement ce projet, par 30 voix contre 10. Dans notre conseil, la dernière fois, c'était très partagé. Donc, si le projet doit passer en conférence de conciliation, de toute façon la position du Conseil des Etats serait gagnante.

Donc, tous ces arguments font que la commission a rejeté, par 17 voix contre 6 et 2 abstentions, la proposition défendue par la minorité Porchet.

Je vous demande de suivre la majorité de la commission, de rejeter par conséquent la proposition de la minorité et par là même de vous rallier au Conseil des Etats afin de mettre sous toit cette loi.

Gmür Alois · Mit-M · Conseil national · Schwyz · Le Groupe du Centre. Le Centre. PEV.

Wir haben hier eine letzte Differenz, welche die Benutzung der AHV-Nummer betrifft. Der Bundesrat schlug am Anfang in diesem Gesetz die Schaffung einer fiktiven Nummer vor. Der Ständerat sah im Verlaufe der Behandlung der Vorlage die Benutzung der AHV-Nummer als Personenidentifikator vor. Unser Rat hat in der letzten Runde die Benutzung dieser Nummer knapp, mit einem Unterschied von 3 Stimmen, abgelehnt. Der Bundesrat unterstützt die Lösung des Ständerates.

Die Kommission wurde orientiert - Sie haben es vorhin auch von der Bundesrätin gehört -, dass aktuell über 9000 Stellen die AHV-Nummer benutzen. Es ist für die Kommission nicht nachvollziehbar, dass gerade im vorliegenden Gesetz die AHV-Nummer als sicherer Personenidentifikator nicht benutzt werden darf. Dieser Schritt ist überfällig, zumal wir diesen Dienstag bei der Revision des AHV-Gesetzes beschlossen haben, dass die AHV-Nummer allgemein als Personenidentifikator benutzt werden darf. Damit sollte eigentlich die Sache klar sein.

Die Kommission empfiehlt mit 17 zu 6 Stimmen bei 2 Enthaltungen, in diesem Gesetz die AHV-Nummer als Personenidentifikator festzulegen.

Vote

Abstimmung - Vote

Für den Antrag der Mehrheit ... 140 Stimmen

Für den Antrag der Minderheit ... 46 Stimmen

(0 Enthaltungen)

Präsident (Aebi Andreas, Präsident): Das Geschäft ist damit bereit für die Schlussabstimmung.