Ordonnance de Direction concernant la sûreté de l’information et la protection des données (OD SIPD)   1  152.040.2  Ordonnance de Direction concernant la sûreté de l’information et la protection des données (OD  SIPD)  du 03.01.2011 (état au 01.04.2011)  La Direction des finances du canton de Berne,  vu  l’article  38  de  la  loi  du  19  février  1986  sur  la  protection  des  données (LCPD)1) et l’article 9 de l’ordonnance du 22 octobre 2008 sur la protection des données (OPD)2)  arrête:  1 Dispositions générales  Art.  1 Objet 1 La présente ordonnance régit les principes et la procédure de mise en œuvre de la sûreté de l’information et de la protection des données (SIPD) dans le cadre  de  l’utilisation  des  technologies  de  l’information  et  de  la télécommunication (TIC) par l’administration cantonale.  Art.  2 Champ d’application 1 La présente ordonnance s’applique aux projets, applications et composants des TIC. 2 Elle s’applique à l’ensemble de l’administration cantonale. 3 Lorsque des indemnités au sens de la  loi  du 16 septembre 1992 sur  les subventions cantonales (LCSu)3) sont octroyées pour des projets TIC dont les traitements de données sont soumis à la LCPD, les personnes requérantes sont tenues de se conformer soit aux dispositions matérielles de la présente ordonnance  (art.  5  et  instructions  spécifiques  prévues  à  l’art.  12)  soit  aux dispositions d’une norme SIPD établie, reconnue et équivalente.  1) RSB 152.04 2) RSB 152.040.1 3) RSB 641.1  * Tableaux des modifications à la fin du document  11-12      152.040.2  2  Art.  3 Responsabilités 1 Sont responsables de la SIPD les services qui, dans l’accomplissement de leurs  tâches  légales,  traitent  des  données,  en  particulier  des  données personnelles, ou en confient le traitement à des tiers (services responsables). 2 Lorsque plusieurs services traitent conjointement des données, il convient de définir  par écrit  lequel d’entre eux assume la responsabilité principale de la SIPD.  Art.  4 Obligations du service responsable 1 Le  service  responsable  veille  à  ce  que  toutes  les  applications  TIC  avec lesquelles  sont  traitées  des  données  personnelles  soient  conformes  aux prescriptions légales ou contractuelles déterminantes en matière de protection des données et à ce que la sûreté de l’information soit garantie de manière appropriée dans le traitement des données.  2 SIPD dans le déroulement des projets TIC  Art.  5 Analyse SIPD et concept SIPD 1 Le comité de projet de chaque projet TIC désigne un ou une responsable SIPD dans le cadre de l’organisation du projet. 2 Le service responsable réalise une analyse SIPD durant la phase d’analyse préliminaire pour évaluer la conformité du projet à la législation de la protection des données et détermine à l’aide d’une classification du besoin de protection si le projet informatique présente des exigences poussées en matière de SIPD. 3 Les exigences SIPD sont poussées, en particulier, lorsque  a la valeur de remplacement de l’infrastructure est élevée, b une défaillance des systèmes TIC pendant plus d’un jour ouvré aurait des  conséquences graves pour l’accomplissement des tâches, c la  restauration  des  données  impliquerait  des  problèmes  ou  des  coûts  considérables, d les  données  traitées  sont  soumises  à  des  prescriptions  légales  ou  contractuelles  concernant  le  maintien  du  secret  (p.  ex.  secret professionnel), ou  e une violation de la protection des données aurait des conséquences très dommageables pour les intéressés, ce qui est généralement le cas lors du traitement de données particulièrement dignes de protection.       3  152.040.2  4 S’il ressort de l’analyse SIPD qu’il n’existe pas d’exigences SIPD poussées, le service responsable s’assure, lors de la mise en service de l’application TIC, que les prescriptions déterminantes en matière de protection des données sont respectées et que la sûreté de l’information est garantie au minimum par la mise en oeuvre des mesures de protection de base SIPD. 5 Si  l’analyse  met  en  lumière  des  exigences  SIPD  poussées,  il  convient d’élaborer un concept SIPD au plus tard durant la phase de conception. Ce concept doit, à partir d’une analyse des risques,  a définir les mesures organisationnelles et techniques supplémentaires qui, une  fois  les  mesures  de  protection  de  base  SIPD  mises  en  œuvre, s’avèrent  nécessaires  pour  procurer  une  sûreté  appropriée  de l’information et une protection adéquate des données, et  b créer les conditions pour que ces mesures soient mises en œuvre dès la mise en service de l’application TIC.  Art.  6 Documents requis pour l’autorisation des projets TIC et des  dépenses correspondantes  1 Les demandes d’autorisation de crédit et les documents destinés au contrôle préalable  des  traitements  de  données  (art.  17a  LCPD)  contiennent  les documents SIPD élaborés, qui doivent avoir été visés par le ou la responsable SIPD du projet. 2 Si  le  projet  présente  des  exigences  SIPD  poussées,  la  demande d'autorisation de crédit contient aussi une prise de position du Bureau cantonal pour la surveillance de la protection des données, qui évalue si la LCPD et les autres dispositions SIPD sont respectées (rapport de contrôle préalable). 3 Les documents SIPD soumis au Bureau cantonal pour la surveillance de la protection  des  données  sont  en  même  temps  remis  au  ou  à  la  déléguée cantonale à la sécurité informatique du canton (DSI BE, art. 10). 4 Lorsque  des  indemnités  sont  octroyées  en  faveur  de  projets  assortis  de conditions SIPD pour lesquels une autre norme SIPD a été choisie (art. 2, al. 3), les documents requis selon cette norme sont fournis à la place de l’analyse et  du  concept  SIPD.  Dans  ce  cas,  les  alinéas  2  et  3  s’appliquent indépendamment du fait que le projet présente ou non des exigences SIPD poussées. Les documents définissant la norme SIPD choisie doivent aussi être fournis sur demande.       152.040.2  4  Art.  7 Conséquences en cas de non-respect 1 En cas d’omission de l’analyse SIPD ou d’un concept SIPD actuel,  ou s’il s’avère  à  l’examen  que  le  projet  informatique  n’est  pas  conforme  aux prescriptions en matière de protection des données ou qu’il ne garantit pas la sûreté  de  l’information,  le  mandant  ne  donne  son  feu  vert  pour  la  phase ultérieure du projet qu’à la condition que ces défauts soient corrigés, et la mise en service n’est pas autorisée avant que cette correction ait été effectuée. 2 La sûreté de l’information n’est pas garantie, en particulier, lorsque la mise en service  de  l’application  TIC  présente  encore  des  risques  jugés  élevés  en matière de sécurité.  3 SIPD dans les applications TIC existantes  Art.  8 1 Une analyse SIPD doit être réalisée pour toutes les applications TIC qui n’ont pas fait l’objet d’une telle analyse dans le cadre de l’étape de projet. 2 Pour les applications qui présentent un besoin de protection poussée du fait de la classification du besoin de protection, il convient de définir un concept SIPD comprenant  notamment  une  analyse  des  risques  et  une  planification contraignante des mesures à adopter pour éliminer les risques importants.  4 SIPD dans les composants TIC  Art.  9 1 Les  composants  TIC  sont  les  parties  matérielles  et  immatérielles  de l'infrastructure TIC utilisées par les applications pour le traitement électronique des données, par exemple les appareils avec ou sans fonctions de traitement propres, les processus ou les offres de prestations («services»). 2 Pour les composants TIC dont la sécurité informatique et la protection des données ne sont pas déjà intégrées au concept SIPD d’un projet  ou d’une application, il convient de garantir au moins la protection de base SIPD. 3 Si  le  projet  ou  l’application  pour  lequel  ou  laquelle  les  composants  sont utilisés révèle un besoin de protection plus poussé, le service responsable du projet  ou  de  l’application  prévoit  les  mesures  de  sécurité  et  de  protection appropriées,  ou  s’accorde  à  ce  sujet  avec  le  service  responsable  des composants.       5  152.040.2  4 Les mesures de sécurité et de protection mises en œuvre font l’objet d’une documentation  appropriée.  Le  Bureau  cantonal  pour  la  surveillance  de  la protection  des  données  et  le  ou  la  DSI  BE  doivent  pouvoir  consulter  la documentation sur demande.  5 Surveillance et dispositions d’exécution  Art.  10 Surveillance 1 Il  incombe  au  Bureau  cantonal  pour  la  surveillance  de  la  protection  des données de surveiller que les dispositions sur la protection des données sont respectées et que la sûreté de l’information est garantie en ce qui concerne le traitement des données personnelles (art. 34 LCPD). 2 Il travaille conjointement avec le ou la DSI BE, qui l’assiste dans sa tâche de surveillance. 3 Il  incombe  au  DSI  BE  ou  à  la  DSI  BE  de  surveiller  que  la  sûreté  de l’information est garantie dans les activités qui n’impliquent pas le traitement de données personnelles. Il ou elle peut être invitée à coopérer aux projets TIC en tant que conseiller ou conseillère. 4 Les services soumis à la présente ordonnance (art.  2, al.  2) remettent au Bureau pour la surveillance de la protection des données et au DSI BE ou à la DSI BE, pour information, leurs instructions en matière de SIPD une semaine au  plus  tard  avant  de  les  édicter.  Le  Bureau  pour  la  surveillance  de  la protection des données et le ou la DSI BE doivent être dûment associés aux projets normatifs importants en matière de SIPD.  Art.  11 RSI BE 1 Les Directions et la Chancellerie d’Etat désignent un ou une responsable de la sécurité informatique (RSI BE) en tant que principale personne de contact du DSI BE ou de la DSI BE.  Art.  12 Instructions de l’Office d’informatique et d’organisation 1 Après avoir consulté les Directions, la Chancellerie d’Etat, le Bureau pour la surveillance  de  la  protection  des  données  et  la  Conférence  informatique cantonale  (CIC),  l’Office  d’informatique  et  d’organisation  (OIO)  édicte  les instructions d’exécution nécessaires, concernant notamment  a l’analyse SIPD et la classification du besoin de protection à réaliser pour les projets TIC,  b le concept SIPD à définir pour les projets TIC,       152.040.2  6  c la protection de base SIPD à respecter, d les  conditions  générales  SIPD  du  canton  (CG  SIPD)  qui  doivent  impérativement être respectées ou prescrites pour les projets TIC. 2 Les conditions générales SIPD au sens de l’alinéa 1, lettre d peuvent prévoir que  les  réglementations  contractuelles  doivent  contenir  au  cas  par  cas  les bases SIPD élaborées conformément à l’alinéa 1, lettres a à c. 3 L’OIO met à disposition des outils adéquats (explications, listes de contrôle, etc.) et fournit une offre de conseil et de formation appropriée.  Art.  13 Entrée en vigueur 1 La présente ordonnance entre en vigueur le 1er avril 2011.  Berne, le 3 janvier 2011 La directrice des finances: Simon       7  152.040.2  Tableau des modifications par date de décision  Décision Entrée en  vigueur  Elément Modification Référence ROB  03.01.2011 01.04.2011 Texte législatif première version 11-12       152.040.2  8  Tableau des modifications par disposition  Elément Décision Entrée en  vigueur  Modification Référence ROB  Texte législatif 03.01.2011 01.04.2011 première version 11-12