Section 4 Données traitées, collecte des données et délai de conservation

¹Les données concernant les personnes suivantes peuvent être traitées dans les systèmes IAM et les services d’annuaires:

a.

membres de l’administration fédérale centrale au sens de l’art. 7 OLOGA¹⁷;

b.

membres de l’administration fédérale décentralisée au sens de l’art. 7a OLOGA;

c.

membres de l’Assemblée fédérale et des Services du Parlement au sens du titre 4, chap. 7, de la loi du 13 décembre 2002 sur le Parlement¹⁸;

d.

personnes élues par l’Assemblée fédérale au sens de l’art. 168 de la Constitution¹⁹;

e.

membres du Tribunal fédéral, du Tribunal administratif fédéral, du Tribunal pénal fédéral et du Tribunal fédéral des brevets, sauf disposition contraire de la législation;

f.

membres du Ministère public de la Confédération au sens des art. 7 à 22 de la loi du 19 mars 2010 sur l’organisation des autorités pénales (LOAP)²⁰;

g.

membres du Secrétariat de l’Autorité de surveillance du Ministère public de la Confédération au sens de l’art. 27, al. 2, LOAP;

h.²¹

les militaires et les membres de la protection civile.

²Peuvent en outre être traitées les données concernant les membres des entreprises suivantes, pour autant que ceux-ci soient régulièrement en contact avec des organes au sens de l’al. 1:

a.

Chemins de fer fédéraux;

b.

La Poste Suisse;

c.

RUAG;

d.

Caisse nationale suisse d’assurance en cas d’accidents.

³Par ailleurs, les données concernant les personnes suivantes peuvent être traitées dans les systèmes IAM et les services d’annuaires:

a.

personnes externes exerçant une activité pour des organes au sens des al. 1 ou 2;

b.

personnes externes qui, pour d’autres motifs, ont accès à des informations, des moyens informatiques, des locaux et d’autres infrastructures de l’administration fédérale.

Les données concernant les personnes suivantes peuvent être traitées dans les systèmes IAM en plus des données au sens de l’art. 8:

a.

membres d’autorités cantonales ou communales, si ces personnes utilisent des systèmes d’information mis à disposition par la Confédération;

b.²²

particuliers et représentants d’organisations qui accèdent à des systèmes d’information mis à disposition par la Confédération ou, pour l’exécution du droit cantonal, par les cantons et les communes ainsi que par des organisations et personnes de droit public ou de droit privé, tels que les applications de cyberadministration.

Les données des membres d’autorités cantonales ou communales et d’autres entreprises liées à la Confédération que celles mentionnées à l’art. 8, al. 2, qui utilisent un certificat numérique de la Confédération peuvent être traitées dans les services d’annuaires en plus des données au sens de l’art. 8.

¹Les données personnelles énumérées dans l’annexe peuvent être traitées dans les systèmes IAM, les services d’annuaires et la base centralisée des identités visée à l’art. 13.

²Aucun profilage au sens de l’art. 5, let. f et g, de la loi fédérale du 25 septembre 2020 sur la protection des données²³ ne peut être effectué dans ces systèmes.²⁴

³En l’absence d’une base légale particulière en la matière, aucune donnée sensible ne peut être traitée dans ces systèmes. Fait exception le traitement de données biométriques par les systèmes IAM à des fins d’identification des personnes visées aux art. 8 et 9, let. a, en fonction du risque (art. 20, al. 2, LSI).²⁵

⁴Les données assorties d’un astérisque dans l’annexe concernant des personnes mentionnées à l’art. 8 peuvent être publiées dans un service d’annuaires qui est accessible à toutes les personnes y figurant.

¹Les systèmes IAM et les services d’annuaires peuvent obtenir automatiquement les données relatives aux personnes gérées dans le système d’information pour la gestion des données du personnel (IGDP) au sens de l’art. 34 de l’ordonnance du 22 novembre 2017 concernant la protection des données personnelles du personnel de la Confédération²⁶.²⁷

²Ils peuvent obtenir automatiquement auprès des organes concernés au sens de l’art. 8 les données des personnes ne figurant pas dans IGDP²⁸, dans la mesure où ces groupes de personnes ont besoin d’accéder à des systèmes d’information ou à d’autres ressources de la Confédération.

³Ils peuvent obtenir automatiquement auprès des systèmes d’information concernés les données des personnes externes qui accèdent régulièrement aux ressources de la Confédération.

⁴Ils peuvent obtenir automatiquement les données de personnes externes auprès des systèmes IAM externes raccordés aux systèmes IAM de la Confédération conformément aux art. 21 à 24.²⁹

¹L’OFIT exploite une base centralisée des identités pour distribuer les données des utilisateurs aux différents systèmes IAM et services d’annuaires. Toutes les données personnelles mentionnées dans l’annexe peuvent être traitées dans cette base. Le secteur TNI est l’organe responsable au sein de la Confédération.

²IGDP transmet régulièrement à la base centralisée des identités les données mentionnées dans l’annexe, pour autant que ces dernières soient disponibles. Toute obtention automatique de données personnelles depuis IGDP est réalisée grâce à ce distributeur, à l’exception de l’obtention directe des données de base du personnel dans l’environnement SAP pour les systèmes SAP autorisés.

³Les données personnelles au sens de l’art. 8, al. 1, let. c, et 3, sont transmises aux Services du Parlement pour y être reprises et harmonisées.

⁴Les données peuvent être transmises de manière automatisée à d’autres systèmes d’information internes à l’administration fédérale, dans lesquels elles sont reprises et harmonisées, à condition que le système concerné:

a.³⁰

dispose d’une base légale prévoyant le traitement des données à transmettre et d’un règlement de traitement au sens de l’art. 6 de l’ordonnance du 31 août 2022 sur la protection des données (OPDo)³¹, et

b.

ait été annoncé au Préposé fédéral à la protection des données et à la transparence conformément à l’art. 12, al. 4, de loi fédérale du 25 septembre 2020 sur la protection des données³².³³

^4bisLe numéro AVS n’est transmis que si son utilisation est annoncée à la Centrale de compensation conformément à l’art. 134^ter du règlement du 31 octobre 1947 sur l’assurance-vieillesse et survivants³⁴.³⁵

⁵Les données nécessaires à la publication de l’Annuaire fédéral au sens de l’art. 5 de l’ordonnance du 29 octobre 2008 sur l’organisation de la Chancellerie fédérale³⁶ sont transmises régulièrement à cette dernière.

¹Lorsqu’une personne n’est plus soumise à la présente ordonnance, ses données figurant dans les systèmes IAM et les services d’annuaires sont détruites au plus tard après deux ans.

²Les dispositions de l’art. 20, al. 2, LSI relatives à la destruction des données biométriques sont réservées.³⁷