Vérification du processus d'obtention et de mises à jour des droits d'accès (2017.1866)

Comme l'exigent les règles européennes (art. 114 CAAS), il a été effectué un contrôle concernant le SIS portant sur la vérification du processus d'obtention et de mises à jour des droits d'accès.

Après quelques investigations assez chronophages et avoir établi l'inventaire de toutes les entités bénéficiant d'un accès (entités JU; entité NE), il est ressorti que :

• La majeure partie des entités concernées, à part les polices cantonales et les sécurités publiques communales, ne paraissaient pas être clairement au courant du processus d'obtention d'un accès au SIS, ni des obligations à respecter.

L'obtention des accès de la PONE, des sécurités publiques communales, de la POC et des polices locales jurassiennes est gérée par des collaborateurs des polices cantonales chargés d'examiner le bienfondé des demandes et de les transmettre à Fedpol.

Le service de la population jurassienne (SPOP), le service des migrations neuchâtelois (SMIG) et les autorités chargées du relevé et de la saisie des données biométriques, doivent s'adresser directement au secrétariat d'Etat pour la migration. Les services des autos neuchâtelois et jurassiens (SCAN et OVJ) doivent quant à eux s'adresser à l'Office fédéral de la circulation routière et les services cantonaux d'application des peines et mesures à l'unité fédérale d'exécution des peines et mesures. Dans ces cas-là, il appartient aux chefs des services cantonaux de juger du bienfondé des demandes à transmettre aux autorités fédérales, sous l'angle des règles de la protection des données.

• Un retraité du service des migrations neuchâtelois (SMIG) bénéficiait toujours des accès en raison de dossiers non clôturés auxquels il participait encore.

• Des personnes bénéficiaient d'accès alors qu'elles travaillaient dans un autre service et  n'avait qu'un statut de remplaçant dans celui qui bénéficiait d'accès au SIS.

• Une greffière du tribunal bénéficiait toujours d'un accès, alors qu'elle avait quitté la police depuis 9 ans. Cela s'est expliqué par le fait que son accès à VOSTRA utilise la même plateforme que le SIS.

Ces démarches ont aussi permis de constater que la loi fédérale sur les systèmes d'information de police de la Confédération (LSIP)  et N-SIS détermine des tâches dont l'attribution est souvent difficile à retrouver clairement dans le droit cantonal. Quel service accomplit la tâche décrite au niveau fédéral ?

Elles ont surtout permis de découvrir que le contrôle automatique sur la légitimité actuelle d'un accès se faisait par rapport à la plateforme de connexion et non pas par rapport à l'utilisation du système d'information lui-même. Comme l'illustre le cas mentionné plus haut, le processus de contrôle automatique n'a pas détecté le cas d'une collaboratrice qui ayant changé de fonction, avait besoin d'accéder à la même plateforme de connexion qu'auparavant, mais a conservé son droit d'accès à SIS, alors que l'accomplissement de ses nouvelles tâches légales ne légitimait qu'un accès à VOSTRA.

En conclusion, il sera demandé aux entités concernées de formaliser le processus de demande d'accès et du retrait d'accès afin d'éviter les problèmes susmentionnés.