Publié le 6 juillet 2023. Un rapport accablant de la Commission parlementaire zurichoise (PUK) révèle des années de négligence en matière de sécurité des données au sein du Département de justice, avec des informations sensibles ayant potentiellement été compromises.
- Le rapport de la PUK critique sévèrement le manque de leadership et de coordination au sein de l’administration zurichoise concernant la protection des données.
- Des données judiciaires confidentielles, incluant des numéros de téléphone de policiers, des adresses privées et même des rapports psychiatriques, ont été exposées pendant plus d’une décennie.
- La communication de la directrice de la justice, Jacqueline Fehr, est également remise en question pour son manque de transparence initiale.
Le rapport final de la PUK, rendu public vendredi, met en lumière des défaillances systémiques dans la gestion des données sensibles du Département de justice (JI) de Zurich. L’enquête a révélé que des informations hautement confidentielles ont été compromises pendant des années, soulevant de sérieuses questions sur la sécurité et la responsabilité au sein de l’administration cantonale.
Selon le rapport, le Conseil cantonal zurichois a accordé une attention insuffisante à la sécurité de l’information, la considérant comme une tâche secondaire plutôt qu’une priorité cantonale. Le manque de directives claires et de soutien adéquat a conduit à des pratiques inappropriées en matière de gestion des données, notamment l’élimination inadéquate des anciens supports de stockage. Jacqueline Fehr, la directrice de la justice, avait déjà qualifié la situation de « non professionnelle, négligente et potentiellement criminelle ».
La PUK critique également le manque de prévoyance du canton, qui n’a pas mis en place une approche globale et uniforme en matière de sécurité de l’information. L’absence de réglementations contraignantes au niveau des ordonnances a laissé une trop grande autonomie aux différentes directions et à la Chancellerie d’État. Malgré les avertissements répétés du délégué à la protection des données, de la commission d’audit, de la commission des finances et du service de contrôle financier, aucune mesure corrective n’a été prise pendant longtemps.
L’enquête a permis de délimiter la période de l’incident de sécurité des données au sein du JI entre 2002 et 2014. Les circonstances entourant l’attribution du contrat à un prestataire de services externe restent floues, en l’absence de contrats écrits et de preuves de la suppression sécurisée des données. La supervision interne et la documentation étaient manifestement insuffisantes, avec un ancien chef de département décrit comme un « patron de la vieille école » ayant un style de leadership autoritaire.
Le rapport souligne également des lacunes dans la communication de la directrice de la justice. Lors d’une première information orale au Conseil cantonal en novembre 2020, Jacqueline Fehr aurait présenté l’incident de manière si désinvolte que la plupart des membres n’en ont pas gardé un souvenir précis. De plus, des commissions importantes et le délégué à la protection des données n’ont pas été pleinement informés de l’ampleur du scandale.
La PUK a approuvé à l’unanimité un rapport final contenant 50 recommandations visant à renforcer la sécurité de l’information et la protection des données au sein de l’administration zurichoise. Ces recommandations incluent une coopération plus étroite, des réglementations uniformes, une responsabilité gouvernementale partagée et une amélioration du reporting et de la supervision des projets informatiques.
À lire aussi
