La présente ordonnance définit les organes, stratégies et procédures nécessaires:

a.

à la mise à disposition des utilisateurs de services numériques répondant à leurs besoins;

b.

à la numérisation, l’automatisation et l’intégration des processus d’affaires;

c.

à l’utilisation et l’échange des données et à la normalisation de leur signification;

d.

à la gouvernance de l’informatique dans le respect des principes d’adéqua­tion, d’interopérabilité, de rentabilité et de sécurité;

e.

à la promotion de normes informatiques ouvertes et reconnues;

f.

à l’optimisation du soutien à la réalisation des objectifs communs de la Confédération, des cantons et des communes en matière de cyberadministration.

¹ La présente ordonnance s’applique aux unités de l’administration fédérale centrale au sens de l’art. 7 de l’ordonnance du 25 novembre 1998 sur l’organisation du gouvernement et de l’administration (OLOGA)².

² Peuvent, sous réserve d’autres dispositions d’organisation contenues dans le droit fédéral, se soumettre par un accord avec le secteur Transformation numérique et gouvernance de l’informatique de la Chancellerie fédérale (secteur TNI de la ChF) à la présente ordonnance, à l’ordonnance du 27 mai 2020 sur les cyberrisques³ et à l’ordonnance GEVER du 3 avril 2019⁴, y compris aux directives fondées sur celles-ci:

a.

les unités de l’administration fédérale décentralisée au sens de l’art. 7a OLOGA;

b.

les autres autorités fédérales;

c.

les organisations et les personnes de droit public ou privé extérieures à l’administration fédérale auxquelles sont confiées des tâches administratives de la Confédération au sens de l’art. 2, al. 4, LOGA;

d.

les institutions proches de la Confédération qui poursuivent un but d’intérêt public et qui recourent à des services de l’administration fédérale centrale s’inscrivant dans le champ d’application de la présente ordonnance.

³ L’accord peut porter uniquement sur une partie des dispositions visées à l’al. 2 si des raisons objectives le justifient et qu’un niveau de sécurité approprié soit main­tenu.

⁴ Le secteur TNI de la ChF propose des accords-types.

⁵ Il consulte le Centre national pour la cybersécurité pour les accords et les accords-types qui ont une incidence sur la cybersécurité.

Sauf disposition contraire de la présente ordonnance, les départements et la Chancellerie fédérale sont responsables de la transformation numérique dans leurs domaines de compétences respectifs et règlent la gouvernance de l’informatique dans ces domaines.

¹ Le secteur TNI de la ChF édicte pour l’ensemble des autorités, organisations et personnes visées à l’art. 2 des directives générales et abstraites portant sur:

a.

les stratégies partielles, à savoir sur les lignes directrices qui définissent l’orientation générale de la TNI, la délimitation de son utilisation et la planification du développement de certains de ses aspects à moyen terme;

b.

les processus TNI, à savoir sur la manière dont les tâches liées à la TNI doivent être accomplies, et les instruments d’aide à utiliser;

c.

l’architecture d’entreprise, à savoir sur l’articulation des processus d’affai­res, des modèles de données, des technologies ou des produits et services informatiques, entre les départements;

d.

les normes, à savoir sur la définition des produits, interfaces ou technologies qui découlent de l’architecture d’entreprise et qui sont nécessaires pour assurer l’interopérabilité, la rentabilité ou la sécurité;

e.

les services standard, à savoir sur les prestations en matière de transformation numérique ou d’informatique, gérées de manière centralisée, fréquemment utilisées dans l’administration fédérale et répondant à des exigences identiques ou similaires; une directive définissant un service standard établit notamment la responsabilité de la fourniture et de la gestion du service standard, l’acquisition des prestations, le financement général et le contrôle de la qualité des prestations fournies;

f.

la gestion de portefeuille TNI, à savoir sur toutes les activités nécessaires à la coordination des études, programmes et projets en matière de transformation numérique et sur le regroupement des applications ou services informatiques au niveau de l’administration fédérale, et les mesures qui s’y rapportent;

g.

le contrôle de gestion, à savoir sur la collecte, le traitement, la vérification et l’interprétation d’informations servant à la TNI, et les mesures qui s’y rapportent.

² Il consulte au préalable le Conseil TNI.

³ Il décide de dérogations aux directives qu’il a édictées.

⁴ Il peut déléguer des décisions de portée mineure concernant ces dérogations:

a.

aux départements et à la Chancellerie fédérale;

b.

à des groupes de travail;

c.

à des responsables de programmes ou de projets.

¹ Le chancelier de la Confédération décide, sur proposition du secteur TNI de la ChF et après avoir entendu la CSG, des directives qui portent sur les services standard avec obligation d’achat et sur les projets TNI clés.

² Il décide, après avoir entendu la CSG, de dérogations aux directives qu’il a édictées.

³ Il peut déléguer des décisions de portée mineure concernant ces dérogations au secteur TNI de la ChF.

¹ La procédure de règlement des différends vise à régler un différend entre un département et le secteur TNI de la ChF portant sur:

a.

l’établissement d’une directive du secteur TNI de la ChF;

b.

l’octroi d’une dérogation aux directives du secteur TNI de la ChF.

² Le département notifie le différend au secteur TNI de la ChF.

³ Le secteur TNI de la ChF informe les membres du Conseil TNI et soumet sans tarder le différend à la CSG, à l’intention du chancelier de la Confédération.

⁴ Le chancelier de la Confédération tranche le différend, après avoir entendu la CSG.

Les projets TNI clés de l’administration fédérale sont les projets ou programmes en matière de TNI qui nécessitent un renforcement de la conduite stratégique et opérationnelle, de la coordination et des vérifications en raison:

a.

des ressources qu’ils requièrent;

b.

de leur importance stratégique;

c.

de leur complexité, ou

d.

des risques qu’ils présentent.

Le chancelier de la Confédération détermine les projets TNI clés de l’administration fédérale sur proposition du secteur TNI de la ChF, après avoir entendu la CSG.

¹ Le secteur TNI de la ChF fait régulièrement rapport à la CSG sur les projets TNI clés de l’administration fédérale, en consolidant les rapports que lui remettent les unités administratives chargées de ces projets.

² Si nécessaire, le chancelier de la Confédération propose des mesures correctives au Conseil fédéral, après avoir entendu la CSG.

¹ Le système de gestion des données de référence (GDR) permet de gérer et de mettre à disposition de manière centralisée les données nécessaires à l’exécution électronique des processus de soutien en matière de finances, d’acquisition, de gestion immobilière et de logistique (processus de soutien pris en charge).

² Les données centralisées du GDR peuvent au surplus être utilisées pour mettre à jour les données des registres de la Confédération si les bases légales du registre correspondant le permettent.

³ En plus des données centralisées, d’autres données personnelles peuvent être gérées dans le GDR comme des données de référence, pour autant qu’un autre acte fédéral le prévoie et règle le traitement des données, notamment le but du traitement, l’étendue des données, les sources des données, les droits d’accès et la responsabilité de la protection des données.

Dans le contexte du GDR, on entend par:

a.

unité GDR: toute personne, entreprise ou exploitation suisse ou étrangère, quelle que soit sa nature juridique, dont les données sont traitées dans le GDR;

b.

données de référence GDR: les données des unités GDR qui sont nécessaires pour exécuter les processus de soutien pris en charge.

¹ L’AFF est responsable de l’exploitation et de la sécurité du GDR. Elle gère les données visées à l’art. 26, al. 1, let. a à h, et elle est responsable de leur protection.

² Chaque autorité, organisation et personne visée à l’art. 2, qui utilise un processus de soutien pris en charge peut gérer dans le GDR sa propre base de données visées à l’art. 26, al. 1, let. i. Elle est responsable de la protection de ces données.

¹ Les données suivantes sont gérées de manière centralisée dans le GDR:

a.

numéro d’identification non personnel;

b.

données d’identification, par ex. nom, prénom, date de naissance;

c.

langue;

d.

coordonnées personnelles, par ex. adresses postales, adresses électroniques, numéros de téléphone;

e.

forme juridique;

f.

informations sur le secteur;

g.

coordonnées bancaires, par ex. titulaire du compte, numéro du compte, banque;

h.

numéros de registre permettant d’identifier de manière univoque une unité GDR;

i.

autres données requises pour l’exécution des processus de soutien pris en charge, à savoir:

1. données comptables internes à la Confédération,

2.

données relatives aux rappels,

3.

conditions de vente,

4.

conditions d’achat.

² Aucune donnée sensible et aucun profil de la personnalité ne peuvent être gérés dans le GDR.

¹ Les données centralisées dans le GDR proviennent des sources suivantes:

a.

unités GDR actuelles et futures;

b.

autorités, organisations et personnes visées à l’art. 2, qui ont accès aux données centralisées dans le GDR;

c.

registres suivants de la Confédération:

1.

registre d’identification des entreprises de l’OFS,

2.

registre des entreprises et des établissements de l’OFS,

3.

répertoire officiel des localités avec le code postal et le périmètre,

4.

répertoire officiel des rues,

5.

répertoire officiel des adresses de bâtiments,

6.

système d’information géographique de l’Office fédéral de l’agricul­ture,

7.

système d’information central sur la migration,

8.⁵

registre central des assurés AVS;

d.

systèmes d’information de La Poste Suisse pour la validation des adresses des personnes et des entreprises en Suisse;

e.

banques de données accessibles au public.

² L’autorité, organisation ou personne responsable en vertu de l’art. 25 reprend les données de la source, les enregistre et les modifie dans le GDR, après avoir effectué les vérifications nécessaires.

³ Les données peuvent être reprises, enregistrées et modifiées au moyen d’une interface entre le GDR et le système source concerné.

¹ Les autorités, organisations et personnes visées à l’art. 2, reçoivent un accès:

a.

aux données visées à l’art. 26, al. 1, let. i, qu’elles gèrent elles-mêmes dans le GDR;

b.

aux données visées à l’art. 26, al. 1, let. a à h, dans la mesure où elles en ont besoin pour exécuter des processus de soutien pris en charge.

² L’accès peut être accordé au moyen d’une interface avec les systèmes d’infor­mation concernés.

L’AFF peut, au moyen d’une interface, mettre à disposition des données centralisées en vue de la mise à jour d’autres registres.

¹ Les données centralisées dans le GDR sont conservées pendant 30 ans à partir du dernier traitement des données, mais au plus pendant 10 ans après la fin de l’existen­ce de l’unité GDR concernée, notamment après son décès ou sa radiation du registre du commerce.

² À l’expiration du délai, l’AFF marque les blocs de données de référence comme effacés, sauf si une loi fédérale en interdit l’effacement.

³ Les données marquées comme effacées ne sont plus utilisées pour l’exécution des processus de soutien pris en charge ou pour la mise à jour des registres de la Confédération. L’AFF les communique au cas par cas si la reconstitution d’anciens blocs de données tenus hors du GDR l’exige.

⁴ Le droit de demander la destruction des données prévu par la législation sur la protection des données est réservé.

¹ Les services de la Confédération qui gèrent des applications spécialisées des domaines judiciaire et policier collaborent avec les cantons afin d’harmoniser ces applications.

² Les modalités de la collaboration, notamment la création d’organes communs à la Confédération et aux cantons, sont fixées dans des conventions conclues avec les cantons.

³ Les départements concernés peuvent conclure des conventions d’exécution pour les différents projets. Celles-ci doivent respecter les prescriptions de la présente ordonnance.

⁴ Les départements concernés informent les organes communs des projets en cours et futurs portant sur des applications spécialisées des domaines judiciaire et policier. Ils veillent à ce que ces dernières soient conformes aux décisions prises par les organes communs.

¹ L’inscription au budget et sur le compte d’État de la Confédération des ressources affectées à l’informatique s’effectue en principe de manière décentralisée.

² Le secteur TNI de la ChF fournit les instruments nécessaires à la gestion des ressources TNI et coordonne l’utilisation de ces ressources en accord avec les départements et assure le contrôle interdépartemental de gestion.

³ Les fournisseurs internes de prestations tiennent une comptabilité analytique étendue et présentent périodiquement au secteur TNI de la ChF, de manière transparente, les coûts et recettes des services standard.

¹ Le Conseil fédéral décide, dans le cadre du processus budgétaire de la Confédération, des ressources à affecter de manière centralisée.

² Le chancelier de la Confédération décide, sur proposition du secteur TNI de la ChF et après avoir entendu la CSG, de l’attribution de ces ressources centralisées inscrites au budget de la Confédération.

³ Le secteur TNI de la ChF peut attribuer, dans le cadre de l’exécution budgétaire et après avoir entendu le Conseil TNI, des ressources affectées de manière centralisée:

a.

que le chancelier de la Confédération n’a pas attribuées;

b.

que le chancelier de la Confédération a attribuées, mais qui n’ont pas été utilisées.

⁴ Il gère les ressources inscrites au budget de manière centralisée.

¹ L’audit de l’informatique obéit aux principes de la surveillance financière au sein de la Confédération.

² Il est effectué par le Contrôle fédéral des finances (CDF).

³ Les départements, la Chancellerie fédérale et le secteur TNI de la ChF peuvent proposer au CDF des audits dans le domaine de la TNI.

¹ L’ordonnance du 9 décembre 2011 sur l’informatique et la télécommunication dans l’administration fédérale (OIAF)⁶ est abrogée.

² La modification d’autres actes est réglée en annexe.

¹ Les autorités, organisations et personnes qui, avant l’entrée en vigueur de la présente ordonnance, se sont engagées par un accord avec l’Unité de pilotage informatique de la Confédération (UPIC) à respecter les dispositions de l’OIAF⁷ sont soumises jusqu’au 31 décembre 2023 à la présente ordonnance dans la mesure de l’ancien droit. Elles sont soumises à la présente ordonnance à partir du 1^er janvier 2024, à moins que l’accord ait été résilié avant cette date. Tous les droits et obligations de l’UPIC prévus dans ces accords passent au secteur TNI de la ChF.

² Les dérogations à l’OIAF ou aux directives fondées sur l’OIAF qui ont été approuvées avant l’entrée en vigueur de la présente ordonnance conservent leur validité, dans la mesure où elles ne sont pas modifiées ou abrogées par l’autorité compétente au sens de la présente ordonnance.

³ Les directives du Conseil fédéral, du Département fédéral des finances et de l’UPIC en matière informatique qui ont été adoptées avant l’entrée en vigueur de la présente ordonnance conservent leur validité, dans la mesure où elles n’entrent pas en contradiction avec la présente ordonnance et n’ont pas été modifiées ou abrogées par l’autorité compétente au sens de la présente ordonnance.

La présente ordonnance entre en vigueur le 1^er janvier 2021.