La Personensicherheitsprüfung (PSP, contrôle de sécurité du personnel) est l’instrument de la Confédération suisse pour vérifier les personnes ayant accès à des informations classifiées ou à des systèmes fédéraux critiques. Depuis le 1er janvier 2024, elle est régie par la loi sur la sécurité de l’information (Informationssicherheitsgesetz, ISG, RS 128) et par la nouvelle ordonnance sur le contrôle de sécurité du personnel (PSPV, RS 128.31) : il existe deux niveaux de contrôle — le contrôle de sécurité de base et le contrôle de sécurité étendu (art. 30 ISG) —, le contrôle n’est effectué qu’avec le consentement de la personne concernée (art. 32 ISG), et il est réalisé par les unités PSP spécialisées au sein du DDPS (Département fédéral de la défense, VBS). Le point décisif pour le secteur privé : la PSP est un instrument fédéral. Les employeurs privés sans lien avec la Confédération ne peuvent pas obtenir de PSP — et ont besoin de leur propre contrôle conforme à la protection des données pour les fonctions sensibles du point de vue de la sécurité.
Le nouveau cadre juridique depuis 2024
Avec l’entrée en vigueur de l’ISG, le contrôle de sécurité du personnel a été placé sur une nouvelle base légale et l’ancien paysage réglementaire a été remplacé. Les art. 30 à 32 ISG définissent les niveaux de contrôle, la procédure et l’exigence de consentement ; l’OSPP précise la procédure en détail. Il s’agit d’évaluer si une personne présente un risque pour la sécurité de l’information ou la sécurité physique de la Confédération — par exemple avant l’accès à des informations classifiées, à des ressources informatiques protégées ou à des zones sensibles du point de vue de la sécurité.
Deux niveaux de contrôle au lieu de trois
L’ISG a simplifié le système. En vertu de l’art. 30 ISG, il existe deux niveaux :
- Contrôle de sécurité de base : le niveau standard pour les fonctions avec accès à des informations classées confidentielles ou à des zones de sensibilité comparable.
- Contrôle de sécurité étendu : le niveau approfondi pour les fonctions avec un accès plus étendu, par exemple à des informations classées secrètes — avec une collecte de données correspondante plus large.
La fonction soumise à tel ou tel niveau découle des listes de fonctions des autorités compétentes ; la profondeur du contrôle suit donc la sensibilité de la fonction, et non la personne.
Procédure, consentement et issue
La PSP est effectuée par les unités PSP spécialisées au sein du DDPS et requiert obligatoirement le consentement de la personne contrôlée (art. 32 ISG) — pas de consentement, pas de contrôle. L’unité spécialisée collecte les données prévues par la loi, évalue le risque et rend une décision formelle. Pour les organismes requérants, cela signifie : la PSP est une procédure administrative formelle avec un délai correspondant, qu’il faut intégrer à la planification du recrutement. Le rapport entre contrôle étatique de sécurité et screening côté employeur est exposé en principe — d’un point de vue allemand, mais transposable dans sa logique — dans l’article Contrôle étatique de sécurité vs. screening de l’employeur.
Qui ne peut pas obtenir de PSP — et ce qui s’applique alors
La PSP n’est disponible que pour les fonctions ayant un lien avec la Confédération : personnel fédéral, membres des forces armées et employés des cantons et de tiers dans la mesure où ils travaillent sur des projets fédéraux classifiés ou sur des ressources informatiques fédérales. Pour les fournisseurs, cela signifie une répartition en deux : ceux qui travaillent sur un projet fédéral classifié peuvent entrer dans le champ de la PSP pour les personnes qui y sont déployées — pour tous les autres employés et engagements, cela ne s’applique pas. Une entreprise privée — la banque, le fournisseur d’énergie, l’hôpital, le fournisseur de technologie sans contrat fédéral — ne peut pas demander de PSP pour ses propres fonctions sensibles. Cela concerne précisément les exploitants d’infrastructures critiques en Suisse, dont les fonctions de salle de contrôle, de réseau et d’informatique sont très sensibles tout en se situant hors de la protection fédérale des informations classifiées. Le contrôle d’intégrité de ces fonctions relève donc entièrement de la responsabilité de l’employeur : structuré, proportionné et transparent selon les exigences de la loi suisse révisée sur la protection des données (nLPD, RS 235.1). Le critère est la pertinence pour l’aptitude à la fonction spécifique — une profondeur de contrôle échelonnée selon le poste plutôt qu’une recherche maximale uniforme. Ce qui s’applique en droit du travail et en droit de la protection des données est examiné en profondeur dans l’article Background checks en Suisse.
Conduite recommandée
Clarifiez d’abord si vos fonctions sensibles du point de vue de la sécurité ont un lien avec la Confédération — ce n’est qu’alors que la voie passe par les unités PSP spécialisées. Pour toutes les autres fonctions, définissez votre propre concept de contrôle : classez les fonctions par sensibilité, fixez la profondeur du contrôle par niveau, informez les personnes concernées de manière transparente et documentez chaque contrôle. Indicium fournit des rapports logiciels auditables à cet effet, avec sources datées et examen final humain (art. 22 RGPD) — dès 79 € par rapport. Nous serions heureux de vous montrer à quoi cela ressemble pour votre secteur lors d’une démo.
Cet article fournit des informations générales et ne constitue pas un conseil juridique.