Analyse des bases légales

Objectif

L'analyse des bases légales établit si une base légale suffisante couvre la solution qu'un projet prépare. HERMES 2022 donne ce but à la tâche qui la produit: garantir «que les conditions légales indispensables au projet sont remplies ou que les mesures nécessaires pour qu'elles le soient sont définies».

Le principe de légalité fonde la technique. L'art. 5 al. 1 de la Constitution fédérale le pose: «Le droit est la base et la limite de l'activité de l'État.» Selon HERMES, les bases légales «doivent être respectées dans chaque projet». Elles forment «une restriction intangible». Un projet renégocie un budget ou un délai. Une base légale, il la respecte ou il obtient qu'on la modifie.

Le livrable est le document d'analyse. HERMES en fixe le contenu en sept rubriques. La Chancellerie fédérale publie un modèle Word qui les reprend dans le même ordre.

L'analyse sert le choix de la variante et la décision sur la suite du projet. L'étude, cette décision et le mandat d'exécution reprennent ses conclusions. Le mandat d'exécution et le rapport de phase contiennent une rubrique «bases légales».

Usage

Quand l'utiliser

• Projet conduit selon HERMES: l'analyse fait partie des documents requis au minimum de la phase d'initialisation.
• Solution d'un organe fédéral qui traite des données personnelles: ce traitement exige une base légale (art. 34 LPD).
• Nouvel échange de données personnelles: une interface qui communique des données personnelles exige une base légale qui la prévoit (art. 36 LPD).
• Nouvelle tâche, nouvelle prestation, nouveaux droits ou obligations: l'art. 164 Cst. réserve leurs dispositions fondamentales à la loi fédérale.
• Essai pilote ou preuve de concept dans l'administration fédérale: l'OFJ fait consigner dans l'analyse si le test est licite.
• Prestation répartie entre commune, canton et Confédération: HERMES demande d'examiner chaque niveau et, le cas échéant, le droit international.
• Tâche existante réinterprétée ou redimensionnée: le modèle HERMES signale que la mise en œuvre peut sortir du cadre que la base légale prévoyait.
• Produit livré avec la solution: la rubrique conformité des produits relève les règles de sécurité des produits et de protection du travail qu'il doit respecter.

Quand ne pas l'utiliser

• Balayer l'environnement réglementaire en amont d'une stratégie: aucune solution n'existe encore à vérifier; mener une analyse PESTLE.
• Déterminer les besoins de protection de l'information et des données: mener l'analyse des besoins de protection.
• Traduire une loi en critères que la solution applique: l'analyse dit seulement si le droit autorise la solution; formaliser les règles avec l'analyse des règles métier.

Description

La tâche dans HERMES

HERMES 2022 range la tâche Élaborer l'analyse des bases légales dans le module Bases du projet. Elle se déroule dans la seule phase d'initialisation. Elle démarre au jalon Libération de l'initialisation du projet et part du mandat d'initialisation du projet et de la liste des parties prenantes. HERMES lui donne ces activités:

• documenter les bases légales existantes en vue du futur système;
• analyser les modifications à venir des bases légales existantes;
• identifier les lacunes potentielles des bases légales et élaborer avec les services compétents des propositions pour les combler;
• évaluer les répercussions sur l'étude et sur le déroulement du projet;
• coordonner l'analyse des bases légales avec les parties prenantes.

Le chef de projet répond de la tâche. HERMES associe au résultat le chef de projet et l'assistance de projet. La tâche porte une règle propre à HERMES: la direction de projet s'assure que «l'existence d'une base légale suffisante a été vérifiée». Elle prend pour cela contact avec l'organe compétent («généralement un service juridique ou un service responsable des questions législatives»). Si la base manque, le projet détermine avec ces services s'il faut la modifier et comment.

HERMES ne nomme pas le business analyst parmi les participants. Le juriste a pourtant besoin de ce que l'analyste connaît: les fonctions de chaque variante, leurs données, leurs échanges avec d'autres autorités et les personnes touchées. Sans l'analyste, l'analyse risque de partir d'une description de la solution trop vague pour qu'on la confronte au droit.

Les aspects juridiques d'un achat relèvent d'une autre tâche du module. HERMES les confie à l'analyse de l'appel d'offres, qui choisit aussi la procédure.

Une base légale suffisante

Une base légale existe quand un texte en vigueur couvre ce que la solution fera. Elle est suffisante quand ce texte a le niveau normatif et la précision qu'exige l'activité. Le niveau normatif distingue la loi au sens formel, que le Parlement adopte, de l'ordonnance, que le Conseil fédéral ou une autre autorité édicte. Une loi au sens matériel désigne toute règle générale et abstraite. L'ordonnance en est une. L'art. 164 al. 1 Cst. exige la forme de la loi fédérale pour «toutes les dispositions importantes qui fixent des règles de droit». Il cite entre autres la restriction des droits constitutionnels, les droits et les obligations des personnes et les tâches de la Confédération. Sauf si la Constitution l'exclut, une loi fédérale peut déléguer la compétence d'édicter des règles de droit (al. 2).

Dans un projet informatique, la question se pose d'abord pour les données personnelles. Selon l'art. 34 LPD, un organe fédéral ne traite des données personnelles que sur une base légale. L'al. 2 exige une loi au sens formel pour les données sensibles, le profilage et le traitement dont la finalité ou le mode peut porter gravement atteinte aux droits fondamentaux de la personne. Pour les données sensibles et le profilage, une ordonnance ou une autre loi au sens matériel suffit si le traitement est indispensable à une tâche définie dans une loi au sens formel et si sa finalité ne présente pas de risques particuliers pour les droits fondamentaux (al. 3). Un organe fédéral ne communique des données personnelles que sur une base légale au sens de l'art. 34 al. 1 à 3 (art. 36 al. 1 LPD). La communication suit donc les mêmes niveaux. Hors des conditions de l'al. 3, communiquer des données sensibles ou un résultat de profilage exige une loi au sens formel, quel que soit le destinataire.

Selon le guide de législation de l'OFJ consacré à la protection des données, le droit cantonal régit les traitements des organes cantonaux et communaux. Il s'applique même quand ces organes exécutent le droit fédéral ou consultent en ligne une banque de données fédérale. Une loi fédérale spéciale peut y déroger.

La précision compte autant que le niveau. Selon le même guide, la base légale doit faire connaître à la personne concernée quel organe fédéral traite quelles catégories de données dans quel but. Plus l'atteinte possible aux droits fondamentaux est grave, plus la base doit être précise. Un article qui confie une tâche à un office sans dire quelles données il traite peut donc suffire à une aide financière et manquer pour un profilage.

Les rubriques du document

Le modèle HERMES donne à chaque rubrique une consigne et un exemple. Les deux dernières restent libres.

La première rubrique écarte la protection des données et la sécurité informatique. L'exemple de lacune du même modèle porte pourtant sur la base légale d'un traitement de données. La question posée sépare les deux analyses: l'analyse des bases légales demande si le droit autorise ce traitement; l'analyse des besoins de protection demande quelles mesures protègent les données.

Les modifications attendues créent parfois de nouvelles exigences pour le projet. Le modèle note qu'elles offrent souvent aussi l'occasion de combler une lacune. Une révision déjà en préparation peut accueillir la disposition qui manque sans projet législatif propre. Le mémento de l'OFJ sur les essais pilotes y met une condition: la révision respecte le principe de l'unité de la matière.

Le modèle confronte le droit en vigueur et ses modifications prévues aux exigences sommaires de l'étude. Il signale aussi qu'une mise en œuvre peut réinterpréter ou redimensionner une tâche au-delà de ce que la base prévoyait. Il demande de détecter ce cas avant que le manque de base retarde le déploiement.

Selon le modèle, une proposition comprend un concept normatif et l'organisation de projet qui portera la modification. Le concept normatif nomme les textes à modifier et leurs principales règles. À l'OFJ, une directive fixe le contenu d'un concept normatif. Il résume les contenus normatifs en thèses et esquisse la structure de l'acte. Il propose la forme de l'acte, son niveau normatif et sa densité. Il décrit les effets sur les ressources et l'informatique. Le mémento sur les essais pilotes recommande un concept normatif dans les projets législatifs. L'OFJ publie un modèle de concept normatif (en allemand).

L'activité HERMES donne l'objet des deux dernières rubriques: les répercussions sur l'étude et sur le déroulement du projet. L'évaluation des conséquences dit, pour chaque lacune, quelle variante elle touche, quelle fonction elle retire et quelle date elle déplace. Les recommandations s'adressent au mandant, qui décide de la suite du projet.

Conduire l'analyse

1. Décrire la solution par fonction. Pour chaque variante de l'étude, l'analyste liste ce que l'autorité fera de nouveau: les décisions, les données traitées, les échanges avec d'autres organes et les personnes touchées. Le mandat d'initialisation et les exigences sommaires fournissent la matière.
2. Recenser les bases existantes par niveau. Le service juridique relève les actes communaux, cantonaux, fédéraux et internationaux applicables. Chaque entrée cite l'acte, son numéro au recueil systématique et l'article.
3. Relever les modifications attendues. Le service juridique et le service chargé de la législation signalent les révisions en préparation, leur direction et leur date d'entrée en vigueur prévue.
4. Confronter chaque fonction au droit. Pour chaque fonction, l'équipe cherche l'article qui la couvre puis vérifie son niveau normatif et sa précision. Une fonction devient une lacune quand aucun article ne la couvre ou qu'un article la couvre à un niveau trop bas.
5. Proposer pour chaque lacune. Le service compétent esquisse le concept normatif. Le projet désigne l'organisation qui portera la modification et note sa date d'entrée en vigueur probable.
6. Évaluer les conséquences. L'équipe compare cette date au calendrier de chaque variante. Une variante qui dépend d'une base absente au déploiement perd la fonction concernée ou glisse dans le temps.
7. Coordonner et faire valider. Le chef de projet coordonne l'analyse avec les parties prenantes. Le procès-verbal du modèle enregistre les versions, la vérification et la validation.

Après la phase d'initialisation, HERMES compte encore l'analyse parmi les conditions préalables des tâches qui élaborent les exigences envers la solution et les exigences organisationnelles.

Le cas des essais pilotes

Un projet qui teste une solution avant de la généraliser reste soumis au principe de légalité. Le mémento de l'OFJ sur les essais pilotes rappelle que tout traitement de données personnelles par l'État exige une base légale au niveau normatif requis, même dans un test. Il demande de tester autant que possible avec des données fictives. Pour un projet conduit selon HERMES, il fait consigner ses conclusions dans l'analyse des bases légales de la phase d'initialisation.

Le mémento ordonne ses questions de la plus générale à la plus exigeante:

1. Le droit en vigueur permet-il le test, au besoin après une révision d'ordonnance dans la marge que laisse la loi?
2. Le domaine a-t-il déjà des règles sur les essais pilotes?
3. Le Conseil fédéral peut-il autoriser le traitement selon l'art. 35 LPD?
4. Le test remplit-il les conditions d'un projet pilote selon l'art. 15 LMETA?
5. Une nouvelle disposition de loi peut-elle permettre le test?

Selon le mémento, ces questions ouvrent des voies en principe indépendantes. Dès qu'une voie fournit une base solide, il juge inutile d'examiner les autres. Il conseille un premier passage rapide sur les cinq questions dans l'ordre, puis un examen détaillé des voies prometteuses. Le projet n'examine les autres en détail que si ces voies échouent.

Avant l'entrée en vigueur d'une loi au sens formel, le Conseil fédéral peut autoriser le traitement automatisé de données sensibles, un profilage ou un traitement qui peut porter gravement atteinte aux droits fondamentaux (art. 35 LPD). Il l'autorise si:

• une loi au sens formel déjà en vigueur règle les tâches qui exigent le traitement;
• des mesures réduisent au minimum les atteintes aux droits fondamentaux;
• pour des raisons techniques en particulier, la mise en œuvre rend indispensable une phase d'essai avant l'entrée en vigueur de la loi.

Le Conseil fédéral consulte au préalable le Préposé fédéral à la protection des données et à la transparence (PFPDT). L'organe responsable remet un rapport d'évaluation au Conseil fédéral au plus tard deux ans après la mise en œuvre de l'essai pilote. Le traitement cesse si aucune loi au sens formel n'est entrée en vigueur dans les cinq ans qui suivent cette mise en œuvre.

L'art. 15 LMETA autorise un projet pilote lié à un projet législatif si sept conditions cumulatives sont remplies. Parmi elles, le cercle des personnes concernées se limite au nécessaire (let. f). Toutes ces personnes doivent avoir consenti et pouvoir retirer leur consentement à tout moment (let. g). Selon le mémento, l'art. 15 LMETA est exclu dès que le test ne peut pas recueillir le consentement de toutes les personnes touchées. Les tiers dont le test traite les données en font partie. L'article réserve l'art. 35 LPD. Le projet pilote dure deux ans au plus. Il admet une seule prolongation de deux ans. Ses dérogations se limitent à la protection des données, à la protection des informations et à la sécurité des moyens informatiques.

Les techniques voisines

Dans un projet d'administration, l'analyse des bases légales précède l'analyse des règles métier. L'analyse des règles métier traduit ensuite la loi en règles que la solution applique.

Les pièges

Inventorier sans confronter. Une liste de trente actes qui touchent le domaine ne dit rien au mandant. Seule la confrontation fonction par fonction fait apparaître une lacune.

Arriver après le choix de la variante. L'étude reprend les conclusions de l'analyse pour évaluer les variantes. Une analyse rédigée après la décision se borne à la justifier.

Juger soi-même la suffisance. Le service juridique juge le niveau normatif et la précision d'une base. Le chef de projet qui conclut seul qu'un article suffit prend une décision juridique sans en avoir la compétence.

Oublier les interfaces. Une interface qui communique des données personnelles exige une base légale au niveau que fixe l'art. 34 LPD (art. 36 al. 1 LPD). Selon l'OFJ, elle demande une base spécifique qui dit qui reçoit quelles données et dans quel but. L'exception de l'art. 36 al. 2 vise un cas d'espèce. Une interface communique en continu.

Proposer sans calendrier. Une proposition sans date d'entrée en vigueur probable ne permet pas d'évaluer les conséquences. La variante paraît réalisable jusqu'au jour où le déploiement attend la loi.

Considérations IA

Un assistant d'IA accélère le recensement. À partir de la description des variantes, il propose une première liste d'actes et d'articles candidats pour chaque fonction. Il repère les fonctions qui relèvent de l'art. 34 al. 2 LPD: un champ de données de santé, un score calculé sur des personnes. Il rédige les rubriques du modèle à partir des notes du service juridique et produit la version allemande ou française que l'équipe relit.

L'équipe vérifie sur Fedlex ou dans le recueil cantonal la version applicable de chaque article cité à la date de mise en service. Un modèle de langue peut inventer un numéro d'article plausible ou confondre les versions d'un acte révisé. Le jugement de suffisance reste au service juridique: le modèle n'évalue pas la gravité de l'atteinte dont dépend la précision requise. Un projet de révision encore interne ne part que vers un service d'IA que l'organisation a autorisé pour ce niveau de classification.

Exemples

L'analyse du portail «Aides en ligne» montre une lacune qui retire une fonction à une variante. L'équipe confronte d'abord chaque fonction des deux variantes au droit. La lacune L1 sort de la ligne du score.

Le mandant choisit la variante B en sachant ce que la variante A attend du législateur.

Visualisations

Un premier schéma montre comment naît une lacune: le service juridique et l'équipe comparent le droit en vigueur et ses modifications aux exigences sommaires de l'étude. Chaque lacune mène à une proposition, à des conséquences puis à des recommandations. Un deuxième schéma donne le niveau normatif qu'exige un traitement de données personnelles selon l'art. 34 LPD. Les rubriques du modèle, les techniques voisines, la confrontation de l'exemple et son analyse sont des lignes et des colonnes, donc des tableaux.

Coût

Outils

Le modèle Word HERMES Analyse des bases légales se télécharge depuis la page du résultat sur HERMES Online. Il contient une introduction, les sept rubriques avec leurs tableaux et un procès-verbal qui enregistre les modifications, la vérification et la validation.

Fedlex publie le recueil systématique du droit fédéral: chaque acte dans ses versions consolidées successives et la date dès laquelle chacune s'applique. L'analyste y vérifie le texte en vigueur à la date de mise en service. Fedlex publie aussi la Feuille fédérale et les procédures de consultation en cours: le service juridique et le service chargé de la législation y relèvent les révisions en préparation.

LexFind (lexfind.ch) réunit la législation fédérale et cantonale sur mandat de la Conférence suisse des chanceliers d'État. Un projet cantonal ou communal y recense les actes de son canton.

L'OFJ publie ses instruments de législation sur sa page Legistische Hauptinstrumente (en allemand): le Gesetzgebungsleitfaden (guide de législation), le Gesetzgebungsleitfaden Datenschutz (guide consacré à la protection des données) avec sa liste de contrôle, le mémento sur les essais pilotes et le Muster für Normkonzept (modèle de concept normatif).

Un tableur relie chaque fonction de la solution à l'article qui la couvre ou à la lacune qu'elle ouvre. L'outil de gestion des exigences du projet peut porter ce lien quand les exigences sommaires y sont saisies.

Sources

• Confédération suisse, Chancellerie fédérale, HERMES 2022, Manuel de référence Gestion de projet, résultat 4.4.1.44 Analyse des bases légales: la description du résultat et ses sept rubriques. Le même manuel range l'analyse parmi les documents requis au minimum (§4.2.1.1) et dans le module Bases du projet (§3.4.2.1). Il la fait reprendre par l'étude (tâche 5.4.3.45), le mandat d'exécution (tâche 5.4.3.10, résultat 4.4.1.13) et le rapport de phase (résultat 4.4.1.29).
• Confédération suisse, Chancellerie fédérale, HERMES 2022, Manuel de référence Gestion de projet, tâche 5.4.3.39 Élaborer l'analyse des bases légales: le but, la restriction intangible, le contact avec l'organe compétent, les conditions préalables, les activités et les rôles.
• Confédération suisse, Chancellerie fédérale, modèle HERMES Analyse des bases légales (analyse-des-bases-legales.dotx), téléchargé depuis la page du résultat: les consignes et les exemples de chaque rubrique.
• Constitution fédérale de la Confédération suisse, RS 101, art. 5 et 164.
• Loi fédérale sur la protection des données (LPD), RS 235.1, art. 5, 34, 35 et 36.
• Loi fédérale sur l'utilisation des moyens électroniques pour l'exécution des tâches des autorités (LMETA), RS 172.019, art. 15.
• Loi fédérale sur l'élimination des inégalités frappant les personnes handicapées (LHand), RS 151.3, art. 14.
• Office fédéral de la justice (OFJ), Gesetzgebungsleitfaden Datenschutz, mars 2024 (en allemand): le droit applicable aux organes cantonaux et communaux (ch. 1.2), la précision qu'exige une base légale de traitement de données (ch. 3.1.1) et la base d'une communication (ch. 3.1.2).
• Office fédéral de la justice (OFJ), Pilotversuch, Testbetrieb, Proof of Concept usw. Merkblatt zu Zulässigkeit und Rechtsetzungsbedarf, version 1, septembre 2026 (en allemand): le renvoi à l'analyse des bases légales de HERMES et la recommandation d'un concept normatif (n° 5), l'ordre des questions et la manière de les examiner (n° 6), les données fictives, la lecture de l'art. 15 LMETA (ch. 3.4.2) et la révision déjà en préparation (ch. 3.5).
• Office fédéral de la justice (OFJ), Weisung betreffend die Unterbreitung von Normkonzepten, 24 octobre 2025 (en allemand): le contenu d'un concept normatif.