Arrêté de la Commission d'État sur l'utilisation de l'informatique - Champ d'application

1. Cette décision régit l'utilisation de l'informatique par les employés cantonaux dans le cadre de leur emploi.

2. La décision s'applique également au Centre de santé d'Appenzell. Les fonctions et droits du chef de département selon cette décision sont exercés par le directeur de l'hôpital.

3. Dans les corporations et établissements bénéficiant d'un droit contractuel d'utilisation des ressources informatiques cantonales, l'autorité ou la direction de l'établissement concernée veille à ce que l'utilisation par les membres de l'autorité ou les employés respecte les dispositions de fond des Chapitres II et III de cette décision.

4. Pour les membres de la commission d'État, l'alinéa 3 s'applique par analogie.

1. La commission de déontologie désigne un responsable de la sécurité informatique et un suppléant pour l'administration cantonale. Avec l'accord des organismes et entreprises raccordés au AINet, ils peuvent également exercer leur fonction pour ceux-ci.

1. Les moyens informatiques sont des appareils et parties de ceux-ci, qui peuvent être utilisés dans le traitement, le stockage ou la transmission de données électroniques.

2. Sont considérés comme moyens informatiques, notamment

1. Ordinateurs de toute sorte, y compris les ordinateurs portables, assistants numériques et smartphones ;

2. Supports de données de toute sorte, par exemple, disques durs, disquettes ou clés USB ;

3. AINet, Internet et services de messagerie électronique ;

4. Données et programmes électroniques.

1. L'utilisation des moyens informatiques sert à des fins professionnelles.

2. L'utilisation privée est ponctuellement autorisée. Elle ne doit ni affecter la performance de l'employé, ni la structure informatique, ni entraîner des coûts supplémentaires pour l'employeur, ni présenter des risques de sécurité. Elle peut être restreinte ou interdite dans des cas justifiés.

1. Le stockage de données sur des appareils connectés au réseau AINet doit être effectué sur un lecteur de serveur du canton.

2. Les données privées doivent généralement être stockées sur des supports de données privés, par exemple sur une clé USB prévue à cet effet.

3. Il est interdit de stocker des données professionnelles sur des systèmes distants, par exemple dans des clouds.

1. Les programmes et appareils sont considérés comme étrangers s'ils n'ont pas été fournis par le canton ou expressément approuvés par le Bureau de l'informatique (BI).

2. Aucun programme étranger ne doit être installé ni aucun appareil étranger connecté, sauf si la mission professionnelle exige cette utilisation.

3. Les données commerciales confidentielles doivent être stockées de manière chiffrée sur des appareils étrangers et y être immédiatement supprimées lorsqu'elles ne sont plus nécessaires.

1. Les employés protègent les moyens informatiques qu'ils utilisent conformément à l'état de la technique contre une utilisation non autorisée, notamment par

1. le verrouillage des ordinateurs ou la déconnexion du système lors de l'abandon de leur poste de travail ;

2. la confidentialité des mots de passe personnels ;

3. la conservation soigneuse et la surveillance des appareils mobiles.

2. Les programmes, fichiers, courriels et pièces jointes susceptibles de contenir des virus ne doivent pas être ouverts ou transférés et doivent être supprimés. En cas de doute, il est possible de consulter l'AFI.

3. Les employés informent immédiatement le supérieur hiérarchique en cas de risques liés à la sécurité, par exemple après la perte d'un appareil mobile.

1. Les moyens informatiques ne doivent pas être ouverts simultanément sur le réseau AINet et sur un autre réseau, par exemple un réseau sans fil public.

1. Les modifications des moyens informatiques fournis, notamment la configuration du matériel, les paramètres du système et le logiciel, ainsi que le contournement ou la suppression des dispositifs de sécurité, ne sont pas autorisées.

2. La copie de programmes est interdite, sous réserve de copies de sauvegarde par l'AFI.

1. Lors d'une cessation de la relation de travail, les moyens informatiques mis à disposition doivent être retournés en bon état.

2. Les données et e-mails privés doivent être supprimés. Pour les données et e-mails professionnels, il convient de suivre les instructions du supérieur hiérarchique.

3. Si le salarié sortant ne respecte pas ces obligations, l'AFI peut, en concertation avec le supérieur hiérarchique, procéder au nettoyage des moyens informatiques.

1. L'AFI peut, dans des cas justifiés et en concertation avec le supérieur hiérarchique, permettre des exceptions aux restrictions prévues par ce chapitre.

2. La commission stratégique informatique du canton peut émettre des directives pour l'utilisation des moyens informatiques et pour la manipulation sécurisée de ceux-ci.

1. Les utilisations d'Internet et les accès aux sites Web sont interdits s'ils nuisent au travail, surchargent l'infrastructure informatique, sont associés à des risques de sécurité ou enfreignent la loi ou les bonnes mœurs.

2. La commission de stratégie informatique du canton établit, dans le cadre de cette disposition, une liste des utilisations et accès interdits, qui doit être communiquée et rendue accessible aux employés de manière appropriée. Les utilisations et accès interdits peuvent être bloqués électroniquement.

3. Est notamment interdit l'accès aux sites Web à contenu érotique ou pornographique, aux sites glorifiant la violence, à contenu raciste, sexiste ou extrémiste.

1. Le transfert automatique d'e-mails vers des adresses e-mail externes est interdit.

2. L'AFI peut restreindre le nombre de destinataires et la taille des pièces jointes pour des raisons opérationnelles ou techniques.

1. Le chef du département peut autoriser des exceptions commerciales aux restrictions prévues par ce chapitre.

1. L'AFI est autorisé à enregistrer les données de trafic des accès Internet et du trafic des e-mails.

2. En ce qui concerne les accès Internet, les noms d'utilisateur, les adresses Internet consultées, l'heure et la date de l'accès, ainsi que la taille des fichiers téléchargés peuvent être consignés.

3. Pour le trafic des e-mails, les adresses des expéditeurs et des destinataires, l'objet, l'heure et la date de l'envoi, la taille des e-mails, ainsi que la désignation et la taille des pièces jointes peuvent être enregistrées.

4. Les données de contrôle sont supprimées au plus tard après 12 mois, sauf en cas de suspicion.

1. Les employés qui constatent des signes de violation de cette décision ou d'une norme pénale sont autorisés à en faire rapport au responsable de la sécurité informatique.

2. L'AFI et le responsable de la sécurité informatique sont autorisés à informer les autorités compétentes des signes constatés.

3. Sont réservées les dénonciations pénales conformément à l'article 15 de la Loi d'introduction au Code de procédure pénale suisse (EG StPO).

1. En cas de signes de violations, des mesures techniques ou organisationnelles visant à prévenir d'autres violations doivent être examinées.

2. Le responsable de la sécurité informatique peut, en cas de signes d'une violation, ordonner une analyse des données de contrôle à caractère personnel par l'AFI.

3. Le responsable de la sécurité informatique informe l'employé concerné et le chef de département respectif de la réalisation d'une analyse à caractère personnel. L'employé est autorisé à consulter les données et les résultats.

4. Si le soupçon ne se confirme pas sur la base de l'analyse des données tangibles, l'analyse à caractère personnel doit être arrêtée. Les données personnelles doivent être supprimées immédiatement. Le responsable de la sécurité informatique informe l'employé concerné et le chef de département respectif.

1. En cas de constatation d'une infraction, le responsable de la sécurité informatique informe la personne en faute, son supérieur hiérarchique et le chef du département concerné.

2. Les données personnelles documentant une infraction sont sécurisées et mentionnées dans le dossier personnel.

1. Le Responsable de la Sécurité Informatique peut ordonner des analyses individuelles des données à caractère personnel, dans la mesure où cela est indispensable pour identifier les causes des problèmes techniques ou pour garantir le bon fonctionnement du système informatique.

2. Une notification aux personnes concernées est uniquement nécessaire s'il existe des indications que la cause des problèmes techniques et la menace pour la fonctionnalité sont des violations de cette décision.

1. En cas de violations de cette décision, des mesures disciplinaires en matière de droit du personnel ainsi que des demandes de dommages et intérêts peuvent s'ajouter aux conséquences pénales.

2. L'AFI peut, en accord avec le supérieur hiérarchique, notamment

1. retirer les moyens informatiques ou limiter leur utilisation;

2. restreindre ou bloquer l'accès à Internet ou aux e-mails;

3. bloquer ou supprimer des données ou des programmes.

1. Cette décision remplace les dispositions précédentes pour les utilisateurs d'informatique, notamment les directives pour les utilisatrices et utilisateurs informatiques.

1. Cette décision entre en vigueur le 1er août 2013.