De la solution ponctuelle à l'infrastructure de confiance communale

Cet article a été publié en octobre 2026 dans le journal « Communes Romandes » (p. 52/53).

Une commune ne gère pas uniquement des données administratives. Elle est aussi un point de confiance de proximité. Dans ses services circulent des informations liées à des situations humaines complexes: protection de l’enfant et de l’adulte, soutien social, santé, vieillissement, accompagnement des familles, difficultés financières, démarches juridiques, prise en charge, conseil ou coordination avec d’autres autorités.

Ces informations doivent être traitées avec rigueur. Mais elles doivent aussi être transmises de manière sûre, confidentielle, compréhensible et traçable. C’est précisément là que la sécurité de l’information dépasse la seule question informatique. Elle devient un sujet de gouvernance, d’organisation et de responsabilité publique.

Dans beaucoup de communes, des solutions sécurisées sont déjà utilisées. Elles ont souvent été implémentées là où le besoin était le plus évident: autorités de protection de l’enfant et de l’adulte, services sociaux, consultations parents-enfants, services de santé, conseil aux familles ou interfaces avec des médecins, hôpitaux, organisations d’aide et de soins à domicile, institutions médico-sociales, thérapeutes, avocats ou autorités cantonales.

Cette réalité est souvent pragmatique. Un service doit échanger des informations particulièrement sensibles avec des partenaires externes; il se dote donc d’un canal sécurisé. Il arrive ainsi que plusieurs services d’une même commune utilisent déjà des solutions de communication sécurisée, sans que cela soit pleinement visible à l’échelle de l’organisation. Ailleurs, différents outils coexistent pour des besoins comparables. 

Les architectures de sécurité se construisent rarement en une seule fois. Elles naissent souvent de besoins concrets. Mais ce développement progressif soulève une question essentielle: ce qui fonctionne ponctuellement constitue-t-il pour autant une stratégie communale de sécurité de l’information?

De nombreuses communes se trouvent aujourd’hui dans une situation intermédiaire. Certains services disposent de moyens de communication sécurisés, d’autres non. Certains échanges sont bien encadrés, d’autres se sont développés au fil du temps. Certaines solutions sont connues des responsables informatiques ou administratifs, d’autres restent liées à l’initiative d’une unité particulière.

Cette situation n’est pas problématique en soi. Elle montre souvent que les services ont réagi de manière responsable à des besoins réels. Mais elle peut créer des zones grises: absence de vue d’ensemble, multiplication des contrats, doublons fonctionnels, pratiques hétérogènes, coûts difficiles à piloter ou dépendance à quelques personnes clés.

Une approche stratégique consiste à changer de perspective. Au lieu de se demander uniquement quel service a besoin de quel outil, la commune peut se poser des questions plus structurantes: quelles informations exigent un niveau de protection élevé? Quels échanges avec des partenaires externes sont critiques? Quelles identités doivent être vérifiées? Quels actes nécessitent une signature numérique? Quels canaux doivent être privilégiés? Quelles pratiques doivent être harmonisées?

C’est ce passage qui transforme plusieurs solutions ponctuelles en une infrastructure de confiance communale.

La tentation est grande de répondre à chaque besoin par une solution spécifique: un outil pour le courriel sécurisé, un autre pour la signature numérique, une plateforme pour certains échanges, un portail pour certaines procédures, une solution de chiffrement pour des cas particuliers.

Ces outils peuvent être utiles. Mais plus ils se multiplient, plus l’organisation doit gérer de complexité: achats, contrats, formation, support, gestion des utilisateurs, processus internes, contrôle des coûts et adoption par les collaboratrices et collaborateurs.

Pour une commune, la sécurité ne doit pas devenir une charge supplémentaire difficile à maîtriser. Elle doit au contraire simplifier les pratiques là où les exigences sont élevées.

Une vision communale de la confiance numérique cherche donc à consolider les ressources. Lorsqu’une même commune a plusieurs services confrontés à des exigences similaires, une approche collective peut s’avérer plus cohérente qu’une série d’abonnements ou de solutions isolées. Une telle approche peut offrir plusieurs avantages: une meilleure visibilité sur les usages, une gouvernance plus claire, une réduction des redondances, une simplification administrative, une maîtrise des coûts et une meilleure intégration dans la stratégie globale de sécurité de l’information.

Il ne s’agit pas seulement de choisir un outil. Il s’agit de décider comment la commune veut organiser la confiance dans ses échanges numériques.

Le domaine de la santé constitue depuis longtemps un terrain exigeant pour la communication numérique sécurisée. Confidentialité, identification des partenaires, fiabilité des échanges et continuité des processus y sont des conditions de fonctionnement. HIN s’est établi dans cet environnement comme une infrastructure de confiance utilisée par de nombreux acteurs du système de santé.

Mais son usage dépasse le seul cadre médical. Dans plusieurs communes, des services sociaux, autorités de protection, consultations parents-enfants ou autres unités travaillant avec des données sensibles utilisent déjà des services HIN pour collaborer avec des médecins, hôpitaux, thérapeutes, organisations de soins, institutions ou autorités. 

Ces expériences ont une portée plus large pour les communes. Elles montrent que la confiance numérique ne se décrète pas. Elle se construit à travers des infrastructures reconnues, des usages acceptés, des partenaires identifiables et des processus suffisamment simples pour être utilisés dans le travail quotidien.

Pour une commune, la souveraineté numérique ne signifie pas tout faire soi-même. Elle ne signifie pas non plus multiplier les solutions pour répondre à chaque cas particulier. Elle signifie d’abord conserver une capacité d’action sur les processus essentiels: savoir où se trouvent les informations sensibles, comment elles circulent, qui y accède, avec quels partenaires elles sont échangées et selon quelles règles. Elle implique également d’être consciente des exigences de la Loi fédérale sur la protection des données (LPD) et de veiller à leur mise en œuvre en tout temps.

Une commune renforce sa souveraineté lorsqu’elle peut piloter ses flux d’information sensibles. Lorsqu’elle évite les solutions parallèles inutiles. Lorsqu’elle donne à ses services des moyens simples et sûrs de communiquer. Lorsqu’elle intègre la communication sécurisée, la signature numérique et l’identification des partenaires dans une gouvernance cohérente. Lorsqu’elle réduit les zones d’improvisation sans alourdir inutilement le travail des équipes.

C’est un équilibre délicat. Une sécurité trop complexe produit des contournements. Une sécurité trop fragmentée produit de l’incertitude. Une sécurité insuffisamment gouvernée produit des angles morts. L’enjeu est donc de renforcer la protection tout en réduisant la complexité organisationnelle.

Une commune qui souhaite aborder ce sujet de manière stratégique peut commencer par une cartographie simple de ses échanges sensibles.

• Quels services traitent des informations particulièrement sensibles?
• Avec quels partenaires externes ces informations sont-elles échangées?
• Quels canaux sont aujourd’hui utilisés pour ces échanges?
• Des solutions sécurisées sont-elles déjà en place dans certains services?
• Ces solutions sont-elles connues, coordonnées et pilotées à l’échelle de la commune?
• Existe-t-il plusieurs outils ou abonnements pour des besoins similaires?
• Certaines fonctions – courriel sécurisé, identification, signature numérique, échange avec des partenaires externes – pourraient-elles être consolidées?
• La communication sécurisée est-elle intégrée à la stratégie de sécurité de l’information ou résulte-t-elle encore de décisions ponctuelles?

Ces questions ne nécessitent pas nécessairement un grand projet de transformation. Elles permettent d’abord de rendre visible ce qui existe déjà, d’identifier les lacunes, de réduire les redondances et de définir un niveau d’exigence commun.

Les communes devront, dans les années à venir, renforcer leur capacité numérique tout en maîtrisant leurs ressources. Elles devront protéger des données sensibles, collaborer avec un nombre croissant de partenaires, répondre aux attentes de la population et garantir la continuité de services essentiels.

Dans ce contexte, la sécurité de l’information ne peut plus être considérée uniquement comme un sujet informatique ou comme une réponse à des obligations réglementaires. Elle devient une condition de confiance entre la commune, ses partenaires et les personnes concernées.

Beaucoup de communes disposent déjà de briques importantes: canaux sécurisés dans certains services, expériences dans les domaines social, sanitaire ou juridique, premiers usages de la signature numérique, collaborations établies avec des partenaires externes. L’étape suivante consiste à relier ces éléments dans une vision d’ensemble, tout en veillant à répondre en permanence aux exigences de la LPD.

Passer d’une solution ponctuelle à une infrastructure de confiance communale, c’est gagner en clarté, en cohérence et en maîtrise. C’est réduire les efforts administratifs et financiers liés aux solutions dispersées. C’est offrir aux services concernés des moyens de communication adaptés à la sensibilité de leurs missions. Et c’est ancrer la souveraineté numérique là où elle devient la plus concrète: dans la capacité quotidienne d’échanger des informations sensibles de manière sûre, responsable et maîtrisée.