Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

d’adressage impliquent qu’elles se réfèrent (en théorie du moins) à des personnes précises ou identifiables, ou à des appareils ou des raccordements de télécommunication pouvant être attribués à une personne précise ou identifiable. En conséquence, les ressources d’adressage doivent potentiellement être considérées comme des données personnelles et nécessitent une base juridique pour être traitées, conformément à l’art. 4, al. 3, ainsi qu’à l’art. 17, al. 1, LPD.

L’al. 1 prévoit donc que les services compétents pour les tâches se rapportant à l’art. 81 sont autorisés à traiter des données personnelles. Néanmoins, l’identification de la personne concernée est souvent impossible ou possible uniquement moyennant un investissement considérable, en particulier lorsque les ressources d’adressage sont enregistrées à l’étranger. Elle n’est toutefois pas nécessaire à la prévention des dangers. Puisque l’identification n’a généralement pas lieu, le traitement des données peut s’effectuer sans que les personnes concernées s’en aperçoivent ni qu’elles puissent en être informées. Par conséquent, le présent article doit être considéré comme une lex specialis dérogeant à l’art. 4, al. 4, LPD. En revanche, si l’on soupçonne qu’une ressource d’adressage (suisse) ou un appareil utilisant la ressource d’adressage en question est employé abusivement par des personnes non autorisées et que cela constitue un danger, on peut, le cas échéant, identifier l’utilisateur légitime de la ressource d’adressage et l’informer de cette utilisation abusive. L’identification ne doit toutefois pas nécessairement être effectuée par les autorités compétentes. S’il est, par exemple, question d’adresses IP dynamiques, il est possible d’informer le fournisseur de services de télécommunication concerné afin qu’il puisse transmettre les informations correspondantes aux clients visés. Ces derniers auront donc la possibilité de prendre des mesures afin d’empêcher de nouvelles utilisations abusives et de dénoncer une éventuelle infraction.

L’al. 2 octroie la compétence de traiter des données personnelles liées à des poursuites ou à des sanctions administratives ou pénales. En vertu de l’art. 3, let. c, ch. 4, LPD, ces données sont considérées comme sensibles, et les services étatiques ont besoin d’une base juridique formelle afin de traiter de telles données, conformément à l’art. 17, al. 2, LPD. L’échange d’informations concernant des infrastructures criminelles et des utilisations abusives de ressources d’adressage peut s’avérer nécessaire afin de prévenir des dangers ou de détecter des incidents. Même si l’on ne communique pas le fait qu’une procédure concernant une ressource d’adressage a été introduite ou qu’une sanction a été prononcée, le destinataire de l’information peut, sur la base des données indiquant qu’une ressource d’adressage a été utilisée dans des buts criminels, conclure qu’une procédure correspondante est en cours. La compétence définie dans cet alinéa vise à empêcher que l’échange en question ne puisse plus avoir lieu dès l’instant où une enquête pénale ou une sanction administrative concernant une ressource d’adressage est introduite.

L’al. 3 permet aux exploitants de moyens TIC ainsi qu’aux fournisseurs de services TIC de transmettre volontairement aux services concernés au sens de l’art. 81 des informations liées à des dangers et à des incidents dans le domaine de la sécurité de l'information. Cette disposition les autorise à donner des indications concernant les prestations, les connexions et d’autres activités qu’ils fournissent afin de prévenir des dangers et, ainsi, d’éviter des dommages. Elle leur permet également de traiter légalement les données personnelles correspondantes. Puisqu’une telle transmission de données peut porter préjudice à la garantie des droits de la défense lors d’une éventuelle procédure, les données acquises de la sorte ne peuvent pas être utilisées dans un but judiciaire. Les différentes règles relatives à l’administration des preuves continuent de s’appliquer aux procédures judiciaires.

Art. 83

Le Conseil fédéral doit régler par voie d’ordonnance la répartition des tâches et la collaboration entre les services assumant les tâches visées à l’art. 81. Ces derniers doivent faire front commun vis-à-vis des exploitants d'IC. En revanche, le Conseil fédéral reste libre d’organiser ces services à l’interne comme il l’entend afin d’exécuter les tâches de la Confédération le plus efficacement possible. Des compétences du Service de renseignement de la Confédération en matière de protection des IC sont prévues dans la future loi fédérale sur le Service de renseignement de la Confédération. Le Conseil fédéral doit pouvoir fixer de manière détaillée la répartition des tâches et la collaboration correspondantes. En raison des particularités découlant du traitement d’informations issues du SRC, le Conseil fédéral doit régler de façon spécifique l’échange de telles informations entre les services fédéraux ainsi que leur transmission à des exploitants d'IC. Les services concernés ne doivent pas nécessairement appartenir au même département. Afin de garantir la transparence et la sécurité du droit, le Conseil fédéral règle le traitement des données ainsi que leur échange entre les services en question, de même que la sécurité des données adéquate dans un tel contexte.