Rapport explicatif

Section 3 Protection des données et sécurité des données

Art. 10 Mesures pour la sécurité des données

Le système de traitement contenant des données sensibles, des mesures techniques et organisationnelles doivent être prises pour les protéger. La norme de délégation au Conseil fédéral inscrite à l’art. 12, al. 2, LSCPT est mise en œuvre avec le présent article et les autres articles de la section 3.

Selon la let. a, une protection des accès et contre les modifications est mise en œuvre. Toute personne doit s’annoncer et s’authentifier avec de pouvoir accéder au système de traitement. Cette protection vise avant tout à empêcher les accès non autorisés et le vol ou l’utilisation illégale de données. De plus, les personnes autorisées à accéder au système de traitement n’ont que les droits de lecture et d’écriture dont elles ont besoin pour effectuer leurs tâches. Elles n’ont en particulier pas le droit d’effacer définitivement des données. Les droits sont définis dans l’annexe. Toutes les données du système de traitement sont sécurisées, dans la plupart des cas cryptées. Ne sont par exemple pas cryptées les données qui sont transmises directement au système de traitement par un réseau de fibre optique.

Selon la let. b, le système de traitement protège aussi les données en veillant à ce que les données ne puisse pas être lues, copiées, modifiées ou effacées lors du transport de support de données. Les données du système de traitement sont donc transmises de manière sécurisée.

Selon la let. c, un contrôle des accès et des modifications doit aussi être mis en œuvre. À cette fin, toutes les modifications, notamment celles effectuées selon l’art. 5, mais aussi les accès visant uniquement la lecture ou les recherches doivent être consignés dans un fichier de journalisation. Le Service SCPT contrôle régulièrement les données et les accès aux données, en procédant par sondages, afin de détecter d’éventuelles irrégularités. Ce contrôle peut aussi s’effectuer par des demandes auprès des aux autorités de poursuite pénale.

L’al. 2 prévoit que le Service SCPT décide des mesures à prendre sur la base d’une analyse des risques. Les contrôles varient en fonction des groupes d’utilisateurs et peuvent porter sur les accès au système, les utilisateurs, l’accès à des données, le transport et les saisies. Le Service SCPT mène son analyse des risques en se fondant sur l’état de la technique tel qu’il est défini dans des normes internationales, par exemple celles définies par l’ETSI (European Telecommunications Standards Institute). Il s’agit de normes qui ont fait leurs preuves et qui sont connues aussi bien des personnes obligées de collaborer que des autorités de poursuite pénale. Le recours à ces normes permet une meilleure qualité de la transmission de données et simplifie des procédures techniques compliquées.

L’al. 3 charge le Service SCPT d’édicter à l’attention de tous les utilisateurs (du Service SCPT, mais aussi des autorités de poursuite pénale et des personnes obligées de collaborer) les instructions nécessaires à la mise en œuvre de mesures techniques et organisationnelles en vue d’assurer la sécurité des données. Ces instructions sont nécessaires pour que les données, et notamment les données sensibles, puissent être traitées correctement dans le système et pour qu’elles soient ainsi protégées et qu’elles ne puissent pas, par exemple, être volées. Ces