Rapport explicatif

Contrairement aux alinéas suivants, l'al. 1 ne règle pas l'échange mutuel d'informations, mais établit le principe selon lequel le NCSC apporte son appui au SRC dans ses tâches en procédant à des évaluations spécifiques des cyberattaques quant à leur nombre, leur type et leur ampleur ainsi qu'à des analyses techniques des cyberrisques. Ces situations ne contiennent pas de données personnelles ou d'informations concrètes et spécifiques à chaque cas, mais se limitent aux évaluations statistiques et techniques nécessaires à l'évaluation de la menace et à l'alerte précoce. En vertu de l'art. 6, al. 2, LRens, le SRC a pour tâche d'apprécier la menace. Or le NCSC dispose, avec sa centrale d'enregistrement et l'obligation d'annonce, d'une importante source d'informations sur le niveau de menace lié aux cyberincidents. Il faut par conséquent qu'il puisse transmettre au SRC des informations sur le nombre de cyberattaques, leur type et leur ampleur. En outre, le NCSC doit pouvoir apporter son appui au SRC, en effectuant les analyses techniques des cyberattaques et en lui transmettant les résultats de ces analyses.

Al. 2, 3 et 4

Les al. 2 à 4 règlent le contenu, l'étendue et les modalités de l'échange d'informations du NCSC avec le SRC, les autorités de poursuite pénale et les services cantonaux chargés de la cybersécurité. Un des aspects importants de la collaboration du NCSC avec ces autorités est, comme déjà mentionné, l'échange d'informations sur les agresseurs eux-mêmes et sur leurs méthodes et tactiques. Ces informations peuvent être de nature purement technique (par ex. mode opératoire ou valeurs de hachage des maliciels) et ne pas renfermer de données personnelles. Mais ces autorités échangent également entre elles des informations personnelles ou permettant d'établir un lien avec des personnes données. Aussi une base légale est-elle créée ici pour les échanges d'informations se rapportant à ces données personnelles. Concrètement, il s'agit de ressources d'adressage (comme le nom de domaine, l'adresse IP ou les adresses de messagerie utilisées de manière abusive) ou d'indications sur des transactions financières (comptes bancaires, numéro IBAN, etc.).

Les autorités habilitées en vertu des al. 2 à 4 peuvent également accéder en ligne aux informations susmentionnées. Cette procédure est indiquée en raison du grand nombre de cyberattaques et d'informations techniques associées. La transmission au SRC ou aux autorités de poursuite pénale de signalements contenant des informations sur les personnes concernées n'a lieu que dans des cas exceptionnels et reste soumise aux conditions prévues à l'art. 73c, al. 1 et 2.

Art. 77 Coopération internationale

Cette disposition a été adaptée sur le plan formel par une mention expresse au NCSC. En outre, le terme de «données» a été remplacé par le terme générique d'«informations», qui ne désigne pas spécifiquement les données personnelles au sens de l'art. 75. On a ajouté concrètement à propos de l'étendue, du contenu et de la finalité de l'échange d'informations que celui-ci est autorisé avec les services chargés de la cybersécurité. Le terme «cybersécurité» remplace l'expression «protection des infrastructures critiques», dont la formulation est trop restrictive, pour décrire les organisations d'envergure internationale actives dans le domaine de la cybersécurité.

Art. 78 Système d'information pour le soutien aux infrastructures critiques

Cet article a été supprimé au vu des modifications de bases légales relatives à la révision de la LPD. Les buts du traitement des données par le NCSC découlent de ses tâches, lesquelles sont décrites avec une précision suffisante dans les articles consacrés à la question. Ils fixent déjà ce qui peut être fait avec les systèmes d'information du NCSC, lors du traitement des données personnelles.