Rapport explicatif

Dans son rapport annuel 2019, la DélCdG est parvenue à la conclusion que l’appréciation de ces risques par les services de renseignement pour la planification de mesures de police de sûreté peut notamment reposer sur des données qui tombent sous le coup de l’art. 5, al 5. La Délégation estime que le traitement de telles données à cette fin est admissible s’il dure moins d’un an. La nouvelle lettre e concrétise cette directive précise. Elle s’applique aux données que le SRC traite pour la conduite des renseignements intégrés conformément à l’art. 54, al. 1, et pour l’établissement de la présentation électronique de la situation. Ainsi, il serait nécessaire de nommer un parti politique dont l’assemblée générale fait l’objet de menaces afin que les autorités compétentes puissent en assurer la protection. Notons ici que les mesures de police de sûreté ne sont pas prises par le SRC proprement dit, mais par les autorités compétentes de la Confédération et des cantons. Cette disposition vise également des données concernant les personnes au cœur des enjeux sécuritaires d’un événement donné, même si elles ne sont pas directement menacées (p. ex. en cas d’appel à une manifestation violente contre un discours public d’un politicien ou la visite d’une cheffe d’Etat étrangère).

Al. 7

Les termes « données relatives à des personnes » et « saisie des informations » sont remplacés par « données personnelles ». La formulation de cet alinéa est modifiée, car l’al. 6 règle désormais le lien avec les tâches et les menaces. Son contenu demeure inchangé.

Al. 8

Le terme « représentants » a suscité diverses discussions, car il n’est défini nulle part. La nouvelle disposition précise qu’il s’agit des personnes qui font partie d’organisations ou de groupements de ce type, qui les soutiennent personnellement ou matériellement, qui organisent des actions de propagande pour accomplir leurs objectifs, qui font leur promotion ou qui encouragent leurs activités d’une autre manière au sens de l’art. 6, al. 1, let. a. Le contenu de la règle demeure inchangé.

Art. 6

Al. 1, let. b

Le terme employé jusqu’ici dans la LRens, « infrastructures critiques », s’est avéré trop restrictif pour inclure adéquatement tous les événements importants en matière de politique de sécurité dans le cyberespace. De plus, les cyberattaques sont souvent significatives à cet égard depuis quelques années. Elles ne sont pas seulement le fait de pirates informatiques individuels ou de groupes criminels, mais de plus en plus d’acteurs soutenus par des Etats, des forces armées et des services de renseignement. La détection précoce et la prévention par les services de renseignement doivent pouvoir tenir compte de cette nouvelle facette des menaces pour la sûreté intérieure et extérieure de la Suisse. La recherche de renseignements permet au SRC d’évaluer correctement la gravité des cyberattaques de ce type et pose les bases de l’étude d’éventuelles contre-mesures politiques (extérieures). Le SRC est déjà chargé de fournir au Groupe Cyber une vue d’ensemble de la situation en matière de cybermenaces (art. 8, al. 6, de l’ordonnance du 27 mai 2020 sur les cyberrisques⁷). Il ne peut donc pas se limiter aux aspects cybernétiques de son domaine de compétences classique. Ainsi, les cyberattaques contre des organisations internationales ou des ONG établies en Suisse ainsi que l’usage abusif d’infrastructures de télécommunication en Suisse pour des cyberattaques peuvent par exemple revêtir une importance considérable en termes de politique de sécurité, surtout si elles proviennent directement ou indirectement d’organismes étatiques étrangers. Par conséquent, le SRC doit également être en mesure d’identifier, de prévenir et d’analyser ces cyberincidents du point de vue du renseignement.

Pour ces raisons, il est pertinent d’étendre le mandat du SRC à l’ensemble du cyberespace. Afin d’éviter que le SRC devienne l’autorité de cybersécurité universelle, l’importance en matière de politique de sécurité doit cependant demeurer le critère principal. L’expression «activités importantes en matière de politique de sécurité» désigne dès lors les événements et les développements dans le cyberespace qui sont susceptibles de mettre en danger l’autodétermination de la Suisse en matière d’information, la Suisse en sa qualité de place économique et de recherche comme de siège d’organisations internationales, de causer un préjudice grave à la Suisse du point de vue de la politique de sécurité ou d’entraver la capacité d’action de ses autorités et de ses infrastructures critiques. Dans ce domaine, le SRC fournit principalement des prestations visant à protéger la Suisse contre les cyberrisques, comme le prévoient les stratégies de la Confédération en la matière.

Al. 2^bis

Le réseau de renseignement est une forme particulière d’organisation permettant de regrouper les informations pertinentes pour la situation qui sont fournies au SRC par différents partenaires faisant partie du système de suivi coordonné de situation en Suisse ou par des services partenaires étrangers. Il peut notamment s’agir d’informations sur les déplacements de personnes enclines à la violence, sur les appels à la violence ou d’informations sur les menaces. La présentation électronique de la situation (voir art. 54, al. 1 et les explications qui s’y rapportent) doit contenir toutes les informations nécessaires aux autorités suisses compétentes pour prendre des mesures de sécurité. Cela inclut également les données que le SRC ne traiterait pas dans l’accomplissement de ses tâches en vertu de l’al. 1. Toutefois, le traitement dans le cadre de la présentation électronique de la situation se limite à cet instrument et au motif indiqué ici (voir art. 5, al. 6, let. e, et les explications qui s’y rapportent).

Al. 5

Afin d’assurer un service d’alerte précoce en vue de protéger les infrastructures critiques, le SRC doit établir et entretenir des contacts avec les exploitants de telles infrastructures. La tenue et la mise à jour de l’inventaire des éléments des infrastructures critiques relève pour sa part de la compétence de l’Office fédéral de la protection de la population (OFPP). Il est donc nécessaire que le SRC et l’OFPP échangent étroitement et régulièrement pour établir et entretenir des contacts avec les exploitants d’infrastructures critiques. Cet échange sera réglé plus avant dans ordonnance du 16 août 2017 sur le Service de renseignement (ORens)⁸. La précision ajoutée à cet alinéa répond à un besoin des exploitants concernés. Elle reflète en outre la Stratégie nationale du Conseil fédéral pour la protection des infrastructures critiques 2018–2022⁹.

Art. 7

Al. 1, let. e et f et 1^bis

7 RS 120.73

8 RS 121.1