Rapport explicatif

2026. L’OFCOM avait constaté, lors d’une analyse préliminaire des risques, que le trai- tement de données personnelles sensibles, prévu à grande échelle, s’accompagnait d’un risque élevé pour les droits fondamentaux des personnes concernées. La Poste, à savoir sa société du groupe ePost Service AG en tant qu’exploitante de la plateforme du système de distribution hybride, était donc tenue de réaliser une analyse d’impact relative à la protection des données (AIPD) telle que prévue à l’art. 22 de la loi sur la protection des données du 25 septembre 2020 (LPD)⁶³. Les principaux risques ainsi que les mesures prises par la Poste pour les minimiser sont examinés ci-après.

Accès non autorisé: Pour les personnes concernées, la divulgation de contenus confi- dentiels et de métadonnées porterait gravement atteinte au secret de la correspon- dance et aux droits de la personnalité. Par précaution, pendant leur transmission et leur stockage, toutes les données sont cryptées en fonction du client et de l’utilisateur. La gestion des clés est dissociée de la plateforme et assurée par un système indépen- dant, avec une souveraineté sur le contrôle des clés qui est répartie. Les accès au système et aux données sont réglementés selon les rôles et limités au strict minimum. Ces mesures rendent très improbable un accès non autorisé.

Perte de données et panne du système: La perte de documents juridiquement perti- nents ou de preuves de distribution, ainsi qu’une panne prolongée du système, pour- raient avoir des conséquences graves. C’est pourquoi la Poste utilise des systèmes de stockage hautement disponibles. Les données sont stockées de manière multiple et sauvegardées automatiquement à intervalles réguliers. Des procédures d’urgence et de reprise en cas de dysfonctionnements graves du système sont prévues et réguliè- rement testées. Les données et les systèmes sont répliqués sur plusieurs sites. Avec ces mesures, une panne du système d’une durée supérieure à 24 heures est considé- rée comme improbable et une perte de données comme très improbable.

Accès légal d’une autorité étrangère: Le système de distribution hybride est exploité sur une infrastructure cloud d’une entreprise européenne qui fait partie d’un groupe américain. Bien que les données soient hébergées en Suisse, il se peut que, selon les cas, des lois à effet extraterritorial donnent lieu à des ordonnances de remise de don- nées à des autorités étrangères. La plateforme est protégée contre tout accès non autorisé grâce au cryptage des données. Seules les clés utilisateur permettent de dé- crypter et de lire les contenus. Un accès légal des autorités étrangères aux envois électroniques est comme très improbable.

Perte de la souveraineté suisse sur le cloud: L’exploitant de l’infrastructure cloud sur laquelle la plateforme est opérée pourrait être contraint par des autorités étrangères de restreindre ou de suspendre son activité, avec une potentielle atteinte massive et peutêtre irréversible aux droits de la personnalité et aux droits fondamentaux des personnes concernées. Afin de réduire les dépendances systémiques, les accès administratifs sont strictement limités aux plans technique et organisationnel, contrôlés en fonction des rôles et entièrement consignés. Les expéditeurs, les destinataires et la Poste sont