Rapport explicatif

souverains sur les clés, et ils le sont à titre exclusif. L’opérateur du cloud n’a pas accès aux clés. Ces mesures techniques sont complétées par des garanties contractuelles de l’opérateur du cloud et par des mécanismes de contrôle organisationnels. La perte de la souveraineté suisse sur le cloud est très improbable.

Usurpation d’identité et prise de contrôle du compte utilisateur: Des personnes non autorisées pourraient prendre le contrôle de comptes utilisateurs et se faire passer pour l’expéditeur sous une fausse identité. L’envoi de courriers électroniques sous un faux nom et la tromperie des destinataires risquent de causer des préjudices considérables sur le plan personnel et financier. A titre préventif, la Poste met en œuvre des méca- nismes d’authentification forts. Si des anomalies se présentent, les comptes d’utilisa- teurs peuvent être temporairement bloqués et des étapes de vérification supplémen- taires déclenchées. Grâce à ces mesures, les usurpations d’identité et la prise de con- trôle de comptes d’utilisateurs sont improbables.

Risque systémique: L’extension du mandat de service universel à la distribution élec- tronique et hybride engendrent de nouveaux risques structurels pour le secret postal et le secret de la correspondance: la correspondance confidentielle est concentrée sur une plateforme numérique centrale, le traitement technique comporte une étape où les données sont brièvement disponibles en clair, la dépendance vis-à-vis des opérateurs de cloud étrangers s’accroît et une plateforme centrale pour les contenus postaux aug- mente le potentiel d’attaque. Les mesures suivantes ont été mises en œuvre pour at- ténuer les risques systémiques: les données de contenu sont disponibles en clair uni- quement dans un environnement sécurisé, isolé et protégé contre tout accès non auto- risé et uniquement pendant une durée techniquement inévitable; la plateforme est con- çue de telle sorte que les attaquants qui parviennent à accéder à une partie de l’infras- tructure ne peuvent pas lire les contenus déchiffrés; la dépendance vis-à-vis des juri- dictions étrangères est réduite autant que possible grâce à une exploitation en Suisse et du fait que l’opérateur de cloud est exclu de la gestion des clés; la plateforme, qui revêt une importance capitale pour le service universel, fait l’objet d’une surveillance de sécurité étendue, de tests d’intrusion ainsi que d’audits de sécurité externes régu- liers; toute modification significative de l’architecture du système susceptible d’affecter le secret postal et le secret de la correspondance est préalablement communiquée à la PostCom. Des événements comportant des risques systémiques pourraient certes se produire sporadiquement, mais les contrôles les limitent fortement.

Globalement, dans son évaluation des risques, la Poste conclut que grâce aux mesures qu’elle a mises en œuvre, le traitement des données personnelles dans le cadre du courrier numérique et hybride ne présente pas de risque résiduel élevé pour la person- nalité ni pour les droits fondamentaux des personnes concernées telles que visées à l’art. 22 LPD.

La Poste peut traiter des données personnelles sensibles pour l’exploitation du sys- tème de distribution hybride. Conformément à l’art. 11, al. 1, LOP, les personnes qui recourent aux prestations du service universel entretiennent un rapport de droit civil avec la Poste. En tant que fournisseur du système de distribution hybride, celle-ci agit donc en vertu du droit privé. Dans ce cas, l’art. 40 LPD prévoit que les dispositions relatives au traitement des données par des personnes privées s’appliquent. Une base