Rapport explicatif

La notion de services privés et publics englobe les acteurs dont les activités incluent, en tout ou partie, la lutte contre la cybercriminalité et qui sont compétents, performants et largement reconnus.

Al. 3

L’al. 3 habilite le Conseil fédéral à fixer les critères sur la base desquels les services privés et publics sont reconnus comme des services chargés de la cybersécurité avec lesquels l’échange d’informations et la collaboration sont autorisés. Ces critères de re- connaissance garantissent la qualité et créent un cadre uniforme et transparent pour l’exécution des tâches par les services concernés. Ils veillent à ce que seuls des ac- teurs spécialisés et fiables sur le plan organisationnel puissent échanger des informa- tions pertinentes en matière de sécurité.

Art. 30a Traitement des données, assistance administrative et entraide judiciaire

Le nouvel art. 30a crée, d’une part, une base légale pour le traitement des données liées à l’identification, à l’analyse et à la gestion des cybermenaces dans le domaine des ressources d’adressage, notamment en ce qui concerne la sécurité et le fonction- nement du système des noms de domaine (cf. art. 28d, let. a). D’autre part, il ancre au niveau de la loi la base juridique régissant la collaboration avec les services spécialisés dans le domaine de la cybersécurité (cf. art. 28e, let. c). Cette disposition remplace la réglementation précédente, nettement plus succincte, qui renvoyait uniquement à l’ap- plication des art. 13a et 13b, et prend en considération l’importance significative de la cybersécurité dans le domaine des télécommunications.

La grande majorité des analyses et des profilages effectués à des fins de protection contre les cybermenaces ne reposent généralement pas sur des données personnelles au sens de la LPD et ne comprennent pas de données personnelles sensibles. Ils s’ap- puient sur des données qui n’ont aucun lien avec une personne en particulier, comme des données techniques sur les infrastructures de télécommunication, les caractéris- tiques des logiciels malveillants ou des pratiques courantes en cas de cyberattaques. Par ailleurs, bon nombre de données concernent des configurations ne permettant pas d’identifier factuellement les unités actives sur Internet ou l’identification n’étant pas nécessaires pour protéger les utilisateurs et les usagers des infrastructures DNS. Enfin, il s’agit souvent de données présentant un lien avec une personne morale, comme les fabricants d’installations ou d’infrastructures de télécommunication.

Al. 1

L’art. 30a, al. 1 habilite l’OFCOM et les délégataires visés par l’art. 28a à réaliser des profilages pour l’exécution des tâches prévues par la loi et, si nécessaire, à traiter des données personnelles sensibles. Ces tâches découlent de l’art. 28d, let. a (garantie de la sécurité et de la disponibilité de l’infrastructure DNS), et de l’art. 28e, let. c (mesures contre l’utilisation illicite ou contraire à l’ordre public de noms de domaine et coopéra- tion avec les services spécialisés en cybersécurité). Parmi les délégataires visés par l’art. 28a se trouve notamment Switch, le registre du domaine .ch, qui contribue signi- ficativement à protéger les noms de domaine contre les cybermenaces et doit donc pouvoir traiter les données personnelles nécessaires.

En vertu de l’art. 34, al. 2, LPD, les données personnelles sensibles ainsi que les pro- filages ne peuvent être traités que s’il existe une base légale expresse. L’art. 30a, al. 1, LTC crée cette base et permet à l’OFCOM ainsi qu’aux délégataires visés à l’art.