Rapport explicatif

28a LTC de procéder à des analyses cachées et de traiter des données biométriques et des données sur les poursuites ou sanctions administratives et pénales à des fins de protection contre les cybermenaces.

Les données utilisées ne sont certes pas toujours sensibles, mais leur analyse algo- rithmique ou leur recoupement avec d’autres informations, par exemple pour identifier le détenteur d’un nom de domaine, constitue déjà un profilage. Dans certaines situa- tions, il peut être nécessaire de traiter des données sensibles pour assurer efficace- ment la résilience des infrastructures DNS et la protection contre les cybermenaces. Des antécédents judiciaires pertinents peuvent par exemple fournir des indications pré- cieuses pour reconnaître des profils à risque. L’accès à de telles informations contribue significativement à identifier et à classer l’origine de menaces ciblées, comme des at- taques Distributed Denial of Services (DDoS), le phishing ou la diffusion de malware. Dans certains cas, l’identification biométrique, toujours plus utilisée sur les réseaux, peut indiquer des activités cybercriminelles et se révéler nécessaire pour attribuer des actes à une personne en particulier ou pour constater une utilisation abusive de noms de domaine.

La lutte contre la cybercriminalité commise au moyen d’un nom de domaine est un bon exemple du traitement des données personnelles au sens du présent alinéa. L’art. 25, al. 1^bisà 1^quater, ODI habilite le registre du domaine .ch, sur la base de l’art. 28e, let. c, à ne pas activer un nom de domaine en cas de soupçon d’utilisation frauduleuse ou illicite, puisque l’activation, qui permet l’utilisation effective du nom de domaine, n’inter- vient qu’après une nouvelle identification du détenteur dans les 30 jours. Ce processus d’utilisation différée de noms de domaine (Deferred Delegation) se base sur un algo- rithme d’évaluation (scoring) du registre, qui contrôle les données d’enregistrement et examine si la personne requérante a fourni des informations correctes sur son identité. Les données statistiques et historiques du registre, les informations des Computer Emergency Response Teams (CERT) et de tiers participant à la lutte contre la cyber- criminalité ainsi que les travaux scientifiques servent de base à l’analyse et permettent d’évaluer de manière fondée l’utilisation future d’un nom de domaine.

Dans ce contexte et pour lutter efficacement contre les menaces croissantes dans le domaine de la cybersécurité, cette base légale habilite les autorités compétentes à utiliser de manière ciblée et proportionnée des technologies avancées, y compris l’in- telligence artificielle (IA). Elle permet notamment l’analyse automatisée des comporte- ments numériques pour lesquels il existe des soupçons d’activités abusives ou punis- sables, afin d’identifier, de prévenir et d’empêcher les attaques commises dans l’es- pace numérique au moyen de noms de domaine.

Al. 2

La transmission des données traitées et des résultats des profilages aux autorités suisses ainsi qu’aux services privés et publics peut être autorisée dans des circons- tances spécifiques. A cette fin, un échange structuré d’informations doit être mis en place pour identifier, analyser et désamorcer l’ensemble des cybermenaces. Cepen- dant, cette transmission n’est autorisée que si les autorités qui reçoivent les informa- tions disposent elle aussi d’une base légale suffisante, ce qui représente une condition importante en matière de protection des données et garantit le principe de finalité. Il s’agit d’autorités qui assument également des tâches dans le domaine de la cybersé- curité, telles que l’OFCS, fedpol ou encore le Secrétariat d’État à la politique de sécurité (SEPOS).