Rapport explicatif

l’al. 2, les mesures prévues nécessitent une formalisation de la coordination entre les autorités et les services concernés. Si une mesure prévue à l’al. 3 est susceptible de compromettre la surveillance du trafic des télécommunications au sens de la LSCPT, il convient de consulter au préalable le Service SCPT.

La loi fédérale du 13 décembre 2002 sur l’Assemblée fédérale (loi sur le Parlement, LParl)⁷⁵ prévoit des règles particulières pour les ordonnances que le Conseil fédéral édicte sur la base d’une compétence légale en matière de gestion de crise. Ces bases légales se trouvent dans l’annexe 2 de la LParl, où figure notamment l’art. 48. Il in- combe au Parlement, au moment des délibérations sur le projet de loi, de décider si le nouvel art. 48c doit y être inscrit.

Art. 48d Traitement des données et collaboration

Al. 1

L’art. 48d, al. 1 crée la base légale habilitant l’OFCOM, au regard de l’exécution des tâches visées aux art. 48a et 48b, à effectuer des profilages et à traiter des données personnelles sensibles. Ces tâches incluent l’identification et l’évaluation de cyberme- naces, la défense contre celles-ci ainsi que la protection et la résilience des infrastruc- tures de télécommunication (cf. art. 1, al. 2, let. b et f, en relation avec l’art. 48a, al. 2).

Les données personnelles sensibles nécessaires à cet effet se limitent strictement aux données d’identification biométriques (cf. let. a) et aux données sur les poursuites ou les sanctions administratives et pénales dans le domaine des télécommunications (cf. let. b). Dans des cas spécifiques, ces données peuvent être utiles pour identifier clai- rement un cyberattaquant ou établir un profil à risque. Leur traitement n’est autorisé que si la protection des infrastructures de télécommunication et la protection contre des cybermenaces le justifient.

La majorité des analyses de cybermenaces ne reposent cependant pas sur des don- nées personnelles, mais sur des informations techniques sans lien avec des personnes (p. ex. infrastructures techniques, caractéristiques de malware ou modèle d’attaque typique) et sur des données de personnes morales. Le traitement des données sen- sibles reste donc limité aux exceptions clairement susmentionnées.

Al. 2

L’art. 48d, al. 2, autorise l’OFCOM, au regard de l’exécution des tâches visées aux art. 48a et 48b, à transmettre les données collectées et les résultats des profilages à d’autres autorités chargées de la protection contre les cybermenaces et aux services privés et publics reconnus visés à l’art. 29. La transmission n’est autorisée que si le service destinataire dispose d’une base légale adéquate et que les données sont né- cessaires à l’exécution de tâches relevant de la cybersécurité. Il s’agit d’autorités qui exercent également des tâches dans le domaine de la cybersécurité, telles que l’OFCS, fedpol ou encore le SEPOS.

Avec cette disposition, l’échange de données reste clairement limité à la protection des infrastructures de télécommunication et à la défense contre les cybermenaces (cf. art. 1, al. 2, let. b et f, en relation avec les art. 48a et 48b). Il ne peut être demandé que par des autorités remplissant un mandat légal dans le domaine de la protection contre les