Rapport explicatif

cybermenaces, ou de la sécurité ou de la résilience des infrastructures de télécommu- nication. La transmission de ces données à d’autres autorités ou à d’autres fins est exclue. La disposition crée la base légale nécessaire pour une coordination entre l’OFCOM, d’autres autorités et les services spécialisés en cybersécurité, dans le res- pect du cadre réglementaire en matière de protection des données. Les données per- sonnelles et les données personnelles sensibles ne sont transmises que dans des cas exceptionnels, et uniquement si la protection contre des cybermenaces ou la sécurité des infrastructures de télécommunication l’exigent. La communication de ce type de données devrait toutefois rester très limitée. En effet, la majeure partie des échanges de données visant à assurer la protection contre les cybermenaces concerne, comme indiqué à l’al. 1, des données techniques ne nécessitant ni ne permettant l’identification de personnes.

Grâce à sa finalité clairement définie et à la restriction des destinataires autorisés, l’art. 48d, al. 2, contribue à une coopération efficace et conforme au droit dans la lutte contre les cybermenaces.

Al. 3

Sur ce marché, les fournisseurs de services de télécommunication sont en concur- rence, ce qui va fondamentalement dans le sens de la LTC. S’agissant de la lutte contre les cybermenaces en revanche, la collaboration et la solidarité doivent prévaloir sur la concurrence. L’al. 3 permet aux fournisseurs de collaborer entre eux et de partager des informations, des données personnelles, y compris des données personnelles sen- sibles et les résultats des profilages, des ressources ainsi que des connaissances. Ils peuvent ainsi détecter et évaluer conjointement les menaces, les incidents en matière de sécurité ou les risques de sécurité qui touchent ou pourraient affecter les infrastruc- tures de télécommunication. L’échange peut porter sur le savoir-faire, l’expérience, l’élaboration conjointe de guides techniques ou de bonnes pratiques et surtout la créa- tion d’une base de données commune. Les fournisseurs peuvent ainsi transmettre ra- pidement et efficacement des informations concernant des vulnérabilités ou d’autres incidents sécuritaires graves dont ils ont connaissance.

Al. 4

L’analyse ou le profilage des cybermenaces qui peuvent nuire aux infrastructures de télécommunication (cf. art. 48a et 48b) ainsi que les résultats des profilages des cybe- rattaquants sont absolument essentiels pour garantir une gestion conforme des res- sources relevant du droit des télécommunications et du spectre des fréquences, face aux cyberattaques et pour protéger les infrastructures de télécommunication (cf. art. 1, al. 2, let. b et f, et art. 48a, al. 2).

Il est cependant particulièrement difficile de définir à l’avance quelles données sont nécessaires pour un profilage et surtout quelles formes de profilages sont utiles ou pourraient l’être à l’avenir. Cela dépend de l’évolution constante et rapide des cyberat- taques, des technologies, des infrastructures de télécommunication et des méthodes des cybercriminels.

Dans ce contexte, l’art. 48d, al. 4, prévoit que le Conseil fédéral, si nécessaire, règle au sens de l’art. 34, al. 3, LPD les modalités du traitement des données personnelles sensibles et du profilage. Il s’agit de traitements indispensables pour l’exécution d’une tâches légale (cf. art. 34, al. 3, let. a, LPD) et dont le but, à savoir la protection des