Inter­pel­la­ti­on Grin (09.4022) : Ris­ques pour la sécu­ri­té des don­nées télé­pho­ni­ques trai­tées à l’étranger
Fait (19.03.2010)

Tex­te soumis

Étant don­né que cer­ta­ins ris­ques éma­nent du Paki­stan, je pose les que­sti­ons sui­van­tes au Con­seil fédéral :

1. les infor­ma­ti­ons sont-elles cryp­tées avant d’êt­re envoy­ées dans des pays tiers, de sor­te qu’il est impos­si­ble d’é­ta­b­lir un lien ent­re les per­son­nes et les données ?

2. la pro­tec­tion des don­nées est-elle garan­tie par les opé­ra­teurs télé­pho­ni­ques ? Si oui, comment ?

3. si des per­son­nes non auto­ri­sées pou­vai­ent avoir accès aux don­nées CRM : Quel­les infor­ma­ti­ons pour­rai­ent-elles en tirer ?

Justi­fi­ca­ti­on

Les opé­ra­teurs télé­pho­ni­ques font trai­ter leurs don­nées CRM (Cus­to­mer Rela­ti­on­ship Manage­ment) à l’étran­ger. Par CRM, on entend “un pro­ce­s­sus de trai­te­ment de tou­tes les don­nées qui ser­vent à iden­ti­fier les cli­ents, à cré­er des bases de don­nées d’in­for­ma­ti­ons sur la cli­entèle, à déve­lo­p­per les rela­ti­ons avec les cli­ents et à amé­lio­rer l’i­mage de l’entre­pri­se et des pro­duits auprès de la cli­entèle”. Les don­nées CRM sont uti­li­sées pour défi­nir les beso­ins des cli­ents et leur pro­po­ser des off­res sur mesu­re. Swis­s­com, par exemp­le, fait trai­ter ses don­nées au Pakistan.

<

h1>Prise de posi­ti­on du Con­seil fédéral

<

h1>

La pré­sen­te inter­pel­la­ti­on a pour objet le trai­te­ment des “don­nées télé­pho­ni­ques” en géné­ral. Dans le déve­lo­p­pe­ment, il est tou­te­fois fait men­ti­on de Swis­s­com qui fait trai­ter ses don­nées CRM au Paki­stan. Inter­ro­gée à ce sujet, Swis­s­com rétor­que qu’el­le ne trai­te pas de don­nées CRM au Paki­stan. Seuls les travaux de main­ten­an­ce d’u­ne appli­ca­ti­on spé­ci­fi­que sont enco­re effec­tués au Paki­stan, mais ces travaux seront pro­ba­blem­ent repris exclu­si­ve­ment par Swis­s­com dans le cou­rant de l’année.

Les répon­ses sui­van­tes aux que­sti­ons de l’in­ter­pel­la­ti­on se basent sur les infor­ma­ti­ons four­nies par les quat­re plus gran­des ent­re­pri­ses de télé­com­mu­ni­ca­ti­on en Sui­s­se, qui des­ser­vent ensem­ble jus­qu’à 97% des cli­ents sui­s­ses, selon le sec­teur. Il en res­sort que ces ent­re­pri­ses se com­portent con­for­mé­ment à la loi. Le Con­seil fédé­ral ne dis­po­se d’au­cun élé­ment lui per­met­tant de con­clu­re que d’aut­res four­nis­seurs de ser­vices de télé­com­mu­ni­ca­ti­on ne respec­tent pas éga­le­ment les dis­po­si­ti­ons appli­ca­bles en matiè­re de pro­tec­tion des données.

1. avant de trans­mett­re des don­nées per­son­nel­les à l’étran­ger, des mesu­res orga­ni­sa­ti­on­nel­les et tech­ni­ques sont pri­ses pour garan­tir le respect de la loi du 19 juin 1992 sur la pro­tec­tion des don­nées (LPD ; RS 235.1). En par­ti­cu­lier, les don­nées sont cryp­tées et authen­ti­fi­ées afin de garan­tir la sécu­ri­té de la trans­mis­si­on des don­nées. Selon l’ap­pli­ca­ti­on, le con­te­nu des don­nées est éga­le­ment anony­mi­sé. L’an­ony­mi­sa­ti­on n’est tou­te­fois pas tou­jours pos­si­ble, par exemp­le lorsque le nom et l’adres­se sont néces­saires au trai­te­ment. Par ail­leurs, des cont­rats de pro­tec­tion des don­nées sont con­clus et des mesu­res orga­ni­sa­ti­on­nel­les sont pri­ses, com­me par exemp­le la limi­ta­ti­on de l’ac­cès aux don­nées et des con­trô­les réguliers.

2) Pour la com­mu­ni­ca­ti­on de don­nées per­son­nel­les à des desti­na­tai­res à l’étran­ger, les maîtres de fichiers, donc aus­si les four­nis­seurs de ser­vices de télé­com­mu­ni­ca­ti­on, doi­vent notam­ment respec­ter l’ar­tic­le 6 LPD. Selon cet artic­le, la com­mu­ni­ca­ti­on de don­nées à l’étran­ger n’est auto­ri­sée que si la légis­la­ti­on sur la pro­tec­tion des don­nées y garan­tit une pro­tec­tion appro­priée. Le Pré­po­sé fédé­ral à la pro­tec­tion des don­nées et à la trans­pa­rence (Edöb) tient une liste publi­que des Etats qui garan­tis­sent cet­te protection.

En revan­che, la com­mu­ni­ca­ti­on de don­nées per­son­nel­les à des desti­na­tai­res situés dans des États ne dis­po­sant pas d’u­ne pro­tec­tion adé­qua­te n’est auto­ri­sée que dans cer­ta­ins cas. Ain­si, la com­mu­ni­ca­ti­on est auto­ri­sée lorsqu’un cont­rat avec le desti­na­tai­re des don­nées à l’étran­ger garan­tit une pro­tec­tion adé­qua­te. La com­mu­ni­ca­ti­on est éga­le­ment auto­ri­sée lorsqu’el­le a lieu ent­re des socié­tés sou­mi­ses à une direc­tion uni­que et que les per­son­nes con­cer­nées sont sou­mi­ses à des règles de pro­tec­tion des don­nées qui garan­tis­sent une pro­tec­tion adéquate.

Les don­nées rela­ti­ves au tra­fic et à la fac­tu­ra­ti­on ne sont envoy­ées que vers des pays qui, selon la liste d’E­döb, garan­tis­sent une pro­tec­tion adé­qua­te des don­nées ou vers des ent­re­pri­ses étran­gè­res avec les­quel­les des cont­rats garan­tis­sent la pro­tec­tion des don­nées. Tou­te­fois, si les cli­ents télé­pho­nent dans des pays non sécu­ri­sés, il est évi­dent que des don­nées de tra­fic y sont éga­le­ment générées.

3. si des per­son­nes non auto­ri­sées devai­ent avoir accès à des don­nées per­son­nel­les à l’étran­ger, elles ne pour­rai­ent pas en tirer plus d’in­for­ma­ti­ons que cel­les qui ont été trans­mi­ses de la Sui­s­se à l’étran­ger. Selon l’ord­re de trai­te­ment, les don­nées sui­van­tes peu­vent en fai­re par­tie : Numé­ros de télé­pho­ne, noms, adres­ses, don­nées de fac­tu­ra­ti­on, com­porte­ment en matiè­re de télé­pho­nie, infor­ma­ti­ons sur les ser­vices uti­li­sés via Inter­net. Il n’est tou­te­fois pas exclu que les don­nées sus­ment­i­onnées pro­venant de ser­vices de télé­com­mu­ni­ca­ti­on soi­ent com­bi­nées avec des don­nées pro­venant d’aut­res ent­re­pri­ses de ser­vices, par exemp­le des tran­sac­tions par car­te de cré­dit, des ser­vices Inter­net de recher­che d’in­for­ma­ti­ons, des e‑mails ou des ser­vices de chat. Pour tou­tes les don­nées sen­si­bles, les cli­ents dev­rai­ent donc choi­sir un four­nis­seur de ser­vices offrant une pro­tec­tion des don­nées aus­si éle­vée que possible.