Ven­te à emporter (AI)
  • L’OSCPT ne sape pas la pro­tec­tion des don­nées ; les four­nis­seurs sont tenus au secret et ne four­nis­sent des don­nées qu’en cas de base légale.
  • L’ob­li­ga­ti­on de stocker les don­nées de con­ne­xi­on sur des sup­ports de don­nées indé­pen­dants du réseau est peu pra­tique, dis­pro­por­ti­onnée et n’off­re pas de garan­tie de sécu­ri­té absolue.
  • Il exi­ste des obli­ga­ti­ons en matiè­re de sécu­ri­té des don­nées (art. 43 ss. LTC, art. 64 OST) ; les mesu­res tech­ni­ques sont lais­sées aux four­nis­seurs pour une mise en œuvre appropriée.

Inter­pel­la­ti­on Mathys (02.3599) : Sur­veil­lan­ce de la cor­re­spond­ance par poste et télécommunication

Tex­te soumis

Je prie le Con­seil fédé­ral de bien vou­loir répond­re aux que­sti­ons suivantes :

1. est-il éga­le­ment d’a­vis que l’or­don­nan­ce du 31 octobre 2001 sur la sur­veil­lan­ce de la cor­re­spond­ance par poste et télé­com­mu­ni­ca­ti­on (OSCPT) favo­ri­se l’af­fai­blis­se­ment de la pro­tec­tion des données ?

2. est-il éga­le­ment d’a­vis qu’il doit obli­ger les four­nis­seurs d’ac­cès à Inter­net à stocker les don­nées de con­ne­xi­on enre­gi­strées con­for­mé­ment à l’O­SCPT sur des sup­ports de don­nées indé­pen­dants du réseau ?

3. est-il éga­le­ment d’a­vis que ces don­nées de con­ne­xi­on ne doi­vent pas être stockées en mas­se, mais qu’el­les doi­vent être stockées indi­vi­du­el­le­ment pour chaque accès à Inter­net sur un aut­re sup­port de don­nées indé­pen­dant du réseau ?

Justi­fi­ca­ti­on

Avec l’O­SCPT, la Con­fé­dé­ra­ti­on défi­nit éga­le­ment les dif­fér­ents types de sur­veil­lan­ce. De la “sur­veil­lan­ce rétroac­ti­ve” défi­nie à l’art. 2, let. d, découle obli­ga­toire­ment l’ob­li­ga­ti­on pour les four­nis­seurs de ser­vices post­aux et de télé­com­mu­ni­ca­ti­ons d’en­re­gi­strer et de con­ser­ver les don­nées pen­dant six mois. L’ar­tic­le 24 pré­cise ces don­nées pour les four­nis­seurs d’ac­cès à Inter­net. Ain­si, le ser­vice de sur­veil­lan­ce de la cor­re­spond­ance par poste et télé­com­mu­ni­ca­ti­on peut deman­der aux four­nis­seurs de divul­guer tou­tes les don­nées de con­ne­xi­on pour les six der­niers mois. On peut sup­po­ser que les four­nis­seurs d’ac­cès à Inter­net stock­ent ces don­nées sous for­me élec­tro­ni­que. On peut éga­le­ment sup­po­ser que ces don­nées ne sont pas stockées sur des sup­ports de don­nées indé­pen­dants du réseau. En tout cas, ni la loi ni l’or­don­nan­ce ne pre­scri­vent un enre­gi­stre­ment sur un sup­port de don­nées indé­pen­dant du réseau.

Dans le con­tex­te des lacu­nes de sécu­ri­té régu­liè­re­ment déplo­rées sur Inter­net, la que­sti­on se pose de savoir si la pro­tec­tion des don­nées est ain­si enco­re garan­tie. Cer­tes, selon l’ar­tic­le 9, la sécu­ri­té des don­nées est réglée au niveau du ser­vice de sur­veil­lan­ce lui-même ain­si que lors de la trans­mis­si­on des don­nées de sur­veil­lan­ce au ser­vice, mais pas lors de l’en­re­gi­stre­ment et du stocka­ge par les four­nis­seurs d’ac­cès à Inter­net. Il sem­ble donc pos­si­ble et pro­ba­ble que des per­son­nes non auto­ri­sées pui­s­sent “pira­ter” l’ac­cès aux don­nées de con­ne­xi­on correspondantes.

Ces per­son­nes non auto­ri­sées ne sont pas néces­saire­ment des jeu­nes qui com­met­tent des actes illé­gaux à la recher­che d’ex­ci­ta­ti­on et de con­fir­ma­ti­on. Il peut éga­le­ment s’a­gir de pira­tes infor­ma­ti­ques au ser­vice d’entre­pri­ses, de ser­vices secrets ou d’aut­res orga­ni­sa­ti­ons, qui ont ou peu­vent déve­lo­p­per un inté­rêt natu­rel pour de tel­les don­nées de con­ne­xi­on et qui sou­hai­tent éta­b­lir un pro­fil sur les opé­ra­ti­ons pri­vées et pro­fes­si­on­nel­les à par­tir des don­nées ain­si obte­nues. Ain­si, les don­nées obte­nues de cet­te maniè­re per­met­tent non seu­le­ment de pré­sélec­tion­ner des cibles pour d’aut­res atta­ques, mais aus­si de recon­strui­re des réseaux entiers de rela­ti­ons de natu­re pri­vée ou pro­fes­si­on­nel­le. Les mémoi­res de don­nées des four­nis­seurs d’ac­cès doi­vent paraît­re par­ti­cu­liè­re­ment attra­y­an­tes pour de tel­les atta­ques, car les don­nées y sont stockées sous une for­me concentrée.

Avis du Con­seil fédéral

La loi sur les télé­com­mu­ni­ca­ti­ons (LTC ; RS 784.10) auto­ri­se le trai­te­ment et la con­ser­va­ti­on de cer­tai­nes don­nées rela­ti­ves aux télé­com­mu­ni­ca­ti­ons. L’ar­tic­le 60 de l’or­don­nan­ce sur les ser­vices de télé­com­mu­ni­ca­ti­on (OST ; RS 784.101.1) défi­nit quel­les don­nées peu­vent être trai­tées et à quel­les con­di­ti­ons. Il s’a­git notam­ment des don­nées néces­saires à l’é­ta­blis­se­ment de la com­mu­ni­ca­ti­on, à la four­ni­tu­re de rens­eig­ne­ments con­for­mé­ment à la loi fédé­ra­le sur la sur­veil­lan­ce de la cor­re­spond­ance par poste et télé­com­mu­ni­ca­ti­on (LSCPT ; RS 780.1) et à la per­cep­ti­on de la rétri­bu­ti­on des pre­sta­ti­ons de la FST. En out­re, cer­ta­ins droits d’in­for­ma­ti­on des cli­ents vis-à-vis des FST sont pré­vus et ils peu­vent exi­ger des FST qu’ils four­nis­sent des rens­eig­ne­ments sur le nom et l’adres­se du rac­cor­de­ment appelant en cas de com­mu­ni­ca­ti­ons éta­b­lies de maniè­re abusive.

La LTC obli­ge donc déjà la FST à enre­gi­strer et à con­ser­ver les don­nées rela­ti­ves au tra­fic et à la fac­tu­ra­ti­on de tous les abon­nés. La LSCPT et l’or­don­nan­ce y rela­ti­ve (OSCPT ; RS 780.11) sti­pu­lent uni­quement que ces don­nées, ain­si que cel­les qui sont pré­cis­ées dans la loi sus­ment­i­onnée, doi­vent être trans­mi­ses dans cer­ta­ins cas (pro­cé­du­res péna­les) à des auto­ri­tés dési­gnées qui en font la demande.

Par ail­leurs, les FDA ont éga­le­ment beso­in de ces don­nées pour les objec­tifs men­ti­onnés à l’ar­tic­le 60 OST.

1. l’O­SCPT ne favo­ri­se pas l’af­fai­blis­se­ment de la pro­tec­tion des don­nées pour les rai­sons sus­ment­i­onnées. Les FST sont tenus de gar­der le secret sur les don­nées en que­sti­on en ver­tu de l’ar­tic­le 43 LTC et ne peu­vent four­nir des don­nées pré­cis­es que si les con­di­ti­ons de la LTC, de la LSCPT et de l’O­SCPT sont remplies.

2. l’ob­li­ga­ti­on fai­te aux four­nis­seurs d’ac­cès à Inter­net de ne stocker sur des sup­ports de don­nées indé­pen­dants du réseau que les don­nées de con­ne­xi­on néces­saires à la com­mu­ni­ca­ti­on de rens­eig­ne­ments aux auto­ri­tés dans le cad­re d’u­ne pro­cé­du­re péna­le n’a aucun sens. Com­me nous l’a­vons expli­qué plus haut, les FST enre­gi­st­rent en prin­ci­pe les don­nées en que­sti­on de tous leurs cli­ents et cli­entes pour leurs pro­pres beso­ins ; il n’est pas néces­saire­ment éta­b­li au moment de l’en­re­gi­stre­ment si ces don­nées doi­vent enco­re être uti­li­sées pour four­nir des rens­eig­ne­ments aux auto­ri­tés dans le cad­re d’u­ne pro­cé­du­re péna­le. Une obli­ga­ti­on de stocker les don­nées de con­ne­xi­on sur des sup­ports indé­pen­dants du réseau n’est pas réa­li­sable dès le départ pour la simp­le rai­son qu’au moment du stocka­ge des don­nées, on ne sait pas enco­re sur quel abon­né il fau­dra éven­tu­el­le­ment four­nir des rens­eig­ne­ments à l’a­ve­nir. Cela ent­raî­ne une char­ge de tra­vail dis­pro­por­ti­onnée et ne garan­tit pas non plus une sécu­ri­té abso­lue cont­re les accès non auto­ri­sés. Au con­trai­re, plus les don­nées sont enre­gi­strées ou stockées, plus la sécu­ri­té des don­nées est men­acée, quel que soit le sup­port de stockage.

3. le légis­la­teur exi­ge uni­quement des FST qu’ils garan­tis­sent la sécu­ri­té des don­nées (art. 43 ss LTC et art. 64 OST). Il laisse aux FST le soin de déci­der des mesu­res tech­ni­ques, admi­ni­stra­ti­ves et orga­ni­sa­ti­on­nel­les à prend­re. Une tel­le régle­men­ta­ti­on est judi­cieu­se, car elle per­met aux dif­fér­ents FST de choi­sir les moy­ens qui con­vi­en­nent à leur exploitation.

La solu­ti­on pro­po­sée par l’in­ter­pel­la­teur, à savoir une pre­scrip­ti­on sur la maniè­re de garan­tir la sécu­ri­té, com­por­te le ris­que d’u­ne solu­ti­on non adap­tée au cas particulier.