Ven­te à emporter (AI)
  • La moti­on deman­de d’ad­ap­ter l’or­don­nan­ce de maniè­re à ce que seu­les les don­nées mar­gi­na­les (hea­der) pui­s­sent être enre­gi­strées dans le cad­re de la com­mu­ni­ca­ti­on par Internet.
  • Le Con­seil fédé­ral expli­que qu’il n’e­xi­ste pas de base léga­le pour stocker les don­nées de con­te­nu ; l’i­den­ti­fi­ca­ti­on ne se fait que rétroac­ti­ve­ment au moy­en de don­nées marginales.
  • La con­ser­va­ti­on des adres­ses IP cibles peut être néces­saire pour une attri­bu­ti­on clai­re auprès de CGNAT ; seuls quel­ques grands four­nis­seurs sont concernés.

Moti­on Moli­na (18.3507) : Mise en œuvre de la LSCPT con­for­mé­ment au dis­po­si­tif de vote

Tex­te soumis

Le Con­seil fédé­ral est char­gé d’ad­ap­ter l’or­don­nan­ce sur la sur­veil­lan­ce de la cor­re­spond­ance par poste et télé­com­mu­ni­ca­ti­on (OSCPT) de maniè­re à ce que les per­son­nes sou­mi­ses à l’ob­li­ga­ti­on de col­la­bo­rer au sens de l’art. 2, let. b à f, n’ai­ent accès qu’aux don­nées fis­ca­les. LSCPT, seu­les les don­nées fis­ca­les (hea­der) peu­vent être enre­gi­strées lors de la com­mu­ni­ca­ti­on par Internet.

Justi­fi­ca­ti­on

Lors de la révi­si­on de la LSCPT, le Con­seil fédé­ral a assu­ré à plu­sieurs repri­ses que l’en­re­gi­stre­ment des com­mu­ni­ca­ti­ons par Inter­net n’é­tait pas néces­saire. exclu­si­ve­ment les don­nées mar­gi­na­les (hea­der) con­cer­nées et enre­gi­strées par les per­son­nes sou­mi­ses à l’ob­li­ga­ti­on de col­la­bo­rer. Selon la mise en œuvre actu­el­le de la LSCPT dans la loi cor­re­spond­an­te Règle­ment par le Con­seil fédé­ral, les four­nis­seurs d’ac­cès peu­vent tou­te­fois trans­mett­re l’en­sem­ble des paquets de don­nées, soit éga­le­ment les “don­nées de navi­ga­ti­on”.Les don­nées sont sys­té­ma­ti­quement enre­gi­strées. Il s’a­git d’u­ne att­ein­te sup­p­lé­men­tai­re aux droits fon­da­men­taux de citoy­ens intègres, qui n’é­tait pas pré­vue par le légis­la­teur et qui doit être cor­ri­gée en conséquence.

Avis du Con­seil fédé­ral du 29.8.18

Ni la loi fédé­ra­le du 18 mars 2016 sur la sur­veil­lan­ce de la cor­re­spond­ance par poste et télé­com­mu­ni­ca­ti­on (LSCPT ; RS 780.1) ni ses ordon­nan­ces d’exé­cu­ti­on n’im­po­sent aux per­son­nes tenues de col­la­bo­rer de con­ser­ver les con­te­nus (don­nées uti­les) des com­mu­ni­ca­ti­ons Inter­net. Il n’est notam­ment pas néces­saire de con­ser­ver l’en­sem­ble des paquets de don­nées IP, y com­pris les don­nées uti­les, ni tou­tes les don­nées dites d’en-tête IP (IP-Hea­der). Il exi­ste donc pas de base léga­lepour savoir rétro­s­pec­ti­ve­ment quels sites web une per­son­ne don­née a visi­tés et enco­re moins ce qui a été com­mu­ni­qué. Cela n’est pos­si­ble qu’en temps réel, au moy­en d’u­ne sur­veil­lan­ce ordon­née par le mini­stère public et auto­ri­sée par le tri­bu­nal, et uni­quement à par­tir du moment de l’activation.

Il est seu­le­ment exi­gé que cer­ta­ins four­nis­seurs soi­ent en mesu­re d’i­den­ti­fier clai­re­ment et rétroac­ti­ve­ment l’au­teur ou l’o­ri­gi­ne d’u­ne con­ne­xi­on Inter­net don­née. Et ce uni­quement dans la mesu­re où l’au­to­ri­té habi­li­tée four­nit les infor­ma­ti­ons néces­saires, notam­ment tem­po­rel­les, sur la con­ne­xi­on recher­chée. En fin de comp­te, on ne deman­de rien d’aut­re que de con­sul­ter un annu­ai­re télé­pho­ni­que. On veut con­naît­re le Iden­ti­fier les cli­ents qui a une con­ne­xi­on Inter­net spé­ci­fi­que à un moment don­né a été éta­b­lie. Il ne s’a­git tou­te­fois pas d’un numé­ro de télé­pho­ne, mais d’u­ne adres­se IP d’origine.

De nombreux four­nis­seurs uti­li­sent des pro­cé­du­res non uni­vo­ques, par exemp­le la “Car­ri­er-Gra­de Net­work Address Trans­la­ti­on” (CGNAT), pour attri­buer des adres­ses IP à leurs cli­ents. Cela signi­fie que de nombreux cli­ents part­agent simul­ta­né­ment la même adres­se IP publi­que d’o­ri­gi­ne uti­li­ser le site. Dans de tels cas, une recher­che à par­tir d’u­ne adres­se IP d’o­ri­gi­ne et d’un moment pré­cis don­ne lieu à de nombreux résul­tats. Seul le four­nis­seur qui exploi­te le système CGNAT peut pro­cé­der à l’at­tri­bu­ti­on des con­ne­xi­ons Inter­net à chaque cli­ent. Ce four­nis­seur doit donc four­nir des infor­ma­ti­ons sup­p­lé­men­tai­res que la seu­le adres­se IP publi­que d’o­ri­gi­ne attri­buée au cli­ent et la date d’at­tri­bu­ti­on. Le site Con­ser­va­ti­on des adres­ses IP de desti­na­ti­onLe site Inter­net de l’U­ni­on euro­pé­en­ne est un site de réfé­rence pour l’en­sem­ble de l’U­ni­on euro­pé­en­ne, sur la base duquel le nom de domaine d’un site Inter­net visi­té pour­rait être trou­vé, peut donc être néces­saireLe four­nis­seur de ser­vices a beso­in de ces don­nées pour iden­ti­fier clai­re­ment la pater­ni­té ou l’o­ri­gi­ne d’u­ne con­ne­xi­on Inter­net donnée.

Con­for­mé­ment à l’art. 22 LSCPT, les four­nis­seurs sont tenus de four­nir au ser­vice OCTP tou­tes les indi­ca­ti­ons per­met­tant d’i­den­ti­fier l’au­teur de l’in­frac­tion. Les four­nis­seurs sont tou­te­fois libres de choi­sir la maniè­re tech­ni­que de garan­tir cet­te iden­ti­fi­ca­ti­on. Sur la base de l’art. 22 al. 2 LSCPT, le Con­seil fédé­ral a défi­ni les don­nées second­ai­res à des fins d’i­den­ti­fi­ca­ti­on à l’art. 21 de l’or­don­nan­ce du 15 novembre 2017 sur la sur­veil­lan­ce de la cor­re­spond­ance par poste et télé­com­mu­ni­ca­ti­on (OSCPT ; RS 780.11). Les don­nées mar­gi­na­les ne con­ti­en­nent pas d’in­di­ca­ti­ons sur le con­te­nu de la cor­re­spond­ance par télé­com­mu­ni­ca­ti­on, mais rens­eig­n­ent uni­quement sur la maniè­re dont qui est ou a été en com­mu­ni­ca­ti­on avec qui, quand et où. Les don­nées second­ai­res rela­ti­ves à l’at­tri­bu­ti­on et à la tra­duc­tion des adres­ses IP et des numé­ros de port doi­vent être con­ser­vées pen­dant six mois à des fins d’i­den­ti­fi­ca­ti­on, puis détrui­tes afin de limi­ter au maxi­mum l’att­ein­te aux droits fondamentaux.

Il con­vi­ent en out­re de noter que l’ob­li­ga­ti­on de con­ser­ver les don­nées acces­soires à des fins d’i­den­ti­fi­ca­ti­on ne con­cer­ne pas tous les four­nis­seurs, mais uni­quement les four­nis­seurs de ser­vices de télé­com­mu­ni­ca­ti­on qui n’ont pas été libé­rés de cer­tai­nes obli­ga­ti­ons de sur­veil­lan­ce (art. 26, al. 6 LSCPT, art. 51 OSCPT) et les four­nis­seurs de ser­vices de com­mu­ni­ca­ti­on déri­vés sou­mis à des obli­ga­ti­ons de sur­veil­lan­ce plus éten­dues (art. 27, al. 3 LSCPT, art. 52 OSCPT). Ain­si, sont seuls quel­ques grands four­nis­seurs sont con­cer­nés.

Enfin, le rap­port expli­ca­tif de l’O­SCPT indi­que expres­sé­ment que du point de vue de la pro­tec­tion des don­nées Pro­cé­du­re de mett­re en œuvre des mesu­res pour les­quel­les les Stocka­ge des desti­na­ti­ons de con­ne­xi­on (adres­ses IP de desti­na­ti­on) non requis et qu’il faut donc s’en abste­nir. D’aut­re part, le Con­seil fédé­ral ne sou­hai­te pas por­ter att­ein­te à la liber­té éco­no­mi­que des four­nis­seurs et ne pre­scrit donc pas la pro­cé­du­re, mais uni­quement le but, à savoir l’i­den­ti­fi­ca­ti­on des auteurs d’in­frac­tions com­mi­ses via Inter­net et l’i­den­ti­fi­ca­ti­on des per­son­nes en cas de men­aces cont­re la sécu­ri­té inté­ri­eu­re ou extérieure.

Le Con­seil fédé­ral pro­po­se de rejeter la motion.