- La nouvelle définition de la gestion des données régit les catégories de données autorisées, les obligations de contrôle, la limitation des finalités, les droits d’accès et l’anonymisation ainsi que la suppression des données qui ne sont plus nécessaires.
- Le droit d’accès est aligné sur la LPD avec un sursis, des décisions révisables par le PFPDT et des décisions contestables devant le Tribunal administratif fédéral.
- L’AIPD identifie les risques principaux et résiduels ; les contre-mesures réduisent les risques, un risque résiduel élevé subsiste en cas d’espionnage et d’écoute.
Le 28 janvier 2026, le Conseil fédéral a adopté le message relatif à la modification de la loi sur le renseignement (LRens) et l’a transmis au Parlement :
- Communiqué de presse du 28 janvier 2026
- Projet (FF 2026 395)
- Message (FF 2026 394)
- Rapport sur les résultats de la consultation
- Dossier sur la révision
La révision se fera en plusieurs paquets ; un paquet supplémentaire sur les cybermenaces est prévu pour la consultation de mi-2026.
Le projet vise à réagir à la situation de menace aggravée par le terrorisme, l’extrémisme, l’espionnage et les cyberattaques et contient entre autres des nouveautés en matière de protection des données – la gestion des données du Service de renseignement de la Confédération (SRC) est repensée, le droit d’accès est aligné sur la LPD et une analyse d’impact sur la protection des données (AIPD) est effectuée conformément à l’art. 22 LPD.
Gestion des données
Jusqu’à présent, la LRens énumérait les systèmes d’information du SRC ; désormais, la réglementation s’applique, quelles catégories de données pour quelles tâches peuvent être traitées, comment les données entrantes doivent être contrôlées, les finalités du traitement, les autorisations d’accès et les mesures d’assurance qualité pour l’anonymisation ou la suppression des données qui ne sont plus nécessaires.
Une déviation apparente du DSG est conservée : Données incorrectes peuvent être traitées si elles sont marquées en conséquence, car même une information erronée peut être pertinente sur le plan analytique :
Art. 51 Vérification de l’exactitude
1 Le SRC vérifie l’exactitude des données brutes avant de les marquer comme données de travail.
2 Il peut traiter des données personnelles, y compris des données personnelles sensibles qui se sont révélées inexactes quant à leur contenu, dans la mesure où cela est nécessaire à l’accomplissement des tâches qui lui incombent en vertu de l’article 6.
3 Il signale les données concernées comme étant incorrectes sur le plan du contenu.
En fait, il ne s’agit pas d’une exception, mais d’une déclaration : si une information est objectivement fausse, mais que sa fausseté est précisément l’objet du traitement – ce qui exclut l’erreur sur la fausseté -, l’information ainsi traitée n’est pas incorrecte d’un point de vue fonctionnel, tout comme les données d’archives abstraitement incorrectes, dont la déclaration ne doit pas être ce contenu d’information, mais le fait que cette information était enregistrée à un moment donné.
Droit d’accès
Le projet adapte la réglementation du droit d’accès. Pour les données administratives, seule la LPD s’applique. Pour les données des services de renseignement, elle s’applique en principe aussi, mais avec deux particularités :
- Report de l’information : Le SRC peut continuer à différer la communication des renseignements, même si le requérant n’est pas enregistré (art. 63a, al. 3, let. b, P‑LRCN). Il n’est toutefois plus tenu de décider de l’ajournement dans tous les cas. La personne concernée peut demander au PFPDT de vérifier la légalité du traitement des données et de l’ajournement (art. 63b P‑LPDT) et demander ensuite au Tribunal administratif fédéral de procéder à un examen plus approfondi (art. 65 P‑LPDT).
- Refus ou limitation de l’information : Si le SRC refuse ou limite les renseignements, il doit rendre une décision motivée (art. 63a, al. 2, P‑LND), qui peut être contestée par les voies de droit ordinaires.
DSFA
Le projet a fait l’objet d’une analyse d’impact sur la vie privée qui a mis en évidence les principaux risques suivants en matière de protection des données :
- les „expérience inquiétante“ : les personnes concernées savent ou soupçonnent que le SRC collecte des données à leur sujet, sans savoir pourquoi ;
- la violation des exigences légales, ce qui Assurance qualité et barrières de traitement être contournés ;
- Produits du travail sur la base des données obsolètes des services de renseignement, Les mesures prises dans le cadre de l’initiative “Pour l’égalité des chances entre les femmes et les hommes” peuvent être lourdes de conséquences ;
- Transmission de documents d’archives au Archives fédérales, Les informations sur les sources qui peuvent encore être protégées sont publiées.
En tenant compte des contre-mesures, l’AIPD n’a plus mis en évidence de risques élevés pour la protection des données. Dans le domaine de la sécurité des données, un risque résiduel élevé subsiste : l’espionnage et les écoutes. Dans son avis du 28 janvier 2025, le PFPDT a donné une évaluation fondamentalement positive de l’AIPD.
Tâches et mesures du SRC
Le paquet de révision prévoit en outre,
- le domaine d’activité du SRC à la tout le cyberespace et d’ancrer une compétence pour l’entretien des contacts avec les exploitants d’infrastructures critiques ;
- une nouvelle mesure d’acquisition soumise à autorisation pour Renseignements auprès des intermédiaires financiers en vue d’enquêter sur le financement du terrorisme et les réseaux d’espionnage ;
- d’élargir le champ d’application des mesures d’acquisition soumises à autorisation à l’extrémisme violent ;
- un une base juridique explicite pour le profilage, y compris le profilage à haut risque ;
- de renforcer le service interne d’assurance qualité qui, entre autres Utilisation de programmes capables d’apprendre (algorithmes) pour le traitement des données personnelles pendant toute la durée de l’engagement.
Les mesures soumises à approbation restent limitées dans le temps et nécessitent l’approbation du Tribunal administratif fédéral et une validation politique par le chef du DDPS.
Ces mesures avaient fait l’objet de critiques lors de la consultation :
- Vers Mesure concernant les intermédiaires financiers l’Association suisse des banquiers et Economiesuisse ont demandé, lors de la consultation, une base légale plus précise, l’art. 26, al. 1, let. f, P‑LND ne libérant pas les banques du secret professionnel du banquier. Le TAF a critiqué la formulation ouverte des dispositions et a regretté l’absence de dispositions d’exécution comparables à l’art. 285 CPP.
- La controverse a également porté sur Extension des mesures soumises à autorisation à l’extrémisme violent. Certains cantons et Privatim ont mis en garde contre un «chilling effect» sur la liberté de réunion et d’expression et se sont opposés à l’élargissement.
- En ce qui concerne le Secret professionnel le Conseil fédéral a renoncé à la suppression de l’art. 28, al. 2, LRens, prévue dans l’avant-projet ; cette disposition, selon laquelle aucune mesure d’obtention soumise à autorisation ne peut être ordonnée à l’encontre de personnes détentrices d’un secret professionnel (y compris les avocats) en tant que tiers, est maintenue.
Supervision
Les tâches de l’Autorité indépendante de contrôle des radiocommunications et du câble (UKI) sont transférées à l’Autorité indépendante de surveillance des activités de renseignement (AB-ND) et l’UKI est supprimée. Si cette mesure a été saluée lors de la consultation, le rattachement institutionnel est resté controversé. Certains cantons et privatim avaient demandé le rattachement de la CG-DN à un autre département que le DDPS – par exemple le DFJP – ou une indépendance administrative complète, privatim demandant en outre que la direction de l’autorité soit élue par les Chambres fédérales réunies ; le Conseil fédéral n’a pas suivi cette demande.