Ordonnance
sur le système de traitement pour la surveillance
de la correspondance par poste et télécommunication
(OST-SCPT)

Les fournisseurs de services de télécommunication (FST), à l’exception de ceux qui ont des obligations restreintes en matière de surveillance, et les fournisseurs de services de communication dérivés ayant des obligations étendues en matière de fourniture de renseignements et de surveillance exploitent avec le Service SCPT un réseau destiné à transmettre au système de traitement les renseignements et les données issues des surveillances (réseau de transmission).

Le réseau de transmission permet aussi d’échanger les demandes de renseignements et les mandats de surveillance, ainsi que des informations sur leur exécution.

Le Département fédéral de justice et police édicte des prescriptions techniques et administratives applicables au réseau de transmission.

Le système de traitement contient les données suivantes:

1. les renseignements et les données issues des surveillances transmis par les personnes obligées de collaborer;

2. les données selon la let. a préparées pour être exploitées;

3. les demandes de renseignements et les ordres de surveillance transmis par les autorités habilitées;

4. les caractéristiques de traitement ajoutées par les autorités qui exploitent les données;

5. des données sur l’exécution et le suivi des affaires, y compris les données sur l’assurance de la qualité, les données de test, les statistiques et la comptabilité;

6. des données permettant de présenter plus simplement et de filtrer les données selon les let. a et b;

7. des clés cryptographiques.

Peuvent être traitées dans le système:

1. des données concernant des renseignements (chap.³, sections⁴ à⁶, de l’ordonnance du 15 novembre 2017 sur la surveillance de la correspondance par poste et télécommunication [OSCPT]2);

2. des données de surveillances en temps réel (chap.³, sections⁸, ⁹ et 11, OSCPT);

3. des données de surveillances rétroactives (chap.³, sections 10 et 11, OSCPT);

4. des données sur l’exécution et le suivi des affaires du Service SCPT (art. 6).

Les données enregistrées dans le système de traitement proviennent:

1. des autorités qui ont ordonné une surveillance ou des autorités désignées par celles-ci, des autorités qui ont autorisé une surveillance et des autres autorités associées à la procédure;

2. des personnes obligées de collaborer;

3. du Service SCPT;

4. de bases de données pour la vérification des ressources d’adressage;

Les autorités ne peuvent compléter les données issues de surveillances que par l’ajout de caractéristiques de traitement selon l’art.³, al. 1, let. d, et par l’ajout de clés cryptographiques selon l’art.³, a.¹, let. g; une importation plus étendue de données d’enquête n’est pas admise.

Les fonctions suivantes peuvent être utilisées pour traiter les renseignements et les données issues de surveillances:

1. écoute simultanée ou écoute différée;

2. affichage et impression;

3. localisation et représentation sur une carte;

4. décodage et déchiffrage;

5. regroupement;

6. recherche et filtrage;

7. attribution d’un enregistrement vocal à une voix déjà enregistrée dans le système;

8. transcription;

9. commentaire;

10. déclenchement d’une alerte lorsque surviennent certains événements tels que l’approche géographique d’un point donné ou un processus de communication;

11. transmission sécurisée aux personnes autorisées;

12. effacement.

Les fonctions ne s’appliquent qu’aux données auxquelles la personne qui les exécute a accès.

Le Service SCPT crée, sur demande transmise au moyen du formulaire à cet effet, des comptes d’utilisateurs personnels pour permettre aux groupes de personnes suivants d’accéder au système, pour autant que ces accès soient nécessaires à l’exécution de leurs tâches:

1. collaborateurs des autorités;

2. collaborateurs des personnes obligées de collaborer;

3. collaborateurs du Service SCPT;

4. personnes auxquelles le Service SCPT a confié des tâches de maintenance, d’exploitation ou de programmation.

Il peut, sur ordre de la personne compétente, habiliter des collaborateurs des autorités mentionnées à l’art.⁹, al. 1 à³, LSCPT à octroyer des accès pour autant que cela soit nécessaire à l’exécution de leurs tâches. Lorsqu’ils octroient un accès, ces collaborateurs demeurent responsables de l’utilisation qui en est faite et documentent l’octroi de manière à ce qu’il puisse être retracé.

Le Service SCPT vérifie périodiquement que les conditions d’octroi des droits d’accès sont toujours remplies.

Les droits d’accès au système de traitement sont réglés dans l’annexe. Le Service SCPT les précise dans un règlement de traitement (art. 21 de l’ordonnance du 14 juin 1993 sur la protection des données⁴.

L’ordre de surveillance indique au Service SCPT quels collaborateurs des autorités mentionnées à l’art.⁹, al. 1 à³, LSCPT ont accès aux données de quelles surveillances. Après l’authentification, une procédure d’appel leur permet d’accéder aux données issues des surveillances prévues dans l’ordre.

Les personnes concernées par l’art. 279 du code de procédure pénale⁵, ou l’art. 70j de la procédure militaire du 23 mars 1979⁶, par l’art. 33 de la loi fédérale du 25 septembre 2015 sur le renseignement⁷, par les art. 35 et 36 LSCPT et par la loi fédérale du 19 juin 1992 sur la protection des données⁸, ainsi que leurs conseils juridiques peuvent déposer auprès de l’autorité compétente en vertu de l’art. 10, al. 1 à³, LSCPT une demande d’accès aux données issues des surveillances. Elles obtiennent via les autorités compétentes et en vertu des dispositions qui s’appliquent à ces autorités un accès aux données dont elles ont besoin pour exercer leur droit de consulter le dossier et leur droit d’accès aux données.

Le Service SCPT autorise certains collaborateurs des autorités mentionnées à l’art.⁷, al. 2, à octroyer des accès au sein de leur autorité ainsi qu’à des personnes autorisées selon l’al.², pour autant que ces accès soient nécessaires à l’exécution des tâches ou pour permettre à des tiers d’exercer leurs droits.

Le Service SCPT concrétise l’al.³ dans un règlement de traitement.

Le Service SCPT s’assure en particulier des points suivants par des mesures techniques et organisationnelles:

1. protection des accès et contre les modifications: par une authentification sûre des personnes et des services habilités et une description détaillée de leurs droits respectifs de lecture et d’écriture;

2. contrôle du transport: par une transmission sécurisée des données du système de traitement;

3. contrôle des accès et des modifications: par la journalisation de tous les accès à des données et de toutes les modifications de données et par des contrôles réguliers par sondage pour détecter des irrégularités.

Il décide des mesures à prendre sur la base d’une analyse des risques fondée sur l’état de la technique et les normes internationales pertinentes.

Il édicte, à l’attention des utilisateurs du système, les instructions nécessaires à la mise en œuvre des mesures.

Il conserve les fichiers de journalisation pendant toute la durée de conservation des renseignements et des données issues des surveillances.

Les données des surveillances sont à la disposition des autorités par une procédure d’appel et avec l’ensemble des fonctions de traitement selon l’art.⁵, au maximum:

Les données restent ensuite disponibles dans le système de traitement pendant une période prolongée, mais avec des fonctions de traitement réduites, jusqu’à la fin de la durée de conservation selon l’art. 11 LSCPT. L’autorité compétente peut demander plus tôt déjà que les données soient conservées de cette façon.

En cas de modifications techniques de grande ampleur apportées au système de traitement, les données sont encore à la disposition des autorités pendant une durée de six à douze mois avec l’ensemble des fonctions de traitement.

La dernière autorité à avoir été en charge de la procédure communique au Service SCPT avant l’expiration du délai de conservation selon l’art. 11 LSCPT:

1. que les données doivent être détruites, ou

2. que les données doivent être mises à la disposition d’une autorité désignée par elle et effacées dans le système après avoir reçu confirmation de la réception.

Si l’autorité compétente n’est plus identifiable à l’expiration du délai de conservation ou ne donne aucune instruction après avoir été invitée à le faire, le Service SCPT prépare un support de données. Il adresse celui-ci à la plus haute instance judiciaire cantonale ou au Tribunal pénal fédéral. Après que l’instance en question a confirmé la réception et la lisibilité du support, le Service SCPT détruit les données dans le système. Il consigne la procédure dans un fichier de journalisation.

Les données issues de renseignements sont conservées pendant douze mois, puis pendant la durée de conservation selon l’art. 11 LSCPT avec des fonctions de traitement réduites, et sont ensuite détruites.

Les données de la Confédération à valeur archivistique destinées à être détruites sont proposées pour archivage aux Archives fédérales. Les archives sans valeur archivistique sont détruites.

Les données des cantons destinées à être détruites sont proposées à l’autorité cantonale compétente lorsque le droit du canton en question le prévoit. Conformé- ment à l’art.⁴, al. 2, de la loi fédérale du 26 juin 1998 sur l’archivage⁹, l’archivage de données des cantons est de la compétence de ceux-ci.

Jusqu’à la mise en service des nouvelles composantes du système, le Service SCPT peut établir les fichiers de journalisation selon l’ancien droit.

Tant que les données ne sont pas conservées de manière centralisée pendant une longue période, elles sont conservées selon la pratique en vigueur. À partir du moment où, conformément à l’art. 13, l’ensemble des fonctions de traitement ne sont plus disponibles, les autorités reçoivent les données de surveillance sur un support de données ou elles peuvent les télécharger dans leur propre système.