Ordonnance
sur le système de traitement pour la surveillance
de la correspondance par poste et télécommunication
(OST-SCPT)

La présente ordonnance règle l’exploitation et l’utilisation du système de traitement du Service Surveillance de la correspondance par poste et télécommunication (Service SCPT).

Les fournisseurs de services de télécommunication (FST), à l’exception de ceux qui ont des obligations restreintes en matière de surveillance, et les fournisseurs de services de communication dérivés ayant des obligations étendues en matière de fourniture de renseignements et de surveillance exploitent avec le Service SCPT un réseau destiné à transmettre au système de traitement les renseignements et les données issues des surveillances (réseau de transmission).

Le réseau de transmission permet aussi d’échanger les demandes de renseignements et les mandats de surveillance, ainsi que des informations sur leur exécution.

Le Département fédéral de justice et police édicte des prescriptions techniques et administratives applicables au réseau de transmission.

Le système de traitement contient les données suivantes:

1. les renseignements et les données issues des surveillances transmis par les personnes obligées de collaborer;

2. les données selon la let. a préparées pour être exploitées;

3. les demandes de renseignements et les ordres de surveillance transmis par les autorités habilitées;

4. les caractéristiques de traitement ajoutées par les autorités qui exploitent les données;

5. des données sur l’exécution et le suivi des affaires, y compris les données sur l’assurance de la qualité, les données de test, les statistiques et la comptabilité;

6. des données permettant de présenter plus simplement et de filtrer les données selon les let. a et b;

7. des clés cryptographiques.

Peuvent être traitées dans le système:

1. ²des données concernant des renseignements (chap. 3, sections 1 et 4 à 6, de l’ordonnance du 15 novembre 2017 sur la surveillance de la correspondance par poste et télécommunication [OSCPT]³);

2. ⁴des données de surveillances en temps réel (chap. 3, sections 1, 8, 9 et 11 OSCPT);

3. ⁵des données de surveillances rétroactives (chap. 3, sections 1, 10 et 11 OSCPT);

4. des données sur l’exécution et le suivi des affaires du Service SCPT (art. 6).

Les données enregistrées dans le système de traitement proviennent:

1. des autorités qui ont ordonné une surveillance ou des autorités désignées par celles-ci, des autorités qui ont autorisé une surveillance et des autres autorités associées à la procédure;

2. des personnes obligées de collaborer;

3. du Service SCPT;

4. de bases de données pour la vérification des ressources d’adressage;

5. des fournisseurs d’informations géographiques et de matériel cartographique.

Les autorités ne peuvent compléter les données issues de surveillances que par l’ajout de caractéristiques de traitement selon l’art. 3, al. 1, let. d, et par l’ajout de clés cryptographiques selon l’art. 3, a. 1, let. g; une importation plus étendue de données d’enquête n’est pas admise.

Les fonctions suivantes peuvent être utilisées pour traiter les renseignements et les données issues de surveillances:

1. écoute simultanée ou écoute différée;

2. affichage et impression;

3. localisation et représentation sur une carte;

4. décodage et déchiffrage;

5. regroupement;

6. recherche et filtrage;

7. attribution d’un enregistrement vocal à une voix déjà enregistrée dans le système;

8. transcription;

9. commentaire;

10. déclenchement d’une alerte lorsque surviennent certains événements tels que l’approche géographique d’un point donné ou un processus de communication;

11. transmission sécurisée aux personnes autorisées;

12. effacement.

Les fonctions ne s’appliquent qu’aux données auxquelles la personne qui les exécute a accès.

Le Service SCPT traite les données suivantes pour l’exécution et le suivi des affaires:

1. les coordonnées des autorités qui ont ordonné une surveillance et des autorités désignées par celles-ci, des autorités qui ont autorisé une surveillance et des autres autorités associées à la procédure, ainsi que des personnes désignées par celles-ci;

2. pour autant que ces informations soient connues: les nom, prénom, date de naissance, adresse et profession de la personne à surveiller et de son conseil juridique;

3. le motif de la demande de renseignements ou de la surveillance, en particulier l’indication des articles réprimant les infractions que la mesure doit permettre d’élucider;

4. les types de renseignements demandés et de surveillances ordonnées;

5. des communications écrites ou orales ainsi que les conversations téléphoniques enregistrées selon l’art. 8 OSCPT⁶;

6. des décisions des autorités, telles qu’ordres de surveillance, autorisations et prolongations, des décisions relatives à des sanctions administratives ou pénales, ainsi que des décisions sur recours;

7. les données mentionnées aux art. 15, let. h à k, et 49, al. 1, let. h à l, et 2, OSCPT;

8. le numéro de référence et le nom de l’affaire à laquelle se rapportent les renseignements et les surveillances;

9. les coordonnées des personnes obligées de collaborer ainsi que des personnes physiques que celles-ci ont désignées comme interlocuteurs;

10. des données sur les personnes obligées de collaborer, notamment concernant la disponibilité à renseigner et à surveiller;

11. les ressources d’adressage et les identifiants disponibles;

12. d’autres données de nature technique;

13. les données sur la perception des émoluments et le versement des indemnités.

Le Service SCPT crée, sur demande transmise au moyen du formulaire à cet effet, des comptes d’utilisateurs personnels pour permettre aux groupes de personnes suivants d’accéder au système, pour autant que ces accès soient nécessaires à l’exécution de leurs tâches:

1. collaborateurs des autorités;

2. collaborateurs des personnes obligées de collaborer;

3. collaborateurs du Service SCPT;

4. personnes auxquelles le Service SCPT a confié des tâches de maintenance, d’exploitation ou de programmation.

Il peut, sur ordre de la personne compétente, habiliter des collaborateurs des autorités mentionnées à l’art. 9, al. 1 à 3, LSCPT à octroyer des accès pour autant que cela soit nécessaire à l’exécution de leurs tâches. Lorsqu’ils octroient un accès, ces collaborateurs demeurent responsables de l’utilisation qui en est faite et documentent l’octroi de manière à ce qu’il puisse être retracé.

Le Service SCPT vérifie périodiquement que les conditions d’octroi des droits d’accès sont toujours remplies.

Les droits d’accès au système de traitement sont réglés dans l’annexe. Le Service SCPT les précise dans un règlement de traitement (art. 6 de l’ordonnance du 31 août 2022 sur la protection des données⁷).⁸

L’ordre de surveillance indique au Service SCPT quels collaborateurs des autorités mentionnées à l’art. 9, al. 1 à 3, LSCPT ont accès aux données de quelles surveillances. Après l’authentification, une procédure d’appel leur permet d’accéder aux données issues des surveillances prévues dans l’ordre.

Les personnes concernées par l’art. 279 du code de procédure pénale⁹, ou l’art. 70j de la procédure pénale militaire du 23 mars 1979¹⁰, par l’art. 33 de la loi fédérale du 25 septembre 2015 sur le renseignement¹¹, par les art. 35 et 36 LSCPT et par la loi fédérale du 25 septembre 2020 sur la protection des données¹², ainsi que leurs conseils juridiques peuvent déposer auprès de l’autorité compétente en vertu de l’art. 10, al. 1 à 3, LSCPT une demande d’accès aux données issues des surveillances.¹³ Elles obtiennent via les autorités compétentes et en vertu des dispositions qui s’appliquent à ces autorités un accès aux données dont elles ont besoin pour exercer leur droit de consulter le dossier et leur droit d’accès aux données.

Le Service SCPT autorise certains des collaborateurs visés à l’art. 7, al. 2, à octroyer des accès au sein de leur autorité, à des autorités autorisant des mesures ainsi qu’à des personnes autorisées visées à l’al. 2, pour autant que ces accès soient nécessaires à l’exécution des tâches ou pour permettre à des tiers d’exercer leurs droits.¹⁴

Le Service SCPT peut, avec le consentement de l’autorité chargée de la procédure, permettre à ses collaborateurs ou à d’autres auxiliaires de prendre connaissance du contenu des données de surveillances, lorsque cela est nécessaire pour conseiller l’autorité concernée ou la personne obligée de collaborer concernée, à des fins d’assurance de la qualité ou pour assurer le bon fonctionnement du système de traitement.¹⁵

Le consentement n’est pas requis:

1. pour assurer le bon fonctionnement du système:

   1. en cas de graves dysfonctionnements ou de risque de graves dysfonctionnements,

   2. lorsqu’il est impossible ou qu’il serait disproportionné de retrouver la surveillance concernée ou de contacter l’autorité compétente pour cette surveillance, ou

2. lorsqu’il serait disproportionné de contacter toutes les autorités compétentes en raison du grand nombre de surveillances concernées.¹⁶

Le Service SCPT prend les mesures contractuelles, organisationnelles et techniques appropriées afin que les données ne soient pas accessibles à des tiers.¹⁷

Le système de traitement possède des interfaces:

1. pour la transmission de mandats et la réception de données et de confirmations, directement ou via le réseau de transmission connecté aux systèmes des personnes obligées de collaborer;

2. pour la copie de données, selon l’art. 14, al. 1, LSCPT, dans le réseau de systèmes d’information de police de l’Office fédéral de la police et selon l’art. 14a LSCPT, dans le système d’information du Service de renseignement;

3. pour l’accès aux bases de données pour la vérification de ressources d’adressage.

Le Service SCPT s’assure en particulier des points suivants par des mesures techniques et organisationnelles:

1. protection des accès et contre les modifications: par une authentification sûre des personnes et des services habilités et une description détaillée de leurs droits respectifs de lecture et d’écriture;

2. contrôle du transport: par une transmission sécurisée des données du système de traitement;

3. contrôle des accès et des modifications: par la journalisation de tous les accès à des données et de toutes les modifications de données et par des contrôles réguliers par sondage pour détecter des irrégularités.

Il décide des mesures à prendre sur la base d’une analyse des risques fondée sur l’état de la technique et les normes internationales pertinentes.

Il édicte, à l’attention des utilisateurs du système, les instructions nécessaires à la mise en œuvre des mesures.

Il conserve les fichiers de journalisation pendant toute la durée de conservation applicable aux données issues de renseignements ou de surveillances. Les fichiers de journalisation de la destruction des données sont conservés durant deux années supplémentaires.¹⁸

Le Service SCPT décide des mesures à prendre en cas de dérangement ou de risque de dérangement du bon fonctionnement du système de traitement. S’il peut attribuer le dérangement à une ou plusieurs procédures, il entend préalablement, lorsque cela est possible, les autorités compétentes pour ces procédures.

Les données utilisées à des fins statistiques doivent être anonymisées avant leur publication.

Les données des surveillances sont à la disposition des autorités par une procédure d’appel et avec l’ensemble des fonctions de traitement selon l’art. 5, au maximum:

• a. jusqu’à l’entrée en force de la décision qui clôt la procédure pénale concernée;

• b. jusqu’à six mois après la fin de l’opération du Service de renseignement de la Confédération (SRC);

• c. jusqu’à six mois après la fin de la recherche en cas d’urgence;

• d. jusqu’à six mois après la fin de la recherche d’une personne condamnée;

• dbis ²⁰cent jours après la fin de la localisation par téléphonie mobile de terroristes potentiels en vertu de l’art. 23q, al. 3, de la loi fédérale du 21 mars 1997 instituant des mesures visant au maintien de la sûreté intérieure²¹; s’il existe, en vertu de l’art. 11, al. 4^ter, LSCPT, une raison concrète de penser que les données serviront dans une procédure pénale, la let. a est applicable, ou

• e. jusqu’à l’envoi des supports de données ou documents aux autorités pour transmission à une autorité étrangère dans le cadre d’une procédure d’entraide judiciaire internationale.

Les données restent ensuite disponibles dans le système de traitement pendant une période prolongée, mais avec des fonctions de traitement réduites, jusqu’à la fin de la durée de conservation selon l’art. 11 LSCPT. L’autorité compétente peut demander plus tôt déjà que les données soient conservées de cette façon.

En cas de modifications techniques de grande ampleur apportées au système de traitement, les données sont encore à la disposition des autorités pendant une durée de six à douze mois avec l’ensemble des fonctions de traitement.

La dernière autorité à avoir été en charge de la procédure communique au Service SCPT avant l’expiration du délai de conservation selon l’art. 11 LSCPT:

1. que les données doivent être détruites, ou

2. que les données doivent être mises à la disposition d’une autorité désignée par elle et effacées dans le système après avoir reçu confirmation de la réception.

Si l’autorité compétente n’est plus identifiable à l’expiration du délai de conservation ou ne donne aucune instruction après avoir été invitée à le faire, le Service SCPT prépare un support de données. Il adresse celui-ci à la plus haute instance judiciaire cantonale ou au Tribunal pénal fédéral. Après que l’instance en question a confirmé la réception et la lisibilité du support, le Service SCPT détruit les données dans le système. Il consigne la procédure dans un fichier de journalisation.

Les données issues de renseignements sont sauvegardées pendant douze mois, puis conservées avec des fonctions de traitement réduites pendant le délai de conservation de l’art. 11 LSCPT, et sont ensuite détruites.²²

Les données de la Confédération à valeur archivistique destinées à être détruites sont proposées pour archivage aux Archives fédérales. Les archives sans valeur archivistique sont détruites.

Les données des cantons destinées à être détruites sont proposées à l’autorité cantonale compétente lorsque le droit du canton en question le prévoit. Conformément à l’art. 4, al. 2, de la loi fédérale du 26 juin 1998 sur l’archivage²³, l’archivage de données des cantons est de la compétence de ceux-ci.

Jusqu’à la mise en service des nouvelles composantes du système, le Service SCPT peut établir les fichiers de journalisation selon l’ancien droit.

Tant que les données ne sont pas conservées de manière centralisée pendant une longue période, elles sont conservées selon la pratique en vigueur. À partir du moment où, conformément à l’art. 13, l’ensemble des fonctions de traitement ne sont plus disponibles, les autorités reçoivent les données de surveillance sur un support de données ou elles peuvent les télécharger dans leur propre système.

La présente ordonnance entre en vigueur le 1^er mars 2018.