Reprise et mise en œuvre de la directive (UE) 2023/977 relative à l’échange d’informations entre les services répressifs des États membres et abrogeant la décision-cadre 2006/960/JAI du Conseil

Département fédéral de justice et police DFJP

Berne, 8 décembre 2023

Reprise et mise en œuvre de la directive (UE) 2023/977 relative à l'échange d'informations entre les services répressifs des États membres et abrogeant la décision-cadre 2006/960/JAI

(Développement de l'acquis de Schengen)

Rapport explicatif relatif à l'ouverture de la procédure de consultation

BK-D-BB8A3401/1090

Condensé

Le projet de loi porte sur la reprise et la mise en œuvre de la directive (UE) 2023/977 relative à l'échange d'informations entre les services répressifs des États membres et abrogeant la décision-cadre 2006/960/JAI du Conseil. L'objectif principal de cette directive est de réglementer les aspects organisationnels et procéduraux de l'échange d'informations entre les autorités de poursuite pénale des États membres de l'UE ou des États associés à Schengen afin d'établir des normes communes contribuant à l'efficacité de l'échange d'informations.

Contexte

En vertu de l'accord d'association à Schengen (AAS; RS 0.362.31), la Suisse s'est engagée à reprendre en principe tous les développements de l'acquis de Schengen (art. 2, al. 3, et 7 AAS). La reprise d'un nouvel acte s'effectue selon une procédure particulière, qui comprend la notification du développement par les institutions compétentes de l'Union européenne (UE) et la transmission par la Suisse d'une note de réponse. Le 10 mai 2023, l'UE a adopté la directive (UE) 2023/9771 relative à l'échange d'informations entre les services répressifs des États membres et abrogeant la décisioncadre 2006/960/JAI du Conseil. Cette directive, qui constitue un développement de l'acquis de Schengen, a été notifiée à la Suisse le 25 avril 2023. Le 2 juin 2023, le Conseil fédéral a approuvé l'échange de notes concernant la reprise de la directive sous réserve de l'approbation du Parlement.

Contenu du projet

La directive (UE) 2023/977 abroge la décision-cadre 2006/960/JAI du Conseil qui concrétisait le principe de disponibilité des informations au niveau européen et que la Suisse a transposé dans son droit national par la mise en vigueur de la loi du 12 juin 2009 sur l'échange d'informations Schengen (LEIS; RS 362.2). La directive (UE) 2023/977 a été établie afin de moderniser le cadre légal existant et d'uniformiser l'échange d'informations au sein de l'espace Schengen. Tout d'abord, la directive précise différents délais de réponse aux demandes soumises par un autre État. Afin de répondre à ces demandes, chaque État Schengen dispose d'un point de contact unique (single point of contact, SPOC) opérationnel 24 heures sur 24 et 7 jours sur 7, équipé d'un système de traitement des cas et d'un accès aux données demandées. La directive (UE) 2023/977 mentionne explicitement le principe de disponibilité, selon lequel le SPOC devra pouvoir obtenir les informations disponibles sur les infractions graves couvertes par la directive (UE) 2023/977 auprès des services répressifs (y c. cantonaux) chargés, en vertu du droit national, de la prévention et de la détection des infractions pénales ou des enquêtes en la matière. Un accès direct n'est toutefois pas nécessaire. De plus, le rôle d'Europol sera renforcé. Par exemple, tous les échanges d'informations de police de l'espace Schengen seront effectués prioritairement via l'application de réseau d’échange sécurisé d’informations (SIENA), qui est

1 Directive (UE) 2023/977 du Parlement européen et du Conseil du 10 mai 2023 relative à l'échange d'informations entre les services répressifs des États membres et abrogeant la décisioncadre 2006/960/JAI du Conseil (JO L 134 du 22 mai 2023, p. 1)

exploitée par Europol. Enfin, la question de la protection des données est un élément important de la directive (UE) 2023/977. Le texte fait directement référence à la directive (UE) 2016/680, que la Suisse a reprise au travers de la loi du 28 septembre 2018 sur la protection des données Schengen (LPDS; RS 235.3), intégrée entre-temps à la nouvelle loi du 1er septembre 2023 sur la protection des données (LPD; RS 235.1). La directive (UE) 2023/977 fixe un objectif que la Suisse doit atteindre. Pour ce faire, il incombe à cette dernière d'édicter ses propres bases légales. La LEIS, créée pour mettre en œuvre la décision-cadre 2006/960/JAI, doit faire l'objet d'une révision totale compte tenu des nombreuses nouveautés relatives à l'échange d'informations entre les autorités de poursuite pénale des États Schengen introduites par la directive (UE) 2023/977.

2.1 Vue d'ensemble de la directive (UE) 2023/977 relative à l'échange

d'informations entre les services répressifs des États membres La directive sur l'échange d'informations entre les services répressifs des États membres a été établie afin de moderniser le cadre légal existant et d'uniformiser l'échange d'informations au sein de l'espace Schengen. Elle abroge la décisioncadre 2006/960/JAI du Conseil qui concrétisait le principe de disponibilité des informations au niveau européen et que la Suisse a transposé dans son droit national par la mise en vigueur de la LPD. La décision-cadre favorisait déjà l'échange d'informations entre autorités de poursuite pénale des États européens, c'est pourquoi cette directive ne vise pas à créer un système totalement nouveau. Cette dernière permet d'apporter des précisions et d'adapter le cadre légal en matière d'échange d'informations à des fins policières. Tout d'abord, la directive précise différents délais de réponse aux demandes soumises par un autre État. Dans les cas urgents, les informations devront être partagées dans un délai de huit heures, pour autant qu'elles soient directement accessibles. Les autres délais prévus sont de trois jours pour les demandes urgentes d'informations indirectement accessibles, et de sept jours pour les autres demandes. La directive (UE) 2023/977 élargit également le champ d'application de l'échange d'informations sur demande. Ainsi, il ne s'agit plus seulement de répondre à des demandes d'informations concernant des infractions graves, mais également à des demandes concernant des infractions passibles d'une peine de plus d'un an de prison. Afin de répondre à ces demandes, chaque État Schengen dispose d'un SPOC opérationnel 24 heures sur 24 et 7 jours sur 7, équipé d'un système de traitement des cas et disposant d'un accès aux données demandées. La nouveauté introduite par la directive est qu'elle précise les tâches que le SPOC doit accomplir, ainsi que ses capacités, son organisation et sa composition. Les dispositions concernées visent à établir une norme commune pour tous les SPOC de l'espace Schengen. Ensuite, la directive mentionne explicitement le principe de disponibilité, qui prévoit que tout agent des services répressifs d'un État membre qui a besoin de certaines informations dans l'exercice de ses fonctions peut les obtenir des services répressifs d'un autre État membre qui les détient et les met à sa disposition aux fins indiquées. Ainsi, le

SPOC devra pouvoir obtenir les informations disponibles sur les infractions couvertes par la directive auprès des services répressifs (y c. cantonaux) chargés, en vertu du droit national, de la prévention et de la détection des infractions pénales ou des enquêtes en la matière. Un accès direct n'est toutefois pas nécessaire. En outre, la directive prévoit une possibilité de permettre l'échange d'informations direct entre autorités de poursuite pénale, sans passer par le SPOC. Ce modèle n'a toutefois pas été retenu lors de la mise en œuvre (voir chap. 3.2). De plus, le rôle d'Europol sera renforcé. Tous les échanges d'informations de police de l'espace Schengen seront effectués prioritairement via le canal SIENA, qui est exploité

par Europol. Dans les cas entrants dans le mandat d'Europol, ce dernier devra en principe être mis en copie des échanges afin de recevoir davantage d'informations. La question de la protection des données est un élément important de la directive. Le texte fait directement référence à la directive (UE) 2016/680 que la Suisse a reprise au travers de la LPD, entrée en vigueur le 1er septembre 2023. La directive (UE) 2016/6809 vise la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et de la libre circulation de ces données.

2.2 Contenu de la directive (UE) 2023/977 relative à l'échange d'informations entre les services répressifs des États membres Le présent chapitre donne un aperçu plus détaillé du contenu de la directive européenne, en mettant l'accent sur les différents chapitres qui la composent.

Dispositions générales

Objet et champ d'application (art. 1) L'art. 1, ch. 1, définit l'objet de la directive. Il précise que la directive "établit des règles harmonisées relatives à l'échange adéquat et rapide d'informations entre les services répressifs compétents aux fins de la prévention ou de la détection des infractions pénales ou des enquêtes en la matière". Pour ce faire, la directive énonce des règles se rapportant à quatre domaines précis:

• les demandes d'informations au SPOC d'un autre État membre ou associé;

• la communication par un État, de sa propre initiative, d'informations pertinentes au SPOC d'un autre État membre ou associé;

• le canal de communication à employer par défaut pour l'échange d'informations;

• l'organisation, les tâches, la composition et les capacités du SPOC de chaque État membre ou associé. Le ch. 2 restreint le champ d'application de la directive en spécifiant explicitement que celle-ci ne s'applique pas à l'échange d'informations régi par d'autres actes de l'Union. De même, il est explicitement précisé que les États membres ou associés peuvent adopter ou maintenir des accords bi- ou multilatéraux facilitant davantage l'échange d'informations. Le ch. 3 prévoit que la directive ne crée pas d'obligation pour les États membres ou associés d'obtenir des informations par des mesures coercitives, de les stocker dans le seul but de les communiquer à d'autres États membres ou associés, ou de communiquer des informations devant être utilisées comme preuves dans une procédure judiciaire à un autre État. Le ch. 4 précise ce dernier point en établissant qu'il n'est pas permis à un État membre ou associé d'utiliser les informations obtenues grâce à la directive comme preuves dans une procédure judiciaire, à moins que l'État ayant fourni l'information ait donné son consentement.

9 Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection

des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil, JO L 119 du 4 mai 2016, p. 89

Définitions (art. 2) Cet article énonce plusieurs définitions sur lesquelles se fondent les articles suivants. Tout d'abord, les services répressifs compétents sont définis au ch. 1. Sont concernés par cette définition les services de police, de douanes ou autre compétents en vertu du droit national pour exercer leur autorité et prendre des mesures coercitives aux fins de la prévention ou de la détection des infractions pénales ou des enquêtes en la matière. Pour la Suisse, cette définition inclut également les autorités cantonales de police et de poursuite pénale. Les services de renseignement sont en revanche explicitement exclus de cette définition. Il est ensuite précisé au ch. 2 qu'un service répressif est considéré comme "désigné" s'il est autorisé à adresser des demandes d'informations aux SPOC d'autres États membres ou associés. Sont ensuite définies, au ch. 3, les infractions pénales graves. La directive renvoie à deux autres actes de l'Union pour définir ces infractions, à savoir la décisioncadre 2002/584/JAI du Conseil10 qui traite du mandat d'arrêt européen et des procédures de remise entre États membres, et le règlement (UE) 2016/79411 qui encadre l'activité d'Europol. Sont donc considérées comme infractions pénales graves au sens de la directive les infractions qui peuvent faire l'objet d'un mandat d'arrêt européen et les infractions qui font partie du mandat d'Europol. Les ch. 4 à 7 définissent ensuite les informations ainsi que plusieurs catégories de celles-ci. Il est notamment fait la distinction entre une information directement accessible et une information indirectement accessible. Une information est considérée comme directement accessible si le SPOC ou un service répressif compétent de l'État membre ou associé y a accès. En revanche, si le SPOC ou un service répressif compétent de l'État membre ou associé doit demander l'information à d'autres autorités publiques ou des parties privées, il s'agit d'une information indirectement accessible. En raison du système fédéraliste de la Suisse, le SPOC n'a pas d'accès direct aux données des systèmes d'information cantonaux. Les informations doivent être demandées aux autorités de poursuite pénale cantonales. La dernière définition est celle des données à caractère personnel (ch. 8). La directive renvoie à la directive (UE) 2016/680, qui a déjà été reprise et mise en œuvre par la Suisse.

Principes régissant l'échange d'informations (art. 3) Cet article définit les principes qui sous-tendent l'échange d'informations entre États membres ou associés:

• Principe de disponibilité: les informations dont disposent les services répressifs d'un État membre ou associé peuvent être communiquées au SPOC ou aux services répressifs compétents d'autres États membres ou associés.

• Principe d'accès équivalent: les conditions applicables aux demandes d'informations aux SPOC ou aux services répressifs compétents d'autres États

10 Décision-cadre du Conseil du 13 juin 2002 relative au mandat d'arrêt européen et aux procédures de remise entre États membres - Déclarations de certains États membres sur l'adoption de la décision-cadre, JO L 190 du 18 juillet 2002, p. 1 11 Règlement (UE) 2016/794 du Parlement européen et du Conseil du 11 mai 2016 relatif à l'Agence de l'Union européenne pour la coopération des services répressifs (Europol) et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI, JO L 135 du 24 mai 2016, p. 53

membres ou associés sont équivalentes à celles applicables aux demandes d'informations similaires au sein d'un État membre ou associé.

• Principe de confidentialité: l'État recevant une information qualifiée de confidentielle par l'État émetteur protège cette information conformément aux exigences énoncées dans son droit national qui garantissent un niveau de confidentialité similaire à celui du droit national de l'État émetteur.

• Principe de propriété des données: les informations obtenues auprès d'un autre État ne peuvent être communiquées à un État membre ou associé ou à Europol qu'avec le consentement de l'État qui les a initialement communiquées et conformément aux conditions posées par celui-ci.

• Principe de fiabilité des données: les données à caractère personnel échangées en vertu de la directive qui s'avèrent inexactes, incomplètes ou plus à jour doivent être effacées, rectifiées ou voir leur traitement limité, et l'État destinataire doit en être informé.

Échanges d'informations par l'intermédiaire des SPOC

Demandes d'informations aux points de contact uniques (art. 4) Cet article règle la demande d'informations en elle-même. Le ch. 1 prévoit que les États membres ou associés soumettent à la Commission européenne une liste de leurs services répressifs désignés, soit les autorités autres que le SPOC qui sont habilitées à adresser des demandes d'informations aux SPOC d'autres États membres ou associés. Lorsque ces services répressifs désignés adressent une demande au SPOC d'un autre État, ils mettent leur SPOC en copie. Le ch. 2 prévoit une possibilité de déroger à cette règle au cas où cela compromettrait une enquête en cours hautement sensible qui requiert un haut niveau de confidentialité, des affaires de terrorisme ou la sécurité d'une personne. Le ch. 3 précise les conditions qui doivent être remplies pour adresser une demande au SPOC d'un autre État membre ou associé. Il doit il y avoir des raisons objectives de penser que les informations demandées sont nécessaires et proportionnées pour prévenir ou détecter des infractions pénales, ou enquêter en la matière, et que cet autre État dispose des informations demandées. Lorsqu'un État membre ou associé demande des informations, il veille à préciser si la demande a un caractère urgent ou non. Le ch. 4 définit les critères qui permettent d'invoquer l'urgence, comme l'existence d'une menace immédiate et grave pour la sécurité publique d'un État membre ou associé, ou encore d'une menace imminente pour la vie ou l'intégrité d'une personne. Le ch. 5 exige que la demande d'informations contienne toutes les données nécessaires à son traitement, et définit des informations à fournir dans tous les cas. Il s'agit entre autres d'une spécification détaillée des informations demandées, ou encore de la finalité pour laquelle les informations sont demandées. Le ch. 6 prévoit que la demande soit soumise dans l'une des langues acceptées par l'État receveur, comme prévu à l'art. 11 de la directive.

Communication d'informations en réponse à des demandes soumises aux points de contact uniques (art. 5) Si l'art. 4 traitait de la demande d'informations, l'art. 5 traite de la réponse de l'État auquel l'information a été demandée. Le ch. 1 définit les délais de réponse:

• huit heures pour les demandes urgentes portant sur des informations directement accessibles;

• trois jours civils pour les demandes urgentes portant sur des informations indirectement accessibles;

• sept jours civils pour toutes les autres demandes. Le ch. 2 prévoit la possibilité de déroger à ces délais si une autorisation judiciaire est nécessaire. L'État ayant reçu la demande doit toutefois en informer le SPOC de l'État demandeur, lui préciser le retard estimé, et le tenir au courant des évolutions. La réponse est transmise dans la même langue que la demande. Le ch. 3 prévoit également que si le SPOC envoie la réponse directement à un service répressif désigné de l'État receveur sans passer par le SPOC de ce dernier, il met ce SPOC en copie. Il est possible de déroger à cette règle lorsque cela compromet une enquête en cours hautement sensible qui requiert un haut niveau de confidentialité, des affaires de terrorisme ou la sécurité d'une personne.

Refus de demandes d'informations (art. 6) Le ch. 1 liste les différents motifs pouvant être invoqués pour refuser l'échange d'informations. Par exemple, si l'État ayant reçu la demande ne dispose pas des informations demandées, si la demande ne satisfait pas les critères énoncés à l'art. 4 ou si l'autorisation judiciaire n'est pas accordée, le SPOC refuse la demande d'informations. Il est également possible de refuser une demande s'il existe des raisons objectives de penser que la communication des informations demandées serait contraire aux intérêts essentiels en matière de sécurité nationale de l'État ayant reçu la demande, nuirait à une enquête en cours ou porterait indûment atteinte aux intérêts importants protégés d'une personne morale. De plus, les États membres ou associés doivent faire preuve de diligence raisonnable pour évaluer si la demande d'informations soumise à leur SPOC n'est pas liée à l'existence d'une violation manifeste des droits fondamentaux. Contrairement à la décision-cadre 2006/960/JAI, l'échange d'informations sur demande n'est pas limité à la prévention et à la poursuite des "infractions pénales graves", mais à la prévention et à la poursuite des infractions pénales en vertu du droit national. Il est également prévu que les motifs de refus soient communiqués à l'État requérant. Si des éclaircissements ou des précisions sont nécessaires, ils doivent être sollicités auprès de l'État demandeur avant de refuser la demande.

Autres échanges d'informations

Communication spontanée d'informations (art. 7) Un État membre ou associé peut, de sa propre initiative, transmettre une information à un autre État membre ou associé pour prévenir ou détecter des infractions pénales, ou enquêter en la matière. Cette possibilité se transforme en obligation pour les infractions pénales graves. Les conditions de mise en copie du SPOC et les dérogations en la matière sont similaires à celles prévues aux art. 4 et 8.

Échange d'informations à la suite de demandes soumises directement aux services répressifs compétents (art. 8) L'art. 8 prévoit que lorsque le SPOC ou les services répressifs compétents soumettent une demande d'informations directement à un service répressif compétent d'un autre État membre ou associé, le SPOC de l'État recevant la demande doit être mis en copie. Les dérogations en la matière sont similaires à celles prévues à l'art. 4, ch. 2.

Règles supplémentaires relatives à la communication d'informations

Autorisation judiciaire (art. 9) En application du principe d'accès équivalent, l'art. 9 prévoit qu'un État membre ou associé n'exige pas d'autorisation judiciaire pour la communication d'informations à un autre État membre ou associé lorsque celle-ci n'est pas nécessaire pour une communication équivalente d'informations au sein de cet État. Si une autorisation judiciaire est requise, le SPOC ou le service répressif compétent ayant reçu la demande doit prendre immédiatement toutes les mesures nécessaires pour obtenir cette autorisation judiciaire.

Règles supplémentaires relatives aux informations constituant des données à caractère personnel (art. 10) L'art. 10 traite de la protection des données à caractère personnel. Lorsque le SPOC ou le service répressif compétent transmet des données à caractère personnel à un autre État membre ou associé, il veille notamment à ce que les données soient exactes, complètes et à jour, et que les catégories de données à caractère personnel communiquées soient nécessaires et proportionnées aux fins de la demande.

Liste des langues (art. 11) Les États membres ou associés tiennent à jour une liste comportant une ou plusieurs langues dans lesquelles leur SPOC est en mesure d'échanger des informations. Cette liste comprend au moins l'anglais. Ils fournissent la liste à la Commission européenne, qui en assure la publication.

Communication d'informations à Europol (art. 12) Lorsque les informations échangées relèvent du mandat d'Europol, le SPOC ou le service répressif compétent évalue au cas par cas s'il est nécessaire de transmettre une copie de la demande d'informations ou des informations à Europol. Si c'est le cas, son initiateur communique également à Europol les finalités du traitement des informations et toute restriction éventuelle à ce traitement.

Canal de communication sécurisé (art. 13) L'art. 13 prévoit que les États membres ou associés veillent à ce que leur SPOC ou leurs services répressifs compétents utilisent le canal SIENA pour adresser des demandes d'informations, communiquer des informations en réponse à ces demandes ou transmettre des informations de leur propre initiative. Des exceptions sont possibles si l'échange d'informations nécessite le concours de pays tiers ou d'organisations internationales, si l'urgence de la demande d'informations nécessite l'utilisation temporaire d'un autre canal de communication, ou si un incident technique ou opérationnel inattendu rend impossible l'utilisation de SIENA pour échanger les informations. Le chi. 3 requiert que le SPOC et les services répressifs compétents soient directement connectés à SIENA.

Point de contact unique pour l'échange d'informations entre États membres

Établissement ou désignation et tâches et capacités des points de contact uniques (art. 14) Cet article liste différents attributs que doit avoir le SPOC de chaque État membre ou associé. En résumé, le SPOC doit être capable de recevoir et d'évaluer les demandes d'informations d'autres États, de les transmettre aux services répressifs nationaux compétents, de coordonner l'analyse de la demande et de structurer l'information, puis de la communiquer à un autre État si les conditions sont remplies. Au ch. 3, il est prévu que le SPOC ait accès à toutes les informations dont disposent les services répressifs nationaux compétents. Pour la Suisse, cela signifie notamment que le SPOC doit pouvoir accéder aux informations des polices cantonales. De plus, il est exigé que le SPOC accomplisse ses tâches 24 heures sur 24 et 7 jours sur 7, et qu'il soit doté du personnel et des ressources nécessaires pour mener à bien sa mission. Les autorités judiciaires compétentes pour accorder les autorisations judiciaires doivent être joignables par le SPOC également en tout temps.

Organisation, composition et formation (art. 15) L'art. 15 précise que les États membres ou associés sont responsables de déterminer l'organisation et la composition de leur SPOC de manière à ce qu'il puisse s'acquitter de ses tâches. Le ch. 2 prévoit toutefois que le SPOC soit notamment composé de membres de l'unité nationale Europol, du bureau SIRENE et du bureau central national INTERPOL, pour autant que l'État membre concerné soit tenu par le droit ou l'accord international applicable d'établir ces unités. Les États membres ou associés doivent également faire en sorte que le personnel du SPOC soit suffisamment qualifié pour remplir les fonctions de ce dernier. Les membres de ce personnel doivent maîtriser les outils de communication, le droit relatif aux activités du SPOC, y compris concernant la protection des données personnelles, et les langues figurant sur la liste transmise à la Commission européenne.

Système de gestion des dossiers (art. 16) L'art. 16 règle les caractéristiques dont le système de gestion des dossiers du SPOC doit disposer. Ce système doit par exemple pouvoir enregistrer les demandes entrantes et sortantes, les communications entre le SPOC et les services répressifs compétents, et les informations communiquées aux autres États membres ou associés. De même, le système doit être interopérable avec SIENA et pouvoir produire les statistiques requises par la directive. Les risques en matière de cybersécurité doivent être gérés et traités de manière prudente, et les données à caractère personnel ne doivent être contenues dans le système de gestion des données que pour la durée nécessaire et proportionnée à l'exécution des tâches du SPOC, avant d'être définitivement supprimées.

Coopération entre les points de contact uniques (art. 17) Les États membres ou associés sont tenus de favoriser la coopération entre les SPOC et les services répressifs compétents. Les responsables des SPOC doivent se réunir au moins une fois par année afin de faciliter cette coopération.

Dispositions finales

Statistiques (art. 18) Les États membres ou associés sont tenus de fournir à la Commission européenne des statistiques sur les échanges d'informations effectués au titre de la directive. Le nombre de demandes d'informations soumises, reçues et refusées doivent figurer dans ces statistiques.

Établissement de rapports (art. 19) Trois ans après la date d'entrée en vigueur de la directive, puis tous les cinq ans, la Commission européenne soumet au Parlement européen et au Conseil de l'UE un rapport évaluant la mise en œuvre de la directive. Quatre ans après la date d'entrée en vigueur de la directive, puis tous les cinq ans, la Commission européenne soumet au Parlement européen et au Conseil de l'UE un rapport évaluant l'efficacité de la directive.

Modification de la convention d'application de l'accord de Schengen (art. 20) et abrogation (art. 21) La directive remplace les dispositions de la décision-cadre 2006/960/JAI (initiative suédoise), qui est abrogée 18 mois après l'entrée en vigueur de la directive.

Transposition (art. 22) Les États membres ou associés doivent adopter et publier les mesures nécessaires pour se conformer à la directive au plus tard 18 mois après l'entrée en vigueur de la directive. Ils commencent à appliquer les dispositions de la directive exactement 18 mois après son entrée en vigueur. L'art. 13 relatif à SIENA ne doit toutefois être appliqué que quatre ans après l'entrée en vigueur de la directive.

3 Présentation de l'acte de mise en œuvre

3.1 Nouvelle réglementation proposée

Le présent arrêté fédéral vise à satisfaire aux obligations contractées dans le cadre de l'AAS relatives à la reprise et à la mise en œuvre des développements de l'acquis de Schengen, et à créer des dispositions légales claires et intelligibles afin de satisfaire aux obligations formulées dans la directive (UE) 2023/977. Celle-ci remplace la décision-cadre 2006/960/JAI, qui avait été mise en œuvre à l'époque au moyen de la LEIS. Étant donné que la LEIS régit déjà l'échange d'informations avec les États Schengen dans le domaine de la poursuite pénale, il convient de la conserver et de la modifier conformément aux nouvelles prescriptions de la directive (UE) 2023/977. Cela permet, comme par le passé, d'intégrer les compléments, les précisions ou les dispositions entièrement nouvelles relatifs à l'échange d'informations dans un cadre existant clair.

3.2 Mise en œuvre pratique de la directive

Comme dans le cadre de la mise en œuvre de la décision-cadre 2006/960/JAI, le futur utilisateur doit pouvoir s'appuyer sur un texte de loi complet et clair. Les modifications précises qui doivent être apportées à la LEIS sont résumées dans ce qui suit. La directive (UE) 2023/977 établit de manière contraignante sous quelles conditions les informations relatives aux infractions pénales doivent être transmises à la demande

d'un État Schengen ou sur propre initiative. Étant donné que l'échange de données personnelles doit reposer sur une base légale et que l'échange d'informations n'est pas réglementé de façon contraignante dans la LEIS, le projet de loi doit prévoir les dispositions correspondantes. Outre les modalités, il convient par conséquent de régler aussi les conditions de l'échange d'informations. La directive (UE) 2023/977 s'adresse à tout service de police, de douanes ou autre compétent en vertu du droit national pour exercer son autorité et prendre des mesures coercitives aux fins de la prévention, de la détection et de la poursuite des infractions pénales. Le champ d'application de la LEIS ne comprend actuellement que les autorités de poursuite pénale de la Confédération, à savoir l'Office fédéral de la police (fedpol), l'Office fédéral de la douane et de la sécurité des frontières (OFDF) et le Ministère public de la Confédération (MPC). Or, la définition des autorités de poursuite pénale compétentes établie par la directive (UE) 2023/977 englobe également les autorités cantonales de poursuite pénale. Il faut donc modifier la LEIS et actualiser l'objet et le champ d'application de l'art. 1 LEIS. En raison du champ d'application élargi de la directive (UE) 2023/977 et des modalités plus précises en matière d'échange d'informations, les définitions sont à revoir. Les termes nécessaires à l'application de la loi figurent à l'art. 2 du projet de loi. Sont ainsi remplacées les définitions actuelles des autorités de poursuite pénale de la Confédération (art. 3 LEIS) et des autorités de poursuite pénale des autres États Schengen (art. 4 LEIS). En vertu de la directive (UE) 2023/977, l'échange d'informations se fait, à quelques exceptions près, par le biais du point de contact national de chaque État Schengen. Il s'agit du SPOC, qui coordonne l'échange d'informations en application de la directive (UE) 2023/977. Selon le droit en vigueur (art. 5 LEIS), fedpol assume déjà la fonction de point de contact national. Les échanges ne doivent toutefois pas obligatoirement se faire par son intermédiaire. Le rôle de fedpol en tant que plaque tournante de l'échange d'informations est précisé dans le projet de loi et ses tâches sont élargies. La directive (UE) 2023/977 donne aux États Schengen la possibilité d'autoriser, outre

le point de contact national, certaines autorités de poursuite pénale à soumettre des demandes d'informations de façon autonome. Afin de coordonner au mieux l'échange d'informations et de décharger les cantons sur le plan administratif, cette possibilité est toutefois écartée. La Centrale d'engagement et d'alarme de fedpol (CEA fedpol) est désignée comme point de contact national permanent. Elle fera office de SPOC pour toutes les informations ou demandes entrantes et sortantes et coordonnera l'échange d'informations, que ce soit avec les autorités de poursuite pénale des autres États Schengen ou avec les autorités suisses de poursuite pénale. L'art. 3 du projet de loi définissant le point de contact national et ses tâches, l'art. 5 LEIS est donc abrogé. L'art. 4 renvoie, comme l'actuel art. 2, al. 3, LEIS, aux dispositions relatives à la protection des données personnelles dans le cadre de l'entraide en matière de police (art. 349a à 349h CP). Les données personnelles pouvant être transmises se limitent aux catégories de personnes et de données contenues dans la directive (UE) 2023/977. Ces catégories sont présentées à la nouvelle annexe 2. La directive (UE) 2023/977 définit cinq principes à respecter pour échanger des informations. Au principe d'égalité de traitement déjà prévu à l'art. 6 LEIS viennent s'ajouter les principes de disponibilité, de confidentialité, de propriété des données et de fiabilité des données. Les principes d'égalité de traitement, de propriété des données et de fiabilité des données sont déjà inscrits dans le CP. Le principe de disponibilité découle des art. 1 et 2 du projet de loi. En conséquence, l'art. 6 LEIS relatif au principe d'égalité de traitement est abrogé et l'art. 5 du projet de loi règle le principe de confidentialité.

Les art. 6 à 11 du projet de loi remplacent les art. 8 à 12 LEIS, qui indiquent les conditions et les modalités relatives à la transmission d'informations sur demande à des fins de prévention, de détection et de poursuite des infractions pénales. Les dispositions relatives aux exigences formelles, aux délais et aux motifs de refus des demandes d'informations sont modifiées conformément à la directive (UE) 2023/977. Étant donné que l'échange d'informations n'a lieu que par l'intermédiaire du SPOC, sont en outre précisés les processus entre celui-ci et les autorités suisses de poursuite pénale, ainsi qu'entre celui-ci et le point de contact national et les autorités de poursuite pénale désignées des autres États Schengen. Pour des raisons de systématique, la transmission spontanée d'informations est dissociée des demandes d'informations et traitée dans une section distincte. L'échange d'informations prévu à l'art. 7 LEIS ne faisant pas suite à une demande est désormais réglé aux art. 12 et 13. Outre l'échange obligatoire d'informations sur les infractions graves au sens de l'annexe 1, la transmission facultative d'informations à des fins de prévention, de détection et de poursuite des infractions pénales qui ne figurent pas sur cette liste est introduite. Afin que la CEA fedpol, en tant que point de contact national, puisse assumer les tâches prévues par la directive (UE) 2023/977 et la LEIS, elle doit pouvoir traiter les informations transmises par la Confédération, les cantons ou les États Schengen et établir des statistiques à l'attention de la Commission européenne. Les art. 14 et 15 créent les bases légales nécessaires au traitement de données sensibles et à l'établissement de statistiques par le point de contact national. L'annexe 1 liste les accords d’association à Schengen, et l'annexe 2 les données à caractère personnel qui peuvent être transmises à d'autres États Schengen dans le cadre de l'échange d'informations Schengen. L'annexe 3 énumère les infractions qui, selon le droit suisse, correspondent ou sont équivalentes à celles visées par la décision-cadre 2002/584/JAI. L'annexe est actualisée, notamment par l'ajout d'infractions supplémentaires.

3.3 Commentaire des dispositions

Remarques préliminaires En raison des nouveautés apportées par la directive (UE) 2023/977 et de la nécessité de modifier la majorité des dispositions de la LEIS, celle-ci fait l'objet d'une révision totale.

Préambule Le préambule de la LEIS en vigueur renvoie à la décision-cadre 2006/960/JAI du Conseil du 18 décembre 2006 relative à la simplification de l'échange d'informations et de renseignements entre les services répressifs des États membres de l'UE, qui a été abrogée par la directive (UE) 2023/977. Le préambule est adapté en conséquence.

Art. 1 Objet et champ d'application

Al. 1 Le projet de loi vise à faciliter la transmission d'informations à des fins de prévention, de détection et de poursuite des infractions pénales. L'échange d'informations se fait sur demande ou spontanément. Les conditions et les modalités de la transmission

d'informations sont réglées dans le projet de loi. Le champ d'application de ce dernier est plus étendu que celui de la LEIS. Il est désormais obligatoire de transmettre les informations disponibles à des fins de prévention, de détection et de poursuite des infractions pénales. La transmission d'informations sur demande est obligatoire pour tous les États Schengen et ne peut plus être refusée que si les conditions nécessaires ne sont pas remplies ou s'il existe des motifs de refus tels que prévus dans la directive. Si les conditions sont remplies et qu'il n'existe aucun motif de refus, les informations demandées doivent être transmises à l'État Schengen requérant à des fins de prévention, de détection et de poursuite des infractions pénales. La communication de données personnelles aux États Schengen est autorisée en vertu de l'art. 349a CP en relation avec l'art. 36, al. 1, LPD12, lorsqu'une base légale existe à cet effet. Étant donné que l'échange d'informations au sens de la présente loi concerne également les données personnelles sensibles, une loi formelle est nécessaire. Une base légale est également requise pour le traitement de données sensibles et la communication de données concernant des personnes morales (art. 57r et 57s, al. 1, de la loi du 21 mars 1997 sur l'organisation du gouvernement et de l'administration [LOGA]13). Le présent projet de loi crée les bases juridiques nécessaires en matière de communication de données. Le projet de loi ne s'applique plus seulement aux autorités de poursuite pénale de la Confédération, mais également à celles des cantons. Dans la mesure où il relève de la compétence législative de la Confédération, il est contraignant aussi pour les cantons. En outre, ceux-ci sont également liés par les prescriptions de la directive (UE) 2023/977 (cf. art. 10 pour plus de précisions).

Al. 2 L'échange d'informations prévu par le présent projet de loi n'affecte pas les dispositions de la loi du 20 mars 1981 sur l'entraide pénale internationale (EIMP)14. Les autorités échangeant des informations ne sont pas tenues de communiquer les informations demandées en lien avec des mesures coercitives; la Suisse doit refuser les demandes de transmission d'informations qui devraient être obtenues par le biais de mesures coercitives (cf. art. 8, al. 2, let. g). Les informations obtenues ne peuvent donc être utilisées qu'à des fins d'enquête. Lorsqu'un État Schengen souhaite utiliser les informations comme moyen de preuve dans une procédure judiciaire pour requérir, motiver ou prononcer une décision finale, il doit obtenir l'autorisation de la Suisse conformément aux règles en vigueur concernant l'entraide judiciaire internationale en matière pénale. En outre, le présent projet de loi n'affecte pas les traités internationaux relatifs à l'assistance administrative et l'entraide judiciaire en matière pénale.

Al. 3 Le projet de loi n'affecte pas les obligations plus rigoureuses en matière d'assistance administrative, comme celles prévues dans la loi du 28 septembre 2012 sur l’assistance administrative fiscale (LAAF)15.

12 RS 235.1

13 RS 172.010 (état au 1er septembre 2023)

14 RS 351.1

15 RS 651.1

Les dispositions plus avantageuses des accords bilatéraux ou multilatéraux déjà conclus entre la Suisse et certains États Schengen demeurent réservées. Il s'agit notamment des accords et des traités entre la Suisse et certains États Schengen liés à la coopération policière transfrontalière, comme l'accord du 27 avril 1999 entre la Suisse et l'Allemagne en matière de police16. Par conséquent, l'assistance administrative dans le domaine de la sécurité des frontières peut notamment se poursuivre selon les processus établis et simplifiés de tel ou tel accord de police. Les dispositions de la directive (UE) 2023/977 n'affectent pas l'utilisation contraignante pour la Suisse d'autres systèmes régissant la transmission d'informations, comme le système d'information Schengen17 ou la coopération policière dans le cadre de Prüm18.

Art. 2 Définitions

Let. a: État Schengen État lié par un des accords d'association à Schengen. Ces accords sont mentionnés à l'annexe 1. Le territoire des États Schengen englobe la majeure partie des États membres de l'UE19 et les quatre États associés que sont la Suisse, la Norvège, l'Islande et la Principauté de Liechtenstein.

Let. b: autorités de poursuite pénale La décision-cadre 2006/960/JAI était contraignante pour les autorités qui, en tant que service national de police, de douane ou autre, sont autorisées par le droit national à détecter et à prévenir les infractions ou les activités criminelles, à enquêter à leur propos, et à exercer l'autorité publique et à prendre des mesures coercitives dans le cadre de ces activités. Cette définition se réfère à fedpol, au MPC et à l'OFDF. La LEIS ne concerne que les autorités de poursuite pénale de la Confédération20. La directive (UE) 2023/977 va plus loin et définit à l'art. 2, par. 2, un "service répressif compétent" comme tout service de police, de douanes ou autre des États membres compétent en vertu du droit national pour exercer son autorité et prendre des mesures coercitives aux fins de la prévention ou de la détection des infractions pénales, ou des enquêtes en la matière. Par conséquent, outre les autorités de poursuite pénale susmentionnées, la définition comprend également les autorités de poursuite pénale au sens de l'art. 12 du code de procédure pénale suisse (CPP21). Ce ne sont donc plus seulement les autorités de poursuite pénale de la Confédération, mais aussi celles des cantons qui

16 RS 0.360.136.1 (accord du 27 avril 1999 entre la Suisse et l'Allemagne en matière de police)

17 Règlement (UE) 2018/1862 du Parlement européen et du Conseil du 28 novembre 2018 sur l'établissement, le fonctionnement et l'utilisation du système d'information Schengen (SIS) dans le domaine de la coopération policière et de la coopération judiciaire en matière pénale, modifiant et abrogeant la décision 2007/533/JAI du Conseil, et abrogeant le règlement (CE) n° 1986/2006 du Parlement européen et du Conseil et la décision 2010/261/UE de la Commission (JO L 312 du 7 décembre 2018, p. 56) 18 Décision 2008/615/JAI du Conseil du 23 juin 2008 relative à l'approfondissement de la coopération

transfrontalière, notamment en vue de lutter contre le terrorisme et la criminalité transfrontalière (JO L 210 du 6 août 2008, p. 1); décision 2008/616/JAI du Conseil du 23 juin 2008 concernant la mise en œuvre de la décision 2008/615/JAI relative à l'approfondissement de la coopération transfrontalière, notamment en vue de lutter contre le terrorisme et la criminalité transfrontalière (JO L 210 du 6 août 2008, p. 12) 19 Les contrôles aux frontières intérieures de la Bulgarie, de la Roumanie et de Chypre n'ont pas encore

été levés, et l'Irlande ne fait pas partie de l'espace Schengen. 20 FF 2008 8123, 8142

21 RS 321.0

entrent dans le champ d'application de la directive (UE) 2023/977. Les autorités chargées spécifiquement de questions de sécurité nationale, comme le Service de renseignement de la Confédération et l'Armée suisse, ne sont pas visées par la loi.

Let. c: autorités de poursuite pénale désignées La directive (UE) 2023/977 prévoit que les États Schengen adressent les demandes d'informations au point de contact national d'un autre État Schengen par l'intermédiaire de leur point de contact national. Pour plus de souplesse, les États membres sont autorisés, en outre, à désigner certains de leurs services répressifs compétents, qui participent à la coopération européenne en tant que services répressifs désignés. Ces derniers sont autorisés à transmettre des demandes d'informations directement aux points de contact nationaux des autres États Schengen. Ceux-ci doivent indiquer tous les services répressifs désignés à la Commission, qui en publie la liste. Le point de contact national suisse est donc aussi tenu de réceptionner les demandes d'information en bonne et due forme des services répressifs désignés des autres États Schengen et d'entreprendre les démarches nécessaires pour y répondre dans les délais. Les demandes des autorités suisses de poursuite pénale sont transmises aux autres États Schengen exclusivement par l'intermédiaire du SPOC (cf. commentaire de l'art. 3).

Let. d: informations disponibles Les informations disponibles au sens de la présente loi comprennent en principe tout type de données relatives à des personnes, des faits ou des circonstances qui sont pertinentes pour les autorités de poursuite pénale à des fins de prévention, de détection et de poursuite des infractions pénales et qui sont disponibles dans leurs systèmes d'information ou peuvent être consultées par elles sans contrainte procédurale de la part d'autorités ou de particuliers. Afin de mettre en œuvre la décision-cadre 2006/960/JAI, la Suisse a déjà communiqué à l'UE quelles informations sont disponibles dans les systèmes d'information suisses pour un échange, pour autant que les conditions de l'échange soient remplies22. L'échange d'informations en vertu du présent projet de loi porte essentiellement sur les mêmes catégories de données, toujours sous réserve du respect des conditions qui régissent la communication des informations conformément aux dispositions pertinentes. S'il existe des dispositions plus avantageuses pour l'échange d'informations spécifiques, l'échange se fait selon ces dernières et par les canaux qu'elles prévoient et non sur la base du présent projet de loi. Par exemple, l'échange de profils d'ADN ou de données dactyloscopiques se fera avec les États contractants concernés selon les règles de la coopération policière dans le cadre de Prüm, dès leur entrée en vigueur. Ch. 1 et 2 Une distinction est faite entre les informations directement et indirectement disponibles. Elle est importante pour les délais de réponse aux demandes (cf. commentaire de l'art. 9). L'art. 2, ch. 6, de la directive (UE) 2023/977 définit les informations directement accessibles de la manière suivante: "informations détenues dans une base de données à laquelle le point de contact unique ou un service répressif compétent de l'État

22 Cf. lignes directrices du 26 mai 2010 concernant la mise en œuvre de la décision-cadre 2006/960/JAI

du Conseil du 18 décembre 2006 relative à la simplification de l'échange d'informations et de renseignements entre les services répressifs des États membres de l'Union européenne, annexe III, p. 120 (doc. 9512/10)

membre auquel les informations sont demandées peut accéder directement". La mention d'un accès direct par le point de contact national ou une autorité de poursuite pénale est déterminante pour l'interprétation. Si le point de contact national qui réceptionne une demande n'a pas d'accès direct aux données demandées, alors qu'une autorité cantonale de poursuite pénale l'a, les données concernées sont considérées comme étant directement disponibles en vertu de la directive (UE) 2023/977. La Suisse garantit l'échange d'informations de manière centralisée par le biais de la CEA fedpol, qui assume le rôle de point de contact national. Les autres États Schengen demanderont donc toujours les informations à la CEA fedpol. Si les données demandées ne sont pas directement disponibles ou pas directement disponibles en intégralité pour la CEA fedpol, celle-ci transmet la demande aux autorités de poursuite pénale ayant un accès direct aux données pour la suite du traitement. Ces autorités de poursuite pénale transmettent ensuite les informations à la CEA fedpol pour répondre à la demande. L'art. 2, ch. 7, de la directive (UE) 2023/977 définit enfin les informations indirectement accessibles de la manière suivante: "informations qu'un point de contact unique ou un service répressif compétent de l'État membre auquel les informations sont demandées peut obtenir d'autres autorités publiques ou de parties privées établies dans cet État membre, lorsque le droit national le permet et conformément à celui-ci, sans mesures coercitives". Si la CEA fedpol ou une autorité de poursuite pénale doit obtenir les informations en effectuant une demande de transmission auprès d'une autre autorité ou d'une partie privée car elle n'a pas d'accès direct, ces informations sont considérées comme étant indirectement disponibles. Il convient d'évaluer au cas par cas et conformément au droit national si la CEA fedpol a un accès direct ou indirect aux informations disponibles dans une banque de données.

Art. 3 Point de contact national

Al. 1 En vertu de l'art. 14 de la directive (UE) 2023/977, chaque État membre établit ou désigne un point de contact unique. Celui-ci est chargé de coordonner et de faciliter l'échange d'informations. Afin d'être coordonné au mieux, l'échange d'informations se fait, conformément au présent projet de loi, exclusivement par le biais du point de contact national. La directive (UE) 2023/977 prévoit certes la possibilité pour les autorités de poursuite pénale soit de répondre directement aux demandes d'autres États Schengen, soit d'envoyer directement ces demandes à d'autres autorités de poursuite pénale ou points de contact nationaux. À cet effet, les autorités de poursuite pénale doivent toutefois respecter les exigences de la directive (UE) 2023/977. Elles doivent par conséquent être connectées à SIENA et disposer d'un service qui réceptionne les demandes, les traite et y répond dans la langue utilisée par l'État Schengen requérant. fedpol est le point de contact national entre Europol et les autres autorités compétentes en Suisse (cf. art. 5 de l'Accord entre la Confédération suisse et l'Office européen de police23). fedpol est déjà raccordé à SIENA et remplit les conditions requises. Le traitement centralisé par le point de contact national facilite la coordination de l'échange d'informations et décharge notamment les autorités cantonales de poursuite pénale. L'art. 5, al. 2, LEIS désigne déjà fedpol comme point de contact central. Toutefois, selon cette disposition, fedpol ne constitue pour ainsi dire qu'une "boîte aux lettres" occupée en permanence, pouvant être utilisée si nécessaire par d'autres services fédéraux

23 RO 2006 1019

ou, le cas échéant, par des autorités de police cantonales24. En vertu du droit en vigueur, les autorités de poursuite pénale ne sont pas tenues d'informer au préalable fedpol de l'échange d'informations. Le point de contact national sera désormais la plaque tournante de l'échange d'informations entre les autorités suisses de poursuite pénale et celles des États Schengen. Toutes les demandes d'informations et les informations transmises spontanément par les points de contact nationaux ou les autorités de poursuite pénale désignées des autres États Schengen conformément au projet de loi doivent être transmises au point de contact national suisse. Les demandes d'informations de la Suisse et les informations transmises spontanément par notre pays sont envoyées par les autorités de poursuite pénale compétentes au point de contact national, qui les transmet à son tour aux points de contact nationaux ou aux autorités de poursuite pénale désignées des États Schengen, autrement dit les destinataires finaux.

Al. 2 La CEA fedpol est le point de contact national de la Suisse. Elle doit accomplir les tâches prévues à l'art. 14, par. 2, de la directive (UE) 2023/977, en plus d'être responsable de l'exécution de l'échange d'informations. Elle réceptionne les demandes et vérifie si les informations demandées par les États Schengen sont nécessaires et proportionnées afin de prévenir, de constater et de poursuivre une ou plusieurs infractions pénales et si la motivation est suffisamment claire et détaillée, de sorte que les informations ne soient pas communiquées pour des raisons injustifiées ou en quantités disproportionnées. Elle transmet les demandes de collecte des informations nécessaires aux autorités de poursuite pénale compétentes et coordonne leur traitement. Elle reçoit également des autorités de poursuite pénale suisses des informations à transmettre spontanément, vérifie si les conditions de transmission sont remplies et transmet les informations à l'État Schengen intéressé. Lorsque l'approbation du MPC ou de l'Office fédéral de la justice est nécessaire pour transmettre des informations disponibles, la CEA fedpol dispose d'un canal de communication pour l'obtenir 24 heures sur 24, 7 jours sur 7. La possibilité de contacter en permanence les autorités judiciaires fédérales compétentes est donc garantie. Aujourd'hui déjà, la CEA fedpol utilise régulièrement ce canal, par exemple pour recevoir l'approbation de localiser des personnes en cas de péril en la demeure ou de mesures transfrontalières d'urgence. Si le droit cantonal prévoit qu'une autorité judiciaire cantonale doit donner son approbation pour transmettre des informations disponibles, l'autorité cantonale de poursuite pénale doit en faire la demande. Si la CEA fedpol communique des informations sur demande ou de sa propre initiative à d'autres États Schengen, elle vérifie en plus si les informations peuvent être mises en copie à Europol. L'art. 355a CP est la base légale relative à la transmission de ces données à Europol, qui ne peut avoir lieu que selon les conditions fixées dans l'accord du 24 septembre 200425. La condition préalable est que les informations en question concernent des infractions pénales pour lesquelles Europol a un mandat (cf. art. 3 de la directive (UE) 2016/794). fedpol assure déjà l'échange d'informations de police avec des partenaires étrangers

et des organismes internationaux (art. 9, al. 2, let. f, de l'ordonnance du 17 novembre

24 FF 2008 8123, 8143

25 RS 0.362.2

1999 sur l'organisation du Département fédéral de justice et police, Org DFJP26). Il dispose d'un point de contact unique 24 heures sur 24 pour l'échange d'informations de police entre la Suisse et l'étranger: la CEA fedpol. Celle-ci dispose de l'infrastructure et des connaissances nécessaires à l'accomplissement des tâches énumérées à l'art. 14, par. 2, de la directive (UE) 2023/977. La CEA fedpol reçoit des demandes des autorités de poursuite pénale étrangères ou cantonales, les vérifie et prend les mesures appropriées pour qu'il y soit répondu dans les délais. Elle a en outre accès à de nombreux systèmes d'information comme JANUS27, SYMIC28 et IPAS29, ce qui lui permet de communiquer aux autorités de poursuite pénale requérantes les informations qui lui sont directement accessibles. Lorsque la CEA fedpol n'a pas d'accès direct aux informations demandées, elle entreprend des démarches pour se procurer les informations disponibles auprès de l'autorité de poursuite pénale qui y a accès. Elle est active 24 heures sur 24 et peut donc s'acquitter de ses tâches sans interruption. Répondant aux exigences de la directive (UE) 2023/977, la CEA fedpol est désignée comme point de contact national pour l'échange d'informations entre autorités de poursuite pénale des États Schengen.

Al. 3 L'art. 13 de la directive (UE) 2023/977 définit de façon contraignante les canaux de communication pour l'échange d'informations. La Suisse et les autres États Schengen doivent utiliser le réseau d'échange sécurisé d'informations d'Europol «Secure Information Exchange Network Application» (SIENA). Il s'agit d'une ligne sécurisée permettant d'échanger des informations avec Europol et ses États partenaires. Jusqu'à présent, un grand nombre de canaux de communication étaient utilisés pour la transmission entre États Schengen d'informations relatives à la poursuite pénale. Cela empêchait un échange approprié et rapide des informations et augmentait les risques pour la sécurité des données à caractère personnel. L'uniformisation du canal de communication vise à y remédier. La CEA fedpol est déjà raccordée à SIENA et utilisera ce canal pour l'échange d'informations. Étant donné que celui-ci se fait par l'intermédiaire de la CEA fedpol en tant que SPOC, il n'est pas nécessaire de raccorder toutes les autorités de poursuite pénale concernées à SIENA. Les cantons et la CEA fedpol échangent des informations via les canaux existants (actuellement: Secure Mail et système de transmission de messages VULPUS-Télématique). Al. 4 À titre d'exception, il est possible de ne pas utiliser SIENA lorsque l'échange d'informations requiert ou pourrait requérir la participation d'États tiers ou d'organisations internationales, lorsque l'urgence de la demande d'informations exige l'utilisation temporaire d'un autre canal de communication ou lorsqu'un incident technique ou opérationnel imprévu rend impossible l'utilisation de SIENA. Il n'existe pas de directives concernant le canal de communication destiné à l'échange d'informations au niveau national entre la CEA fedpol et les autorités de poursuite pénale compétentes.

26 RS 172.213.1

27 Système d'information de la Police judiciaire fédérale (art. 11, al. 5, LSIP)

28 Système d'information central sur la migration (SYMIC; art. 9, al. 1 let. c, de la loi fédérale du 20 juin

2003 sur le système d'information commun aux domaines des étrangers et de l'asile, LDEA) 29 Système informatisé de gestion et d'indexation de dossiers et de personnes (IPAS; art. 12, al. 6, let. a,

et 14, al. 3, let. a, LSIP)

Art. 4 Protection des données Al. 1 La transmission de données personnelles conformément à la présente loi nécessite que ces dernières soient exactes, complètes et à jour. Le traitement des données est régi par la LPD. En vertu de l'art. 6, al. 5, LPD, "celui qui traite des données personnelles doit s'assurer qu’elles sont exactes". L'autorité de poursuite pénale qui transmet des informations sur demande ou spontanément dans le cadre de la présente loi doit veiller à ce que ces informations soient exactes, complètes et à jour. Lors de chaque transmission d'informations à d'autres États Schengen, la CEA fedpol leur fournira également par défaut des éléments leur permettant d'évaluer si les données à caractère personnel sont exactes, complètes, fiables et à jour. Dans le cadre de l'échange d'informations en vertu du présent projet de loi aussi, la CEA fedpol transmettra les informations contextuelles nécessaires par le biais de SIENA pour vérifier la qualité des données. Al. 2 L'art. 10 de la directive (UE) 2023/977 limite la communication de données à caractère personnel aux catégories de personnes concernées et à certaines catégories de données. Des données différentes de celles énumérées à l'annexe II, section B, du règlement (UE) 2016/794 (règlement Europol) ne peuvent par conséquent pas être transmises. Le règlement (UE) 2016/794 est uniquement contraignant pour les États de l'UE et n'a pas été repris par la Suisse. Afin de garantir, dans le respect du principe d'égalité de traitement, qu'aucune donnée ne soit échangée qui ne soit pas également transmise par les États de l'UE, la liste des données à caractère personnel de l'annexe II du règlement (UE) 2016/794 est reprise par analogie dans la loi. L'annexe 2 nouvellement élaborée énumère de manière exhaustive les données à caractère personnel qui peuvent faire l'objet de l'échange d'informations conformément à la présente loi. La transmission des données est par conséquent refusée si les données demandées ne figurent pas dans les catégories énoncées dans l'annexe (cf. art. 8, al. 1, let. f). Les autres motifs de refus visés à l'art. 8 demeurent réservés (cf. commentaire de l'art. 8).

Al. 3 Les dispositions du CP relatives à l'entraide en matière de police (art. 349a à 349h CP30) restent déterminantes pour l'échange d'informations entre les autorités de poursuite pénale des États Schengen. Les art. 349a à 349h CP mettent en œuvre la directive 2016/680 et garantissent une protection adéquate des personnes physiques lors du traitement des données à caractère personnel au titre de cette directive. La présente loi ne crée pas de nouveau système d'information, mais règle les processus d'échange des informations existantes. S'agissant des données enregistrées dans un tel système, les dispositions applicables relatives à la protection des données, à la sécurité des données et aux droits des personnes concernées sont inscrites dans les bases légales relatives au système d'information en question. Les droits des personnes concernées sont ainsi protégés par les dispositions en matière de protection des données s'appliquant aux différents systèmes d'information. Si des données provenant du système de recherches informatisées de police (régi par l'art. 15 de la loi fédérale du 13 juin 2008 sur les systèmes d'information de police de la Confédération [LSIP]31) sont transmises à un autre État Schengen, les droits des personnes concernées se fondent sur l'art. 7 LSIP. Dans la mesure où les informations à échanger ne se trouvent pas dans un système d'information, les dispositions relatives aux droits des personnes concernées prévus aux art. 25 ss LPD s'appliquent. Il convient de garantir la protection des données en vertu des dispositions de la LPD indépendamment de celles du CP et de la législation spéciale.

Art. 5 Sécurité de l'information Pour tous les échanges d'informations au titre de la directive (UE) 2023/977, cinq principes ont été définis, qui doivent être respectés par la Suisse et les autres États Schengen. Les principes de disponibilité, d'égalité de traitement (ou d'accès équivalent), de propriété des données et de fiabilité des données ne sont pas inscrits expressément à l'art. 4, car les normes que celui-ci contient découlent déjà d'autres dispositions. L'art. 4 transpose le principe de confidentialité dans le droit national. En vertu du principe de confidentialité, les informations désignées comme confidentielles communiquées par une autorité de poursuite pénale d'un autre État Schengen doivent être traitées de façon confidentielle dans une mesure comparable conformément au droit national. S'appliquent donc les règles de traitement de l'échelon de classification suisse équivalent à celui de l'État Schengen. Il incombe à l'État Schengen qui transmet les informations d'indiquer de façon appropriée l'échelon de classification. Celui-ci résulte en général soit des codes de traitement, soit des indications correspondantes lors de la transmission des informations. Les autorités suisses connaissent les échelons de classification INTERNE, CONFIDENTIEL et SECRET. Lors du traitement de ces informations classifiées au niveau fédéral, sont déterminantes les dispositions de l'ordonnance du 4 juillet 2007 concernant la protection des informations (OPrI32) ou celles de la loi sur la sécurité de l'information (nLSI33), qui entrera en vigueur le 1er janvier 2024. Au niveau cantonal, ces dispositions sont également contraignantes, à

30 RS 311.0

31 RS 361

32 RS 510.411

33 RO 2022 232

moins que les cantons ne garantissent une sécurité de l'information au moins équivalente. Dans ce cas, ce sont les dispositions cantonales qui s'appliquent. S'agissant du traitement des informations classifiées des États Schengen, il convient de respecter, conformément au principe de confidentialité, les exigences de protection appliquées aux informations classifiées de façon équivalente de la Suisse. Lorsque des informations transmises par un État Schengen sont désignées comme "classifiées" et qu'elles remplissent les critères d'un échelon de classification équivalent, les autorités de poursuite pénale qui les traitent doivent respecter les exigences de protection correspondantes. Les autres principes applicables conformément à la directive (UE) 2023/977 ne nécessitent pas d'article distinct, car ils sont déjà inscrits dans le droit national ou découlent des autres dispositions du projet de loi. - En vertu du principe de disponibilité, les informations dont disposent les services répressifs nationaux doivent également être accessibles, dans la mesure du possible, au point de contact unique ou aux services répressifs compétents d'autres États membres. En conséquence, la Suisse communique des informations qui, conformément à sa législation nationale, peuvent être obtenues, enregistrées et transmises à des autorités de poursuite pénale à des fins de prévention, de détection et de poursuite des infractions pénales. Le principe de disponibilité découle du champ d'application visé à l'art. 1, al. 1, et de la définition des informations disponibles de l'art. 2, al. 1, let. d, du projet de loi. Les autorités suisses de poursuite pénale échangent avec les autorités de poursuite pénale des États Schengen les informations enregistrées auprès d'une autorité suisse de poursuite pénale qui sont pertinentes à des fins de prévention, de détection et de poursuite des infractions pénales. Demeurent réservées les dispositions relatives aux motifs de refus. Les informations sont disponibles si elles figurent déjà dans un système d'information des autorités concernées, qu'elles aient été obtenues initialement en lien ou non avec une mesure coercitive, et s'il est possible d'y accéder sans mesure coercitive. La directive (UE) 2023/977 ne crée pas d'obligation de collecter des informations supplémentaires pour être échangées avec les États Schengen.

• Le principe d'égalité de traitement a déjà été introduit dans le droit national en lien avec la décision-cadre 2006/960/JAI (cf. art. 6 LEIS) et, plus tard, lors de la transposition de l'art. 9, par. 3 et 4, de la directive (UE) 2016/680 (cf. art. 349b CP). Selon ce principe, les conditions régissant l'échange d'informations avec les autorités de poursuite pénale d'autres États Schengen ne doivent pas être plus strictes que celles s'appliquant à l'échange d'informations au niveau national. Ce principe assimile l'échange d'informations avec une autorité de poursuite pénale compétente d'un État Schengen à un échange sur le plan national entre autorités de poursuite pénale suisses. Le droit national demeure ainsi déterminant pour l'échange d'informations. Il détermine également quelles informations peuvent être échangées sous quelles conditions, les principes nationaux en matière de protection des données s'appliquant également. Le principe d'égalité de traitement est inscrit dans le droit national à l'art. 349b CP.

• Selon le principe de propriété des données, les autorités de poursuite pénale ne communiquent à un État Schengen ou à un État tiers des informations provenant initialement d'un autre État Schengen ou d'un autre État tiers qu'avec l'accord de ce dernier et sous les conditions fixées par celui-ci relatives à l'utilisation des

informations. Si l'accord n'a pas été donné lors de la transmission des informations, il convient de le demander expressément à l'État concerné avant de transmettre les informations. Ce principe découle déjà de l'art. 349d CP, qui règle la communication de données personnelles provenant d'un État Schengen à un État tiers ou à un organisme international. Cet article prévoit toutefois une exception à l'al. 2: des informations peuvent néanmoins être communiquées si l'accord de l'État Schengen ne peut pas être obtenu en temps utile et si la communication est indispensable pour prévenir un danger immédiat et sérieux pour la sécurité publique d'un État Schengen ou d'un État tiers ou pour protéger les intérêts essentiels d'un État Schengen. Étant donné que ces principes orientent l'interprétation et l'application de la directive, ils n'affectent pas la disposition dérogatoire de l'art. 349d, al. 2, CP, qui a été inscrite dans le droit national lors de la mise en œuvre de l'art. 35 de la directive (UE) 2016/680. - Conformément au principe de fiabilité des données, les autorités nationales de poursuite pénale doivent prendre des mesures appropriées afin que les données à caractère personnel qui se révèlent inexactes, incomplètes ou obsolètes au regard du but de leur collecte ou de leur traitement soient effacées ou détruites. L'art. 349f CP constitue déjà une base légale dans laquelle ce principe est inscrit. Selon cet article, l'autorité de poursuite pénale compétente doit rectifier les données personnelles inexactes et en informer immédiatement l'autorité qui les lui a transmises, communiquées ou les a mises à sa disposition. Le destinataire des données personnelles doit en outre être informé de l'actualité et de la fiabilité de ces dernières. Indépendamment des principes susmentionnés, il convient de garantir la sécurité des données conformément à l'art. 8 LPD.

Art. 6 Demandes provenant d'autres États Schengen

Al. 1 L'État Schengen requérant doit formuler sa demande dans l'une des trois langues officielles suisses ou en anglais. Si la demande ne remplit pas ce critère, la CEA fedpol le communique immédiatement par écrit au point de contact national requérant ou à l'autorité de poursuite pénale désignée et lui donne la possibilité de modifier sa demande. Le fait que la demande ne soit pas formulée dans l'une des langues prescrites malgré la possibilité de rectification offerte constitue un motif de refus au sens de l'art. 8.

Al. 2 Let. a à f: Afin de garantir que les informations demandées soient nécessaires et proportionnées à la réalisation des objectifs de la directive (UE) 2023/977, les demandes doivent contenir des données précises. Ainsi, l'État Schengen requérant doit démontrer l'opportunité prévisible des informations demandées. Cette disposition vise à garantir que ne soient transmises que des informations pertinentes à des fins de prévention, de détection et de poursuite des infractions pénales. Il s'agit de s'assurer que les informations ne soient pas communiquées de façon injustifiée ou en quantités disproportionnées. Par conséquent, la disposition ne fournit pas de base légale pour les demandes d'informations qui ne sont pas pertinentes pour la poursuite pénale d'une personne donnée,

ce qui permet également d'éviter toute recherche non spécifique d'informations (fishing expeditions34). Let g: Si une demande d'informations doit être traitée comme étant urgente, l'État Schengen requérant doit le préciser dans sa demande et le justifier dûment. Une demande d'informations est considérée comme urgente lorsqu'il existe des raisons objectives de penser que les informations demandées:

• sont indispensables pour écarter un danger sérieux et imminent pour la sécurité publique d'un État membre (ch. 1);

• sont nécessaires pour écarter un danger imminent pour la vie ou l'intégrité corporelle d'une personne (ch. 2);

• sont nécessaires pour prononcer une décision qui peut aller du maintien de mesures restrictives à une privation de liberté (ch. 3); ou

• sont importantes à des fins de prévention, de détection ou de poursuite des infractions pénales, mais perdent de leur pertinence si elles ne sont pas fournies immédiatement (ch. 4). Afin d'éviter qu'un nombre élevé de demandes déclarées urgentes n'entravent le système simplifié d'échange d'informations, la notion d'urgence doit être interprétée de façon restrictive. Il convient de rédiger les demandes de ce type avec pondération et objectivité. La CEA fedpol doit évaluer le degré d'urgence d'une affaire et de la demande correspondante au cas par cas, en tenant compte de tous les éléments présentés dans la demande. Si nécessaire, elle implique d'autres autorités au processus d'évaluation. L'urgence est évidente dans les cas suivants:

• enlèvement et prise d'otage;

• disparation d'une personne lorsque le pire est à craindre;

• risque de disparition d'une personne soupçonnée d'être impliquée dans une affaire criminelle grave (par ex. participation à un attentat terroriste).

Al. 3 La CEA fedpol vérifie si les demandes reçues remplissent les conditions et si les informations demandées sont nécessaires et proportionnées à l'objectif décrit. Si les conditions ne sont pas remplies, la CEA fedpol en informe l'État Schengen requérant, en lui donnant l'occasion de compléter la demande. Si malgré cela la demande ne satisfait toujours pas aux conditions, elle doit être refusée.

Art. 7 Réponse

Al. 1 La CEA fedpol doit répondre aux demandes qui lui sont adressées dans les délais prévus à l'art. 9. Elle rédige sa réponse dans la langue dans laquelle la demande a été soumise. Si la CEA fedpol reçoit une demande qui n'est rédigée ni dans une langue officielle suisse ni en anglais, elle la refuse et indique à l'autorité requérante de l'État Schengen la langue dans laquelle la demande doit être formulée. Elle lui communique

34 Il s'agit d'une demande visant délibérément à obtenir des informations n'ayant aucun lien avec l'infraction présumée.

également les éventuelles restrictions d'utilisation, notamment celle concernant les informations mises à disposition exclusivement à des fins d'enquête, et non pas de preuve. La CEA fedpol vérifie si les informations demandées sont disponibles et peuvent être communiquées. Si ses droits d'accès ne lui permettent pas d'accéder aux informations dans le but de les transmettre à l'État Schengen requérant, elle appelle l'autorité compétente afin de les obtenir (cf. art. 10). La CEA fedpol traduit les informations nécessaires pour répondre à la demande dans la langue dans laquelle la demande a été déposée si le format des données permet une traduction dans un bref délai. Les images et les fichiers PDF ne sont pas traduits.

Al. 2 Les autorités suisses de poursuite pénale ou la CEA fedpol peuvent refuser de répondre à une demande si l'un des motifs de refus énumérés à l'art. 8 s'applique. Si une autorité de poursuite pénale refuse de donner suite à une demande, elle fait part à la CEA fedpol des raisons de son refus. La CEA fedpol en informe ensuite, dans le délai prévu à l'art. 9, l'autorité requérante de l'État Schengen.

Al. 3 Lorsque la CEA fedpol répond à la demande d'une autorité de poursuite pénale désignée et autorisée à déposer des demandes auprès du point de contact national d'autres États Schengen en toute autonomie, elle transmet également les informations disponibles en copie au point de contact national de l'État Schengen concerné. Il est possible de renoncer à cette transmission d'informations en copie au point de contact national si elle venait à compromettre des enquêtes ultrasensibles, dont les informations requièrent une confidentialité adéquate. Il en va de même si la sécurité de personnes est menacée. La CEA fedpol décide elle-même ou sur indication de l'autorité suisse de poursuite pénale qui fournit les données si elle transmet les informations en copie au point de contact national de l'autorité de poursuite pénale désignée requérante.

Art. 8 Motifs de refus Par rapport à la décision-cadre 2006/360/JAI, l'art. 6 de la directive (UE) 2023/977 précise et étend les motifs de refus. Ces derniers sont énumérés et répartis en deux catégories à l'art. 12 LEIS. Cette répartition n'est plus reprise dans l'acte modificateur. L'art. 6 de la directive (UE) 2023/977 définit les motifs de refus correspondants sans faire de distinction. Afin de faciliter l'application de la loi, tous les motifs de refus issus de la directive (UE) 2023/977 sont mentionnés, bien que certains d'entre eux découlent également des principes applicables ou du champ d'application de la loi.

Al. 1

Let. a: La demande doit remplir les conditions fixées à l'art. 6, al. 2. Les informations doivent permettre à la CEA fedpol d'évaluer si des informations sur la personne concernée sont disponibles et si elles peuvent être transmises conformément aux fins prévues par le droit national. Si la CEA fedpol ou l'autorité compétente pour la transmission des informations (dans le cas de données directement disponibles) parvient à la conclusion qu'il

n'est pas possible d'évaluer la demande d'informations en raison d'éléments manquants, même après que des précisions ont été demandées, la CEA fedpol refuse la transmission d'informations.

Let. b, c et d: La transmission d'informations doit être refusée si elle peut compromettre des intérêts essentiels en matière de sécurité (par ex. protection de la population contre des menaces et des dangers, observation d'obligations découlant de traités internationaux), si elle peut nuire au bon déroulement d'enquêtes en cours ou si les informations demandées ne semblent être ni pertinentes ni nécessaires. La CEA fedpol détermine, en concertation avec les autorités impliquées dans l'échange d'informations, s'il existe des intérêts essentiels en matière de sécurité. Si elle transmet une demande, en vue d'une réponse, à une autorité de poursuite pénale compétente et que cette dernière constate qu'il existe des intérêts essentiels en matière de sécurité, elle le fait immédiatement savoir à la CEA fedpol. Afin d'éviter toute utilisation abusive d'une demande d'informations, celle-ci doit être nécessaire et proportionnée à des fins de prévention ou de poursuite des infractions pénales. Si ces critères ne sont pas remplis, la demande est refusée.

Let. e: Une demande doit être refusée si elle risque de porter indûment atteinte aux intérêts importants protégés d'une personne morale35. Par conséquent, si les intérêts de la personne morale sont protégés par le droit national et que les conditions nécessaires à l'échange d'informations ne sont pas réunies ou que la communication des informations porterait indûment préjudice à la personne morale, la demande d'informations est refusée.

Let. f: L'art. 10 de la directive (UE) 2023/977 restreint la transmission d'information. Par conséquent, seules peuvent être transmises des données à caractère personnel concernant des personnes qui sont soupçonnées d'avoir commis une infraction ou participé à une infraction ou qui ont été condamnées pour une telle infraction, ou si des indices factuels ou des motifs sérieux laissent penser que ces personnes commettront des infractions pénales. Seules les données à caractère personnel visées dans les catégories de données figurant à l'annexe 2 peuvent être transmises.

Let. g: Les informations obtenues ne doivent être utilisées qu'à des fins d'enquête. Conformément à l'art. 5, al. 1, du projet de loi, le but dans lequel les informations sont demandées doit être indiqué dans la demande. S'il ressort du but énoncé ou des circonstances que les informations sont demandées afin d'être utilisées comme moyens de preuve en justice, la demande est refusée. Si un État Schengen a l'intention d'utiliser les informations comme moyens de preuve pour requérir, motiver ou prononcer une décision fi-

35 Par ex. protection de la personnalité conformément au code civil (art. 28 ss CC), loi fédérale du 19 décembre 1986 contre la concurrence déloyale (LCD), loi du 9 octobre 1992 sur le droit d'auteur (LDA) et dispositions relatives à la protection des secrets professionnels, d'affaires ou de fabrication

nale, il doit obtenir l'accord de la Suisse conformément aux règles applicables en matière d'entraide pénale internationale. Lorsque des informations sont transmises à un autre État Schengen, il est généralement fait mention de cette réserve d'emploi.

Let. h et i: Une demande d'informations ne doit être traitée que si elle est liée à une infraction qui, selon le droit suisse (CP et droit pénal accessoire), est passible d'une peine privative de liberté de plus d'un an. Le CP distingue trois types d'infractions: les contraventions, les délits et les crimes. Le critère de classification est la sanction maximale encourue. Les délits sont des infractions passibles d'une peine privative de liberté n'excédant pas trois ans ou d'une peine pécuniaire (art. 10, al. 3, CP). Les crimes sont des infractions passibles d'une peine privative de liberté de plus de trois ans (art. 10, al. 2, CP). Les contraventions sont des infractions passibles d'une amende (art. 103 CP). Par conséquent, il n'est donné réponse aux demandes d'informations que pour les délits passibles d'une peine privative de liberté de plus d'un an et les crimes. Les demandes d'informations sur les délits passibles d'une peine privative de liberté d'un an au plus36 ou d'une simple amende37 doivent être refusées par le point de contact national. Si la demande d'informations porte sur une infraction qui n'en constitue pas une au regard du droit suisse, la demande est également refusée.

Let. j: Les informations obtenues d'un État Schengen ou d'un État tiers ne peuvent être communiquées à un autre État Schengen que si l'État Schengen ou l'État tiers les ayant initialement transmises a consenti à cette communication. La disposition dérogatoire prévue à l'art. 349d, al. 2, CP demeure réservée.

Let. k: Si l'accès aux informations est soumis à l'approbation d'une autorité judiciaire, qui ne l'a pas accordée, la demande d'informations doit être refusée. Si les informations doivent encore être obtenues, l'État Schengen requérant est renvoyé à la voie de l'entraide judiciaire. L'approbation d'une autorité judiciaire est nécessaire, par exemple, pour des documents relatifs à des écoutes téléphoniques ou à des enquêtes sur les scènes de crime, des informations sur les revenus et le patrimoine, des listes de passagers et de fret d'entreprises de transport, ou des dossiers médi-

Let. l: Les autorités de poursuite pénale compétentes rectifient sans retard les données personnelles inexactes et en informent immédiatement l'émetteur et le destinataire (cf. art. 349f CP). Les informations inexactes ou incomplètes qui contredisent le principe

36 Par ex. art. 135, al. 2, 1e phrase, CP

37 Par ex. art. 173, al. 1, CP

38 Cf. lignes directrices du 26 mai 2010 concernant la mise en œuvre de la décision-cadre 2006/960/JAI

du Conseil du 18 décembre 2006 relative à la simplification de l'échange d'informations et de renseignements entre les services répressifs des États membres de l'Union européenne, annexe III, p. 122 (doc. 9512/10)

d'exactitude ne doivent pas être transmises. Par conséquent, une demande d'information doit être refusée si les informations demandées se sont révélées inexactes, incomplètes ou ne sont plus d'actualité.

Let. m: La directive (UE) 2023/977 ne contraint pas la Suisse à obtenir des informations par des mesures coercitives. Une demande d'information doit être refusée lorsque, pour y répondre, il faudrait recourir à des mesures coercitives pour collecter les informations souhaitées. Par mesures coercitives, on entend des mesures portant atteinte à la liberté individuelle qui sont prises par les organes de police et juridictionnels, afin de collecter et de conserver les preuves nécessaires à la recherche de la vérité et de garantir le déroulement de la procédure pénale et l'exécution ultérieure du jugement. Les émetteurs de ces demandes d'informations doivent être renvoyés à la voie de l'entraide judiciaire. Ce motif de refus impératif découle également du principe de disponibilité (cf. commentaire de l'art. 4). Les autorités sont soumises au droit national, qui détermine quelles informations peuvent être échangées sous quelles conditions entre les autorités de poursuite pénale des États Schengen. Les informations continuent d'être échangées conformément aux dispositions nationales existantes. La Suisse ne communique que les informations pouvant être obtenues, enregistrées et transmises en vertu de sa législation nationale. La demande d'informations doit également être refusée si les informations demandées sont protégées par le droit national, ce qui permet de tenir compte du principe d'égalité de traitement (cf. commentaire de l'art. 4). En vertu de l'art. 1, al. 2, let. a, de la présente loi, l'EIMP est réservée. L'art. 75a de cette dernière régit explicitement les informations qui ne peuvent pas être remises par la police, mais qui sont réservées à la transmission par la voie de l'entraide judiciaire entre autorités judiciaires. Si les informations demandées impliquent l'application de moyens de contrainte prévus par le droit de procédure ou doivent être à nouveau collectées, la demande doit être refusée et l'État Schengen requérant renvoyé à la voie de l'entraide judiciaire. Cela s'applique par exemple aux documents bancaires. Let. n: Si les informations demandées ne sont pas à la disposition des autorités de poursuite pénale, la demande doit être refusée.

Al. 2 Le motif de refus peut ne concerner que certaines informations demandées, alors que les autres peuvent, le cas échéant, être communiquées. Les informations pouvant être échangées en vertu de la présente loi sont transmises dans les délais à l'État Schengen requérant.

Art. 9 Délais

Al. 1 et 2 Le délai de réponse aux demandes d'informations dépend de la disponibilité directe ou indirecte des informations demandées, d'une part, et du caractère urgent ou non de la demande, d'autre part. S'agissant des demandes urgentes, le délai de réponse est de huit heures lorsque les informations demandées sont directement disponibles et de trois jours civils lorsque les informations ne sont disponibles qu'indirectement. Le délai de réponse aux demandes

non urgentes est toujours de sept jours civils. La CEA fedpol, en sa qualité de point de contact national, évalue si l'urgence de la demande est fondée. Elle doit le faire au cas par cas, en tenant compte de tous les éléments présentés dans la demande. Afin d'éviter qu'un nombre élevé de demandes déclarées urgentes n'entravent le système simplifié d'échange d'informations, la notion d'urgence doit être interprétée de façon restrictive (cf. commentaire de l'art. 6, al. 2, let. g). La disponibilité directe ou indirecte des informations dépend de l'accès à ces dernières (cf. commentaire de l'art. 2, al. 1, let. d, ch. 1 et 2). Dans la pratique, les demandes d'informations sont transmises à la CEA fedpol par le point de contact national ou les services répressifs désignés des autres États Schengen. La CEA fedpol examine les demandes et détermine quelles informations de quelles banques de données peuvent être communiquées et si la demande est urgente. Si la demande est fondée, la CEA fedpol transmet au point de contact national de l'État Schengen requérant, dans le délai prescrit (huit heures en cas de demande urgente), les informations auxquelles elle a directement accès en vertu du droit national et qui peuvent être communiquées à des fins de prévention, de détection et de poursuite des infractions pénales. Afin de communiquer des informations auxquelles elle n'a pas d'accès direct, la CEA fedpol transfère la demande d'informations à l'autorité de poursuite pénale compétente de la Confédération ou des cantons. Si cette autorité a un accès direct à ces informations, elles doivent être transmises au point de contact national requérant ou à l'autorité de poursuite pénale désignée de l'autre État Schengen dans le délai prescrit. Pour répondre à la demande en temps utile, la CEA fedpol fixe un délai de réponse à l'autorité de poursuite pénale compétente. Cette dernière fournit, en respectant le délai fixé, les informations dont elle dispose à la CEA fedpol, qui répond finalement à la demande en tant que point de contact national en transmettant les informations indirectement disponibles. Les demandes urgentes concernant des informations d'autorités cantonales de poursuite pénale constituent une difficulté particulière pour la CEA fedpol et les autorités cantonales de poursuite pénale en raison du

délai très court de huit heures, et que leur traitement nécessite une charge de travail conséquente. Pour ces raisons, les exigences en matière d'urgence sont également plus élevées. S'il n'est pas possible de répondre à la demande d'informations dans le délai prescrit, la CEA fedpol informe l'État Schengen requérant du retard et lui indique dans quel délai il recevra une réponse.

Al. 3 Le délai de réponse est suspendu lorsque la demande d'informations ne répond pas aux exigences de fond et que des précisions ont été demandées pour y répondre.

Al. 4 Si la communication des informations demandées requiert, en vertu du droit national, une approbation judiciaire, il est possible de déroger aux délais prescrits. Dans ce cas, la CEA fedpol doit informer le point de contact national ou l'autorité de poursuite pénale désignée de l'État Schengen du motif et de la durée du retard. Si l'approbation d'une autorité judiciaire est nécessaire pour l'échange d'informations, elle est sollicitée d'office par la CEA fedpol par le biais de l'autorité de poursuite pénale ou de justice compétente. Cette approbation est par exemple requise dans le cas d'informations relatives à une procédure pénale en cours.

Art. 10 Obtention d'informations

Al. 1 Afin que la CEA fedpol, en tant que point de contact national, puisse répondre aux demandes d'informations dans les délais impartis, les autorités de poursuite pénale compétentes de la Confédération et des cantons doivent lui fournir les informations dont elles disposent, pour autant que les bases légales correspondantes existent (cf. commentaire de l'al. 3). Contactées par la CEA fedpol, elles lui transmettent les informations qu'elles sont autorisées à communiquer aussi à d'autres autorités de poursuite pénale à des fins de prévention, de détection et de poursuite des infractions pénales en vertu du droit suisse. À cet effet, la CEA fedpol recherche, dans la mesure du possible, quelle autorité de poursuite pénale dispose des informations requises et lui demande de les lui transmettre.

Al. 2 La CEA fedpol transmet la demande aux autorités de poursuite pénale compétentes et fixe un délai pour transmettre les informations requises. Si les informations figurent dans des systèmes d'information cantonaux, le délai de réponse à la demande d'informations est, en raison de l'impossibilité d'accéder directement aux systèmes, de trois jours civils en cas de demande urgente et de sept jours civils en cas de demande non urgente (cf. art. 9). L'échange national d'informations et la réponse à la demande doivent avoir lieu dans ces délais. En raison des brefs délais prévus à l'art. 9, les autorités de poursuite pénale compétentes doivent faire en sorte de fournir rapidement les informations demandées à la CEA fedpol. Si la CEA fedpol peut accéder directement aux informations, elle peut répondre elle-même à la demande, sans impliquer les autorités de poursuite pénale compétentes.

Al. 3 Pour pouvoir mettre en œuvre la directive (UE) 2023/977, il faut que les autorités de poursuite pénale compétentes soient tenues de mettre à la disposition de la CEA fedpol les informations requises pour répondre à une demande. Les bases légales nécessaires doivent donc être créées. Quant à la question de savoir si ces bases légales doivent être créées au niveau fédéral ou cantonal, cela dépend des informations et des données concernées. Il s'agit de distinguer quel type d'informations doit être transmis. Les informations concernées par la transmission à des fins de prévention, de détection et de poursuite des infractions pénales sont les suivantes:

• données de police criminelle: ces informations servent à détecter et à poursuivre des infractions pénales dans le cadre d'enquêtes préliminaires;

• données de police judiciaire: ces informations servent à poursuivre des infractions pénales dans le cadre d'investigations policières au sens du CPP. Une investigation policière est lancée dès lors qu'il existe un élément constitutif d'infraction suffisant (art. 306 CPP). Les données de police criminelle deviennent des données de police judiciaire dès lors qu'une investigation policière est lancée;

• données de police de sécurité: ces informations servent à prévenir les dangers et à maintenir l'ordre et la sécurité dans l'espace public.

La Confédération ne peut accomplir que les tâches que lui attribue la Constitution (art. 3 et 42, al. 1, Cst.39). Par conséquent, elle ne peut créer elle-même les bases légales pour l'échange d'informations entre la CEA fedpol et les autorités de poursuite pénale compétentes que si une compétence législative lui est attribuée dans ce domaine. La Confédération ne peut édicter de dispositions relevant du droit de police que si cellesci concernent des tâches suffisamment liées à la poursuite pénale dans le cadre de la juridiction fédérale de sorte que l'on puisse invoquer l'art. 123, al. 1, Cst. C'est sur cette base que la Confédération a édicté le CPP. Comme les tâches de police judiciaire des cantons se fondent sur le CPP, l'art. 123 Cst. peut servir de base à une réglementation fédérale de la consultation de données par la police, pour autant que des données de police judiciaire soient concernées. S'agissant des données de police criminelle et des données de police de sécurité traitées en vertu de lois cantonales sur la police, la Confédération ne se voit en revanche pas attribuer de compétences législatives40. La définition des moyens permettant de prévenir les infractions ou d'établir qu'elles peuvent être commises relève donc du droit de police, c'est-à-dire des cantons41. En vertu de cet article, l'obligation d'échanger des informations de police est contraignante pour les cantons dans la mesure où les infractions faisant l'objet de l'échange d'informations sont soumises à la juridiction fédérale (en particulier art. 23 et 24 CPP) ou que les informations sont traitées dans le cadre d'investigations (art. 306 CPP). Lorsque l'échange d'informations ne relève pas des compétences législatives de la Confédération, les cantons doivent créer leurs propres bases légales afin d'assurer la mise en œuvre de la directive (UE) 2023/97742. La motion Eichenberger 18.3592 "Échange de données de police au niveau national" du 14 juin 201843 a chargé le Conseil fédéral de créer une plate-forme reliant les bases de données de police cantonales existantes, qui devra permettre aux corps de police cantonaux et aux organes de police fédéraux de consulter directement, et depuis partout en Suisse, les données de police relatives aux personnes et à leurs antécédents. À cet effet, la Confédération et les cantons ont lancé un programme commun visant la

mise en place d'une plate-forme de recherche (POLAP) qui permettra, au moyen d'une seule interrogation, de consulter des données policières et migratoires cantonales, nationales et internationales en parallèle et de façon standardisée dans les systèmes sources. De même, une solution visant à rendre l'échange d'informations juridiquement possible entre les cantons est en cours d'élaboration, garantissant ainsi l'interopérabilité au niveau suisse. Une seule interrogation permettra de consulter les données de différents systèmes cantonaux, fédéraux et internationaux ou de déterminer quelle autorité dispose des informations correspondantes. Dans le cadre de ce projet de loi, POLAP permettra aussi de simplifier considérablement l'échange d'informations pour la Confédération et les cantons; en une seule interrogation, il sera alors possible de réduire considérablement la charge de travail de la Confédération et des cantons lors-

39 RS 101

40 ATF 140 I 353, 360 consid. 5.1

41 Avis du Conseil fédéral du 23 mai 2012 concernant le rapport de la Commission des affaires juridiques

du Conseil national du 3 février 2012 relatif à l'initiative parlementaire "Investigation secrète, Restreindre le champ d'application des dispositions légales", FF 2012 5183, 5185, avec renvois 42 Cf. art. 9, al. 1, de la Convention du 20 mars 2009 entre la Confédération et les cantons relative à la

mise en œuvre, à l'application et au développement de l'acquis de Schengen et de Dublin; RS 362.1. 43 18.3592 "Échange de données de police au niveau national"

qu'il s'agit de répondre dans les délais aux demandes d'informations des États Schengen. Actuellement, la CEA fedpol doit s'adresser à chaque canton pour obtenir les informations requises afin de répondre aux demandes. Eu égard à la compétence législative de la Confédération et des cantons susmentionnée, la création des bases légales nécessaires constitue un défi de taille. À l'heure actuelle, seule une minorité des cantons disposent des bases légales requises pour la mise en place d'un échange national d'informations de police. Ces dernières doivent d'abord être créées pour que les systèmes d'informations cantonaux soient raccordés à la plate-forme. Depuis 2018 déjà, la Confédération et les cantons sont à la recherche de solutions pour mettre en œuvre la motion Eichenberger. Des projets prometteurs ont déjà été lancés, comme la convention intercantonale relative à l'échange de données pour exploiter des plates-formes de recherche et des banques de données communes ou la création d'une nouvelle compétence ponctuelle de la Confédération visant à régler la consultation. Indépendamment de ces deux solutions, le législateur fédéral pourrait mettre en œuvre partiellement la motion Eichenberger sur la base de l'art. 123, al. 1, Cst., ce qui permettrait de régler de façon définitive la consultation des données de police judiciaire se fondant sur le CPP. Dans le cadre du présent projet de loi, le législateur renonce toutefois à la création d'une base légale générale applicable à la consultation des données de police judiciaire. Le présent article se limite à l'échange d'informations entre la CEA fedpol et les autorités de poursuite pénale compétentes de la Confédération et des cantons. La mise en place de POLAP est longue et complexe. Les bases légales doivent être élaborées de façon minutieuse, notamment en raison de la protection des données. Imposer une mise en œuvre partielle de ce projet complexe dans le cadre de la reprise et la mise en œuvre d'un développement de Schengen ne permettrait pas d’atteindre le but visé et mettrait en péril les efforts déployés jusqu'à présent par la Confédération et les cantons.

Art. 11 Demandes émanant de la Suisse

Al. 1 Les autorités suisses de poursuite pénale soumettent leur demande d'informations disponibles à la CEA fedpol, qui est responsable de la transmission des demandes émanant de la Suisse aux autres États Schengen (cf. art. 5). Les autorités de poursuite pénale désignées ne peuvent pas adresser directement leur demande au point de contact national d'un autre État Schengen. La centralisation de l'échange d'informations permet d'uniformiser et de mieux coordonner la collaboration avec les autorités de poursuite pénale des autres États Schengen. En outre, le fait que l'échange d'informations passe exclusivement par la CEA fedpol contribue à décharger les cantons sur les plans administratif et du personnel et à mieux contrôler le flux d'informations.

Al. 2 Conformément à l'art. 11 de la directive (UE) 2023/977, tous les États Schengen sont tenus d'établir une liste comportant une ou plusieurs des langues dans lesquelles leur point de contact national peut procéder à l'échange d'informations. La Commission européenne publie en ligne une compilation de ces listes. La demande doit être soumise dans une langue spécifiée par l'État Schengen concerné ou en anglais et contenir les éléments mentionnés à l'art. 6, al. 2, let. a à h. L'autorité de poursuite pénale requérante transmet la demande à la CEA fedpol dans la langue exigée.

Al. 3 La CEA fedpol vérifie que la demande est complète, c'est-à-dire qu'elle contient les informations nécessaires mentionnées à l'art. 6 du projet de loi. Il ne lui appartient toutefois pas de contrôler l'exactitude du contenu de ces informations. Si la demande n'est pas complète, elle en informe l'autorité de poursuite pénale requérante, qui peut compléter sa demande par écrit. Si l'État Schengen requis exige que des compléments soient apportés, la CEA fedpol en informe l'autorité de poursuite pénale requérante.

Al. 4 La CEA fedpol transmet la demande de l'autorité de poursuite pénale requérante au point de contact national de l'État Schengen concerné en lui demandant d'y répondre dans le délai prévu. À cet effet, elle utilise les canaux de communication prévus à l'art. 5, al. 3, du projet de loi. Lors de la transmission des informations, elle attire l'attention de l'autorité requérante sur les restrictions à leur utilisation et sur l'obligation de garder le secret. S'agissant des restrictions à l'utilisation des informations, il convient de noter que la directive (EU) 2023/977 ne régit pas la communication et l'utilisation d'informations comme preuves dans une procédure judiciaire. Par conséquent, les informations transmises ne peuvent être utilisées comme preuves dans une procédure judiciaire que si l'État Schengen concerné y a consenti. Si dans sa réponse à la demande, l'État Schengen concerné n'indique pas que les informations peuvent être utilisées comme preuves dans une procédure judiciaire, il convient d'obtenir au préalable son approbation.

Art. 12 Transmission d'informations à d'autres États Schengen

Al. 1 En vertu de l'art. 7 de la directive (UE) 2023/977, les autorités de poursuite pénale des États Schengen sont autorisées à communiquer de leur propre initiative – donc spontanément – les informations dont elles disposent aux autorités de poursuite pénale compétentes des autres États Schengen lorsqu'il existe des raisons objectives de penser que ces informations pourraient présenter un intérêt pour ces autres États membres à des fins de prévention, de détection et de poursuite des infractions pénales. Aucune obligation ne s'applique à l'échange spontané d'informations relatif à des infractions qui ne constituent pas des infractions graves au sens de l'annexe 3.

Al. 2 En vertu de l'art. 7 de la directive (EU) 2023/977, les autorités de poursuite pénale des États Schengen sont tenues de communiquer de leur propre initiative – donc spontanément – les informations dont elles disposent aux autorités de poursuite pénale compétentes des autres États Schengen lorsqu'il existe des raisons objectives de penser que ces informations pourraient présenter un intérêt pour ces autres États membres à des fins de prévention, de détection et de poursuite des infractions pénales graves. Si une autorité de poursuite pénale dispose d'éléments concrets indiquant par exemple qu'une explosion de distributeurs de billets ou un attentat terroriste risque d'être commis dans un autre État Schengen, elle transmet spontanément, via la CEA fedpol, les informations concernées au point de contact national dudit État Schengen. Contrairement à la transmission d'informations sur demande, la communication des informations se fait sans demande préalable d'informations. Lors de la mise en œuvre de la décision-cadre 2006/960/JAI, l'art. 7, al. 1, LEIS constituait déjà la base légale de l'obligation de l'échange spontané d'informations concernant les infractions visées par le droit

national qui correspondent ou sont équivalentes à celles prévues par le mandat d'arrêt européen44. Les infractions qui sont équivalentes à celles prévues par le mandat d'arrêt sont énumérées à l'annexe 3. La transmission spontanée d'informations ne peut avoir lieu qu'en présence d'un soupçon initial au moins relatif à la personne concernée. L'obligation de transmettre spontanément des informations s'applique également aux autorités cantonales de poursuite pénale. Pour mettre en œuvre la directive (UE) 2023/977, des bases légales régissant l'échange spontané d'informations doivent être créées aussi au niveau cantonal, si elles n'existent pas déjà 45.

Al. 3 La transmission spontanée d'informations est exclue s'il existe un motif de refus prévu à l'art. 8, al. 1 (cf. commentaire de l'art. 8). Les dispositions de l'entraide judiciaire internationale n'étant pas affectées par la présente loi, aucune information entrant dans le champ d'application de l'art. 75a, al. 2, EIMP ne doit non plus être transmise spontanément par l'intermédiaire de la police.

Al. 4 Comme réglementé à l'art. 3, al. 1, l'échange d'informations prévu par la présente loi passe exclusivement par la CEA fedpol en tant que point de contact national. Les autorités de poursuite pénale fournissent ainsi à la CEA fedpol les informations qui doivent être transmises spontanément et qui concernent des infractions relevant de la juridiction fédérale ou qui doivent être traitées conformément à l'art. 306 CPP. Dans les autres cas, elles les transmettent à la CEA si le droit cantonal le prévoit. En raison de la répartition des compétences entre la Confédération et les cantons dans le domaine policier, une base légale cantonale propre est nécessaire pour pouvoir transmettre des informations qui ne concernent pas des infractions relevant de la juridiction fédérale ou qui doivent être traitées conformément à l'art. 306 CPP. Les bases légales devraient déjà exister au niveau cantonal car, en vertu de la décision-cadre 2006/960/JAI, les autorités suisses de poursuite pénale sont déjà tenues de transmettre spontanément des informations à des fins de prévention, de détection et de poursuite des infractions pénales graves. L'autorité de poursuite pénale transmet à la CEA fedpol les informations devant l'être spontanément dans la langue spécifiée par l'État Schengen concerné.

Al. 5 La CEA fedpol constitue l'autorité responsable de l'exécution de l'échange d'informations conformément à la directive (UE) 2023/977. Il s'agit donc de garantir que les autorités de poursuite pénale lui fournissent les informations devant être transmises aux autorités de poursuite pénale compétentes des États Schengen. La CEA fedpol réceptionne ces informations et vérifie qu'elles sont rédigées dans la langue requise, qu'elles respectent les exigences fixées à l'art. 6, al. 2, et qu'il n'existe aucun motif de refus. concerné.

44 FF 2008 8123, 8144

45 Par ex. art. 144, al. 3, de la loi sur la police du canton de Berne; BSG 551.1

Al. 6 Si les conditions énoncées à l'al. 5 sont remplies, la CEA fedpol transmet les informations au point de contact national de l'État Schengen concerné en indiquant les restrictions éventuelles d'utilisation (par ex. utilisation exclusivement à des fins d'enquête et non comme moyens de preuve) et l'obligation de garder le secret.

Art. 13 Informations transmises par d'autres États Schengen

Al. 1 La CEA fedpol réceptionne les informations que d'autres États Schengen lui ont transmises spontanément. Elle examine si ces informations revêtent un intérêt pour les autorités de poursuite pénale et, le cas échéant, les leur transmet. Une autorité de poursuite pénale est réputée intéressée lorsqu'il existe des raisons objectives de penser que ces informations pourraient présenter un intérêt pour une telle autorité à des fins de prévention, de détection et de poursuite des infractions pénales. Si, par exemple, la CEA fedpol reçoit de la France des informations concernant l'aide ou l'incitation à l'entrée ou à la sortie illégales, elle les transmet aux autorités de poursuite pénale des cantons limitrophes de la France ainsi qu'à l'Office fédéral de la douane et de la sécurité des frontières.

Al. 2 Les informations transmises ne peuvent être utilisées qu'à des fins de prévention, de détection et de poursuite des infractions pénales. La CEA fedpol attire l'attention des autorités de poursuite pénale sur les restrictions concernant leur utilisation et sur l'obligation de garder le secret.

Art. 14 Traitement des données Pour accomplir les tâches visées à l'art. 4, la CEA fedpol se voit octroyer le droit de traiter des données personnelles sensibles ainsi que celles qui ne sont pas qualifiées de sensibles. Ce droit se limite aux données à caractère personnel énumérées à l'annexe 2. La notion de "traitement" comprend toute opération relative à des données personnelles, plus particulièrement la collecte, la conservation et l'exploitation de données. Cette autorisation s'applique aussi bien aux données reçues des États Schengen qu'à celles qui sont transmises aux États Schengen par les autorités suisses de poursuite pénale. La CEA fedpol peut traiter des données si cela s'avère nécessaire pour accomplir les tâches suivantes:

• réceptionner et évaluer les demandes d'informations;

• transmettre les demandes d'informations aux autorités de poursuite pénale compétentes, coordonner leur traitement et communiquer les informations sur la base des demandes;

• coordonner l'analyse et la préparation des informations pour qu'elles soient transmises au point de contact national et, le cas échéant, aux autorités de poursuite pénale compétentes d'autres États Schengen;

• communiquer les informations aux autres États Schengen, sur demande ou spontanément;

• refuser la communication d'informations et, le cas échéant, demander des clarifications ou des précisions;

• transmettre des demandes d'informations au point de contact national d'autres États Schengen et, le cas échéant, des clarifications ou des précisions;

• établir des statistiques à l'intention de la Commission européenne et de la Confédération suisse conformément à l'art. 15. Lorsqu'elle traite des données à caractère personnel, la CEA fedpol doit tenir compte des principes en matière de protection des données conformément à la LPD. Si les données sont détenues par les autorités cantonales, elles sont soumises au droit cantonal en vigueur. Pour accomplir ses tâches, la CEA fedpol peut aussi traiter les données sensibles de personnes morales. Dans la LPD, le traitement des données de personnes morales est exclu du champ d'application matériel de la loi sur la protection des données. L'art. 57r LOGA constitue la base légale générale directement applicable permettant à la CEA fedpol de traiter les données de personnes morales, y compris les données sensibles46. Pour traiter l'échange d'informations, la CEA fedpol dispose du système policier de gestion centralisée des affaires et des dossiers (ORMA), conformément à l'art. 18 LSIP47. Destiné à la coopération nationale et internationale, ce système permet de saisir et de traiter via SIENA les demandes et les informations entrantes et sortantes d'autres États Schengen. Grâce à un réglage approprié dans ORMA, il est possible de garantir que les données soient traitées uniquement dans le but visé. ORMA devrait être remplacé en 2026 par Neo, qui offrira les mêmes fonctions mais améliorées. ORMA répond aux exigences visées à l'art. 16 de la directive (UE) 2023/977. Son exploitation et son utilisation sont régies par l'art. 18 LSIP.

Art. 15 Statistiques Al. 1 et 2 La CEA fedpol établit les statistiques requises sur les échanges d'informations qui ont eu lieu avec les autres États Schengen et les transmet à la Commission européenne.

Annexe 1 L'annexe 1 énumère les accords d'association à Schengen.

Annexe 2 Seules les informations à caractère personnel entrant dans les catégories de données énumérées sont transmises aux autres États Schengen (cf. commentaire de l'art. 4, al. 2).

Annexe 3 Conformément à l'art. 13, les autorités de poursuite pénale fournissent spontanément aux autorités de poursuite pénale compétentes des autres États Schengen les informations disponibles qui pourraient être importantes pour la prévention, la détection et la poursuite des infractions énumérées à l'annexe 3. Celle-ci dresse une liste des infractions qui correspondent ou sont équivalentes à celles prévues à l'art. 2, par. 2, de

46 FF 2017 6565, 6722

47 RS 361

la décision-cadre 2002/584/JAI (relative au mandat d'arrêt européen) et qui sont passibles d'une peine privative de liberté de plus de trois ans. La liste actuelle des infractions n'est plus à jour. Certaines d'entre elles ont été supprimées depuis lors et de nouvelles ont été ajoutées. L'adaptation de l'annexe 3 de la LEIS avait déjà été prévue dans l'arrêté fédéral du 1er octobre 2021 portant approbation et mise en œuvre de l'accord entre la Suisse et l'UE concernant l'approfondissement de la coopération transfrontalière (coopération Prüm) et du Protocole Eurodac entre la Suisse, l'UE et la Principauté de Liechtenstein concernant l'accès à Eurodac à des fins répressives48. La modification de l'acte n'a pas encore été mise en vigueur. La liste des infractions est à nouveau actualisée dans le cadre de la mise en œuvre de la directive (EU) 2023/977. Comme on ne sait pas encore quel projet entrera en vigueur en premier, les travaux devront encore être coordonnés. Depuis la dernière modification entrée en force de la liste des infractions, les éléments constitutifs d'infraction suivants ont notamment été ajoutés:

• actes préparatoires délictueux (art. 260bis, al. 1, CP)

• mutilation d'organes génitaux féminins (art. 124 CP)

• soustraction de données personnelles (art. 179novies CP)

• faux dans les titres, obtention frauduleuse d'une constatation fausse, suppression de titres (15, 16, al. 1 et 3, DPA49)

• usage de faux, détournement de l'impôt à la source (art. 186, al. 1, et 187, al. 1,

• fraude fiscale (art. 59, al. 1, LHID51)

• crimes et délits (art. 148, al. 1, LPCC52)

• faux, constatation fausse, obtention frauduleuse d'une constatation fausse, utilisation d'attestations fausses ou inexactes, titres étrangers, établissement non autorisé de déclarations de conformité, apposition et utilisation non autorisées de signes de conformité (art. 23 à 28 LETC53)

• usage d'une marque de garantie ou d'une marque collective contraire au règlement (art. 63, al. 4, LPM54)

• violation du brevet (art. 81, al. 3, LBI55)

• mariage forcé, partenariat forcé (art. 181a CP)

• falsification des timbres officiels de valeur, falsification des marques officielles, falsification des poids et mesures, falsification de titres étrangers (art. 245, 246, 248 et 255 CP)

• disparition forcée (art. 185bis CP)

48 FF 2021 2332

49 RS 313.0; loi fédérale du 22 mars 1974 sur le droit pénal administratif

50 RS 642.11; loi fédérale du 14 décembre 1990 sur l'impôt fédéral direct

51 RS 642.14; loi fédérale du 14 décembre 1990 sur l'harmonisation des impôts directs des cantons et

des communes 52 RS 951.31; loi du 23 juin 2006 sur les placements collectifs

53 RS 946.51; loi fédérale du 6 octobre 1995 sur les entraves techniques au commerce

54 RS 323.11; loi du 28 août 1992 sur la protection des marques

55 RS 232.14; loi du 25 juin 1954 sur les brevets

• actes sexuels avec des personnes dépendantes, contrainte sexuelle, actes d'ordre sexuel commis sur une personne incapable de discernement ou de résistance (art. 188, 189 et 191 CP)

• menace alarmant la population, provocation publique au crime ou à la violence, émeute, actes préparatoires délictueux, organisations criminelles et terroristes, remise d'armes pour la commission d'une infraction, financement du terrorisme, recrutement, formation et voyage en vue d'un acte terroriste, atteintes à l'ordre constitutionnel (art. 258 à 260bis, 260ter, 260quater, 260quinquies, 260sexies et 275 CP)

• interdiction d'organisations (art. 74 LRens56)

• discrimination et incitation à la haine (art. 261bis CP)

• génocide, crimes contre l'humanité, infractions graves aux Convention de Genève, autres crimes de guerre, attaque contre des civils ou des biens de caractère civil, traitement médical immotivé, atteinte au droit à l'autodétermination sexuelle ou à la dignité de la personne, recrutement ou utilisation d'enfants soldats, méthodes de guerre prohibées, utilisation d'armes prohibées, rupture d'un armistice ou de la paix, délit contre un parlementaire, retardement du rapatriement de prisonniers de guerre, autres infractions au droit international humani-

• dispositions pénales (art. 26, al. 2, LCITES57)

4 Conséquences

4.1 Conséquences pour la Confédération

La présente directive (UE) 2023/977 ne crée ni de nouvelles banques de données, ni de canaux supplémentaires pour l'échange d'informations. La directive (UE) ne crée pas non plus de nouvelles obligations quant à la transmission de données par rapport à ce qui est déjà établi dans la LEIS. Toutefois, le fait que les tâches que le SPOC (CEA fedpol) doit accomplir, ainsi que de ses capacités, de son organisation et de sa composition ont été précisés, cela pourrait engendrer des besoins supplémentaires sur le plan du personnel. Une analyse détaillée doit être menée afin de déterminer le personnel nécessaire au fonctionnement de l'échange d'informations conformément à la directive (UE) 2023/977. Dans ce contexte et si nécessaire, les besoins financiers liés au personnel supplémentaire seront indiqués dans le cadre du recensement des besoins qui doit être effectué en 2025 par le Département fédéral des finances (DFF) et le Département fédéral de justice et police (DFJP) à la suite de l'introduction du cadre d'évolution pour la gestion des finances fédérales.

4.2 Conséquences pour les cantons

Les cantons sont également tenus de mettre en œuvre le présent développement et doivent le transposer de manière autonome pour autant qu'ils soient compétents. À l'instar de ce que prévoit actuellement la LEIS, l'ensemble des échanges devrait avoir lieu via le SPOC, à savoir la CEA fedpol. Celle-ci doit s'assurer d'obtenir en temps utile les informations disponibles auprès des autorités de poursuite pénale des cantons, y compris les données collectées et traitées sur la base des lois cantonales de police.

56 RS 121; loi fédérale du 25 septembre 2015 sur le renseignement

57 RS 453; loi du 16 mars 2012 sur les espèces protégées

Pour ce faire, la CEA fedpol demande chaque fois aux cantons s'ils ont des informations disponibles. Cela signifie que les autorités cantonales de poursuite pénale doivent fournir à la CEA fedpol les informations demandées 24 heures sur 24, 7 jours sur 7, dans les délais fixés par la directive (UE) 2023/977. Des modifications organisationnelles (mise en place d'un service de piquet 24 heures sur 24, 7 jours sur 7, formation de personnel supplémentaire), juridiques (création d'une base légale les obligeant de transmettre les informations cantonales disponibles au SPOC) et techniques (adaptation des systèmes de demande et de transmission des informations) sont donc nécessaires. La mise en œuvre technique devra être coordonnée aux projets en cours, tels POLAP.

5 Aspects juridiques

5.1 Constitutionnalité

Le projet se fonde sur l'art. 54, al. 1, Cst., qui dispose que les affaires étrangères relèvent de la compétence de la Confédération. L'art. 184, al. 2, Cst. autorise le Conseil fédéral à signer et à ratifier les traités internationaux. En vertu de l'art. 166, al. 2, Cst., il appartient à l'Assemblée fédérale d'approuver les traités internationaux, à l'exception de ceux dont la conclusion relève de la seule compétence du Conseil fédéral en vertu d'une loi ou d'un traité international (art. 24, al. 2, de la loi du 13 décembre 2002 sur le Parlement [LParl]58 et art. 7a, al. 1, LOGA). Comme la mise en œuvre de la directive (UE) 2023/977 nécessite des modifications législatives (nouvelle version de la LEIS), l'échange de notes concernant la reprise de cette directive et les modifications législatives en vue de sa mise en œuvre seront soumis à l'approbation du Parlement. Le projet de loi figurant en annexe de l'arrêté fédéral (nouvelle version de la LEIS) se fonde sur les art. 54, al. 1 et 123, al. 1, Cst. En ce qui concerne l'échange d'informations transfrontalier entre les points de contact nationaux, la réglementation prévue se base sur l'art. 54, al. 1, Cst., qui dispose que les affaires étrangères relèvent de la compétence de la Confédération. Cette disposition est également à la base de l'obligation incombant aux cantons de procéder à cet échange d'informations par le biais d'un service central (point de contact national) permettant de canaliser et de coordonner l'échange d'informations de police avec les autres États Schengen. Elle donne à la Confédération une compétence subsidiaire devant être interprétée strictement s'agissant des actes législatifs internes, dans la mesure où ces derniers présentent un lien étroit avec les affaires étrangères et produisent des effets au-delà des frontières nationales59. L'obligation d'avoir recours exclusivement au point de contact national pour l'échange d'informations transfrontalier avec les autorités de poursuite pénale des autres États Schengen est une mesure organisationnelle qui met en avant l'aspect international nécessaire. De plus, cette règle correspond également au principe figurant à l'art. 56, al. 3, Cst., qui prévoit que les relations des cantons avec l'étranger ont lieu par l'intermédiaire de la Confédération si des autorités étrangères de rang inférieur ne sont pas concernées.

La compétence réglementaire de la Confédération prévue à l'art. 54, al. 1, Cst. ne peut pas être interprétée de manière trop large; lorsqu'elle met en œuvre des traités internationaux, la Confédération est liée à la répartition des compétences interne. "Si la conclusion des traités internationaux obéit à des règles de compétence particulières,

58 RS 171.10

59 Ehrenzeller/Portmann, commentaire saint-gallois relatif à l'art. 54 Cst. N. 12 s., avec renvois

leur mise en œuvre obéit quant à elle aux règles habituelles de répartition des compétences. Ainsi, lorsqu'elle adhère à un traité international dont l'objet relève de la compétence des cantons, la Confédération ne saurait se fonder sur ce traité pour édicter les dispositions législatives de mise en œuvre. Cette tâche incombe aux cantons."60 La Confédération ne peut pas se fonder sur l'art. 54 Cst. pour régler de manière contraignante la transmission d'informations des autorités cantonales de poursuite pénale au point de contact national (CEA fedpol). Elle peut se baser en partie sur l'art. 123, al. 1, Cst., qui dispose que la législation en matière de droit pénal et de procédure pénale relève de la compétence de la Confédération. Dans ce cadre, la Confédération peut régir l'échange de données de police s'il s'agit d'informations sur des éléments constitutifs de l'infraction soumis à la juridiction fédérale (art. 23 CPP s.) ou d'informations traitées dans le cadre d'investigations (art. 306 CPP). S'agissant de la transmission au point de contact national d'informations que les autorités cantonales de poursuite pénale traitent en vertu des lois cantonales sur la police, les cantons doivent créer leurs propres bases légales.

5.2 Compatibilité avec les obligations internationales de la Suisse

En reprenant ce développement de l'acquis de Schengen, la Suisse remplit ses obligations découlant de l'AAS. Elle contribue par ailleurs à l'application uniforme des principes régissant l'échange d'informations entre autorités de poursuite pénale au sein de l'espace Schengen. La reprise de la directive (UE) 2023/977 ainsi que la révision totale de la LEIS sont également compatibles avec les obligations internationales de la Suisse. Ces mesures sont compatibles avec la Convention du 4 novembre 1950 de sauvegarde des droits de l’homme et des libertés fondamentales (CEDH) 61, le Pacte international du 16 décembre 1966 relatif aux droits civils et politiques (Pacte II de l'ONU)62 et les autres engagements internationaux de la Suisse dans ce domaine. La reprise de cette directive européenne et les modifications légales qu'elle induit sont ainsi conformes au droit international.

5.3 Forme de l'acte à adopter

Conformément à l'art. 141, al. 1, let. d, Cst., les traités internationaux sont soumis au référendum facultatif s'ils sont d'une durée indéterminée et ne sont pas dénonçables (ch. 1), prévoient l'adhésion à une organisation internationale (ch. 2) ou contiennent des dispositions importantes fixant des règles de droit ou dont la mise en œuvre exige l'adoption de lois fédérales (ch. 3). Le présent échange de notes concernant la reprise de la directive (UE) 2023/977 est conclu pour une durée indéterminée, mais il peut être dénoncé en tout temps et ne prévoit pas l'adhésion à une organisation internationale. Néanmoins, sa mise en œuvre nécessite une révision totale de la LEIS. L'arrêté fédéral portant approbation et mise en œuvre de l'échange de notes doit donc être soumis au référendum facultatif en vertu de l'art. 141, al. 1, let. d, ch. 3, Cst. L'Assemblée fédérale approuve les traités internationaux sous la forme d'un arrêté fédéral lorsqu'ils sont soumis ou sujet à référendum (art. 24, al. 3, LParl).

60 Rapport du Conseil fédéral donnant suite au postulat Malama 10.3045 du 3 mars 2010. Sécurité intérieure. Clarification des compétences, FF 2012 4161, 4190 s., 4193 61 RS 0.101

62 RS 0.103.2

En vertu de l'art. 141a, al. 2, Cst., lorsque l'arrêté portant approbation d'un traité international est sujet au référendum, l'Assemblée fédérale peut y intégrer les modifications de lois liées à la mise en œuvre du traité. Les dispositions législatives proposées servent à la mise en œuvre de la directive (UE) 2023/977 et découlent directement des obligations qui y sont contenues. Le projet d'acte de mise en œuvre peut dès lors être intégré dans l'arrêté portant approbation.

5.4 Frein aux dépenses

Les deux projets ne prévoient ni subventions ni crédits d'engagement ou plafonds de dépenses qui entraîneraient une nouvelle dépense unique de plus de 20 millions de francs ou de nouvelles dépenses périodiques de plus de 2 millions de francs. Par conséquent, les présents projets ne sont pas soumis au frein aux dépenses.

5.5 Conformité aux principes de subsidiarité et d'équivalence fiscale

Le principe de subsidiarité (art. 5a et 43a, al. 1, Cst.) est respecté dans le cadre de la modification de la loi proposée pour mettre en œuvre la directive (UE) 2023/977: la Confédération n'assume aucune nouvelle tâche qui était jusqu'ici dévolue aux cantons. Le projet ne touche pas à la répartition des tâches entre la Confédération et les cantons ni à leur accomplissement. Le principe de l'équivalence fiscale (art. 43a, al. 2, Cst.) est également respecté: le projet ne devrait pas générer de coûts en sus de ceux engendrés par POLAP. L'équivalence fiscale est donc respectée s'agissant de la cohérence entre les agents payeurs et les décideurs.

5.6 Protection des données

Communication de données personnelles à d'autres États Schengen Le traitement des données est régi par la LPD. Il est soumis à la surveillance du Préposé fédéral à la protection des données et à la transparence (PFPDT). La LPD prévoit notamment des exigences en matière de communication de données personnelles à l'étranger (art. 16 s.). Conformément à l'art. 16 LPD, les données personnelles ne peuvent être communiquées à l'étranger que si la législation de l'État concerné assure un niveau de protection adéquat. Le Conseil fédéral vérifie l'adéquation de la législation étrangère. Le traitement de données personnelles doit être conforme à la directive (UE) 2016/680 du Parlement européen et du Conseil pour tous les États Schengen. Le Conseil fédéral vérifie si les États Schengen disposent de la législation requise et si celle-ci est appliquée. L'annexe 1 de l'ordonnance du 31 août 2022 sur la protection des données (OPDo)63 énumère les États, territoires, secteurs déterminés dans un État et organismes internationaux dans lesquels un niveau de protection adéquat des données est garanti.

Traitement de données personnelles par la CEA fedpol Le présent projet de loi règle les conditions et les modalités relatives à l'échange d'informations pouvant être transmises à d'autres États Schengen en vertu du droit national pour prévenir et poursuivre des infractions pénales. Le point de contact national, respectivement la CEA fedpol, est compétent pour cet échange. Il sert de plaque tournante

63 RS 235.11

entre les autorités fédérales et cantonales de poursuite pénale et les points de contact nationaux et les autorités de poursuite pénale désignées des États Schengen. La CEA fedpol ne peut traiter les informations qu'elle reçoit que dans la limite de ses tâches et de ses compétences. Les données devant être enregistrées dans le système de traitement des cas pour qu'elle puisse accomplir ses tâches ne sont pas conservées plus longtemps que nécessaire.

Protection des données et sécurité des données Conformément au projet de loi, seules les informations visées à l'annexe 2 sont transmises à d'autres États Schengen. Elles sont disponibles dans un système d'information ou peuvent être consultées sans application de la contrainte et communiquées en vertu du droit national pour prévenir et poursuivre des infractions pénales. La conservation, la transmission et le traitement des informations disponibles sont régis par les dispositions en matière de protection des données des systèmes d'information concernés ou par les dispositions générales de la LPD. La protection et la sécurité des données sont donc garanties grâce aux dispositions légales relatives aux systèmes d'informations concernés.

Liste des abréviations utilisées

AAD Accord d'association à Dublin AAS Accord d'association à Schengen al. alinéa art. article CC Code civil CEA fedpol Centrale d'engagement et d'alarme de fepdol CEDH Convention du 14 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales cf. confer ch. chiffre CJUE Cour de justice de l'Union européenne COREPER Comité des représentants permanents des gouvernements des États membres de l'Union européenne CP Code pénal CPP Code de procédure pénale Cst. Constitution fédérale DFJP Département fédéral de justice et police DPA Loi sur le droit pénal administratif EIMP Loi sur l'entraide pénale internationale Europol Office européen de police FF Feuille fédérale INTERPOL Organisation internationale de police criminelle IPAS Système informatisé de gestion et d'indexation de dossiers et de personnes JAI Justice et affaires intérieures JANUS Système d'information de la Police judiciaire fédéral JO Journal officiel LBI Loi sur les brevets LCITES Loi sur les espèces protégées LDPS Loi fédérale sur la protection des données Schengen LEIS Loi sur l'échange d'informations Schengen let. lettre LETC Loi fédérale sur les entraves techniques au commerce LFID Loi fédérale sur l'impôt fédéral direct LHID Loi fédérale sur l'harmonisation des impôts directs des cantons et des communes LIBE Commission des libertés civiles, de la justice et des affaires intérieures LOGA Loi sur l'organisation du gouvernement et de l'administration LParl Loi sur le Parlement

LPCC Loi sur les placements collectifs LPD Loi fédérale sur la protection des données LPDS Loi sur la protection des données Schengen LPM Loi sur la protection des marques LRens Loi fédérale sur le renseignement LSI Loi sur la sécurité de l'information LSIP Loi fédérale sur les systèmes d'information de police de la Confédération OFDF Office fédéral de la douane et de la sécurité des frontières ONU Organisation des Nations Unies OPDo Ordonnance sur la protection des données Org DFJP Ordonnance sur l'organisation du Département fédéral de justice et police par. paragraphe PFPDT Préposé fédéral à la protection des données et à la transparence POLAP Plate-forme de recherche de police RS Recueil systématique SIENA Secure Information Exchange Network Application SIRENE Supplementary Information REquest at the National Entry SPOC Single point of contact SYMIC Système d'information central sur la migration TFUE Traité sur le fonctionnement de l'Union européenne UE Union européenne