Wortlaut

Le Conseil fédéral est invité à indiquer dans un rapport comment améliorer la protection légale des données personnelles sensibles contre leur publication par des médias sociaux et privés tout en tenant compte de l’intérêt public légitime à ce que des infractions systématiques à la loi soient mises au jour. Ce faisant, il se demandera si la publication de données obtenues de manière illicite doit être sanctionnée (comme dans le cas de l’interdiction du recel de données).

Le Conseil fédéral est en particulier prié d’étudier l’opportunité de rendre punissable la publication de données personnelles ou d’autres données sensibles initialement obtenues ou acquises de manière illicite et d’établir les avantages et les inconvénients d’une telle réglementation. Le cas échéant, celle-ci devra d’un côté permettre aux autorités de poursuite pénale de continuer à faire leur travail et de l’autre préserver les personnes à protéger de toutes condamnations prématurées par l’opinion publique et protéger leurs droits de la personnalité en général.

Il conviendra également de déterminer dans quels cas des informations, quelles qu’elles soient, obtenues de manière illicite peuvent être publiées, autrement dit d’établir quels sont les faits pour lesquels l’intérêt public prime l’intérêt privé à interdire la publication des données obtenues illégalement et les circonstances dans lesquelles il est possible de renoncer à la punissabilité.

Begründung

Les données personnelles doivent en principe rester protégées, y compris lorsqu’elles ont été obtenues illégalement et que leur publication est précédée d’une infraction à la loi. Le vol qui précède la publication sur un média social ou privé peut être commis physiquement ou dans le cadre d’une cyberattaque.

Si une entreprise contrevient systématiquement à la loi (par ex. par une violation de l’interdiction de la corruption ou une violation systématique de la législation sur le blanchiment d’argent), il y a un intérêt public à en avoir connaissance de manière générale ; par contre, il n’y a pas d’intérêt public à publier les données personnelles obtenues illégalement. Ces données peuvent être mises à la disposition des autorités de poursuite pénale afin d’engager une procédure conforme à l’État de droit.

De plus en plus souvent, des informations et des données personnelles sensibles sont obtenues par des tiers à la suite d’actes illégaux commis (vol par des collaborateurs ou collaboratrices ou cyberattaques, etc.). Dans ces cas, il faut continuer à garantir qu’une procédure conforme à l’État de droit ait lieu contre les infractions à la loi, tout en évitant toutes condamnations prématurées par l’opinion publique.

Antrag des Bundesrates

Rejet

Stellungnahme des Bundesrates

La motion 22.4325 Hurni « De l'importance de sanctionner le recel de données numériques » du 8 décembre 2022 avait déjà pour objet la punissabilité de l’utilisation de données obtenues ou acquises illégalement. Dans son avis du 15 février 2023, le Conseil fédéral a noté que le droit matériel en vigueur suffisait à appréhender l’utilisation de données acquises illégalement. Il reste convaincu que le champ d’application de l’art. 160 du code pénal (CP, RS 311.0) est limité au recel de biens matériels et que cette disposition protège le droit du propriétaire légal à récupérer ses biens. Cette conception axée sur les droits réels est donc difficilement applicable à une éventuelle utilisation de données dérobées. La protection à mettre en œuvre n'est pas la même pour les biens matériels, d’une part, et pour les données et les informations, d’autre part. Le Conseil fédéral s’est donc refusé à punir spécifiquement la publication de données acquises illégalement en renonçant à ériger le recel de données en infraction. Le CP et la loi sur la protection des données (LPD, RS 235.1) punissent déjà la publication de certaines catégories de données (sur les réseaux sociaux, sur les messageries privées et de manière générale). La loi offre par exemple une protection en cas de traitement ou de communication de données personnelles (art. 2 LPD). La soustraction de données personnelles (art. 179novies CP) est également punie. La protection pénale s'étend à toutes les données sensibles, par exemple aux données personnelles sur la santé (art. 5, let. c, ch. 2, LPD). Un nouvel article du code pénal réprimant l'usurpation d'identité (art. 179decies CP) est entré en vigueur le 1er septembre 2023 suite à la révision de la LPD ; il inclut l'utilisation illicite des données. La publication et l’utilisation de données sont donc déjà punissables aujourd’hui, en fonction des données considérées et des intérêts à protéger dans le cas concret. On ne saurait déterminer de manière générale et abstraite les cas dans lesquels des informations de tous types obtenues illégalement peuvent être publiées, ni les états de fait dans lesquels l’intérêt public prime l’intérêt privé à la non-publication des données obtenues illégalement. Le droit en vigueur permet déjà, dans les cas d’espèce, de procéder à une pesée entre l’intérêt public à la publication et l’intérêt légitime de la personne concernée au maintien du secret. L’appréciation juridique des intérêts en présence dépend de manière déterminante des circonstances du cas concret. Des dispositions de lois spéciales ou du droit cantonal peuvent en outre entrer en considération dans la pesée des intérêts, ou encore les dispositions instituant des obligations de garder le secret, comme les art. 321 et 321bis CP sur le secret professionnel, l'art. 321ter CP sur le secret des postes et des télécommunications, l’art. 162 CP sur le secret de fabrication et le secret commercial, et l’art. 47 de la loi sur les banques (RS 952.0) sur le secret bancaire. En substance, il appartient donc aux autorités compétentes de juger de l’admissibilité de la publication en fonction des circonstances du cas concret. Au vu de la situation juridique présentée ci-dessus, le Conseil fédéral ne perçoit nullement ce qu’un rapport sur la punissabilité de l’utilisation des données acquises illégalement et sur la licéité de la publication en présence d’intérêts prépondérants pourrait apporter de plus au débat. Il continuera de suivre les développements à l’échelon international avec attention, notamment dans le cadre de la participation de la Suisse aux négociations en cours sur la Convention des Nations Unies sur la cybercriminalité.

Le Conseil fédéral propose de rejeter le postulat.