Département fédéral de justice et police DFJP Office fédéral de la justice OFJ Domaine de direction Droit public Unité Projets et méthode législatifs

Berne, 12 décembre 2008

Protection des données résultant de l’utilisation de l’infrastruc- ture électronique de la Confédération Rapport explicatif relatif à l’avant-projet de révision de la LOGA

1 Généralités

11 Contexte L’utilisation de l’infrastructure électronique de la Confédération (téléphone, ordinateur, sys- tèmes de contrôle des installations à l’entrée, appareils de vidéo-surveillance, etc.) laisse forcément des traces électroniques. En règle générale, on enregistre non pas le contenu des communications, mais uniquement les données relatives aux communications, c’est-à-dire les données générées lors de la connexion et de la déconnexion (données indiquant par exemple quand et entre quelles personnes une communication téléphonique a eu lieu ou quand et depuis quel ordinateur telle page Web a été consultée). Ces données peuvent, el- les aussi, faire l’objet d’une analyse nominative. Certaines d’entre elles sont des données sensibles. Une analyse peut donner lieu à la constitution d’un profil de la personnalité. L’Office fédéral de la justice (OFJ) a, sur mandat du Département fédéral de justice et police (DFJP), élaboré un avis de droit concernant les questions juridiques en matière de conserva- tion des données relatives aux communications. Dans cet avis de droit daté du 20 octobre 2005, l’OFJ parvient à la conclusion que la conservation (enregistrement) de données relatives aux communications est une forme parmi d’autres de traitement des don- nées personnelles au sens de la loi du 19 juin 1992 sur la protection des données (art. 17 LPD ; RS 235.1) et qu’elle doit par conséquent se fonder sur une loi au sens formel. Or, pour l’heure, il n’existe pas de base légale pour la conservation de ces données par les organes fédéraux. Le projet de révision joint en annexe vise à mettre en place une base légale au sens formel qui permettra de réglementer des traitements de données qui sont en partie déjà effectués aujourd’hui. A la suite de cet avis de droit, la Conférence des secrétaires généraux s’est prononcée en faveur de la création d’une base légale. Le 12 novembre 2006, le DFJP a donc demandé à l’OFJ d’élaborer un projet allant dans ce sens. Les travaux ont été suivis et coordonnés par un groupe de travail interdépartemental au sein duquel étaient représentés la Chancellerie fédérale, l’Office fédéral de l’informatique et de la télécommunication, l’Office fédéral du per- sonnel, l’Unité de stratégie informatique de la Confédération et le Préposé fédéral à la pro- tection des données et à la transparence.

12 Grandes lignes de la révision Les dispositions proposées ici ont pour but de réglementer le traitement des données résul- tant de l’utilisation de l’infrastructure électronique de la Confédération. Elles visent d’une part à protéger les utilisateurs contre un traitement abusif des données par les exploitants de l’infrastructure et d’autre part, à fournir à ces exploitants la base légale nécessaire pour pou- voir procéder en toute légalité au traitement de certaines données lorsque celui-ci est jugé indispensable. Il est ici surtout question de l’enregistrement des données relatives aux com- munications, mais ces dernières sont parfois indissociables des données relatives au conte- nu, qui peuvent donc, elles aussi, êtres enregistrées.

Les nouvelles dispositions relatives à la protection des données ne seront pas réunies dans une loi spécifique, mais introduites dans une loi déjà existante. Trois lois entrent en ligne de compte : la LPD, la loi du 24 mars 2000 sur le personnel de la Confédération (LPers ; RS 172.220.1) et la loi du 21 mars 1997 sur l’organisation du gouvernement et de l’administration (LOGA ; RS 172.010).

La LPD est une loi générale. Limiter son champ d’application aux organes fédéraux en tant qu’exploitants de l’infrastructure électronique de la Confédération irait à l’encontre de cette conception, ce qui n’est pas souhaitable. Voilà pourquoi nous renonçons à proposer une révision de la LPD. La LPers s’applique aux employés de la Confédération. Ces derniers sont certes les principaux utilisateurs de l’infrastructure électronique de la Confédération, mais ils ne sont pas les seuls : de nombreuses personnes qui ne sont pas employées par la Confédération (p. ex. les experts, les visiteurs, les militaires, les membres des autorités can- tonales) se servent, elles aussi, de cette infrastructure. La LPers ne nous semble donc pas être la loi la plus appropriée pour insérer les nouvelles dispositions. En revanche, la LOGA nous paraît mieux convenir. Son champ d’application est en effet relativement large : elle contient déjà des dispositions s’appliquant aux organes fédéraux et relatives à la question très proche du traitement des données dans le cadre de la gestion des dossiers (art. 57a1). Nous proposons donc d’insérer de nouvelles normes à la suite de ladite disposition.

Les organes fédéraux (ou les institutions qui exploitent l’infrastructure électronique dans le cadre d’un mandat confié par la Confédération) pourront en principe enregistrer toutes les données résultant de l’utilisation de l’infrastructure électronique de la Confédération (premier niveau de traitement). En raison du principe de proportionnalité (art. 4 LPD), nous jugeons nécessaire de ne pas autoriser l’enregistrement de données d’une manière générale, mais de le limiter aux buts autorisés, afin d’éviter que des données soient stockées à toutes fins utiles. L’art. 4, al. 3, LPD interdit la collecte de données à cet effet et exige que seules les données qui sont objectivement indispensables aux autorités pour exercer leur activité soient collectées et traitées (ATF 125 II 476 consid. 4b). Cette restriction se heurte toutefois à des problèmes d’ordre pratique difficilement surmontables : les données relatives aux communi- cations peuvent être techniquement indissociables du contenu même de ces communica- tions ou l’enregistrement de données peut se révéler techniquement nécessaire. Par ailleurs, l’infrastructure électronique évolue tellement vite qu’une liste détaillée et restrictive des enre- gistrements autorisés serait lacunaire au bout de quelque temps. Enfin, l’ajout d’une telle liste aux dispositions relatives à la protection des données entraînerait des déséquilibres dans la LOGA tant sur le plan visuel que du contenu et prendrait beaucoup trop de place. On restreindra le traitement des données en limitant strictement le deuxième niveau de traite- ment – données ne faisant pas (encore) l’objet d’un traitement se rapportant à une personne – aux buts du traitement autorisés. S’il devait y avoir un troisième niveau de traitement, c’est- à-dire si les données devaient faire l’objet d’un traitement se rapportant à une personne

1 Cette disposition deviendra l’art. 57h dès le 1.1.2009 (voir FF 2008 2087). 2/6

permettant des recoupements par rapport à une personne déterminée, celui-ci serait soumis à d’autres conditions. Plus le niveau du traitement est élevé, plus le nombre de données trai- tées diminue.

La liste des éléments composant l’infrastructure électronique n’est donnée qu’à titre d’exemple, cela afin d’éviter qu’une adaptation de la loi soit nécessaire à chaque innovation technique.

Nous avons renoncé à élaborer des dispositions visant l’obligation d’édicter des règlements sur l’utilisation de l’infrastructure informatique de la Confédération. Il incombe à chaque dé- partement de les édicter. Une harmonisation des différents règlements est tout de même souhaitable. Nous estimons toutefois qu’une disposition légale n’est pas nécessaire ; l’harmonisation peut par exemple se faire en recourant à des modèles de règlements. Des dispositions spéciales relatives à la protection des données existent déjà dans différents domaines. Citons par exemple la loi fédérale du 6 octobre 2000 sur la surveillance de la cor- respondance par poste et télécommunication (LSCPT ; RS 780.1) et la loi fédérale du 21 mars 1997 instituant des mesures visant au maintien de la sûreté intérieure (LMSI ; RS 120). Ces lois spéciales dérogent aux dispositions générales proposées ici.

2 Commentaire disposition par disposition

Remarques préliminaires concernant l’article 57a en vigueur2 Cette disposition introduite en 2000 est la seule base légale qui règlemente le traitement des données sensibles par les organes fédéraux. Elle prévoit que ces derniers peuvent gérer des systèmes d’information et de documentation à des fins d’enregistrement, de gestion, d’indexation et de contrôle de la correspondance et des dossiers. Cette disposition énumère une grande partie des activités de l’administration fédérale, comme la gestion des systèmes d’enregistrement électroniques des affaires en cours ou le traitement des demandes de ren- seignements envoyées par voie électronique. Les dispositions commentées ci-après visent à combler les lacunes existantes en matière de traitement électronique des données. Elles portent principalement sur les données relatives aux communications, mais aussi sur le contenu même de ces communications (p. ex. objet et texte d’un e-mail, contenu d’un document Word).

Article 57i Principe Les destinataires de ces nouvelles dispositions sont les organes fédéraux en tant qu’exploitants de l’infrastructure électronique, qui peuvent enregistrer les données résultant de l’utilisation de leur infrastructure et les traiter. La révision a pour but de protéger les personnes qui utilisent l’infrastructure électronique mise à leur disposition par les organes fédéraux, à savoir notamment les employés de la Confédération et les parlementaires. L’al. 1 dispose que toutes les données personnelles (y compris le contenu des communica- tions et des enregistrements vidéo) résultant de l’utilisation de l’infrastructure électronique peuvent être enregistrées.

2 Cette disposition deviendra l’art. 57h dès le 1.1.2009 (voir FF 2008 2087). 3/6

Les « organes fédéraux » sont expressément désignés comme les destinataires des nouvel- les dispositions. C’est donc le même groupe que celui visé dans l’art. 57a LOGA relatif au traitement des données dans le cadre de la gestion des dossiers qui est ciblé ici. Notons que le concept d’« organe fédéral » apparaît également dans la LPD (art. 2, al. 1, let. b, et art. 3, let. h). Ce concept a une acception plus large que le concept d’« unité administrative » utilisé dans l’art. 2 LOGA et dans l’art. 6 de l’ordonnance du 25 novembre 1998 sur l’organisation du gouvernement et de l’administration (OLOGA ; RS 172.010.1). Il désigne : − les autorités et les services fédéraux (départements, offices, Chancellerie fédé- rale, unités administratives décentralisées, établissements de la Confédération, etc.), − les personnes physiques et morales qui sont extérieures à l’administration fédé- rale et qui sont chargées d’une tâche de la Confédération (p. ex. Poste, CFF, SUVA, PUBLICA, SRG SSR idée suisse). En d’autres termes, ces dispositions s’appliquent notamment à l’Assemblée fédérale et à ses organes, de même qu’aux Services du Parlement dans leur activité administrative et aux caisses maladie (voir à ce propos Basler Kommentar Datenschutzgesetz, Urs Maurer- Lambrou/Simon Kunz, art. 2, n. 12 ss ; Thomas Sägesser, Stämpflis Handkommentar zum RVOG, art. 2, n. 16 ss). Elles sont par ailleurs applicables aux exploitants informatiques qui exploitent l’infrastructure sur mandat d’un organe fédéral. L’avant-projet ci-joint part de l’idée que toutes les données personnelles qui « résultent » de l’utilisation de l’infrastructure électronique de la Confédération peuvent en principe être enre- gistrées. Il peut aussi bien s’agir de données concernant la connexion et la déconnexion lorsqu’une conversation téléphonique a eu lieu ou qu’un ordinateur a été utilisé que de don- nées relatives au temps de travail du personnel enregistrées par les systèmes de saisie des temps de travail. Autoriser l’enregistrement de toutes les données peut paraître à première vue disproportionné. Cependant, les données dont le traitement est licite ne sont pas ou ne sont que difficilement dissociables des autres données lors de leur enregistrement (un ordi- nateur n’est par exemple pas capable de faire la différence entre des mails professionnels et des mails privés). Il serait seulement possible de donner quelques exemples de données, mais pas d’en faire une énumération détaillée dans la loi. La restriction du traitement des données, nécessaire pour des raisons liées à la protection des données, passe par une dé- limitation stricte des buts autorisés (art. 57k). Ces projets de normes doivent être considérées comme une « lex generalis ». Le principe « lex specialis derogat generali » s’applique. L’al. 2 apporte la première restriction : les données enregistrées ne peuvent être traitées que dans les buts prévus par l’art. 57k. L’al. 3 précise (comme à l’art. 57a) la notion de « données personnelles ». Il prévoit expres- sément que les enregistrements peuvent contenir des données sensibles et des profils de la personnalité. L’al .4 prévoit un cas important faisant l’objet d’une lex specialis : Les art. 179bis et suivants s’appliquent à l’enregistrement de conversations téléphoniques.

Article 57j Infrastructure électronique

Le terme d’infrastructure est à prendre au sens large et la liste des éléments la constituant n’est volontairement donnée qu’à titre d’exemple afin qu’une adaptation de la base légale ne soit pas nécessaire à chaque innovation technique. Doivent donc être pris en considération tous les moyens techniques, outils de travail et systèmes de contrôle électroniques mis à la 4/6

disposition non seulement des employés de la Confédération, mais aussi des tiers, par les organes fédéraux. Il peut aussi bien s’agir d’appareils fixes que d’appareils mobiles.

Article 57k Buts du traitement L’al. 1 dispose que les données enregistrées ne peuvent être traitées que dans les buts pré- vus par cette disposition. A noter qu’il est possible de combiner plusieurs buts (p. ex. compa- raison des données permettant de contrôler le temps de travail des employés et des don- nées concernant l’accès de ces derniers à un fichier). Par traitement, on entend toutes les formes de traitement prévues par la LPD une fois que les données ont été enregistrées en vertu de l’art. 57i. La conservation et la destruction des données en tant que formes particu- lières de traitement des données seront réglées plus précisément au niveau de l’ordonnance (sur la base de l’art. 57l, let. a). L’al. 1, let. a prévoit une base légale autorisant la création de copies de sauvegarde, ce qui se fait déjà aujourd’hui. Les données peuvent en outre être traitées à des fins statistiques (let. b). Conformément à la let. c, les organes fédéraux peuvent également traiter des données concernant la connexion et la déconnexion dans les buts suivants : − maintenir la sécurité de l’information et des services lorsque l’entretien technique de l’infrastructure électronique requiert ce traitement (let. c, ch. 1 et 2) ; − contrôler le respect des règlements d’utilisation (p. ex. en cas d’utilisation abusive d’Internet), le traitement devant porter sur l’ensemble des employés et non sur une personne en particulier (let. c, ch. 3) ; − retracer l’accès à une banque de données à un certain moment et déterminer les modifications qui y ont été ntroduites (let. c, ch. 4) ; − retrouver des prestations fournies en ligne pour pouvoir en facturer les coûts à chaque unité d’imputation ou pour établir des statistiques (let. c, ch. 5). La let. d autorise le traitement de données concernant le temps de travail du personnel par exemple pour modifier le temps de travail obligatoire, pour prendre des mesures de gestion de la santé ou à des fins statistiques. En vertu de la let. e, les organes fédéraux peuvent également traiter des données résultant de l’utilisation d’apparells vidéo surveillance, par exemple aux heures habituelles.

Le traitement de données se rapport à une personne (p. ex. analyse de données permettant d’obtenir des informations sur le comportement d’une personne en particulier) peut être par- ticulièrement délicat sur le plan de la protection des données. Il n’est donc autorisé que dans les cas prévus par la loi. En vertu de l’al. 2, let .a, un tel traitement n’est autorisé que si une personne est suspectée d’utiliser abusivement l’infrastructure électronique dans un cas d’espèce ; les contrôles inopinés de données relatives à une personne particulière ou les analyses systématiques ne sont par contre pas autorisés. La let. b prévoit que des données peuvent être traitées à des fins se rapportant à des personnes pour analyser et réparer les défaillances de l’infrastructure électronique. En vertu de la let. c, l’analyse mensuelle habi- tuelle des données relatives au temps de travail, qui permet par exemple à un supérieur hié- rarchique de contrôler le nombre d’heures supplémentaires effectué par ses collaborateurs, est également autorisée. Conformément à la let. d, les organes fédéraux peuvent également traiter des donnés à des fins se rapportant à une personne pour lui facturer les coûts résul- tant de l’utilisation de l’infrastructure électronique.

5/6

L’al. 3 réserve le traitement de données à d’autres fins dans la mesure où celui-ci est prévu par une autre base juridique. Les conditions que doit remplir cet acte normatif sont fixées à l’art. 17 LPD. Les données ne peuvent être traitées que si les conditions prévues par cet acte sont remplies. Ce peut être le cas du traitement des données dans le cadre d’une procédure pénale (surveillance de la correspondance par poste et télécommunication se fondant sur la LSCPT ; voir aussi art. 246 ss du nouveau code de procédure pénale, FF 2007 6583) ou d’une vidéo-surveillance en vertu de la LMSI (voir aussi art. 15 de l’ordonnance du 27 juin 2001 sur la sécurité relevant de la compétence fédérale [OSF] ; RS 120.72), mais aussi du traitement des données au moyen des systèmes d’information de police de la Confédération (voir la loi fédérale sur les systèmes de police de la Confédération adoptée par le Parlement le 13 juin 2008 [LSIP] ; FF 2006 4819). D’autres règles spéciales sont éga- lement prévues par la loi du 30 avril 1997 sur les télécommunications (LTC, art. 43 à 46 ; RS 784.10).

Article 57l Dispositions d’exécution

Mentionnons qu’il s’agit bien souvent de données personnelles constituant une partie seule- ment d’une quantité de données parfois importante qui doit au préalable – c’est-à-dire avant d’être traitée – être préparée (il faut par exemple distinguer les données relatives aux connexions Internet d’une personne de celles des autres, ce qui demande parfois un travail considérable).

La manière dont doivent être traitées les données après leur enregistrement doit être claire- ment définie. Il suffira simplement d’indiquer dans la loi les points les plus importants, les- quels devront être réglés au niveau de l’ordonnance. Le Conseil fédéral devra notamment régler la question de savoir qui est compétent pour enregistrer et conserver les données, quelles données doivent être conservées et combien de temps, autrement dit au bout de combien de temps elles doivent être détruites (let. a). Par ailleurs, il devra fixer les conditions dans lesquelles les données peuvent être traitées (let. b) et déterminer quand et comment tel organe peut avoir accès aux données et les analyser (let. c).

Le projet de révision ne s’applique pas à un domaine uniforme mais à une multiplicité de situations. L’introduction de nouvelles normes dans la LOGA ne serait pas judicieux au motif que ces dispositions seraient trop longues et difficiles à consulter. On a donc renoncé à ré- gler de manière détaillée les modalités de traitements dans une loi, contrairement à ce qu’il est prévu de faire dans certains domaines bien délimités, come par exemple le projet de ré- glementation pour le traitement des dossiers du personnel dans la LPers.

Modification du droit en vigueur

La réglementation prévue pour les organes fédéraux s’applique également aux tribunaux fédéraux dans la mesure où la LPD est applicable et où ils exercent une activité administra- tive. Les tribunaux n’entrant pas dans le champ d’application de la LOGA, il convient d’indiquer dans les trois lois spéciales relatives aux tribunaux que les nouvelles règles en matière de protection des données introduites dans la LOGA s’appliquent à eux par analo- gie.

Ce sont les tribunaux eux-mêmes et non le Conseil fédéral qui jouissent du droit d’exécution dans leur domaine. Il leur incombe donc d’édicter les dispositions d’exécution nécessaires.

R:\ÖFFR\RSPM\2 Projekte\Datenschutz el. Infrastruktur\Mitberichtsverfahren\Erläuterungen f Mitbericht.doc 6/6