Message concernant la révision de la loi sur le renseignement

Art. 1

Let. a

La formulation actuelle donne l’impression que le SRC n’accomplit que les tâches qui lui sont prescrites par la LRens. Or, comme tous les autres services de l’administration fédérale, le SRC effectue des tâches purement administratives en vertu de la LOGA. Il participe ainsi à des consultations des offices dans le cadre de procédures législatives, au traitement d’interventions parlementaires et contribue à répondre aux demandes des médias. En outre, le SRC recrute, conduit et accompagne son personnel, exploite ses services informatiques, acquiert des biens et des services conformément aux marchés publics et gère ses finances. Mentionner expressément l’activité de renseignement à l’art. 1 rappelle clairement que les diverses activités administratives du SRC ne sont pas réglées par la LRens, mais découlent des dispositions générales applicables à l’administration fédérale.

Let. d

Le SRC ne traite pas uniquement des données relevant du renseignement. La LRens régit la distinction entre les données relevant du renseignement et les données administratives et énonce certains principes applicables au traitement des données administratives. En conséquence, l’art. 1 LRens mentionne désormais le traitement des données par le SRC comme objet de la loi. Pour tout ce qui n’est pas réglé dans la LRens, les dispositions de la LPD s’appliquent.

Art. 5

Comme mentionné plus haut, les articles mentionnant le SRC s’appliquent également aux SRCant. Les SRCant ne sont mentionnés expressément que lorsqu’une disposition les concerne exclusivement ou lorsqu’il est nécessaire de souligner leurs droits et devoirs, c’est-à-dire lorsqu’ils sont sinon dans l’impossibilité d’identifier clairement l’action à effectuer.

Al. 6

Les restrictions en vigueur en matière de traitement des données relatives aux activités politiques ou à l’exercice de la liberté d’opinion, d’association ou de réunion demeurent inchangées (voir al. 5). Les exceptions nécessaires sont toutefois décrites à l’al. 6 plus précisément qu’auparavant. Il s’agit dans tous les cas de situations dans lesquelles le SRC est déjà tenu aujourd’hui de traiter des données en vertu de l’al. 5 afin de pouvoir remplir son mandat tel que défini à l’art. 6 ou ses obligations administratives (par exemple, le SRC doit lire une communication lors du contrôle prévu par l’art. 46, al. 1, même si elle contient des éléments qui tombent sous le coup de la restriction au traitement des données).

Let. a

Il peut arriver qu’au moment de la réception des données, un lien avec les tâches paraisse probable sans pour autant être certain, en raison de la source, du contenu ou du contexte. Pour déterminer l’existence d’un lien avec les tâches, des éclaircissements supplémentaires sont nécessaires dans de tels cas. Par exemple, il se peut qu’un service de renseignement étranger demande des renseignements sur une personne qui diffuse dans son pays une idéologie radicale d’extrême-droite, ce qui fonde la compétence de l’autorité étrangère. Imaginons que cette personne se rende à une rencontre en Suisse. Le service partenaire souhaite alors savoir si le SRC dispose d’informations à ce sujet. Le SRC transmet alors un mandat de recherches au SRCant où la personne concernée se trouve. Seul le résultat de ces recherches permet de déterminer s’il s’agit d’une rencontre d’extrémistes violents, donc si le lien avec les tâches du SRC est établi et si un traitement ultérieur des données est admis. Cette situation peut bien entendu également se produire avec des données reçues des SRCant. Le traitement des données personnelles lors du contrôle de la relation supposée avec les tâches du SRC est désormais mentionné expressément par souci de transparence (voir également les explications de l’art. 45, al. 4).

Let. b

Dans la précédente version, les exceptions mentionnées à l’al 6 se limitaient au terrorisme, à l’espionnage et à l’extrémisme violent. Ce champ d’application est un reliquat de la LMSI, qui ne traitait pas encore le domaine cyber et partait du principe que les activités de prolifération ne pourraient pas tomber sous le coup d’atteintes aux droits fondamentaux. Il n’existe cependant aucune raison de protéger le recours abusif aux droits fondamentaux cités à l’art. 5, al. 5, dans le domaine de la non-prolifération et en cas d’attaques sur des infrastructures critiques. Par conséquent, le champ d’application de cette disposition a été élargi à toutes les activités visées à l’art. 6, al. 1, let. a. Il en ressort donc clairement que le SRC peut, par exemple, se consacrer à des déclarations d’intention sur des cyberattaques contre des infrastructures critiques ou à des informations sur des rencontres en préparation. En revanche, les groupes d’amitié parlementaires par exemple avec les pays concernés par la prolifération ne sont plus susceptibles d’être observés par le service de renseignement.

Let. c

Du point de vue du renseignement, il est capital de savoir contre qui une menace est dirigée. Ce n’est qu’à cette condition que le SRC peut établir un rapport correct et que les autorités compétentes peuvent prendre les mesures appropriées pour avertir et protéger les personnes et organisations menacées. Si ces victimes potentielles ne font pas usage des droits fondamentaux mentionnés à l’art. 5, al. 5, aucun problème ne se pose. Par exemple, si le SRC apprend qu’une attaque est prévue sur le siège d’une multinationale, il peut en informer l’entreprise et la police cantonale concernée, mais aussi traiter des données en lien avec cette menace. En revanche, dans de rares cas, des personnes ou organisations doivent aussi être protégées dans des situations en lien avec leurs droits fondamentaux protégés. Par exemple, si le SRC apprend qu’une personnalité politique va être agressée physiquement lors d’une apparition publique, il doit être autorisé à titre exceptionnel à traiter les données relatives à son travail politique afin de la protéger. D’autres exemples seraient des attaques planifiées relevant du cyberespionnage visant directement des membres du Parlement, ou encore des dommages à la propriété planifiés par des extrémistes violents à l’encontre d’un membre du gouvernement responsable du système de santé. Cette exception ne saurait avant tout être invoquée qu’afin de protéger des intérêts prépondérants (p. ex. vie et intégrité corporelle, mais également la protection de la sphère privée). L’admissibilité exceptionnelle du traitement de ces données est expressément étendue aux personnes et aux organisations potentiellement menacées par les activités citées à l’art. 6, al. 1, let. a. Ainsi, des associations étrangères sont souvent la cible d’autorités étrangères et victimes de cyberattaques, d’espionnage politique ou encore d’agressions. Il va sans dire que, dans ce domaine également, le SRC ne peut agir qu’à titre préventif et prendre des mesures visant à détecter et à prévenir rapidement de telles menaces. Dès qu’une menace se concrétise et qu’une infraction pénale est commise, la compétence revient aux autorités de poursuite pénale.

Let. d

Il est tout aussi important de connaître l’origine des informations pour les évaluer (p. ex. pour vérifier leur exactitude). Le SRC ne peut correctement juger la fiabilité d’une information que s’il sait d’où elle vient. Il traite ainsi différemment l’opinion sur la lutte contre le terrorisme exprimée par un passant de celle d’une experte reconnue du domaine. Le SRC ne s’intéresse en l’occurrence ni au passant, ni à l’experte, mais à l’information sur l’événement. Afin de pouvoir l’évaluer, il est primordial qu’il sache de qui elle provient.

Il en va de même pour la conduite des sources humaines (voir art. 15): la source proprement dite est le moyen de l’activité de renseignement du SRC, et non sa fin. Malgré cela, le SRC doit connaître des données personnelles sur la source et les traiter, y compris dans les rares cas où l’activité de renseignement de la source est liée à sa propre activité politique ou à l’exercice de sa liberté d’opinion, de réunion ou d’association.

Let. e

Le SRC a pour tâche d’informer au fur et à mesure les autorités fédérales et cantonales des menaces potentielles et de les alerter au besoin (voir art. 6, al. 2). Il a également pour tâche de les informer des événements et renseignements susceptibles d’avoir une incidence sur leurs tâches de maintien de la sûreté intérieure ou extérieure (voir art. 6, al. 3). Le SRC effectue cela dans le cadre du réseau de renseignement, en vertu duquel les autorités fédérales et cantonales chargées des questions de sécurité s’autorisent mutuellement à accéder à des informations en rapport avec la situation en vue de maintenir la sûreté intérieure ou extérieure. Avec la participation de tous les partenaires, le SRC établit la présentation intégrale de la situation qu’il actualise en permanence¹⁵.

Dans son rapport annuel 2019, la DélCdG est parvenue à la conclusion que l’appréciation de ces risques par les services de renseignement pour la planification de mesures de police de sécurité peut notamment reposer sur des données qui tombent sous le coup de l’art. 5, al. 5. La Délégation estime que le traitement de telles données à cette fin est admissible s’il dure moins d’un an. La nouvelle lettre e concrétise cette directive précise. Elle s’applique aux données que le SRC traite pour la conduite du réseau de renseignement conformément à l’art. 58b, al. 1 P-LRens, et pour l’établissement de la présentation électronique de la situation. Ainsi, il serait nécessaire de nommer un parti politique dont l’assemblée générale fait l’objet de menaces afin que les autorités compétentes puissent en assurer la protection. Notons ici que les mesures de police de sécurité ne sont pas prises par le SRC proprement dit, mais par les autorités compétentes de la Confédération et des cantons. Cette disposition vise également des données concernant les personnes au cœur des enjeux sécuritaires d’un événement donné, même si elles ne sont pas directement menacées (p. ex. en cas d’appel à une manifestation violente contre un discours public d’un politicien ou la visite d’une cheffe d’État étrangère).

Let. f

Il est précisé que le SRC peut également traiter les données visées à l’al. 5 si cela lui est nécessaire pour accomplir ses tâches administratives. Par exemple, si le SRC traite des affaires parlementaires qui lui sont confiées dans le cadre de ses tâches administratives, elles sont de nature politique. Ces activités peuvent concerner des données personnelles, sans qu’elles soient toutefois significatives pour l’exécution des tâches de renseignement. Les noms des auteurs et des cosignataires d’interventions parlementaires consacrées à la sûreté intérieure ou extérieure sont connus du SRC.

Al. 7

Les termes «données relatives à des personnes» et «saisie des informations» sont remplacés par «données personnelles». La formulation de cet alinéa est modifiée, car l’al. 6 règle désormais le lien avec les tâches et les menaces. Il est également précisé que les données peuvent être anonymisées plutôt que supprimées (par exemple lorsque la même déclaration contient également des informations relevant de la LRens). Le contenu demeure inchangé.

Al. 8

Le terme «représentants» utilisé dans la LRens actuelle a suscité diverses discussions, car il n’est défini nulle part. La nouvelle disposition précise qu’il s’agit des personnes qui font partie d’organisations ou de groupements figurant sur la liste d’observation (art. 72), qui les soutiennent personnellement ou matériellement, qui organisent des actions de propagande pour accomplir leurs objectifs, qui font leur promotion ou qui encouragent leurs activités d’une autre manière au sens de l’art. 6, al. 1, let. a. Le contenu de la règle demeure inchangé.

Art. 6

Al. 1, let. b

Le terme employé jusqu’ici dans la LRens, «infrastructures critiques», s’est avéré trop restrictif pour couvrir adéquatement tous les événements importants en matière de politique de sécurité dans le cyberespace. Les cyberattaques, même si elles ne sont pas dirigées contre des infrastructures critiques, ont acquis une portée croissante en matière de politique de sécurité. Elles ne sont pas seulement le fait de pirates informatiques individuels ou de groupes criminels, mais de plus en plus d’acteurs soutenus par des États, des forces armées et des services de renseignement. La détection précoce et la prévention par les services de renseignement doivent pouvoir tenir compte de cette évolution des menaces pour la sûreté intérieure ou extérieure de la Suisse. La recherche de renseignements doit permettre au SRC d’évaluer intégralement la gravité des cyberattaques de ce type et poser les bases de l’étude d’éventuelles contre-mesures politiques. Aujourd’hui déjà, le SRC est chargé de présenter la situation intégrale en matière de cybermenaces au niveau fédéral, par exemple dans le cadre du Groupe Sécurité et dans le cadre de la situation intégrale en matière de renseignement. Il n’est pas adéquat de limiter le mandat du SRC aux cyberattaques contre les infrastructures critiques. Par exemple, les cyberattaques contre des organisations internationales ou des ONG établies en Suisse ainsi que l’usage abusif d’infrastructures de télécommunication en Suisse pour des cyberattaques peuvent revêtir une importance considérable en termes de politique de sécurité, surtout si elles proviennent directement ou indirectement d’organismes étatiques étrangers. Par conséquent, le SRC doit également être en mesure d’identifier, de prévenir et d’analyser ces cyberincidents du point de vue du renseignement.

Cela justifie l’extension du mandat du SRC à l’ensemble du cyberespace, pour autant qu’il y ait une importance en matière de politique de sécurité. C’est le cas lorsque des événements et des développements dans le cyberespace sont susceptibles de compromettre l’autodétermination de la Suisse, son ordre démocratique et constitutionnel, sa place économique et scientifique ainsi que son statut d’accueil d’organisations internationales, de porter gravement atteinte à la sécurité de la Suisse ou de nuire à la capacité d’action de ses autorités et de ses infrastructures critiques. Grâce à la détection précoce, à la prévention, à la défense et à l’attribution des cyberattaques, le SRC contribue de manière significative à la protection de la Suisse contre les cyberrisques, comme le prévoient les stratégies pertinentes de la Confédération.

L’extension du mandat du SRC aux événements relevant de la politique de sécurité dans le cyberespace a été jugée opportune et nécessaire lors de la consultation. Plusieurs participants ont suggéré de définir le terme «cyberespace» dans la loi.

Une définition spécifique dans la LRens n’est toutefois pas nécessaire, car le terme «cyberespace» se réfère aux explications fournies dans la stratégie nationale de protection de la Suisse contre les cyberrisques (SNPC) 2018–2022¹⁶, adoptée par le Conseil fédéral le 18 avril 2018. Le cyberespace désigne l’ensemble des infrastructures d’information et de communication (matérielles et logicielles) qui échangent, collectent, stockent et traitent des données ou les transforment en actions (physiques), ainsi que les interactions entre personnes, organisations et États qui en résultent. Il va au-delà d’Internet. Cette définition du cyberespace s’applique aussi àl’actuelle CSN d’avril 2023.

Al. 2^bis

Le réseau de renseignement est une forme particulière d’organisation permettant de regrouper les informations pertinentes pour la situation qui sont fournies au SRC par différents partenaires faisant partie du système de suivi coordonné de situation en Suisse ou par des services partenaires étrangers. Il peut notamment s’agir d’informations sur les déplacements de personnes enclines à la violence, sur les appels à la violence ou d’informations sur les menaces. La présentation électronique de la situation (voir art. 58b, al. 1, P-LRens, et les explications qui s’y rapportent) doit contenir toutes les informations nécessaires aux autorités suisses compétentes pour prendre des mesures de sécurité. Cela inclut également les données que le SRC ne traiterait pas dans l’accomplissement de ses tâches en vertu de l’al. 1. Toutefois, le traitement dans le cadre de la présentation électronique de la situation se limite à cet instrument et au motif indiqué ici (voir art. 5, al. 6, let. e, et les explications qui s’y rapportent).

Al. 5

Afin d’assurer un service d’alerte précoce en vue de protéger les infrastructures critiques, le SRC doit établir et entretenir des contacts avec les exploitants de telles infrastructures. Par ailleurs, l’OFPP assure la coordination générale pour la protection des infrastructures critiques. Il est donc nécessaire que le SRC et l’OFPP échangent étroitement et régulièrement pour établir et entretenir des contacts avec les exploitants d’infrastructures critiques. Cet échange sera réglé plus avant dans l’ordonnance du 16 août 2017 sur le Service de renseignement (ORens)¹⁷. La précision ajoutée à cet alinéa répond à un besoin des exploitants concernés. Elle correspond en outre à la Stratégie nationale du Conseil fédéral du 16 juin 2023 pour la protection des infrastructures critiques.

Art. 7

Al. 1, let e

L’art. 7 donne au SRC la possibilité de prendre des mesures pour protéger et garantir la sécurité de ses collaborateurs, de ses installations et de ses données. Il s’agit en particulier de la protection des personnes, des objets et des informations, ainsi que de l’application de prescriptions visant à renforcer la sécurité et la crédibilité du SRC dans le traitement des données classifiées. Cette révision vise à compléter judicieusement le catalogue de mesures existant.

La let. e précise que le SRC peut évaluer l’utilisation de ses propres données ou celle des appareils qu’il a mis à la disposition de ses collaborateurs ou de ceux des SRCant. S’il existe des indices concrets d’une menace grave pour la sécurité du SRC ou d’infractions aux prescriptions de service, le SRC peut le faire même à l’insu de la personne concernée.

Un soupçon initial de menace grave pour la sécurité du SRC ou de violation des prescriptions de service peut naître de plusieurs manières et remonter par différents canaux. Par exemple, un collaborateur du SRC, d’un SRCant ou même d’un service partenaire peut envoyer une annonce de sécurité qui appelle un éclaircissement des faits. Certains indices peuvent conduire à des soupçons initiaux, comme l’introduction de téléphones portables privés ou d’autres appareils d’enregistrement dans des zones sensibles du lieu de travail ou des contacts problématiques dans l’environnement privé ou professionnel. Ainsi, lorsque des indices laissent par exemple présumer que des collaborateurs du SRC travaillent pour un service de renseignement d’un autre État ou sont recrutés par un tel service, le SRC doit être en mesure de donner suite à ce soupçon initial sans informer directement les individus concernés des recherches effectuées. Il y aurait sinon un risque que des indices soient détruits ou que le comportement change. L’analyse de données relatives à une personne particulière demeure en tous les cas soumise à l’approbation du directeur du SRC (voir également les explications relatives à l’al. 1^bis).

Al. 1^bis

L’analyse des accès d’une personne en particulier aux données du SRC selon l’al. 1, let. e, requiert l’approbation écrite du directeur du SRC ou du service supérieur du SRCant et ne peut dans certains cas être exécutée qu’avec l’aide de domaines techniques du SRC. Le principe du double contrôle au minimum est donc garanti dans tous les cas. Si le SRC constate un comportement punissable présumé, il dépose une plainte auprès des autorités de poursuite pénale compétentes.

Al. 1^ter

Afin de protéger ses collaborateurs face aux services de renseignement étrangers, le SRC tient une liste de pays présentant des risques particuliers (avant tout risque d’arrestation ou de mise sous pression compte tenu de la fonction de renseignement de la personne concernée). Certains pays tentent de surveiller les collaborateurs des services de renseignement étrangers lorsqu’ils se rendent sur leur territoire. Il peut s’agir déjà de contrôles renforcés à la frontière. Certains pays essaient de découvrir avec qui les collaborateurs de renseignement entretiennent des contacts. Il n’est pas rare non plus que les téléphones portables soient surveillés afin d’espionner les échanges de données ainsi que les mouvements dans le pays en question, ou encore qu’ils soient piratés de manière à continuer de surveiller son propriétaire à son retour en Suisse. Aucune distinction entre les voyages privés et professionnels n’est faite par les pays concernés.

Si un collaborateur du SRC veut visiter un des pays concernés sur son temps libre, il doit donc demander l’autorisation du service du SRC compétent pour les mesures de protection et de sécurité. Le réseau international informel des services de renseignement occidentaux étudie actuellement une éventuelle standardisation de ces mesures afin d’assurer la collaboration internationale future. Soumettre à autorisation les voyages privés constitue une certaine atteinte des droits fondamentaux du collaborateur, aussi cette mesure requiert une base légale.

Le lien entre les collaborateurs des SRCant (qui sont généralement des employés de la police) et le SRC est généralement beaucoup moins évident que celui des collaborateurs du SRC eux-mêmes. Les collaborateurs des SRCant sont donc moins exposés aux risques susmentionnés. De plus, ils ne sont pas liés au SRC par un contrat de travail. L’obligation d’autorisation prévue ici ne s’applique donc pas à eux. Il est toutefois possible à tout moment de s’informer auprès du SRC sur les pays à risque et de demander conseil.

Al. 2

Étant donné que la présente loi ne contient plus aucune disposition visant les systèmes d’information individuels, le terme «systèmes d’information» est remplacé par «données». Le contenu ne s’en trouve pas modifié.

Art. 7a Recherche et traitement des données pertinentes en matière de sécurité concernant les collaborateurs, les candidats à un emploi et les mandataires

Al. 1

Dans l’éventualité où un événement soulève des questions de sécurité, le SRC peut également procéder à des vérifications au sujet des collaborateurs déjà engagés et au bénéfice d’un contrôle de sécurité relatif aux personnes (CSP) en vertu de la loi du 18 décembre 2020 sur la sécurité de l’information (LSI)¹⁸. En fonction du résultat, il entreprend ensuite un renouvellement du CSP. Contrairement aux mesures visées à l’art. 7, al. 1, let. e, ces investigations nécessitent l’information de la personne concernée (voir aussi les explications relatives à l’al. 4) et sont limitées à une durée de trois mois. Cette mesure permet d’éviter que des collaborateurs du SRC doivent s’attendre à tout moment à de tels contrôles sur leur personne.

Al. 2 et 3

Le SRC doit s’assurer que les derniers candidats en lice pour un emploi au SRC, ainsi que les personnes ou entreprises répondant à des appels d’offres pour son compte ou exécutant de tels mandats, ne présentent aucun risque pour la sécurité de ses collaborateurs, de ses installations et des données qu’il traite. Les collaborateurs du SRC chargés des mesures de protection et de sécurité doivent donc récolter des informations sur ces personnes et ces entreprises. Les personnes et entreprises concernées doivent être informées de ces investigations.

Les vérifications consistent à consulter des données internes et externes à la disposition du SRC, à prendre des renseignements oraux et écrits, notamment auprès des personnes ou des entreprises concernées, et à consulter des sources d’information publiques. Ces vérifications n’impliquent pas d’obligation pour les tiers concernés de collecter ou de conserver des données spécifiquement dans ce but. Il s’agit de consulter ou d’obtenir des données qui sont de toute façon disponibles. Cette disposition ne fonde en outre pas de nouvelles compétences du SRC de rechercher des données allant au-delà de la consultation ou de l’obtention de données existantes.

Les vérifications préalables en question ne remplacent par les contrôles de sécurité relatifs aux personnes ni les procédures de sécurité relatives aux entreprises au sens de la LSI. Celles-ci ne peuvent toutefois pas toujours être réalisées à temps avant l’engagement. Le SRC les initie avant l’entrée en fonction du collaborateur, conformément à l’art. 33 LSI. Pour des raisons d’organisation, il est cependant rarissime que le service spécialisé CSP rende une décision avant le début des rapports de travail. Ainsi, les personnes engagées ont déjà accès aux locaux du SRC et aux documents classifiés avant le résultat du CSP. Un travail efficace n’est possible que si les personnes disposent d’un accès suffisant aux données générales relevant du renseignement du SRC.

Al. 4

Contrairement aux mesures selon l’art. 7, al. 1, let. e, le SRC doit dans tous les cas informer la personne ou l’entreprise concernée à l’avance de la recherche ou du traitement des données.

Al. 5

Dans le cadre de la consultation, plusieurs cantons ont souhaité savoir dans quelle mesure l’art. 7a P-LRens pouvait également s’appliquer aux collaborateurs des SRCant. Étant donné que les SRCant traitent des données du SRC, les mesures de protection et de sécurité prévues aux al. 1 à 3 doivent également pouvoir s’appliquer aux collaborateurs des SRCant.

Al. 6

La recherche et le traitement des renseignements et données selon l’al. 1 supposent l’autorisation écrite du directeur du SRC ou du supérieur du SRCant. Le principe du double contrôle au minimum est donc garanti dans tous les cas.

Art. 8

Al. 1

Par souci d’harmonisation de la terminologie, le terme «risques» a été remplacé par «menaces».

Art. 9

Al. 3

Les SRCant ont l’obligation d’enquêter sur tous les indices de menaces au sens de l’art. 6, al. 1, let. a. À cet égard, il est possible que l’enquête sur l’activité ne révèle aucun lien avec les tâches du SRC (p. ex. si un enseignant craint une radicalisation d’un élève affichant sa croyance islamique et s’adresse à un SRCant, mais que cette dernière infirme cette hypothèse). Le cas échéant, les SRCant peuvent conserver les données traitées à des fins de traçabilité pendant cinq ans (voir art. 58a P-LRens), mais n’en informent pas le SRC. À l’inverse, si une menace pour la sûreté intérieure ou extérieure au sens de la LRens se concrétise, les SRCant soumettent immédiatement un rapport au SRC. Étant donné que l’actuel art. 85, al. 2, contient une disposition identique, il peut être supprimé (voir les explications concernant cet article).

Al. 4

Ce nouvel alinéa précise que le SRC est responsable du traitement des données des SRCant, au sens de l’art. 5, let. j, LPD, dès lors que leur traitement se fonde sur la LRens, et ce indépendamment du fait que les SRCant aient agi spontanément ou sur mandat concret du SRC. Le SRC ne court ici toutefois aucun nouveau risque, car il assume déjà cette responsabilité et minimise les risques qui en découlent par l’auto-contrôle (voir art. 75). Les demandes d’accès reçues par les SRCant sont traitées par le SRC en vertu des art. 63 ss.

Art. 14

Al. 3

Le droit en vigueur (art. 14) autorise le SRC à observer des événements et des installations dans des lieux publics et librement accessibles et à y effectuer des enregistrements visuels et sonores, dans le cadre d’une mesure de recherche non soumise à autorisation. Cela inclut également l’observation en accompagnement, c’est-à-dire le suivi et l’observation d’une personne (en règle générale) ou d’un véhicule pendant une certaine durée par une équipe.

Les collaborateurs affectés à de telles observations sont tenus de respecter la législation en vigueur. En l’état, il est donc d’autant plus facile pour la personne suivie de se soustraire à l’observation et d’autant plus difficile pour l’équipe de maintenir le contact visuel. Il suffit ainsi d’un feu rouge grillé, d’un excès de vitesse ou d’un changement de direction dans un trafic dense pour que l’équipe d’observation perde le contact. La LRens doit donc être modifiée pour permettre l’utilisation d’appareils de localisation (émetteurs GPS) durant ces observations non soumises à autorisation, afin de retrouver rapidement la personne ou l’objet cible si le contact visuel est perdu. À cet effet, un nouvel alinéa est ajouté à l’art. 14. En outre, une réserve est apportée à l’art. 26, al. 1, let. d.

L’utilisation d’un appareil de localisation proposée ici se limite donc à la transmission des coordonnées actuelles de l’objet durant l’observation et dans le seul but d’en assurer la continuité. Si le contact visuel avec l’objet observé est durablement perdu, la transmission des données doit être interrompue. Cette durée doit rester courte: elle doit être adaptée aux circonstances sans dépasser une heure. L’utilisation d’un appareil de localisation durant une observation est dès lors uniquement un appui. Les données ne peuvent être stockées pour une analyse ultérieure ni à d’autres fins. Si, pour des raisons techniques, l’enregistrement des données est nécessaire au fonctionnement de l’appareil de localisation, elles doivent être détruites immédiatement à la fin de l’observation. Si l’objet de l’observation ne se trouve pas dans un lieu public et librement accessible, la transmission des données de l’appareil de localisation doit être interrompue. Il en va de même lorsque l’équipe met fin à l’observation. Si elle souhaite reprendre l’observation ultérieurement, elle doit retrouver l’objet par les moyens usuels. La transmission des données de localisation ne peut être relancée qu’une fois que l’objet de l’observation est en vue de l’équipe. Ces dispositions détaillées relèvent toutefois du droit de l’ordonnance, qui sera révisée par la suite.

La question de savoir si la disposition de l’art. 14, al. 3 P-LRens, en relation avec l’art. 26, al. 1, let. b P-LRens, est constitutionnelle au regard du droit fondamental à la protection de la sphère privée conformément à l’art. 13 de la Constitution fédérale (Cst.)¹⁹ fait l’objet d’appréciations divergentes. Selon ces dispositions, l’utilisation d’appareils de localisation à titre de moyen auxiliaire n’est pas soumise à autorisation lorsqu’elle est nécessaire à la continuité d’une observation. Cela vaut même si une telle mesure dure plusieurs semaines, voire plusieurs mois. Il n’est pas non plus prévu d’informer a posteriori la personne concernée ni de lui accorder un recours.

Selon l’appréciation actuelle du Conseil fédéral, la localisation de personnes ou d’objets au moyen d’appareils GPS constitue une atteinte grave au droit à la vie privée (art. 13 Cst.).²⁰ Le Tribunal fédéral a confirmé cela en se référant à une base légale cantonale. Selon un arrêt récent, la surveillance préventive par la police au moyen d’appareils GPS sans autorisation judiciaire préalable est inconstitutionnelle. Même une autorisation a posteriori ne suffit pas à elle seule à garantir les droits fondamentaux des personnes concernées.²¹ Cela s’explique par le fait que les mesures de surveillance préventive comportent des risques particulièrement élevés pour l’ordre libéral et démocratique, d’autant plus que les normes relatives aux tâches et aux compétences dans le droit de la police et du renseignement présentent souvent une marge d’appréciation délicate au regard de l’État de droit. Des garanties procédurales appropriées et efficaces contre les abus sont donc essentielles dans ce domaine.²²

Il ne ressort pas de cet arrêt de référence que les exigences relatives à l’utilisation de dispositifs de localisation devraient être appréciées différemment si ceux-ci étaient utilisés exclusivement à titre temporaire pour faciliter une observation. Cela est contredit par le fait que l’intensité de l’atteinte aux droits fondamentaux qui résulte de l’observation directe combinée à la possibilité de localisation n’est pas généralement moindre, mais potentiellement même plus grande que dans le cas d’une surveillance exclusive au moyen de dispositifs de localisation au sens de l’art. 26, al. 1, let. b P‑LRens, car l’observation fournit des informations plus complètes que la simple localisation. C’est également l’appréciation qui a été faite jusqu’à présent par le législateur fédéral qui, connaissant les scénarios d’application,²³ a également soumis à autorisation l’utilisation d’appareils de localisation à titre d’appui en vertu de la LRens. De même, l’utilisation d’appareils de localisation en vertu du code de procédure pénale (CPP)²⁴, même si elle ne concerne que des lieux publics, nécessite à la fois une autorisation préalable du tribunal des mesures de contrainte et l’information a posteriori de la personne concernée.²⁵ Cette dernière ne peut être reportée ou omise que dans des conditions strictes et sous réserve de l’accord du tribunal des mesures de contrainte. Il doit notamment exister des soupçons graves que la personne concernée ait commis une infraction pénale de gravité importante. Pour déterminer le cadre constitutionnel de l’utilisation des dispositifs de localisation, le Tribunal fédéral s’est fondé sur ces restrictions prévues par le droit pénal procédural et sur la réglementation en vigueur dans la LRens.²⁶ Cela milite contre la constitutionnalité de l’art. 14, al. 3 P-LRens.

Le Conseil fédéral estime toutefois que, dans l’arrêt de principe précité, le Tribunal fédéral ne se prononce pas spécifiquement sur l’utilisation de dispositifs de localisation comme mesure d’appui à des observations juridiquement admissibles dans le domaine du renseignement, sous certaines conditions restrictives. Il estime que l’utilisation d’un dispositif de localisation prévue à cet article doit être distinguée d’une utilisation au sens de l’art. 280, let. c, CPP et de l’art. 26, al. 1, let. b, P-LRens. Ces deux articles visent en premier lieu à déterminer la position d’une personne de manière permanente et à enregistrer ses déplacements pendant une période définie.

Dans le cas présent, l’utilisation prévue d’un dispositif de localisation au sens de l’art. 14, al. 3 P-LRens, constitue toutefois une aide clairement limitée sur le plan tactique et temporel. Aucune donnée n’est collectée qui ne pourrait l’être lors de l’observation visuelle à l’origine de l’engagement. À cet égard, l’atteinte à la vie privée n’est pas plus grave que celle déjà constituée par l’observation proprement dite. En revanche, comme expliqué plus haut, une observation sans localisation d’une cible est aujourd’hui extrêmement difficile et pratiquement impossible sans mettre en danger les autres usagers de la route. Soutenir une observation en accompagnement par l’utilisation d’appareils de localisation sans autorisation du tribunal apparaît donc proportionné au regard de la jurisprudence fédérale. Le SRC demeure quoi qu’il en soit tenu aux règles de la recherche de données, qui prescrit la proportionnalité dans la sélection de la mesure de recherche (art. 5, al. 3).

L’utilisation d’un appareil de localisation en vertu du présent article ne remplacera pas la surveillance permanente prévue par l’art. 26, al. 1, let. b, P-LRens en cas de menace grave pour la sûreté de la Suisse.

Lors de la consultation, la plupart des cantons se sont prononcés en faveur de cette nouvelle possibilité de soutien pour les observations. Certains ont même demandé une formulation plus ouverte qui permettrait de poursuivre la localisation afin de pouvoir reprendre l’observation après une interruption à l’aide des données de localisation transmises. Le Conseil fédéral estime toutefois que la disposition doit être définie de manière restrictive afin de souligner la différence avec l’utilisation d’un dispositif de localisation au sens de l’art. 26, al. 1, let. b P-LRens, et de tenir compte de la jurisprudence du Tribunal fédéral.

Art. 17

Al. 2

Le directeur du SRC peut d’ores et déjà autoriser que les collaborateurs d’un SRCant soient dotés d’une couverture. La formulation de la disposition est adaptée au nouvel al. 2^bis, mais son contenu reste inchangé.

Al. 2^bis

Lorsque le SRC collabore avec des services nationaux pour rechercher des informations, il peut être nécessaire qu’il protège leurs collaborateurs au même titre que les siens ou ceux des SRCant. Les instruments de la couverture (art. 17) ou de l’identité d’emprunt (voir les explications relatives à l’art. 18) doivent donc pouvoir être engagés. L’art. 17 est donc complété par al. 2^bis. Sont concernés en première ligne les services du DDPS mandatés par le SRC pour des acquisitions dans le cyberspace (Computer Network Operations [CNO] du service Actions dans le cyberespace et dans l’espace électromagnétique [ACEM] du commandement Cyber). Il n’est pas non plus exclu que des collaborateurs de l’armée, par exemple, soient mandatés par le SRC dans le cadre d’une opération spécifique (engagement subsidiaire de sûreté) et se voient attribuer une couverture à cette fin.

Le champ d’application de cette disposition englobe également les collaborateurs des services cantonaux qui agissent sur mandat du SRC. Ainsi, l’attribution d’une couverture peut s’avérer nécessaire lorsque des membres d’une police cantonale fournissent un soutien logistique au SRC ou apportent un soutien opérationnel à un SRCant lors d’une intervention de grande envergure. Les autorisations de dotation d’une couverture ne doivent toutefois être accordées qu’avec une grande retenue au niveau cantonal, notamment parce que cette dotation nécessite une formation et un accompagnement spécifiques et implique donc une charge de travail considérable.

Art. 18

Al. 1, let. b et b^bis

Lorsque le SRC collabore avec des services nationaux pour rechercher des informations, il peut être nécessaire qu’il protège leurs collaborateurs au même titre que les siens ou ceux des SRCant. Sont concernés en première ligne les services du DDPS mandatés par le SRC pour des acquisitions dans le cyberspace (CNO). L’art. 18, al. 1 est complété en conséquence par une let. b^bis. En ce qui concerne le champ d’application, il est renvoyé aux explications relatives à l’art. 17, al. 2^bis P-LRens. L’adaptation apportée à la let. b est en revanche purement linguistique, il s’agit d’une harmonisation avec la formulation de la let. b^bis.

Al. 2, let. a

La présente loi emploie systématiquement l’expression «autorités d’exécution cantonales», aussi la formulation de l’al. 2, let. a, est harmonisée en ce sens.

Art. 19

Al. 2, let. f

La sécurité dans le cyberespace prend une importance de plus en plus grande. À l’instar de la nouvelle formulation de l’art. 6, al. 1, let. b, le catalogue des menaces possibles en lien avec le droit d’obtenir des renseignements en cas de menace concrète est donc complété pour inclure les activités importantes en matière de politique de sécurité à l’étranger et dans le cyberespace.

Art. 20

Al. 1, let. b

Cette modification est requise pour refléter le nouveau nom de l’autorité citée depuis la réorganisation de l’Administration fédérale des douanes, mais n’est pas de nature matérielle. Si la révision totale de la loi sur les douanes(loi définissant les tâches de l’OFDF du 20 juin 2025 [LOFDF]²⁷) entre en vigueur avant la présente loi, la modification prévue ici deviendra caduque.

Al. 1, let. i

Les autorités exploitant des systèmes informatiques ou qui en soutiennent d’autres à cette fin sont tenues de fournir au SRC les renseignements dont il a besoin sur les cyberattaques importantes en matière de politique de sécurité, et ce afin que le SRC puisse établir une présentation exhaustive de la situation et prendre les mesures nécessaires afin de déceler et de prévenir les cyberattaques. Cette disposition ne remplace en aucun cas les prescriptions visant à protéger le secret des télécommunications, qui doivent être respectées en cas de mesures de surveillance spécifiques.

Al. 1, let. j

Afin de correspondre aux directives sur la technique législative, l’abréviation LBA a été ajoutée et la terminologie a été adaptée à la LBA.

Art. 23

Al. 2

Il s’agit uniquement ici d’unifier la terminologie employée dans la présente loi.

Art. 25

Al. 1, let. a

L’obligation faite aux particuliers de fournir des renseignements est étendue aux exploitants d’établissements d’hébergement. À l’instar des entreprises de transport déjà soumises à la même obligation, ils disposent souvent d’informations et de données requises pour déceler à temps et prévenir les menaces pour la sûreté intérieure ou extérieure. Le SRC peut ainsi identifier les lieux de séjour temporaires de personnes cibles ainsi que, selon la situation, les contacts d’une personne cible, p. ex. si elle paie plusieurs chambres d’hôtel ou si sa chambre est payée par un tiers. Il peut également déterminer quelles organisations louent des locaux afin d’organiser des rencontres.

Le terme «établissement d’hébergement» inclut tous les exploitants qui proposent (le plus souvent à titre payant) des nuitées à des tiers. Les données sur l’échange de logements organisé de manière commerciale sont également concernées par cette disposition.

L’obligation faite aux particuliers de fournir des renseignements est également étendue aux exploitants d’infrastructures de transport. Le Conseil fédéral partage l’avis exprimé par plusieurs cantons lors de la consultation selon lequel les exploitants d’aéroports, de gares, de ports, etc. doivent également être inclus dans la liste des personnes privées soumises à des obligations d’information particulières. La notion d’«infrastructures pour le transport» ne se limite pas au transport aérien, mais englobe également les infrastructures destinées au transport ferroviaire et maritime.

Les principes applicables à la conservation des données ou aux obligations faites aux exploitants d’établissements d’hébergement et d’infrastructures de communiquer des renseignements demeurent régis par le droit cantonal. La présente loi ne crée pas de nouvelles obligations en matière de collecte et de conservation des données; elle se contente de prévoir l’accès aux données existantes à la demande du SRC ou du SRCant. Comme auparavant, des renseignements ne seront exigés que dans des cas particuliers. Il convient de souligner que le terme «cas particulier» ne se réfère pas nécessairement à une seule personne, mais peut également concerner un événement spécifique présentant des risques, tel que le Forum économique mondial ou une conférence internationale comme la Conférence sur la reconstruction de l’Ukraine, qui s’est tenue à Lugano en juillet 2022.

En tant qu’association pour l’hôtellerie et la restauration en Suisse, GastroSuisse a salué explicitement, lors de la consultation, le fait que l’obligation particulière d’informer les particuliers ne s’applique que dans des cas particuliers et sur demande, et que la modification de la présente loi n’entraîne aucune nouvelle obligation en matière de collecte ou de conservation des données. Indépendamment de la modification de la LRens, GastroSuisse se prononce en faveur d’une solution nationale numérique concernant l’obligation de déclarer prévue à l’art. 16 de la loi fédérale du 16 décembre 2005 sur les étrangers et l’intégration (LIE)²⁸ en faveur d’une solution numérique nationale et part du principe que, si une telle solution est mise en place, les demandes de renseignements du SRC ou des SRCant pourront également être traitées via cette solution numérique. Cela permettrait de mieux amortir la charge accrue que l’obligation de renseigner fait peser sur les établissements d’hébergement – et aussi sur les autorités.

Le Conseil fédéral renonce à inscrire dans cette disposition des obligations particulières d’informer pour les professionnels de la santé, comme cela avait été proposé lors de la consultation. Il s’agirait là d’une atteinte grave au secret professionnel qui ne se justifie pas. Un professionnel de la santé peut être délié du secret professionnel et faire une communication au SRC ou à un SRCant s’il est convaincu que son patient représente un danger pour la sécurité de la Suisse. Cette dérogation au secret professionnel est régie par le droit cantonal.

Al. 3

À l’instar des autorités visées aux art. 19 et 20, les particuliers ont désormais l’interdiction de divulguer à des tiers les éventuelles demandes de renseignements du SRC. Cette disposition respecte le principe de recherche d’informations prévu par l’art. 5, al. 4.

Art. 26

Al. 1

À des fins de clarification, il est précisé dans la phrase introductive de l’al. 1 que les mesures d’acquisition énumérées ci-après ne sont soumises à autorisation que si elles sont exécutées sur le territoire suisse. Les mesures prises à l’étranger ne peuvent en revanche pas être autorisées par le Tribunal administratif fédéral. Si une personne visée par une mesure en cours d’exécution se rend à l’étranger, les dispositions des sections 6 et 7 s’appliquent. L’infiltration dans des systèmes et réseaux informatiques à l’étranger au sens de l’art. 37 est décidée soit par le Conseil fédéral (art. 37, al. 1), soit par le chef du DDPS, après consultation des chefs du DFAE et du DFJP (art. 37, al. 2).

Let. b

Une précision est ajoutée ici pour rappeler que des appareils de localisation peuvent être utilisés sans requérir d’autorisation dans le cadre de mesures d’observation. On se référera à cet égard aux explications de l’art. 14, al. 3 P-LRens.

Let. f et g

Ces nouvelles MRSA se fondent sur les art. 284 et 285 CPP, qui permettent la surveillance des relations entre une personne cible du SRC et les institutions soumises à la LBA. Elles sont soumises aux mêmes conditions strictes (art. 27, al. 1) que les MRSA déjà possibles aujourd’hui. Tout comme les dispositions mentionnées du CPP, elles constituent une base légale pour les atteintes au secret bancaire et correspondent ainsi aux dispositions qui tombent sous le coup de l’art. 47, al. 5, de la loi sur les banques du 8 novembre 1934³⁰ concernant la violation du secret professionnel. Elles prévoient une obligation de renseigner pour les institutions soumises à la LBA.

Il convient de noter à cet égard que ces nouvelles compétences ne créent pas de cumul de compétences parallèles entre le SRC et les autorités de poursuite pénale. Le SRC se concentre sur la détection précoce des menaces et remplit une mission indépendante en matière de politique de sécurité, et non une mission pénale. En outre, le SRC a également intérêt à ce que les moyens administratifs soient utilisés de manière aussi efficace et économe que possible et à éviter ainsi les doublons. Enfin, le mécanisme prévu à l’art. 29a P-LRens dans le cadre d’une demande de MRSA vise précisément à empêcher cela.

Étant donné que les informations qui peuvent être demandées varient d’un cas à l’autre, le Conseil fédéral estime qu’il n’est pas judicieux de les préciser dans le texte de loi, comme le souhaitaient certains participants à la consultation. C’est pourquoi la demande au titre de l’art. 29 devra décrire explicitement, au cas par cas, les enregistrements et les documents à fournir. On peut penser par exemple aux relevés de compte, aux opérations de paiement ou aux procurations. La disposition ne reprend pas mot pour mot celle du CPP, mais son champ d’application ne doit pas aller au-delà. Le renvoi à l’art. 2 LBA permet de faire correspondre la liste des personnes et institutions assujetties à l’obligation de renseigner par la MRSA à celle du champ d’application de la LBA.

Le financement du terrorisme, en particulier, ne passe pas uniquement par de grandes banques, mais également par de plus petites entreprises qui proposent des services de transfert internationaux d’argent ou encore par des personnes qui échangent de l’argent liquide. Par conséquent, la LRens reprend la définition fixée dans la LBA des personnes potentiellement concernées et auprès desquelles l’obtention de renseignements sur les transactions et les relations commerciales est possible. La transparence de ces flux monétaires, rendue possible par la surveillance des relations, sert au SRC à accomplir toutes ses tâches en vertu de l’art. 6.

Le SRC s’intéresse au contexte du financement des organisations et des groupes qui ont déjà retenu son attention sur la base d’autres informations. Une surveillance ciblée permet de mieux évaluer la menace que représente une organisation ou un groupe pour la sûreté intérieure ou extérieure de la Suisse. On pensera notamment aux entreprises, aux organisations idéologiques ou aux institutions religieuses pour lesquelles il existe des indices fondés qu’elles sont impliquées dans des activités de terrorisme, de renseignement, de prolifération ou d’extrémisme violent (voir les explications de l’art. 27, al. 1, let. a), et en particulier dans leur financement. Les informations sur l’origine du financement peuvent fournir au SRC des éléments probants supplémentaires pour déceler à temps et prévenir une menace pour la sûreté intérieure et extérieure de la Suisse.

A l’heure actuelle, le SRC n’a que très peu de solutions pour obtenir des informations sur le financement d’une telle structure. Dans des cas particuliers et à certaines conditions, il peut ainsi obtenir des informations du Bureau de communication en matière de blanchiment d’argent (MROS; art 29, al.^2bis et 2^ter, en relation avec les art. 30 et 31 LBA ainsi que l’art. 20, al. 1, let. j, LRens).

En sa qualité de cellule de renseignements financiers (CRF) et conformément à la LBA, le MROS est l’office central et national qui réceptionne et analyse les annonces faites par les institutions soumises à la LBA de cas suspects de blanchiment d’argent, de financement du terrorisme, d’infractions préalables au blanchiment ou à la criminalité organisée (art. 23, al. 2, LBA), qui échange des informations à l’échelle nationale et internationale (art. 29 et 30 LBA) et qui dénonce les cas fondés à l’autorité de poursuite pénale compétente (art. 23, al. 4, LBA).

À première vue, l’énumération des tâches du Bureau de communication pourrait laisser penser que l’échange d’informations entre lui et le SRC remplit déjà l’objectif de la nouvelle loi. Il n’en est pourtant rien: les annonces des intermédiaires financiers au MROS présupposent un soupçon fondé, p. ex. de financement du terrorisme (art. 9 LBA). Le simple fait qu’une organisation idéologique appelle ses membres à la violence ne justifie pas une annonce de l’intermédiaire financier au MROS. Il en découle qu’il ne communique une annonce qu’une fois qu’il a également identifié les fins de financement du terrorisme. Enfin, le MROS est également tenu strictement à la règle de la spécialité en vigueur à l’échelle internationale pour les CRF lors de la communication d’informations. D’après ce principe fondamental de la collaboration internationale, les informations échangées entre les CRF devraient exclusivement être utilisées aux fins pour lesquelles elles ont été sollicitées ou fournies, voir à ce propos le principe de spécialité³¹ commenté au ch. 3 de la note interprétative de la recommandation 40 du «Groupe d’action financière» (GAFI). Lorsqu’il reçoit des informations, le Bureau de communication doit respecter les conditions de l’autorité qui les a transmises. Ce principe s’applique également lorsqu’il transmet des informations reçues d’un homologue étranger à une autorité nationale avec l’autorisation de ce dernier (art. 29, al. 2^ter, LBA).

Les tâches du SRC sont différentes de celles du MROS: le SRC recherche des informations à titre préventif et demeure seul responsable de l’acquisition d’informations visant à maintenir la sûreté intérieure ou extérieure. S’il dispose d’indices concrets selon lesquels, par exemple, une institution religieuse recrute des personnes dans le but de menacer gravement la sûreté intérieure ou extérieure de la Suisse, il doit être en mesure d’exiger des informations sur le financement de cette institution, mais aussi sur son réseau, afin de compléter son évaluation de la menace. Dans certains cas, ces informations peuvent constituer une base importante pour prendre des mesures supplémentaires, telles qu’une interdiction d’exercer une activité au sens de l’art. 73. La nouvelle disposition vise donc à combler une lacune importante dans les moyens de recherche de données du SRC.

La situation économique d’une personne relève de sa sphère privée et fait donc partie intégrante du droit fondamental à la protection de la vie privée garanti par l’art. 13 de la Constitution fédérale et l’art. 8 de la Convention de sauvegarde des droits de l’homme et des libertés fondamentales du 4 novembre 1950 (CEDH)³². La mesure prévue empiète donc sur la vie privée des personnes concernées et oblige en outre les institutions soumises à la LBA à fournir des informations, contrairement au secret bancaire, raison pour laquelle elle doit être conçue comme une mesure d’application de la LBA.

Cette nouvelle mesure de recherche de données vient donc compléter l’échange d’informations entre le SRC et le MROS (voir art. 29, al. 2^bis et 2^ter LBA en relation avec les art. 30 et 31 LBA, ainsi que l’art. 20, al. 1, let j, LRens). Il est toutefois capital qu’elle ne viole pas l’interdiction d’informer au sens de l’art. 10a LBA, qui met en œuvre l’interdiction d’informer la personne concernée, conformément aux standards du GAFI. Le client de l’institut financier ne doit pas apprendre qu’il a fait l’objet d’une annonce de cas suspect, au risque de mettre en péril la poursuite pénale et en particulier l’administration des preuves.

Cette MRSA supplémentaire ne sera pas utile au SRC uniquement pour l’exécution de ses tâches dans le domaine du terrorisme. Les informations tirées de données financières serviront également à déceler à temps et à prévenir les menaces pour la sûreté intérieure ou extérieure constituées par l’espionnage. Par exemple, les informations sur le financement des infrastructures utilisées comme couverture, telles que les logements ou les abonnements aux raccordements de télécommunications utilisés pour contacter les sources, peuvent être d’un grand intérêt. Il est également possible de découvrir ou de confirmer l’existence d’une société écran si seules des personnes identifiées par le SRC comme des agents sous couverture utilisent les comptes de cette société. Selon la situation, il est donc possible d’identifier les personnes qui travaillent en Suisse pour un autre État.

Dans le contexte de l’extrémisme violent (voir les explications de l’art. 27, al. 1, let. a), les informations sur les transactions financières peuvent permettre de savoir quels immeubles ont été acquis ou sont entretenus par des personnes identifiées comme extrémistes violents, quels biens ces personnes acquièrent et quelles personnes et organisations les soutiennent financièrement ou sont soutenues par elles. De même, les informations sur le financement des événements de grande envergure des groupements extrémistes violents peuvent fournir les éléments nécessaires à l’exploration du réseau.

Dans sa prise de position dans le cadre de la consultation, le PS demande une liste accessible au public des MRSA relatives aux intermédiaires financiers. Sans pour autant permettre de tirer des conclusions sur des personnes ou des institutions individuelles, il convient de rendre public les types d’institutions qui ont été surveillées dans le cadre de la nouvelle réglementation. Aujourd’hui déjà, le président de la division compétente du Tribunal administratif fédéral établit chaque année un rapport d’activité à l’intention de la Délégation des commissions de gestion (art. 29, al. 8 LRens; à l’avenir art. 29c P-LRens). Ce rapport sera complété par les nouvelles mesures de recherche, pour autant qu’elles aient été appliquées. Dans le cadre de la révision ultérieure des ordonnances d’application, le Conseil fédéral examinera si une publication telle que celle demandée est nécessaire, pour autant qu’elle soit possible sans permettre d’identifier les institutions concernées. Par ailleurs, le service CPT publie déjà des statistiques sur les mesures de surveillance prises en vertu de la loi fédérale du 18 mars 2016 sur la surveillance de la correspondance par pose et télécommunication (LSCPT)³³.

Art. 27

Al. 1, let. a

Par souci de lisibilité, cette lettre est scindée en plusieurs chiffres.

Ch. 1

Depuis l’entrée en vigueur de la LRens, les actions violentes des milieux extrémistes de droite et de gauche se sont intensifiées. L’agressivité envers les forces de sécurité et le potentiel de violence global de ces groupes ont augmenté. Les extrémistes de droite ont encore relativement rarement recours à la violence, mais ils participent à des entraînements aux arts martiaux et s’arment de plus en plus. Cela augmente la prise de risque dans la recherche de conflits avec les personnes ayant d’autres opinions. Les cas de mineurs et de jeunes adultes qui se radicalisent en ligne et développent des intentions extrémistes violentes ont retenu une grande attention. Les groupes de discussion fermés issus du mouvement accélérationniste, dans lesquels sont partagées des représentations violentes et des intentions d’utiliser la violence, jouent ici un rôle important. Les incidents impliquant des éléments de violence dans le domaine de l’extrémisme de droite sont ainsi devenus plus probables depuis 2020. Les extrémistes de gauche violents sont fortement interconnectés à l’international, et ils ont plus fréquemment recours à la violence contre les autorités et les groupes idéologiquement opposés. Au cours des dernières années, la quantité d’actes violents commis par des groupes d’extrême gauche n’a pas augmenté, mais leur qualité et leur intensité ont, quant à elles, progressé. Cette augmentation de la qualité et de l’intensité de la violence ou du potentiel de violence n’est toutefois pas linéaire, mais se manifeste plutôt sous forme de vagues (voir également le rapport du Conseil fédéral du 13 janvier 2021³⁴ en réponse au postulat 17.3831 Glanzmann-Hunkeler: Mieux lutter contre l’extrémisme violent).

La pandémie de Covid-19 a en outre fait émerger un nouveau potentiel de violence. Depuis, certaines personnes radicalisées se tournent vers de nouveaux thèmes pour poursuivre leurs activités violentes. La fragmentation et la polarisation de la société sont associées à un risque de radicalisation politique et d’extrémisme violent. (voir le rapport du Conseil fédéral aux Chambres fédérales et au public du 9 novembre 2022³⁵, Appréciation annuelle de la menace). Il est également possible que d’autres mouvements (par exemple sur les thèmes des droits des animaux, du climat ou des «Staatsverweigerer») recourent à la violence pour imposer leurs revendications politiques. Ces nouveaux mouvements, qui recourent parfois à la violence, ne peuvent être classés dans les catégories classiques de l’extrémisme de gauche ou de droite. Ils sont regroupés sous le terme d’«extrémisme monothématique». Le SRC constate que, depuis 2020, de plus en plus de vidéos de propagande et de photographies d’événements pertinents sont publiées sur les réseaux sociaux accessibles au public.

La notion d’extrémisme violent désigne les organisations et les personnes qui rejettent les fondements de la démocratie et de l’État de droit et qui commettent, encouragent ou approuvent des actes de violence pour atteindre leurs buts (voir art. 19, al. 2, let. e). Lors de la promulgation de la LRens, l’extrémisme violent a certes été exclu des MRSA, mais les événements survenus à l’étranger ont montré que ces activités peuvent également prendre des proportions telles qu’elles menacent gravement la sûreté intérieure ou extérieure. La radicalisation et la propension à la violence des personnes connues des autorités comme étant des extrémistes violents sont également en nette augmentation en Suisse.

L’acquisition d’armes, de munitions, d’explosifs et les formations à leur utilisation ne permettent pas en soi de supposer qu’un extrémiste violent franchira le seuil du terrorisme. Le fait qu’un cas isolé relève d’une activité extrémiste violente ou terroriste dépend de l’objectif, de l’intensité et de la gravité de l’acte ainsi que de son contexte. La distinction ne peut souvent être effectuée qu’après l’acte.

Sans employer de MRSA, ces développements sont particulièrement durs à identifier. Les milieux extrémistes violents recourent de plus en plus à des méthodes secrètes, sur lesquelles le SRC ne peut enquêter que de manière insuffisante avec les mesures de recherche actuellement autorisées et non soumises à autorisation. C’est pourquoi, dans le cas des formes graves d’activités extrémistes violentes pouvant porter atteinte à la vie et à l’intégrité corporelle, le recours à des MRSA doit également être permis. On pensera au cas dans lequel des renseignements indiquent que les extrémistes violents s’arment et s’entraînent tout en s’isolant plus fortement du monde extérieur d’une part, et d’autre part en commentant de plus en plus (notamment sur les réseaux sociaux) les attaques terroristes qui ont déjà eu lieu. Le seuil des actes préparatoires délictueux n’est en l’occurrence pas encore franchi et les personnes concernées n’ont pas de liens avec des groupements terroristes connus. De plus, il n’est généralement pas encore possible de déterminer à l’avance le lieu, le moment ou le mode opératoire de l’acte violent. L’évaluation des menaces comporte toujours une part d’incertitude. Les informations disponibles peuvent toutefois indiquer l’existence d’une menace grave pour la sécurité, qui doit alors faire l’objet d’une enquête approfondie. (voir le rapport du Conseil fédéral en réponse au postulat 17.3831 Glanzmann-Hunkeler: Mieux lutter contre l’extrémisme violent).

Si les instruments de prévention s’avèrent lacunaires, la Suisse court le risque considérable de devenir un lieu de repli ou de rencontre pour les extrémistes violents étrangers (voir l’avis du Conseil fédéral du 13 mai 2020 sur le postulat Jositsch du 12 mars 2020³⁶: 20.3100 «Évaluation de l’efficacité de la nouvelle loi sur le renseignement»). Par conséquent, des MRSA sont requises aujourd’hui à la fois à l’échelle cantonale et fédérale (voir p. ex. le postulat Glanzmann-Hunkeler du 28 septembre 2017: 17.3831 «Mieux lutter contre l’extrémisme violent») pour la détection précoce et la prévention de l’extrémisme violent qui menace gravement la sûreté. L’expérience acquise à ce jour avec les MRSA montre que leur utilisation est adaptée à des clarifications ciblées et précises dans des cas graves. Le SRC emploie ces instruments avec parcimonie et uniquement en cas de menace grave. Ces mesures sont également soumises à l’autorisation du Tribunal administratif fédéral, qui examine leur nécessité et leur proportionnalité. En 2017, les MRSA ont été utilisées dans 4 opérations, en 2018 dans 8 opérations, en 2019 dans 5 opérations, en 2020 dans 4 opérations, en 2021 dans 2 opérations, en 2022 dans 4 opérations, en 2023 dans 2 opérations et en 2024, dans 6 opérations. Ces chiffres montrent que le SRC utilise ces mesures avec retenue et uniquement dans les cas de menaces graves, ainsi que la loi le prévoit.

La sécurité dans le cyberespace revêt une importance croissante et les cyberattaques ont de plus en plus d’impact sur la politique de sécurité. Le terme employé dans la LRens, «infrastructures critiques», s’est avéré trop restrictif dans ce contexte pour couvrir adéquatement tous les événements importants en matière de politique de sécurité dans le cyberespace. Des précisions à ce sujet figurent dans les commentaires relatifs à l’art. 6, al. 1, let. b). En complément à la nouvelle formulation de l’art. 6, al. 1, let. b, et à l’ajout de la liste des sources de menaces possibles à l’art. 19, al. 2, il convient de tenir compte de cette évolution en permettant à l’avenir le recours aux MRSA également en cas de menace concrète résultant d’événements importants en matière de politique de sécurité se produisant à l’étranger et dans le cyberespace. La pratique du SRC en matière de renseignement a montré que les menaces importantes pour la politique de sécurité provenant de l’étranger peuvent également avoir des composantes suisses que le SRC doit être en mesure de clarifier en Suisse, p. ex. le séjour d’acteurs en Suisse ou l’utilisation de moyens de communication suisses par ces acteurs. En cas de menaces graves, il est donc approprié de pouvoir également les clarifier au cas par cas au moyen de MRSA en Suisse. D’autre part, dans le cas de menaces cyber, ce n’est souvent qu’en recueillant des renseignements sur le trafic de données ou le contenu des systèmes informatiques concernés en Suisse qu’il est possible de déterminer où se trouvent les auteurs de ces menaces. Il est donc nécessaire de traiter le cyberespace pour ce qu’il est également du point de vue juridique (voir également les explications relatives à l’art. 6, al. 1, let. b).

Le domaine d’application des MRSA est étendu à l’extrémisme violent grâce à la suppression de la restriction aux let. a à d de l’art. 19, al. 2, LRens. Les conditions strictes auxquelles l’utilisation des MRSA est soumise en vertu de l’art. 27, al. 1, demeurent toutefois inchangées et s’appliquent à toutes les mesures de recherche visant à prévenir des menaces graves. Le critère de la gravité de la menace garantit la proportionnalité de l’usage de la mesure de recherche dans le cas concret.

Ch. 2

La pratique a montré que le Tribunal administratif fédéral ne peut autoriser des MRSA dans le domaine des télécommunications (au demeurant uniquement exécutables en Suisse pour des raisons techniques) pour enquêter sur des activités terroristes que lorsque la sûreté de la Suisse proprement dite est menacée concrètement et immédiatement au sens de l’art. 19, al. 2. Il en va de même pour les affaires liées à des organisations terroristes interdites au niveau national et international, telles qu’Al-Qaïda ou l’«État islamique». Leurs dirigeants à l’étranger utilisent parfois des services de télécommunications suisses, qui ne peuvent être explorés que par des MRSA. Par le passé, le Tribunal administratif fédéral a dû rejeter une demande du SRC parce que la gravité de la menace (immédiate) pour la sûreté de la Suisse n’était pas suffisamment concrète. Il a rappelé qu’il appartenait au législateur de créer une base juridique pour l’application des MRSA à de tels cas.

Le Conseil fédéral propose donc, en référence à l’art. 2, let. d, d’introduire la menace grave pour des intérêts internationaux importants en matière de sécurité comme critère supplémentaire pour ordonner en Suisse des MRSA. La menace contre des intérêts importants de sûreté internationale peut représenter une menace abstraite et durable contre la Suisse qui, si elle se réalise, peut causer de graves dommages. Pour des raisons techniques, certaines enquêtes sur les communications entre des personnes qui représentent une menace grave pour la sûreté internationale ne sont possibles qu’en Suisse. Si une telle personne, par exemple un dirigeant de haut rang d’une organisation terroriste internationale, utilise un service de communication transitant par la Suisse ou si des acteurs étrangers mènent des cyberattaques graves contre d’autres pays via des infrastructures suisses, le SRC doit également pouvoir mener des enquêtes avec MRSA dans l’intérêt de la sûreté internationale et non seulement en cas de menace immédiate pour la Suisse. Il en va de même pour les activités des agents des services de renseignement d’autres pays présents en Suisse, pour autant qu’il n’y ait aucune raison de penser qu’ils espionnent les intérêts militaires suisses ou étrangers et qu’il soit clair qu’ils agissent (du moins actuellement) uniquement contre des intérêts politiques ou économiques étrangers. En tant qu’autorité de défense, le SRC devrait être en mesure d’enquêter de manière approfondie et à un stade précoce sur leurs activités et d’empêcher celles-ci afin de protéger la place politique et économique suisse. Cela permettrait également de tenir compte du risque que ces personnes agissent dans l’ombre contre les intérêts suisses lorsque l’occasion se présente.

À l’instar de la protection des intérêts de la Suisse en matière de sécurité, les intérêts internationaux en la matière devraient être limités aux domaines cités par l’art. 6, al. 1 let. a et b, à savoir la lutte contre le terrorisme, l’espionnage, la prolifération, les cyberattaques et l’extrémisme violent ainsi que les événements importants en matière de politique de sécurité se produisant à l’étranger et dans le cyberespace. Une telle aptitude à la coopération pourrait en outre faciliter la coopération internationale au profit de la sûreté de la Suisse.

Le Conseil fédéral se prononce en faveur d’un usage aussi restrictif qu’auparavant de ces nouvelles possibilités de détection précoce et de lutte contre les menaces graves liées à l’extrémisme violent et à des intérêts internationaux importants en matière de sécurité et ne s’attend pas à une augmentation significative du nombre de cas dans lesquels ces mesures seront employées. Les conditions juridiques à leur utilisation demeurent autant strictes et soumises à l’examen indépendant du Tribunal administratif fédéral. Ces mesures requérant l’aval du chef du DDPS, elles peuvent en outre être contrôlées activement à l’échelle des institutions politiques. Au total, si la situation de la menace reste inchangée, il faudra probablement compter sur environ cinq à dix cas supplémentaires par an dans lesquels des MRSA seront utilisées pour enquêter sur des menaces graves d’extrémisme violent ou des menaces liées à des intérêts internationaux importants en matière de sécurité.

Art. 28

Al. 1

Cet article est reformulé pour préciser qu’il inclut également les cas dans lesquels la personne visée n’a pas accès à l’infrastructure de la tierce personne à surveiller (téléphone, véhicule, adresse postale, etc.), mais l’utilise pour transmettre des informations, y compris à cette tierce personne. Prenons pour exemple un djihadiste suisse à l’étranger dont on sait qu’il communique régulièrement avec un tiers en Suisse, par exemple un ami ou un membre de sa famille. Il est techniquement impossible de surveiller ses télécommunications à l’étranger, à l’inverse de la surveillance du raccordement du tiers en Suisse. Dès lors, des informations importantes pour la sûreté de la Suisse peuvent être obtenues afin d’écarter les menaces terroristes. L’ajout de «à partir de cet emplacement ou vers cet emplacement» précise qu’il est également possible d’ordonner une MRSA à l’encontre d’un tiers s’il ne fait que recevoir des informations à destination de la personne à surveiller. Par ailleurs, les exigences strictes concernant la gravité de la menace et la proportionnalité de la mesure s’appliquent également ici.

Art. 29 Procédure d’autorisation: demande

Par rapport à l’actuel al. 1, seule la let. c est complétée et la let. c^bis est ajoutée. Pour le reste, l’alinéa reste inchangé. Les autres alinéas de l’article sont repris dans les nouveaux art. 29a–29c et sont donc abrogés ici.

Al. 1, let. c

Dans la pratique, les MRSA ne peuvent parfois pas être mises en œuvre sans mesures d’accompagnement. Par exemple, un véhicule sur lequel doit être fixé un appareil de localisation, après obtention de l’autorisation du tribunal et de l’aval politique, peut être garé sur une propriété publique ou privée librement accessible, dans un parking souterrain privé à accès limité, dans un garage individuel verrouillable ou sur une place de stationnement privée appartenant à un tiers, etc. Pour installer (et plus tard retirer) l’appareil de localisation, il est donc nécessaire de pénétrer dans les locaux et les lieux concernés, les rapports de propriété n’étant pas toujours clairement identifiables au premier coup d’œil. Sur la base de l’art. 269^ter, al. 2, CPP, la présente loi devrait également prévoir la possibilité d’autoriser les mesures d’accompagnement nécessaires en même temps que la mesure principale (p. ex. la pose d’un appareil de localisation). L’art. 269^ter CPP régit l’utilisation de programmes informatiques spéciaux destinés à la surveillance de la correspondance par télécommunication ainsi que les mesures d’accompagnement éventuellement nécessaires qui, en raison de leur intensité, ne sont plus couvertes par l’autorisation de principe. Étant donné que le SRC peut également recourir à d’autres MRSA, la réglementation correspondante dans la présente loi doit aller au-delà des mesures d’accompagnement prévues à l’art. 269^ter CPP. Les mesures d’accompagnement nécessaires doivent donc être définies au cas par cas. Par exemple, l’utilisation d’un IMSI-Catcher peut s’avérer nécessaire non seulement dans l’espace public, mais aussi dans des locaux privés.

Les mesures d’accompagnement des MRSA varient selon les cas et ne peuvent donc pas toutes être énumérées dans la loi. Le SRC doit donc les décrire précisément dans les documents requis pour obtenir l’autorisation et l’aval. En cas d’autorisation, le Tribunal administratif fédéral évalue l’admissibilité des exigences comparables en termes d’aptitude, de nécessité et de subsidiarité au même titre que pour la mesure principale.

Al. 1, let. c^bis

À la suite de la modification de l’art. 29a, al. 3 (voir ci-après), de l’information sur les mesures ordonnées par les autorités de poursuite pénale et le service SCPT, les informations relatives aux procédures pénales engagées contre la personne visée par la mesure de recherche et aux éventuelles mesures de contrainte ordonnées dans ce contexte font désormais partie intégrante de la demande.

Art. 29a Procédure d’autorisation: décision

Al. 1

Cet alinéa correspond à l’actuel art. 29, al. 2. En raison de la modification de l’art. 29, al. 1, let. c, il est précisé ici expressément en référence à l’art. 274, al. 4, CPP, que le Tribunal administratif fédéral doit se prononcer sur les éventuelles mesures d’accompagnement.

Al. 2

Cet alinéa reflète essentiellement la première phrase de l’actuel art. 29, al. 3. La disposition en vigueur interdit au Tribunal administratif fédéral d’autoriser une MRSA lorsque celle-ci a déjà été autorisée sur la base d’une procédure pénale engagée à l’encontre des personnes visées. Une ambiguïté subsiste: entend-on par celle-ci une mesure identique (donc une autre surveillance des télécommunications) ou toute autre mesure de contrainte (p. ex. une surveillance technique en vertu du droit de procédure pénale, tandis que le SRC demande une surveillance des télécommunications)? Il est donc nécessaire de préciser de quelle mesure il s’agit.

Comme prévu auparavant, différentes mesures doivent pouvoir être prises en parallèle par les autorités de poursuite pénales comme par le Service de renseignement, tout en excluant mutuellement les mesures produisant le même effet. L’ajout du terme identique dans le texte met donc l’accent sur cette subtilité. Si, par exemple, une écoute téléphonique est effectuée sur le réseau fixe sur ordre du MPC, le SRC devrait être autorisé à s’infiltrer en même temps sur un téléphone mobile attribuable à la personne visée et à enquêter sur cette communication, car bien que les mesures soient similaires, elles ne sont pas identiques (et elles sont effectuées à des fins différentes). En revanche, l’écoute simultanée d’un même numéro de téléphone fixe par le MPC et le SRC ne serait pas autorisée, car les mesures sont identiques.

Le Conseil fédéral estime que les doutes exprimés par le Tribunal administratif fédéral dans le cadre d’une consultation peuvent être levés de manière adéquate par la procédure d’autorisation. Ce dernier craint en effet que cette disposition ne vienne à mélanger la surveillance relevant de la procédure pénale et de celle relevant des services de renseignement si une MRSA ne peut être exclue que dans le cas de mesures de contrainte identiques relevant du droit de procédure pénale, servant des buts différents et liées à d’autres conditions (prévention/répression). Dans ses demandes, le SRC doit faire référence aux mesures de contrainte relevant du droit de procédure pénale et expliquer pourquoi les MRSA demandées ne sont pas redondantes. Dans le cas où des informations obtenues grâce à des MRSA sont transmises aux autorités de poursuite pénale, le SRC doit indiquer leur origine afin que ces autorités puissent s’assurer que les garanties de procédure pénale dont bénéficie la personne inculpée ne sont pas compromises ni contournées. Tant les autorités de poursuite pénale que le SRC ont intérêt à ce que plusieurs procédures ne soient pas menées lorsqu’elles ont le même but.

Le Tribunal administratif fédéral a en outre fait remarquer que l’actuel art. 29, al. 3, ne concernait que les circonstances existant au moment de l’autorisation et ne contenait donc aucune disposition explicite pour le cas où une mesure de contrainte identique relevant du droit pénal serait ordonnée pendant une MRSA en cours. Les dispositions de base ne permettraient pas de déterminer clairement si l’absence d’une mesure de contrainte identique relevant de la procédure pénale fait partie des conditions préalables à l’approbation d’une MRSA, et si celle-ci ne soit pas être levée immédiatement lorsque cette condition n’est plus remplie. Le Conseil fédéral ne partage pas ces préoccupations et estime que la levée d’une MRSA en raison de l’approbation d’une mesure de contrainte pénale identique peut tout à fait se fonder sur l’art. 32, al. 1, let. b.

Al. 3

Cet alinéa correspond pour l’essentiel à la seconde phrase de l’actuel art. 29, al. 3. Il reflète la pratique actuelle, selon laquelle le SRC s’informe directement des éventuelles mesures entreprises par les autorités de poursuite pénale ou le service SCPT et transmet ces données dans sa demande au Tribunal administratif fédéral. À l’initiative de la Conférence des procureurs suisses et du canton de Fribourg, les ministères publics compétents, en tant qu’autorités de poursuite pénale, doivent fournir les renseignements nécessaires sur les procédures pénales et les éventuelles mesures de contrainte à la place des tribunaux des mesures de contrainte. Cette solution est plus judicieuse, car toutes les procédures pénales ne donnent pas lieu à des mesures de contrainte, mais le SRC doit fournir, dans sa demande d’autorisation pour l’exécution d’une MRSA, non seulement des informations sur les mesures de contrainte ordonnées, mais aussi sur les procédures pénales en cours (art. 29, al. 1, let. c^bis).

Al. 4

Le contenu de cet alinéa reflète essentiellement celui de l’actuel art. 29, al. 4 et 5.

Il indique en outre que le Tribunal administratif fédéral peut assortir l’autorisation de certaines conditions ou obligations, comme c’est déjà le cas dans la pratique. La nouvelle formulation efface ainsi une différence entre les trois langues.

Art. 29b Durée de l’autorisation et prolongation

Al. 1

D’après la législation en vigueur, le délai de trois mois pour l’autorisation court dès le moment où elle est rendue, et ce qu’importe le temps requis pour l’aval politique ou que le SRC soit réellement en mesure de mettre en œuvre la mesure de recherche autorisée. La durée effective de la mesure peut s’en trouver raccourcie, tout comme le délai pour déposer une demande de prolongation. À l’avenir, le délai de trois mois d’une mesure de recherche d’informations ne courra plus automatiquement à partir du jour de la décision du tribunal, mais à partir d’une date ultérieure fixée par ce dernier. Il faut tenir compte non seulement du moment de l’obtention de l’aval politique, mais aussi d’une date future pour des raisons logistiques, comme l’entrée en Suisse d’une personne donnée ou la survenue d’un événement, tel que le début d’une manifestation constituant une menace pour la sécurité. Les MRSA devraient pouvoir être traitées avec un calendrier plus précis sans qu’il soit nécessaire de modifier le délai légal (trois mois) ni la procédure établie.

Al. 2

En cas de retard dans la procédure d’autorisation et d’aval d’une demande de prolongation des MRSA déposée à temps, le risque subsiste que le SRC doive suspendre lesdites mesures jusqu’à l’entrée en force de l’autorisation. Dès lors, il convient de prévoir dorénavant que le délai s’arrête durant la procédure de prolongation, donc que le SRC est libre de poursuivre les mesures. Cela évite qu’une mesure de recherche soit interrompue en raison d’un retard dans la procédure. Bien entendu, le SRC doit immédiatement mettre fin à la mesure si le Tribunal administratif fédéral n’autorise pas la prolongation. Aucune procédure d’aval n’a lieu ensuite. Le dépôt en temps utile de la demande de prolongation tient compte des cinq jours ouvrables prévus par l’art. 29a, al. 1, pour la décision du Tribunal administratif fédéral et le nombre moyen de jours requis par la procédure d’aval, qui n’est soumise à aucun délai.

Al. 3

À l’instar de la procédure en cas d’urgence, le SRC détruit immédiatement les données obtenues si le tribunal n’autorise pas la demande ou si le chef du DDPS ne donne pas son aval. Le groupe opposé à l’adaptation proposée suggère que les données issues d’une MRSA ne soient pas transmises avant que l’autorisation et l’aval aient été accordés. Il méconnaît le fait que le SRC a déjà aujourd’hui la possibilité, à certaines conditions légales, de transmettre des données qu’il a obtenues dans le cadre d’une MRSA ordonnée en procédure d’urgence. S’il a transmis des données issues d’une telle MRSA et que l’autorisation ou la validation n’est pas accordée, il en informe les services qui ont reçu ces données.

Art. 29c Rapport d’activité sur les mesures de recherche autorisées

Cet article correspond d’une part à l’actuel art. 29, al. 8. Il a d’autre part été complété à la demande de l’AS-Rens afin que cette autorité reçoive également à l’avenir le rapport du Tribunal administratif fédéral. Cette transmission était prévue dans la version initiale de l’ordonnance du 16 août 2017 sur la surveillance des activités de renseignement (OSRens)³⁷. Elle a toutefois été supprimée à la demande de la DélCdG avec effet au 1^er décembre 2021. Afin d’exercer efficacement sa fonction de surveillance, en particulier en ce qui concerne les activités opérationnelles du SRC, il semble aujourd’hui opportun que l’AS-Rens dispose d’une base légale formelle pour accéder à ce document important.

Art. 30

Al. 3 et 4

La prolongation d’une MRSA en cours a principalement un impact temporel. La mesure proprement dite ne s’en trouve pas modifiée, ce qui rend superflue une décision politique de principe sur sa prolongation. À l’avenir, le chef du DDPS assumera seul la responsabilité d’une pure prolongation. Les chefs du DFAE et du DFJP seront ainsi libérés d’une partie des consultations prévues par le droit en vigueur, lesquelles représentent une charge en partie non négligeable. Le chef du DDPS demeure libre de consulter les chefs du DFAE et du DFJP avant la prise de décision dans les cas d’importance particulière. Ils peuvent également en convenir ensemble.

Lors d’extensions mineures de mesures déjà autorisées et avalisées, il n’y a généralement pas de nouveaux enjeux de taille. C’est ainsi le cas si une personne cible acquiert un téléphone portable supplémentaire avec un nouveau numéro, qui devra être inclus dans la surveillance existante de ses raccordements. Lors d’une extension mineure, la personne cible est identique à celle qui figure dans la demande initiale. Dans ce type de situation, il est également justifié que le chef du DDPS puisse décider d’avaliser la prolongation directement après l’autorisation rendue par le Tribunal administratif fédéral. Ici aussi, le chef du DDPS est libre de consulter les chefs du DFAE et du DFJP avant la prise de décision s’il l’estime nécessaire en raison des risques politiques que la mesure présente. S’ils y ont des intérêts particuliers, les chefs du DFAE et du DFJP peuvent également demander, lors de la consultation initiale, à être consultés à nouveau en cas d’extension ou de prolongation de la mesure. En tous les cas, le chef du DDPS est tenu d’informer ses homologues du DFAE et du DFJP de sa décision. Cela s’applique également en cas d’extension mineure d’un mandat d’exploration du réseau câblé, voir à ce sujet les explications relatives à l’art. 41, al. 4.

Art. 33

Al. 1, 2^bis, 3 et 4

Afin de lever l’ambiguïté créée par la formulation «un mois», le délai pour informer les personnes surveillées est désormais fixé à 30 jours.

La pratique de l’obligation d’informer les personnes surveillées a montré que la réglementation actuelle occasionne parfois une charge disproportionnée par rapport à la protection des droits de ces personnes. Le droit en vigueur dispose que le report de l’information doit faire l’objet d’une nouvelle demande tous les trois mois devant le tribunal et être ensuite avalisé par le chef du DDPS après consultation des chefs du DFAE et du DFJP, selon la procédure prévue pour les MRSA. L’autorisation reste valable trois mois au maximum. À ce jour, les cas de report de l’information ont concerné principalement des personnes visées par une procédure pénale en cours en lien avec la surveillance effectuée auparavant. Si la personne concernée n’a pas encore été informée de la surveillance par les autorités de poursuite pénale pour des raisons relevant des techniques d’enquête, le SRC risquerait de mettre en péril la procédure pénale en informant cette personne. Par conséquent, cette situation aboutit toujours à un report ou à une prolongation du délai. L’information a uniquement lieu lorsque l’autorité de poursuite pénale a informé la personne concernée ou a suspendu la procédure.

Ainsi, il devrait être possible à l’avenir de reporter l’information jusqu’à six mois au lieu de trois seulement, ou encore de l’associer à un événement spécifique (p. ex. la poursuite d’une procédure pénale). Comme auparavant, le SRC doit indiquer dans sa demande les motifs du report et désormais, le cas échéant, l’événement précis signifiant la fin du report. Le Tribunal administratif fédéral statue sur le report et expose, le cas échéant, ses motifs. Le simple report de l’information ne constituant pas une mesure définitive, celui-ci devrait être uniquement soumis à la procédure d’approbation. Il n’y a pas de raison qu’un report légalement requis soit refusé pour des motifs politiques. En revanche, un report de l’information justifié par les relations de la Suisse avec d’autres pays implique des enjeux politiques et doit donc être avalisé.

Quant au fait de renoncer définitivement à l’information, cette mesure doit demeurer soumise à l’aval politique. Si le report de l’information est approuvé par le Tribunal administratif fédéral, il peut être judicieux d’en faire part aux départements appelés à donner leur aval. Au besoin, cela sera réglé dans le cadre de la modification de l’ordonnance, une fois la loi révisée.

Comme auparavant, l’obligation de notification ne s’applique qu’aux mesures qui ont été effectivement mises en œuvre. Les mesures approuvées et avalisées, mais qui n’ont pas pu être mises en œuvre. p. ex. pour des raisons techniques, ne portent atteinte à aucun droit fondamental et ne sont donc pas soumises à l’obligation d’information.

Art. 37

Al. 3 à 6

L’art. 37 ne mentionne actuellement aucune mesure d’urgence analogue à celles prévues par l’art. 31 pour les MRSA. L’infiltration dans des systèmes et réseaux informatiques qui se trouvent à l’étranger afin de les perturber, de les bloquer ou de les ralentir, en tant que mesure contre des attaques sur des infrastructures critiques, est généralement une mesure délicate, aux effets immédiatement détectables et qui devra toujours être décidée par le Conseil fédéral.

A l’inverse, l’infiltration en vue de rechercher des informations est effectuée en toute discrétion et doit pouvoir être réalisée immédiatement en cas d’urgence afin d’obtenir à temps les données requises. Il est donc justifié d’ajouter des dispositions d’urgence similaires à celles en vigueur pour les MRSA. Celles-ci ont fait leurs preuves et prévoient que le directeur du SRC peut ordonner la mise en œuvre immédiate des mesures et les soumettre a posteriori à la procédure d’autorisation et d’aval. Le chef du DDPS doit être informé immédiatement après l’ordre de mise en œuvre.

Si le chef du DDPS refuse de poursuivre la mesure immédiatement ou après consultation du DFAE et du DFJP, il doit au surplus décider de l’utilisation des données éventuellement acquises jusqu’alors. Il est possible qu’une mesure ne puisse être poursuivie en raison des risques politiques qu’elle crée, mais que le SRC soit néanmoins autorisé à utiliser les données déjà obtenues et utiles pour l’appréciation de la situation en matière de sécurité.

Art. 39

Al. 1

En conséquence de l’extension du mandat du SRC à l’ensemble du cyberespace à l’art. 6, al. 1, let. b, cet alinéa est également adapté. L’exploration du réseau câblé reste toutefois une mesure dirigée contre l’étranger. Aucune personne en Suisse n’est surveillée (voir aussi al. 3). En outre, les conditions régissant l’exploration du réseau câblé restent inchangées. Les communications «purement intérieures» ne sont pas enregistrées.

Al. 3

La modification de l’al. 3 vise à clarifier que toutes les personnes se trouvant en Suisse sont protégées contre l’exploration ciblée du réseau câblé (voir art. 42, al. 2, qui mentionne également les personnes en Suisse). Le SRC ne peut ainsi pas enquêter sur des personnes étrangères se trouvant en Suisse au moyen d’une exploration du réseau câblé, ce qui reflète la pratique actuelle. En revanche, il peut être pertinent et nécessaire de surveiller des citoyens suisses lorsqu’il est établi qu’ils se trouvent à l’étranger. Là encore, cette disposition correspond à la pratique de l’exploration radio, p. ex. dans le cas de Suisses aux motivations terroristes se rendant dans des régions de djihad ou de filiales étrangères d’entreprises inscrites au registre du commerce en Suisse (en particulier lorsqu’elles sont gouvernées de l’étranger) et ayant des liens présumés avec des activités de prolifération. D’une part, il est justifié que ces personnes ne bénéficient pas de davantage de protections lorsqu’elles sont à l’étranger que les étrangers eux-mêmes, et d’autre part, il n’est pas possible d’exécuter des MRSA dans ces cas-là, faute d’accès techniques et physiques.

Comme auparavant, les termes de recherche sont toujours des combinaisons libres de caractères, de chiffres et de lettres ou un mélange de ceux-ci, qui permettent de filtrer les données en fonction des données de connexion et du contenu des communications pertinents pour la mission afin de générer un résultat (p. ex. noms de personnes morales ou physiques, numéros de téléphone, adresses électroniques, adresses IP, caractéristiques d’activités cyber nuisibles ou indicateurs de compromission, coordonnées, etc.). Le contenu de ces mots-clés doit pouvoir être classé dans les catégories de mots-clés approuvées par le Tribunal administratif fédéral. Les mots-clés peuvent également être composés d’éléments techniques de communication (données secondaires de télécommunication). Un exemple de mot-clé composé pourrait être le numéro de téléphone mobile (MSISDN) d’une personne physique appartenant à la catégorie «personnes physiques» et la restriction à un préfixe international ou à un indicatif international de pays d’un réseau mobile (MCC; Mobile Country Code). D’autres restrictions envisageables seraient par exemple des plages horaires spécifiques ou des caractéristiques techniques telles que les identifiants des antennes de téléphonie mobile. La combinaison de plusieurs catégories de mots-clés permet d’affiner la recherche.

Dans le cadre de la consultation, le Tribunal administratif fédéral souhaite obtenir des précisions supplémentaires concernant l’admissibilité des termes de recherche et de leurs combinaisons. Le Conseil fédéral estime que cette demande doit être prise en compte dans le cadre de la révision ultérieure des ordonnances d’application.

Art. 41

Al. 1, let. b

Le terme de «nécessité», actuellement inscrit dans la loi, devrait être complété par la notion de caractère approprié et exigible afin de refléter la pratique actuelle du Tribunal administratif fédéral, eu égard aux demandes d’autorisation. L’élément de nécessité est encore toujours couvert par la notion d’exigibilité.

Al. 1^bis

Les demandes d’exploration du réseau câblé sont le plus souvent complexes sans être urgentes, aussi il est pertinent d’étendre à dix jours le délai pour rendre la décision. Cela est expressément salué par le Tribunal administratif fédéral.

Al. 2

Dans cet alinéa, l’expression «la procédure est régie au surplus» est remplacée par «le reste de la procédure est régi». Cette modification précise en particulier que la décision est également prise par un juge unique.

Al. 3

À l’instar d’une MRSA, l’exploration du réseau câblé nécessite une autorisation du Tribunal administratif fédéral, puis l’aval politique du chef du DDPS après consultation des chefs du DFAE et du DFJP. La législation actuelle prévoit que l’autorisation est d’abord accordée pour six mois au maximum et peut être prolongée à plusieurs reprises, selon la même procédure, de trois mois au plus.

L’exploration du réseau câblé est une mesure particulièrement complexe qui nécessite beaucoup de travail. À l’heure actuelle, elle ne convient que pour la recherche prolongée d’informations sur des événements importants en matière de politique de sécurité à l’étranger. Or, puisqu’elle implique une longue durée, les délais de prolongation actuellement prévus par la LRens se sont avérés nettement trop brefs. Afin d’assurer la continuité de la mesure d’exploration du réseau câblé, le SRC doit à l’heure actuelle systématiquement demander sa prolongation après seulement deux mois pour obtenir l’autorisation du tribunal et l’aval politique. Il convient également de noter que les ajustements du système ou d’autres mesures (p. ex., les extensions de ligne) se traduisent rarement tout de suite par des résultats: au contraire, ils nécessitent davantage de temps.

La fixation du délai maximal à six mois pour les prolongations tient compte non seulement de l’orientation stratégique de l’exploration du réseau câblé, mais aussi du fait que l’exploration est un capteur proprement dit du SRC et non un moyen de recherche utilisé dans le cadre d’une opération limitée dans le temps. Dans le cas de l’exploration à l’étranger, les menaces, et donc les besoins en termes de renseignement, ne changent en principe pas tous les trois mois, aussi les capacités du SRC et du Tribunal administratif fédéral peuvent être utilisées de manière plus judicieuse que pour traiter des procédures d’autorisation à répétition. Des délais différents pour l’autorisation initiale et les prolongations ne se justifient donc pas dans ce domaine.

Afin de pouvoir continuer à réagir rapidement et en souplesse aux évolutions de la situation et aux besoins d’exploration, il demeure possible d’adapter le mandat malgré la prolongation de l’autorisation. Par exemple, de nouveaux fournisseurs de services de télécommunication, des adaptations thématiques ou de nouvelles catégories de mots-clés peuvent devoir être ajoutés à un mandat d’exploration du réseau câblé. Le SRC suivra la procédure habituelle pour procéder à ces modifications.

Al. 4

Comme déjà indiqué dans les commentaires relatifs à l’art. 30, al. 3 et 4, dans les cas d’extensions mineures de mesures déjà approuvées et autorisées, il est justifié que le chef du DDPS puisse, après autorisation du Tribunal administratif fédéral, décider directement d’avaliser une extension sans obligatoirement consulter les chefs du DFAE et du DFJP. Il en va de même pour l’ajout d’autres exploitants de réseaux câblés et fournisseurs de services de télécommunication à un mandat existant d’exploration du câble. Il s’agit là aussi d’une extension mineure, car l’ajout supplémentaire fait certes partie de l’évaluation des risques de renseignement et de l’examen juridique de la proportionnalité, mais pas de l’évaluation des risques au niveau politique, cette dernière tenant compte en particulier des considérations de politique étrangère.

Art. 42

Al. 3^bis

Lors de la promulgation de la LRens, il était admis que les exploitants de réseaux filaires et opérateurs de télécommunications seraient en mesure, comme prévu par l’art. 43 LRens, de fournir les renseignements requis, en particulier sur les flux de données internationaux routés par leurs infrastructures. Les premiers cas concrets d’exploration du réseau câblé ont cependant montré que ce n’est guère le cas. Les exploitants suisses ne connaissent généralement que les points de départ et d’arrivée des flux de données des pays voisins, et non pas leur origine absolue ni leur destination finale. Les trajets empruntés par ces flux ainsi que le type de données communiquées changent en permanence à une fréquence très élevée.

Les flux de données internationaux sont acheminés via des réseaux très dynamiques dont le routage change rapidement et ne peut être prédit à long terme. Les fournisseurs de services de télécommunications optimisent constamment leurs flux de données, que ce soit afin d’améliorer la qualité de transmission ou pour des raisons économiques. Le service chargé de l’exploration devrait donc désormais être autorisé à analyser techniquement les signaux et les données enregistrés dans le cadre des mandats existants afin d’obtenir une image aussi actuelle et réaliste que possible des flux de données traités, des signaux que ces derniers transmettent ainsi que de l’origine et de la destination des données communiquées. Il est tout aussi important de déterminer la nature technique des signaux captés, car elle influe directement sur les moyens techniques à employer par le service chargé de l’exploration afin de les capter et de les traiter.

Ce type d’évaluation est de nature technique et n’est pas lié aux informations contenues dans les données collectées. Ces informations techniques sont stockées par le service ACEM chargé de l’exploration afin de servir de point de départ aux mandats ultérieurs. Il s’agit d’identifier la destination des différents types de flux de données et de cerner ceux qui peuvent contenir des informations pertinentes pour le renseignement. Le service chargé de l’exploration peut partager les connaissances acquises avec le SRC afin que celui-ci formule les mandats d’exploration du réseau câblé de manière plus ciblée (c’est-à-dire désigner des flux de données à surveiller dans le mandat).

Art. 44

Al. 1

Cet alinéa définit les deux catégories principales auxquelles sont affectées les données reçues et déjà stockées: d’une part les données relevant du renseignement, que le SRC et les SRCant traitent pour accomplir leurs tâches prévues par l’art. 6, et d’autre part les données administratives, qu’ils traitent pour accomplir leurs tâches administratives (voir les exemples cités dans les remarques générales ci-dessus au sujet des tâches administratives).

Al. 2

Les données relevant du renseignement sont scindées en données brutes et en données de travail. Elles ne sont enregistrées qu’à l’issue du contrôle initial par le SRC et les SRCant. Les données brutes ne peuvent être utilisées sans contrôle de leur exactitude et de leur pertinence. Les données de travail sont des données brutes dont l’exactitude a été contrôlée et dont la pertinence actuelle fonde le traitement ultérieur, ainsi que les produits résultant de ce traitement (p. ex. rapports d’analyse, informations transmises, rapports, demandes aux autorités, prises de position, mandats aux SRCant, rapports de service, exposés, appréciations de la situation).

Art. 45 Contrôle du lien avec les tâches et attribution à une catégorie de données

Vue d’ensemble du contrôle initial

Al. 1

Comme indiqué plus haut, le SRC et les SRCant déterminent d’abord si les données reçues sont de nature administrative ou relèvent du renseignement, puis les marquent en conséquence. Ce contrôle est effectué lors de l’enregistrement des données (normalement dans la journée, sous réserve des exceptions citées aux art. 45, al. 4, et 46, al. 2). Le Conseil fédéral règlera les délais dans les ordonnances d’application. Les catégories de données «relevant du renseignement» et «administratives» ne sont pas des catégories de données selon la LPD.

Al. 2

Si les données peuvent être attribuées aux deux catégories, le SRC les marque comme relevant du renseignement. Cela garantit qu’en cas de doute, ce sont les règles les plus strictes concernant les données relevant du renseignement qui s’appliquent.

Al. 3

Les données qui ne présentent aucun lien avec le domaine d’activité du SRC et qui ne peuvent pas être utilisées par celui-ci à des fins administratives doivent être détruites ou anonymisées de manière irréversible (par exemple, si certains éléments d’une communication ne présentent aucun lien avec les tâches du SRC, mais que le reste présente au contraire un tel lien, les éléments sans lien avec les tâches doivent être anonymisés). S’il s’agit d’informations adressées par erreur au SRC, le SRC peut en informer l’expéditeur avant de détruire ou d’anonymiser les données en sa possession ou, dans le cas d’envois physiques, de les renvoyer au destinataire. S’il s’agit d’informations envoyées par un SRCant, le SRC informe le SRCant de la destruction ou de l’anonymisation des données, de sorte que le SRCant puisse procéder de même dans ses propres fichiers de données.

Al. 4

Il peut arriver qu’au moment de la réception des données, un lien avec les tâches soit incertain. Par exemple, il se peut qu’un service partenaire du SRC demande des renseignements sur une personne qui diffuse dans son pays une idéologie radicale d’extrême droite et raciste, ce qui fonde la compétence de l’autorité étrangère. Imaginons que cette personne se trouve en Suisse pour une longue période. Le service partenaire souhaite alors savoir si le SRC dispose d’informations supplémentaires à son sujet. Le SRC transmet alors un mandat de recherches au SRCant où la personne concernée se trouve. Seul le résultat de ce contrôle permet de déterminer s’il s’agit d’un d’extrémiste violent, donc si le lien supposé avec les tâches du SRC est établi et si un traitement ultérieur des données est admis. À l’inverse, il est également possible que seule la demande de renseignements adressée à un service partenaire permette de clarifier le lien entre la tâche et une personne étrangère. Dans ce cas, le service partenaire est informé de l’objet de la demande. Les données ne peuvent être utilisées qu’à cette fin. Il est également possible que des tiers (des particuliers) soient approchés. Il peut p. ex. s’agir, dans le cadre d’un signalement, d’une personne auprès de laquelle des questions doivent être clarifiées, des parents d’un élève suspecté de radicalisation violente ou de l’épouse d’un voyageur du djihad suspecté. Dans de tels cas, la communication permet de réaliser le contrôle initial. Elle demeure soumise aux restrictions imposées par les art. 59 à 62 et n’est autorisée que si elle est nécessaire pour déterminer le lien avec les tâches. Cette situation peut bien entendu également se produire avec des données reçues des SRCant. Par souci de transparence, la marche à suivre pour déterminer le lien avec les tâches est désormais inscrite expressément dans la présente loi.

Art. 46 Contrôle de l’applicabilité de l’art. 5, al. 5

Al. 1

Si le lien avec les tâches est établi, le SRC et les SRCant s’assurent que les données ne contiennent aucune information soumise aux restrictions de l’art. 5, al. 5, en matière de traitement des données, à moins que l’une des exceptions prévues par l’art. 5, al. 6 ou 8, ne s’applique. La disposition de l’actuel art. 45, al. 1, qui indique que les communications portant sur diverses données personnelles sont évaluées dans leur globalité, est supprimée, car elle est critiquée par l’autorité de surveillance parlementaire. Désormais, le SRC et les SRCant s’assurent que les communications pertinentes en matière de renseignement ne contiennent aucune donnée personnelle tombant sous le coup des restrictions prévues par l’art. 5, al. 5, même lorsque ces communications comportent des données sur plusieurs personnes ou affaires.

Al. 2

Étant donné que les informations publiques (telles que les médias imprimés ou électroniques) peuvent en règle générale être consultées à tout moment par n’importe qui, il n’est pas pertinent de les soumettre à restrictions de l’art. 5, al. 5, en matière de traitement des données lorsqu’il s’agit simplement de les stocker ou d’évaluer leur exactitude. L’exactitude des contenus médiatiques ne peut souvent être vérifiée qu’après un certain temps, et ces contenus ne respectent pas les exigences de la LRens pour les rapports des SRCant. En effet, les articles de journaux sur des événements pertinents pour la LRens (p ex. attaques terroristes et affaires d’espionnage) contiennent souvent des déclarations politiques. Le SRC et les SRCant devraient pouvoir les enregistrer sans les soumettre au préalable à un long travail de censure inutile. Dans le cas des données provenant de sources accessibles au public nécessaires pour l’accomplissement des tâches, ils contrôlent d’abord les restrictions en matière de protection des données avant de les utiliser en tant que données de travail. Dans un avis de droit rédigé en février 2020 sur mandat du DDPS, l’Office fédéral de la justice a estimé que cette pratique est déjà défendable sous le droit en vigueur.

Une exception existe également pour les données issues de MRSA, pour lesquelles le SRC vérifie le respect de la restriction au traitement lorsqu’il marque ces données pour un traitement approfondi (voir le renvoi de l’art. 50, al. 1 à l’art. 46, qui décrit le contrôle initial). Cela correspond à la procédure actuelle, qui prévoit un contrôle dans le cadre de l’enregistrement dans IASA SRC. Les données obtenues par les MRSA à l’aide de moyens techniques (comme la surveillance des communications) peuvent être très volumineuses et contenir de nombreuses informations qui n’ont rien à voir avec l’objectif de renseignement, p. ex. parce qu’elles sont de nature purement privée. Il convient également de tenir compte de la protection de la personnalité des tiers qui utilisent par exemple la connexion de télécommunication de la personne surveillée. Souvent, il n’est pas possible de déterminer d’emblée si certaines communications sont pertinentes ou non, parce que le réseau de contacts de la personne surveillée doit d’abord être identifié ou parce que celle-ci utilise des éléments conspiratifs dans ses communications afin de protéger ses contacts. Il n’est donc pas possible de déterminer immédiatement si des informations sont nécessaires ou non. Enfin, le stockage séparé sert également à protéger les autres données du SRC, car la surveillance des communications Internet ou l’intrusion dans des systèmes informatiques peuvent par exemple révéler la présence de logiciels malveillants (virus, chevaux de Troie). Ceux-ci ne doivent pas être introduits dans les données du SRC. Selon la raison du stockage séparé, ce dernier est logique (si les données ne peuvent pas être contaminées par des logiciels malveillants) ou physique (s’il existe un risque de contamination du reste des données du SRC).

Art. 47 Transfert des obligations de contrôler

Lorsque le SRC doit mandater et former l’expéditeur de données entrantes, il peut lui confier le contrôle du lien avec les tâches et des restrictions en matière de traitement des données, puis enregistrer automatiquement les données. À cet effet, les conditions de l’art. 9, al. 1, LPD sur le traitement en sous-traitance doivent être remplies. Aujourd’hui, c’est notamment le cas des données provenant de sources accessibles au public, dans la mesure où l’ACEM transmet au SRC les dépêches d’agence et de presse qui présentent un lien établi avec les tâches de ce dernier. Les collaborateurs de l’ACEM sont formés chaque année par le service de contrôle de qualité du SRC. Ce service contrôle également chaque année par sondage que les données reçues de la sorte ont un lien avec les tâches au sens de l’art. 6.

Art. 48 Mesures préparatoires et mesures de sécurité

Le SRC a déjà le droit d’enregistrer dans des systèmes d’information distincts les données provenant de l’étranger et similaires aux MRSA, les données provenant de MRSA (voir art. 36, al. 5 et art. 58, al. 1) et les données particulièrement sensibles au sens de l’art. 7, al. 2 de l’ordonnance du 16 août 2017 sur les systèmes d’information et les systèmes de stockage de données du Service de renseignement de la Confédération (OSIS-SRC)³⁸. Sont déterminants à cet égard l’ampleur des données, le secret (notamment la protection des sources) ou la sécurité (notamment en cas de risque de contamination des données et des systèmes informatiques). Selon le motif, le stockage distinct ne doit pas nécessairement être physique, mais peut également être logique. Les données ne peuvent toutefois être conservées que pendant une durée limitée, fixée par le Conseil fédéral en fonction du motif du stockage distinct. Si le motif du stockage distinct n’est plus valable, les données doivent être transférées dans le système ordinaire. Le contrôle initial commence également pour ces données immédiatement après leur enregistrement (séparé).

Art. 49 Marquage des données relevant du renseignement

Al. 1 et 2

Cet article énumère les sous-catégories de données relevant du renseignement. Ces sous-catégories remplacent les désignations actuelles des systèmes d’information et permettent ainsi au SRC de maintenir les différentes directives de traitement des données applicables aujourd’hui aux systèmes d’information, et en particulier l’accès sélectif. Toutes les données reçues par le SRC doivent être attribuées sans exception à au moins l’une de ces sous-catégories (voir également les explications relatives au contrôle initial à l’art. 45). Cela vaut également pour les données enregistrées de manière distincte. Certaines données peuvent toutefois rentrer simultanément dans plusieurs catégories. Les sous-catégories de données suivantes correspondent aux données dans les systèmes d’information existants ci-dessous:

• Let. a: IASA SRC, IASA-EXTR SRC, Quattro P, SICO; laboratoire technique Cyber;

• Let. b: Portail ROSO;

• Let. c: Systèmes de stockage MRSA;

• Let. d: Systèmes de stockage des données provenant de recherches à l’étranger;

• Let. e: Système pour les données particulièrement sensibles (voir art. 7 OSIS-SRC);

• Let. f: Système d’information «Présentation électronique de la situation» PES;

• Let. g: IASA SRC, IASA-EXTR SRC et INDEX SRCant en vertu de l’art. 29, let. b, OSIS-SRC;

• Let. h: INDEX SRCant en vertu de l’art. 29, let. b, OSIS-SRC;

• Let. i: Classement temporaire «contrôle du classement»;

• Let. j: IASA Index en vertu de l’art. 29, let. a, OSIS-SRC.

Au sein des différentes sous-catégories de données, les données peuvent à leur tour être classées de différentes manières selon leur thème, afin de tenir compte, par exemple, des différents délais de conservation et droits d’accès (cela permet notamment de conserver les différentes modalités de traitement des données actuelles de IASA SRC et de IASA-EXTR SRC).

Art. 50 Données provenant de mesures de recherche soumises à autorisation

Al. 1

Cet alinéa correspond en grande partie à l’actuel art. 58, al. 2. Il est désormais prévu que le contrôle initial des données en question doit être effectué au plus tard jusqu’à 30 jours après la fin de l’opération correspondante au sens de l’art. 46. Cette mesure est nécessaire, car les données ne peuvent souvent pas être contrôlées immédiatement lors de leur enregistrement et doivent également être placées dans le contexte d’autres données collectées dans le cadre de l’opération. Ces données ne peuvent toutefois être utilisées qu’à l’issue du contrôle initial (voir le renvoi à l’art. 46). Si les données ont un lien avec des opérations en cours, elles sont marquées comme données brutes ou comme données de travail dans le cadre du contrôle initial. Si tel n’est pas le cas, elles sont détruites. À cet égard, le critère du délai de suppression est modifié. En effet, une opération peut durer plusieurs mois, voire plusieurs années, même si certaines mesures de recherche individuelles prennent fin après quelques jours seulement. Selon l’expérience du SRC, une opération dure en moyenne entre six mois et deux ans. Cela signifie que des données doivent être détruites aujourd’hui, alors que leur évaluation n’est pas encore terminée ou que leur pertinence ne pourrait être évaluée que durant la suite de l’opération.

Prenons les exemples suivants: Le SRC mène une opération visant un agent de renseignement étranger en Suisse connu de lui (personne A) en relation avec l’empoisonnement d’un politicien de l’opposition à l’étranger afin de déterminer s’il est impliqué dans l’empoisonnement de la personne A. Dans le cadre de cette opération, des MRSA sont engagées à l’encontre de la personne A et les données secondaires de ses moyens de communication sont interrogées. Dans ces données secondaires, le SRC découvre des contacts entre la personne A et divers organismes publics, d’autres agents de renseignement et la personne B. La personne B n’est pas connue du SRC, aussi celui-ci doit détruire les données la concernant un mois après la fin de la MRSA, c’est-à-dire après avoir obtenu les données secondaires. L’opération se poursuit et deux mois plus tard, le SRC apprend que la personne B est soupçonnée de faire partie du programme d’armes chimiques du pays concerné. Les résultats de la MRSA ayant déjà été détruits, le SRC ne peut établir aucun lien entre les personnes A et B, alors que l’opération dans son ensemble n’est pas encore achevée.

En particulier lors de l’évaluation ultérieure des données secondaires des raccordements de télécommunications, le délai actuel d’un mois est très problématique, car la transmission des données secondaires dans le cadre de la MRSA se termine au plus tard après six mois, tandis que l’évaluation des données peut prendre bien plus d’un mois. Le SRC doit identifier les abonnés et les utilisateurs présumés des partenaires de communication de la personne surveillée. Il est alors essentiel de pouvoir comparer les résultats des différentes MRSA afin de découvrir d’éventuelles personnes clés. Les identifications et les clarifications avec les services partenaires étrangers du SRC durent souvent jusqu’à la fin d’une opération. La destruction prématurée de l’information peut donc mettre en péril à la fois le succès de l’opération et la crédibilité du SRC vis-à-vis de ses partenaires.

Par conséquent, il est nécessaire de fixer le moment de la destruction à un mois après la fin de l’opération.

Al. 2

Cet alinéa correspond à la première phrase de l’actuel art. 58, al. 3, et n’apporte que des éclaircissements formels.

Al. 3

Cet alinéa correspond à la deuxième phrase de l’actuel art. 58, al. 4, n’apporte que des éclaircissements formels et a été séparé de l’al. 2 pour une meilleure lisibilité.

Al. 4

Cet alinéa correspond à l’actuel art. 58, al. 4, et n’apporte que des éclaircissements formels.

Art. 51 Contrôle de l’exactitude

Al. 1

Contrôler l’exactitude des données implique de les replacer dans le contexte d’autres informations. Il n’est pas possible de confronter le contenu des données du point de vue du renseignement dès l’enregistrement, voir à ce propos le rapport explicatif sur l’ORens et l’OSIS-SRC³⁹. Cette étape doit attendre le marquage des données brutes en données de travail, et le résultat du contrôle est maintenu. En principe, les données non contrôlées (donc brutes) ne peuvent être utilisées pour l’évaluation et la production à des fins de renseignement et ne produisent aucune conséquence extérieure. Une exception très limitée subsiste à l’art. 58e, al. 2 pour l’accès des SRCant aux données provenant de sources accessibles au public. Toute autre utilisation nécessite également un contrôle des données.

Al. 2

Le SRC ne doit pas seulement continuer de pouvoir traiter de la «désinformation» ou des «fausses informations» pour évaluer une situation ou une source, mais aussi pour accomplir d’autres tâches énumérées à l’art. 6. Ces dernières années, de hautes instances de gouvernements étrangers ainsi que des particuliers ont de plus en plus utilisé de fausses informations, p. ex. pour influencer de façon dissimulée des processus de décision politique ou l’opinion publique, pour détourner l’attention d’un événement ou pour orienter un débat public et ainsi déstabiliser des sociétés entières dans d’autres pays. Il s’agit d’attaquer directement des personnes et de diffuser de fausses informations à leur sujet. Dans ce contexte, les informations particulièrement sensibles sont également importantes, car elles peuvent faire l’objet d’une désinformation délibérée et manipulatrice (par exemple sur l’état de santé d’un chef d’État important pour la politique de sécurité). Le SRC doit pouvoir traiter ces informations afin de remplir ses tâches conformément à l’art. 6 et en dérogation au principe de l’exactitude des données énoncé à l’art. 6, al. 5, LPD.

Al. 3

Afin d’identifier clairement les données considérées comme de la désinformation ou des fausses informations, le SRC les marque comme fausses.

Art. 52 Buts du traitement

Al. 1

Dans cet alinéa sont énumérés les buts dans lesquels le SRC et les SRCant peuvent traiter des données personnelles. Les buts du traitement sont réglés aujourd’hui dans le cadre des systèmes d’information et de stockage des données et ne sont pas modifiés (voir à ce propos les explications de l’art. 49). Pour des raisons de transparence, il est désormais précisé que le SRC est également habilité à traiter des données dans le cadre de mesures de protection et de sécurité (voir. let. b).

Al. 2

Pour des raisons de transparence, il est désormais disposé clairement que le SRC et les autorités d’exécution cantonales peuvent également traiter des données personnelles à décharge (par exemple, lorsque les investigations d’environnement commandées par le SRC auprès d’un SRCant révèlent qu’une personne signalée comme violente par un service partenaire doit être considérée comme non violente, du moins selon les informations dont dispose le SRCant), à condition toutefois que des données à charge sur la même personne aient déjà été traitées et écartées en partie ou entièrement. Selon la signification de ces données, cela peut aboutir à ce qu’elles seront supprimées et archivées ou détruites de manière anticipée.

Art. 53 Profilage

La LPD n’emploie plus le terme de profil de la personnalité. Celui-ci est remplacé par «profilage» ou «profilage à haut risque», terminologie reprise ici.

À l’avenir, le SRC s’appuiera davantage sur l’évaluation automatisée de ses données afin de pouvoir reconnaître et évaluer les caractéristiques d’une personne en partie de manière automatisée ou encore pour comparer automatiquement des données reçues ou obtenues de lui-même avec les données existantes relevant du renseignement. Ce système est concevable pour l’évaluation d’un profil de déplacement d’une personne cible, pour l’analyse temporelle d’événements ou pour révéler des changements dans le comportement d’une personne (p. ex. radicalisation). L’utilisation de programmes intelligents pour la recherche et la catégorisation des informations est aujourd’hui indispensable à l’accomplissement efficace des tâches du SRC. Les organes de surveillance l’exigent également. Enfin, il est à noter que la formulation retenue dans le projet correspond notamment à celle de la loi du 20 mars 1981 sur l’assurance-accidents⁴⁰.

Étant que le traitement et l’évaluation automatisés des données (donc via un système informatique et non sur papier) est aujourd’hui la norme, la clause de justification correspondante est supprimée dans la loi (art. 44, al. 4 LRens; voir aussi art. 7 LPD, qui présuppose un traitement automatisé des données).

Art. 54 Définition de catégories de personnes étrangères

Le contenu de cet article correspond à celui de l’actuel art. 55, al. 1 et 4. De même, la délégation au Conseil fédéral qu’il prévoit ne va pas plus loin que la réglementation actuelle.

Art. 55 Dispositions d’exécution

Cet article correspond en grande partie à l’art. 47, al. 2 actuel et reprend par ailleurs la délégation au Conseil fédéral de l’art. 58, al. 6 actuellement en vigueur. Les compétences en matière de traitement des données ont toutefois été supprimées, puisqu’elles découlent toutes de la réglementation des droits d’accès. Par souci de transparence, la destruction des données est ajoutée à la let. e. Les remarques suivantes sont à noter pour les différentes délégations de compétences:

• Let. a: Le catalogue des données personnelles est actuellement réglé dans les annexes à l’OSIS-SRC. Il ne fait pas l’objet de modifications ni de compléments.

• Let. b: Les droits d’accès sont actuellement définis dans les annexes à l’OSIS-SRC. Ils ne font pas l’objet de modifications conséquentes ni de compléments (excepté Groupement de la Défense et Office fédéral de la douane et de la sécurité des frontières OFDF).

• Let. c: La fréquence du contrôle de la qualité est actuellement définie séparément dans l’OSIS-SRC pour chaque système d’information. Elle ne fait pas l’objet de modifications ni de compléments.

• Let. d: La durée de conservation est elle aussi définie séparément dans l’OSIS-SRC pour chaque système d’information. Elle ne fait pas l’objet de modifications ni de prolongations.

• Let. e: La suppression et la destruction des données sont actuellement réglées aux art. 8, 9 et 70 OSIS-SRC. Il n’est pas prévu de modifier cette disposition.

• Let. f: La sécurité des données est actuellement régie par l’art. 13 OSIS-SRC. Il n’est pas prévu de modifier cette disposition.

Art. 56 Environnement de travail

Al. 1

La LPD supprime le terme «fichier». Il est remplacé ici par le terme «environnement de travail», plus adéquat sur le fond. Les SRCant traitent les données pertinentes au sens de la LRens dans l’environnement de travail fourni par le SRC. Celui-ci fait partie des systèmes informatiques sécurisés du SRC (voir l’art. 7, al. 2 du projet). Les SRCant ne sont pas autorisés à employer leurs propres outils informatiques.

Al. 2

Désormais, pour des raisons de transparence, il est précisé que les SRCant sont autorisés à stocker temporairement et pour une courte durée des données dans leur environnement de travail cantonal en vue de leur transfert vers le réseau informatique hautement sécurisé dans lequel se trouve l’environnement de travail (voir art. 7, al. 2) fourni par la Confédération. Il est dans l’ordre des choses que les SRCant doivent d’abord numériser et stocker temporairement les données qu’ils obtiennent (p. ex. photos, extraits de registres ou de sites Internet) avant de pouvoir les transférer via une interface sécurisée dans l’environnement de travail fourni par la Confédération. Il n’est actuellement pas possible de saisir directement des données dans l’environnement de travail mis à disposition par la Confédération, ce pour des motifs de sécurité des informations. Seuls ont accès aux données se trouvant dans l’environnement de travail cantonal le chef du SRCant et son suppléant ainsi que la personne qui a enregistré les données. Pour des raisons de sécurité des informations, les données enregistrées dans l’environnement de travail cantonal doivent être détruites immédiatement après leur transfert vers l’environnement de travail mis à disposition par la Confédération.

Art. 57 Traitement en vertu du droit cantonal

Cet article correspond à l’actuel art. 46, al. 2, et n’apporte que des éclaircissements formels. Il précise en particulier que lorsque les SRCant traitent des données en vertu du droit cantonal (p. ex. relatif à la police), il s’agit de données cantonales. Celles-ci doivent être séparées clairement des données qu’elles traitent en vertu de la LRens. Les indications relatives à l’existence et au contenu de données traitées en vertu de la LRens ne sont autorisées que si le SRC y a expressément donné son accord (p. ex. dans des rapports officiels ou d’autres communications autorisées).

Art. 58 Communication des données

Al. 1

Les art. 33 et 33a ORens ne règlent pas uniquement la communication des données que les SRCant reçoivent du SRC, mais aussi la communication des données que ces cantons ont recherchées de leur propre compétence. La réglementation actuelle est complétée dans cet alinéa afin d’offrir une base légale suffisante à cet égard. Ces compléments n’impliquent pas d’extension de compétences. Le terme «appréciation de la situation» est supprimé, car il s’agit également de données au sens de la LPD. De même, la portée de la délégation législative au Conseil fédéral demeure inchangée, sous réserve du fait que l’expression «à quels services» est remplacée par «à qui» et qu’on parle de «dans quels buts» au lieu de «dans quelle ampleur», conformément à la LPD. Cette disposition s’applique également à la communication de données en vue de mandater l’unité d’observation d’une police cantonale et à la communication de données dans le cadre d’une demande de renseignements (mandat de clarification).

Al. 2

Cet alinéa précise que les SRCant peuvent également communiquer des données aux autorités policières étrangères compétentes pour des questions de sécurité dans la zone frontalière.

Al. 3

Lors de la communication de données, les SRCant sont liés par les conditions des art. 59 à 62.

Art. 58a Durée de conservation

Les SRCant pourront toujours conserver leurs données pendant cinq ans au maximum. Durant cette période, ils ont la possibilité de faire un rapport au SRC. Dès lors, le délai de conservation des informations est prolongé et la liste des personnes ayant le droit d’y accéder est étendue aux collaborateurs autorisés du SRC et des SRCant. Comme indiqué ci-avant à l’art. 9, al. 3, les SRCant ont l’obligation d’examiner toutes les indications relatives à des activités visées à l’art. 6, al. 1, let. a, et de les clarifier. Il est possible que les clarifications révèlent qu’il ne s’agit pas d’une activité relevant du domaine de compétence de la LRens, auquel cas il n’y a pas de lien avec sa mission (voir l’exemple relatif à l’art. 9, al. 3). Étant donné que ces informations parviennent aux SRCant avec un certain retard et de la part de différents déclarants et qu’il convient d’éviter de procéder plusieurs fois aux mêmes clarifications, les SRCant doivent pouvoir continuer à conserver ces données pendant cinq ans à des fins de traçabilité. Cette disposition est désormais clarifiée pour des raisons de transparence. Eu égard à leur courte durée de conservation, les SRCant continuent de renoncer au contrôle périodique de ces données.

Art. 58b

Al. 1

Le contenu de cet alinéa correspond à celui de l’actuel art. 53, al. 1 et 3; il autorise le SRC à continuer d’utiliser le système d’information PES exploité par l’OFPP selon l’art. 55, al. 1 de l’ordonnance sur la protection de la population du 11 novembre 2020⁴¹ pour conduire le réseau de renseignement. Il n’est toutefois pas exclu que le SRC crée à l’avenir sa propre solution informatique ou se rallie à celle d’un canton et utilise celle-ci pour gérer le réseau de renseignement. C’est pourquoi le présent article régit le réseau de renseignement et non la solution informatique actuellement utilisée pour son exploitation.

Al. 2 et 3

Outre les informations traitées par le SRC lui-même, le réseau de renseignement contient des informations provenant d’autres autorités soumises à des dispositions moins strictes en matière de protection des données. Il se peut donc que le réseau de renseignement contienne des informations que le SRC ne serait pas habilité à traiter lui-même en vertu de la présente loi. Le réseau de renseignement ne doit toutefois pas couvrir les seuls besoins du SRC, mais ceux de toutes les autorités suisses de sûreté. Cette situation a également des répercussions sur le contrôle de la qualité dans le réseau de renseignement: étant donné que chaque autorité est soumise à des directives différentes, l’art. 58b, al. 3, prévoit que chacune sera à l’avenir responsable des données qu’elle a enregistrées. Les directives spécifiques à fedpol sont réglées par l’art. 44, al. 4, OSIS-SRC. Eu égard aux éventuelles violations des restrictions de la LRens en matière de traitement des données, le délai de conservation des données enregistrées par fedpol est aujourd’hui plus court (voir art. 45, al. 2, OSIS-SRC). À l’avenir, cela ne devrait pas être le cas de toutes les données enregistrées par le SRC ou les SRCant (voir également les considérations sur le réseau de renseignement dans les explications de l’art. 5, al. 6, let. e).

Art. 58c Accès à des données du SRC relevant du renseignement

Al. 1

Les droits d’accès des collaborateurs du SRC sont réglés aujourd’hui dans le cadre des systèmes d’information et de stockage des données. Cela rend la vue d’ensemble plus difficile. Les droits d’accès sont désormais réglementés de manière centralisée pour toutes les données relevant du renseignement du SRC dans le présent alinéa, à savoir que l’accès à ces données n’est autorisé que dans la mesure où cela est nécessaire à l’accomplissement des tâches légales. Cela signifie par exemple que tous les collaborateurs du SRC n’ont plus accès aux données provenant de sources d’information publiques (art. 13), mais uniquement ceux qui en ont besoin pour accomplir leurs tâches légales. D’autre part, certains collaborateurs qui ne sont actuellement pas autorisés à accéder à ces données en ont besoin pour accomplir leurs tâches légales (p. ex. le service chargé de l’assurance qualité et le service de conseil en matière de protection des données pour l’exécution des contrôles ou le service juridique pour le traitement de demandes). À l’avenir, le service du SRC chargé des mesures de protection et de sécurité aura accès aux données relevant du renseignement, afin de pouvoir p. ex. contrôler si des données sont traitées sur les nouveaux collaborateurs du SRC lors de leur recrutement (sur les tâches de ce service, voir aussi l’art. 7 et 7a).

Al. 2

Par le passé, il est arrivé à plusieurs reprises que le SRC demande temporairement du personnel à des SRCant pour effectuer des évaluations approfondies ou mener une opération. Ces interventions se sont toutefois révélées peu efficaces jusqu’à présent, car les collaborateurs du SRCant n’avaient pas accès aux données du SRC à disposition des collaborateurs du SRC. Il est désormais prévu de remédier à cette situation. Tant que les collaborateurs d’un SRCant sont affectés au SRC, ils sont assimilés aux collaborateurs du SRC et bénéficient, si nécessaire, des mêmes droits d’accès.

Art. 58d Accès à des données relevant du renseignement par les autorités d’exécution cantonales

Al. 1

Les droits d’accès des collaborateurs des SRCant à leurs propres données sont inchangés (voir l’art. 49, let. h).

Al. 2

Cet alinéa correspond à l’actuel art. 54, al. 4. Les droits d’accès des SRCant sont toutefois limités à l’accomplissement de leurs tâches légales.

Al. 3

Certains SRCant et la CCDJP ont demandé que les SRCant aient mutuellement accès à leurs données relevant du renseignement conformément à l’art. 49, let. h (aujourd’hui, les services de renseignement des cantons n’ont accès qu’aux données qu’ils ont enregistrées dans leur propre environnement de travail LRens mis à disposition par le SRC). Cela leur permettrait de savoir plus facilement si le SRCant d’un canton voisin traite aussi déjà en vertu de la présente loi des données relatives à une personne ou à une organisation. Cette solution est particulièrement utile dans le cas d’enquêtes en cours, c’est-à-dire alors que la personne ou l’organisation concernée n’a pas encore été signalée au SRC et demeure donc inconnue de celui-ci. Les SRCant ne sont aujourd’hui pas en mesure de déterminer de la sorte si un homologue traite en vertu de la présente loi des données sur la personne ou l’organisation concernée. Étant donné que toutes les SRCant ne sont pas d’accord avec ce droit d’accès, celui-ci n’est proposé ici qu’à titre de disposition potestative. Les détails des droits d’accès peuvent ainsi être réglés dans les ordonnances.

Al. 4

Le service de contrôle de qualité du SRC est chargé de contrôler par sondage la manière dont les SRCant traitent les données (voir art. 58j, al. 1 P-LRens). À cet égard, il a déjà accès aux données des SRCant, ce qui est précisé par souci d’exhaustivité.

Al. 5

Par le passé, il est arrivé à plusieurs reprises que le SRC renforce temporairement les effectifs d’un SRCant pour des évaluations approfondies ou la conduite d’une opération. Ces interventions se sont toutefois révélées peu efficaces jusqu’à présent, car les collaborateurs du SRC n’avaient pas accès aux données du SRCant à disposition des collaborateurs du SRCant. Il est désormais prévu de remédier à cette situation. Tant que les collaborateurs du SRC sont affectés à un SRCant, ils sont assimilés aux collaborateurs de ce dernier et bénéficient, si nécessaire, des mêmes droits d’accès.

Art. 58e Accès par des autorités à des données du SRC relevant du renseignement

Al. 1

À l’instar de la règle actuellement prévue par l’art. 51, les SRCant et les autorités fédérales n’ont pas accès à toutes les données du SRC, mais en principe uniquement à celles qui sont nécessaires au SRC dans l’accomplissement de ses tâches pour l’identification d’une personne, d’une organisation, d’un groupement, d’un objet ou d’un événement. Il s’agit aujourd’hui des objets saisis dans IASA-EXTR et IASA-SRC, qui sont également répertoriés dans IASA INDEX. Comme aujourd’hui, ces autorités ne pourront pas accéder aux données rattachées à une personne, à une organisation ou autre: elles ne verront que les résultats correspondant à un nom, un prénom et une date de naissance ou à une entreprise. Pour que d’autres données leur soient communiquées, les autorités requérantes doivent soumettre au SRC une demande d’assistance administrative dûment motivée (voir al. 2).

Les droits d’accès au sein du SRC comme au sein des SRCant et d’autres externes qui ont déjà des accès demeurent en principe inchangés. Le principe de proportionnalité, qui exige que l’accès soit accordé sur la base «need-to-know» (principe du besoin d’en connaître), s’applique toujours. L’art. 55, let. b P-LRens charge comme auparavant le Conseil fédéral de définir les droits d’accès exacts.

Let. a

Les droits d’accès des SRCant ne font l’objet d’aucune modification.

Let. b

Fedpol conserve un accès afin de pouvoir déterminer si le SRC traite des données relevant du renseignement sur une personne, une organisation, un groupe, un objet ou un événement (voir l’actuel art. 51, al. 4, let. c). Les données attribuées à une personne, une organisation, etc. ne lui sont pas communiquées en ligne. La communication de ces données doit faire l’objet d’une demande motivée auprès du SRC. Fedpol a besoin de ce droit d’accès pour accomplir ses tâches de police judiciaire, raison pour laquelle l’énumération figurant dans cet alinéa a été complétée à des fins de transparence.

Let. c

Aujourd’hui, deux services sont chargés des contrôles de sécurité relatifs aux personnes: un au sein de la Chancellerie fédérale et un au DDPS. À cette fin, ces deux services ont accès aux données du SRC relevant du renseignement. La nouvelle formulation plus générique vise à éviter qu’une modification de la loi devienne nécessaire en cas d’adaptation de la structure organisationnelle d’un service. En outre, les accès pour les deux services sont définis au même endroit. Les modifications sont donc purement formelles. Les droits d’accès ne font l’objet d’aucune modification (voir l’actuel art. 51, al. 4, let. d). Les accès des services responsables des contrôles de sécurité relatifs aux personnes sont maintenus afin qu’ils puissent déterminer si le SRC traite des données relevant du renseignement relatives à une personne, à une organisation, à un groupement, à un objet ou à un événement spécifique. Ils ne peuvent toutefois pas accéder aux données rattachées à une personne, à une organisation ou autre. Pour que celles-ci leur soient communiquées, ils doivent soumettre au SRC une demande d’assistance administrative dûment motivée.

Let. d

Dans le cadre de la deuxième consultation des offices, le Secrétariat d’État à la politique de sécurité a demandé, en se référant aux art. 55 à 58 LSI, que les services chargés des procédures de sécurité relatives aux entreprises bénéficient d’un accès analogue à celui des services spécialisés chargés des contrôles de sécurité des personnes. Cette mesure vise à permettre l’évaluation des entreprises.

Let. e, ch. 1

Désormais, les collaborateurs de l’OFDF chargés de la poursuite pénale et de l’analyse des risques (voir let. f), doivent obtenir des accès en raison de leurs tâches légales. Eux aussi peuvent uniquement constater que le SRC traite des données relevant du renseignement relatives à personne, à une organisation ou autre. Pour que d’autres données leur soient communiquées, ils doivent soumettre au SRC une demande d’assistance administrative dûment motivée.

Ces accès sont également spécifiés dans la révision de la LD et dans la LE-OFDF et figurent dans la LRens. Les collaborateurs de l’OFDF chargés de la poursuite pénale ont besoin de droits d’accès afin d’accomplir leurs tâches en la matière, dans la mesure où le droit fédéral le prévoit. Cette mesure devrait permettre de gagner en efficience et de répondre au besoin d’accélération de la procédure pénale. De plus, elle permet de mieux évaluer les accusés et fournit de nouveaux outils d’enquête, en particulier en ce qui concerne l’environnement des accusés. Elle facilite en outre l’évaluation des signalements de personnes potentiellement dangereuses dans le domaine de compétences du SRC qui apparaissent dans une procédure pénale de l’OFDF.

Let. e, ch. 2

Les collaborateurs de l’OFDF chargés de l’analyse des risques ont besoin de droits d’accès afin de surveiller et de contrôler le trafic de personnes et de marchandises à travers la frontière. Ce but de l’accès correspond également à la formulation des tâches de l’OFDF. L’utilisation de ces données aide l’OFDF à coordonner de manière ciblée les résultats des analyses de risque avec le SRC et à identifier les liens possibles entre les différents événements. Elle permet également de formuler des instructions à l’intention des collaborateurs de l’OFDF chargés de contrôler les personnes, les marchandises et les moyens de transport. Ils ne peuvent toutefois pas accéder en ligne aux données rattachées à une personne, à une organisation ou autre. Pour que celles-ci leur soient communiquées, ils doivent soumettre au SRC une demande d’assistance administrative dûment motivée.

Si la présente loi entre en vigueur avant la LE-OFDF, la let. e devra être adaptée ou l’accès de l’OFDF devra tenir provisoirement compte du droit sur les douanes en vigueur.

Let. f

Le Groupement de la Défense obtient également un accès en vue de protéger l’armée à titre préventif contre l’espionnage, le sabotage et d’autres activités illicites dans le cadre du service de promotion de la paix ou le service actif. Ce droit d’accès tient compte du fait que le Service pour la protection préventive de l’armée (SPPA) doit continuellement enquêter sur des personnes dans le cadre de la promotion de la paix (engagement dans les Balkans). Il a ainsi adressé plus de cent demandes écrites au SRC en 2020. En raison des tâches du service de promotion de la paix, le SPPA a accès à des informations en lien avec le terrorisme, l’extrémisme violent et l’espionnage. Eu égard à la diaspora des Balkans en Suisse, de telles informations sont souvent pertinentes pour la sûreté intérieure de la Suisse, ou à l’inverse pour la sûreté de l’Armée suisse dans le service de promotion de la paix. Un échange rapide et efficient d’informations peut donc jouer un rôle déterminant pour la sécurité. L’octroi d’un droit d’accès permet donc de réduire considérablement la charge de travail (en particulier pour les personnes qui ne figurent pas dans le système, soit env. 50 %). Les seuls collaborateurs du SPPA qui obtiennent ce droit sont ceux qui se chargent des affaires opérationnelles (fonction «commissaire SPPA»). Eux aussi peuvent uniquement constater que le SRC traite des données relevant du renseignement relatives à personne, à une organisation ou autre. Pour que celles-ci leur soient communiquées, ils doivent soumettre au SRC une demande d’assistance administrative dûment motivée.

Al. 2

Pour des raisons de transparence, la loi dispose désormais que si le contrôle révèle que des données existent, les SRCant peuvent demander au SRC de leur communiquer ces dernières. La demande doit être motivée et la communication est soumise aux restrictions formulées aux art. 59 et 60.

Al. 3

À l’avenir, le SRC devrait être en mesure de fournir ses produits (présentations de la situation, analyses et rapports) en ligne à ses clients en vue d’évaluer les conséquences des menaces relevant de la politique de sécurité et pour les besoins en matière de conduite de la politique de sécurité. Cette méthode a fait ses preuves dans le cas des SRCant, dans la mesure où le SRC enregistre à leur intention les rapports de situation classifiés ou les produits de monitoring OSINT sur la plateforme d’information de l’environnement de travail fourni par la Confédération. De la sorte, le SRC n’a plus besoin de recopier ces produits et de les distribuer à de nombreux destinataires par courriel ou sur papier. Il s’agit en outre de la garantie pour le SRC qu’il peut gérer ces données et les supprimer après un certain temps, ce qui n’est pas le cas avec les autres formes de communication. Ces produits sont communiqués dans le respect des restrictions formulées aux art. 59 à 60.

Al. 4

Le SRC est tenu de s’assurer que les autorités tierces n’abusent pas de leur droit d’accès. Il réalise donc des contrôles par sondage et se réserve le droit de leur demander d’indiquer quand elles ont accédé à quel produit et pour quelle raison.

Art. 58f Accès par des tiers à des données du SRC relevant du renseignement

Al. 1

Une nouvelle disposition prévoit désormais un accès limité dans le temps et lié à une mission pour les personnes externes (voir al. 4). Cela correspond également à la pratique actuelle et est nécessaire, par exemple, pour les traductions ou pour l’exploitation et le développement des solutions informatiques par des prestataires externes.

Al. 2

En outre, un accès sera désormais prévu pour les personnes participant à des projets de détection précoce. Le SRC envisage par exemple de mettre en place une plateforme de «crowdsourcing» pour évaluer la probabilité d’occurrence d’événements pertinents pour la politique de sécurité. Cette plateforme mettra l’accent sur les évaluations individuelles et agrégées de la probabilité d’occurrence d’événements liés à la sécurité. Dans un premier temps, seuls les collaborateurs du SRC participeront à ce projet. Ceux-ci pourront, à l’aide de comptes utilisateurs pseudonymisés, donner leur évaluation des événements pertinents pour le stockage et fournir des justifications/commentaires. Il est ensuite prévu d’élargir le cercle des participants aux partenaires du réseau de renseignement, aux universités et aux think tanks. En ce qui concerne les droits d’accès, le principe de proportionnalité, qui exige que l’accès soit accordé sur la base «need-to-know» (principe du besoin d’en connaître), s’applique toujours. Comme auparavant, seuls les collaborateurs chargés de la mise en œuvre de la MRSA et de l’évaluation de ses résultats auront donc accès en ligne aux données concernées. L’accès complet de l’AS-Rens est réglé à l’art. 78a, al. 4.

En outre, les tiers qui assistent temporairement le SRC dans l’accomplissement de ses tâches légales doivent également pouvoir accéder aux données relevant du renseignement, dans la mesure où cela est nécessaire à l’accomplissement de leur mission et dans la limite du temps imparti. Il s’agit notamment de spécialistes des écoles polytechniques fédérales, de l’ACEM ou du SG DDPS.

Al. 3

L’accès des tiers visé aux al. 1 et 2 peut également porter sur des données personnelles sensibles et des données personnelles fondées sur un profilage, y compris un profilage à haut risque.

Al. 4

L’accès des tiers visé aux al. 1 et 2 est limité dans le temps et doit être supprimé après l’exécution du mandat, la fin du projet ou la fin du soutien apporté au SRC.

Art. 58g Accès aux données du réseau de renseignement

Al. 1

Cet alinéa correspond en grande partie à l’actuel art. 53, al. 3. En raison de l’étroite collaboration dans le domaine de la sécurité, la police nationale du Liechtenstein obtient désormais un accès permanent aux données du réseau de renseignement. Auparavant, elle n’y avait accès que lors d’événements particuliers.

Al. 2

Cet alinéa correspond à l’actuel art. 53, al. 4.

Art. 58h Accès aux données administratives

Al. 1 et 2

L’accès aux données administratives n’est pas modifié (voir art. 52, al. 3). L’accès des SRCant au système de gestion des mandats qui leur est attribué par l’art. 29, let. c, OSIS-SRC, n’est toutefois aujourd’hui pas réglé de manière explicite. Par ailleurs, pour des raisons de transparence, il est précisé que les SRCant peuvent également accéder aux données administratives du SRC dans la mesure où cela est nécessaire à l’accomplissement de leurs tâches administratives (par exemple pour gérer les mandats du SRC).

Al. 3

Aujourd’hui déjà, le service de contrôle qualité a accès à toutes les données des SRCant pour ses contrôles par sondage, y compris aux données administratives, ce qui est désormais précisé pour des raisons de transparence.

Al. 4

L’accomplissement des missions du SRC repose sur sa collaboration avec des prestataires externes. C’est le cas, d’une part, pour l’entretien et le développement de son infrastructure informatique. En raison de la complexité des logiciels, le SRC a souvent besoin de savoir-faire externes, ne serait-ce que pour trouver les causes des problèmes. Il en va a fortiori pour leur résolution. Par exemple, si un collaborateur supprime un compte utilisateur par erreur, seul le prestataire externe est en mesure de le restaurer avec toutes les données, tâches et processus associés. Les prestataires externes n’ont cependant accès qu’aux métadonnées, et non aux données proprement dites. Toutefois, ils sont également requis pour des travaux de développement ultérieurs dans le cadre desquels une expertise externe est indispensable, bien que des données des dossiers de projet correspondants doivent être traitées. D’autre part, le SRC fait régulièrement traduire des textes par des experts externes sur la base de mandats. Le fait que ces experts n’aient actuellement pas accès aux données administratives complique l’attribution et l’exécution des mandats tout en compromettant la sécurité des informations, car ils doivent travailler en dehors des réseaux informatiques sécurisés du SRC.

Art. 58i Données du SRC relevant du renseignement

Al. 1

Le contenu de cet alinéa correspond à celui de l’actuel art. 45, al. 4. Étant donné que la présente loi ne règle plus les différents systèmes d’information, il est question de données de travail. L’ancienne formulation de cette disposition a occasionné divers malentendus et discussions. Cet alinéa est désormais rédigé de manière à indiquer clairement qu’il s’agit de l’association de données à une personne ou une organisation. Il est également précisé que les données peuvent être anonymisées au lieu d’être supprimées. Les messages/fichiers entiers qui ont été associés à un bloc de données personnelles sont supprimés. L’anonymisation est effectuée lorsqu’un tel message/fichier est nécessaire parce qu’il contient d’autres informations pertinentes pour la LRens et qu’il est associé, par exemple, à une ou plusieurs autres personnes ou organisations.

Al. 2

Le contenu de cet alinéa correspond à celui de la dernière phrase de l’actuel art. 45, al. 4. Bien entendu, les données expressément marquées comme inexactes (voir art. 51, al. 2) ne sont pas corrigées dans le cadre du contrôle périodique. Le renvoi à la réserve a en outre été adapté.

Al. 3

Cet alinéa correspond en grande partie à l’actuel art. 45, al. 5.

Il est déjà d’usage que la direction du service de contrôle de la qualité puisse rendre compte directement au directeur du SRC, ce qui est désormais expressément stipulé. Il est ainsi expressément interdit au niveau hiérarchique situé entre l’organe de contrôle de la qualité et le directeur d’empêcher le service de contrôle de la qualité de rendre compte directement au directeur ou d’exercer une influence sur les comptes rendus.

L’actuelle let. b, qui prévoit une vérification périodique des rapports des SRCant par le service de contrôle de qualité du SRC, a été supprimée sans remplacement, car il n’y a aucune raison de traiter ces données de manière particulière. Elles peuvent également être contrôlées par les spécialistes responsables, comme le prescrit le nouvel art. 58i, al. 1, pour toutes les données de travail que le SRC a associées à une personne ou à une organisation dans l’accomplissement de ses tâches en vertu de l’art. 6, al. 1.

Aujourd’hui, il est interdit aux SRCant d’effacer eux-mêmes des données (voir l’art. 45 al. 5, let. d LRens). Cette disposition n’a désormais plus de justification plausible. Au contraire, elle a conduit à un mécanisme de suppression complexe qui mobilise inutilement les ressources des SRCant et du service de contrôle de qualité du SRC. Cette lettre est donc elle aussi supprimée sans remplacement. À l’avenir, les SRCant pourront de nouveau (comme avant l’entrée en vigueur de la LRens) supprimer eux-mêmes leurs données lorsqu’ils n’en ont plus besoin ou que leur délai de conservation est expiré.

L’ajout de l’adverbe «en particulier» rappelle que la liste n’est pas exhaustive et que le service de contrôle de qualité du SRC assume d’autres tâches encore.

Let. a

Le contenu de cette lettre correspond à celui de l’actuel art. 45, al. 5, let. a. Comme aujourd’hui, les données dans le domaine de l’extrémisme violent (reconnaissables à leur sous-catégorie; voir les explications de l’art. 49) devront à l’avenir faire l’objet de contrôles plus poussés et plus précoces. Ils ont actuellement lieu immédiatement après la saisie / l’enregistrement structuré des données. À l’avenir, il sera question d’associer des données à des personnes et à des organisations. Le contrôle a cependant toujours lieu au même moment. Le terme «pertinence» est remplacé systématiquement par «lien avec les tâches» dans le présent projet. Il est désormais précisé que le respect des restrictions en matière de traitement des données est également contrôlé.

Let. b

Le contenu de cette lettre correspond à celui de l’actuel art. 45, al. 5, let. c. Étant donné que la loi ne règle plus les différents systèmes d’information, le contrôle par sondage effectué par le service de contrôle de qualité ne porte plus sur les différents systèmes d’information, mais sur toutes les données du SRC relevant du renseignement (données brutes et données de travail). Contrairement à la LRens en vigueur, les termes «efficacité» et «adéquation» ne sont plus employés, car ils sont obsolètes au regard du droit de la protection des données. Si le contrôle porte non plus sur l’efficacité et l’adéquation, mais sur la proportionnalité, il gagne en exhaustivité, car outre le caractère approprié des données, la nécessité et le caractère exigible sont examinés. Les contrôles par sondage des données relevant du renseignement des SRCant sont réglés à l’art. 58j, al. 1 P-LRens.

Let. c

À l’avenir, le conseiller à la protection des données du SRC sera chargé d’organiser des formations en matière de respect des dispositions de la LRens concernant le traitement des données. Cette lettre précise en outre que ces formations s’adressent aussi aux collaborateurs des SRCant.

Let. d

Comme déjà mentionné à l’art. 53 P-LRens, l’utilisation de programmes intelligents pour la recherche et la catégorisation des informations est aujourd’hui indispensable à l’accomplissement efficace des tâches du SRC. Les organes de surveillance l’exigent également. Il ne s’agit certes pas d’intelligence artificielle au sens de décisions individuelles automatisées (art. 21 LPD). Néanmoins, conformément aux «Lignes directrices sur l’intelligence artificielle pour l’administration fédérale» adoptées par le Conseil fédéral le 25 novembre 2020⁴², l’utilisation de tels outils assimilables à l’IA est rendue transparente et leur utilisation est surveillée tout au long de leur cycle de vie (de l’acquisition à la désactivation).

Art. 58j Données personnelles relevant du renseignement des autorités d’exécution cantonales

Al. 1

Le contrôle par sondage du traitement des données relevant du renseignement par les SRCant n’est certes pas nouveau, mais il n’a jusqu’à présent pas fait l’objet de dispositions expresses (voir l’actuel art. 45, al. 5, let. c, qui ne mentionne que «tous les systèmes d’information»). Eu égard au terme de proportionnalité, on se référera aux explications de l’art. 58b, al. 3, let. b. Les SRCant continueront de ne pas vérifier périodiquement les données personnelles relevant du renseignement, car celles-ci sont déjà effacées automatiquement après cinq ans (voir art. 58a). L’effacement remplace donc la vérification périodique.

Al. 2

Le renvoi des rapports des SRCant qui ne sont pas entièrement en lien avec les tâches du SRC ou qui enfreignent les restrictions en matière de traitement des données n’est pas expressément prévu par la LRens en vigueur (contrairement aux art. 3, al. 3, et 4, al 2, OSIS-SRC, qui prescrivent déjà une telle obligation). Par souci de transparence et parce que le traitement des données des SRCant doit être corrigé le cas échéant, cette manière de procéder est expressément inscrite dans la loi, et reflète au demeurant la pratique actuelle.

Art. 59 Vérification des données personnelles avant la communication

Cet article correspond en grande partie à l’actuel art. 59. Le contenu de cette disposition demeure inchangé. Par souci de clarté, il est toutefois précisé dans le titre qu’il s’agit de la vérification de données personnelles. Étant donné que les produits du renseignement contiennent également des données personnelles, ils ne sont plus mentionnés. Par ailleurs, il est précisé que les données personnelles incluent les données personnelles sensibles et les données personnelles sensibles reposant sur un profilage, y compris un profilage à haut risque. Comme la communication doit satisfaire à toutes les exigences légales applicables, et pas seulement à celles de la LPD, leur mention explicite a été supprimée.

Art. 60

Cet article correspond en grande partie à l’actuel art. 60. Pour les SRCant, les restrictions de l’art. 58, al. 3 s’appliquent.

Al. 1

Il est également précisé dans cet alinéa que les données personnelles incluent les données personnelles sensibles et les données personnelles sensibles reposant sur un profilage, y compris profilage à haut risque. Ces données peuvent également être communiquées dans le cadre d’une demande d’intervention d’un SRCant ou d’une unité d’observation de la police cantonale, ou afin de déposer une demande de renseignements. La délégation de compétences législatives au Conseil fédéral ne change pas.

Al. 3

Par souci d’harmonisation avec le concept global de gestion des données, seul le terme «données» est remplacé par «données personnelles» dans cet alinéa.

Art. 61

Al. 1

Il est également précisé dans cet alinéa que les données personnelles incluent les données personnelles sensibles et les données personnelles sensibles reposant sur un profilage, y compris profilage à haut risque. Étant donné que, du point de vue de la protection des données, le fait que des données personnelles figurent sur une liste ne fait aucune différence, la référence correspondante a été supprimée. Il importe uniquement de s’assurer que les conditions légales à la communication sont respectées pour chaque donnée personnelle communiquée.

Art. 62

Il est également précisé dans cet article que les données personnelles incluent les données personnelles sensibles et les données personnelles sensibles reposant sur un profilage, y compris profilage à haut risque.

Let. a

Le terme «transmission» est remplacé par «communication», employé dans la LPD. Le contenu ne s’en trouve pas modifié.

Let. b

Ici, le terme «Gefährdung» est remplacé par le terme «Bedrohung» utilisé par ailleurs dans cette loi (voir art. 6, al. 1, let. a). Le contenu ne s’en trouve pas modifié.

Let. c

Le terme «demande de renseignement» est remplacé par «requête d’accès». Cette modification précise qu’il ne s’agit pas d’une demande d’accès au sens des art. 63 et 63a P-LRens, mais d’une requête du SRC ou d’un SRCant. La transmission d’informations à des sources ou dans le cadre d’auditions est également réglée par cette disposition. Le contenu de celle-ci ne s’en trouve pas modifié.

Let. d

Le renvoi à la communication à des tiers dans le cadre de l’art. 45, al. 4 P-LRens, est ajouté ici.

Art. 63 Principe

Cet article prévoit que la LPD s’applique généralement au droit d’accès, tant pour les données administratives que pour celles relevant du renseignement. Y font exception l’art. 63a, al. 5 P-LRens (renseignement sommaire) et les art. 63b à 65 P-LRens (vérification par le PFPDT, communication du PFDPT et vérification par le TAF). Le droit d’accès concerne, outre les données administratives, toutes les données de renseignement (y compris les données relevant du renseignement (également celles qui sont enregistrées séparément).

Art. 63a Droit d’accès aux données personnelles relevant du renseignement

Al. 1

Le SRC communique les informations nécessaires à la personne qui a déposé la demande, de sorte qu’elle puisse faire valoir ses droits en vertu de la LPD. Cela se fait en principe par la communication des données personnelles «en tant que telles», mais peut également se faire par la remise de copies si cela s’avère nécessaire pour des raisons d’efficacité (p. ex. dans le cas d’un procès-verbal d’un entretien entre la personne concernée et le SRC) ou pour garantir la transparence du traitement des données.

Al. 2

Le SRC peut refuser ou limiter la communication des informations pour les motifs prévus à l’art. 26 LPD. Dans ce cas, il rend une décision susceptible de recours conformément à l’art. 5 de la loi fédérale du 20 décembre 1968 sur la procédure administrative⁴³ (PA). L’obligation de rendre une décision motivée découle matériellement de l’art. 26, al. 4, LPD, ainsi que de l’art. 66 du projet de révision a contrario.

Al. 3

Le SRC conserve la possibilité de différer la communication d’informations. Outre les motifs énumérés à l’art. 26 LPD, il peut toujours différer la communication lorsqu’il ne traite pas de données relatives à la personne qui a présenté la demande. Contrairement à la situation actuelle, cette disposition est toutefois formulée au conditionnel et ne doit être appliquée que dans des cas exceptionnels. Cela signifie que le SRC peut immédiatement informer une personne non enregistrée de l’absence d’enregistrement et qu’il n’est pas tenu de la laisser dans l’incertitude pendant trois ans. Dans les cas non compromettants, il peut également communiquer de sa propre initiative l’absence d’enregistrement et n’est pas tenu d’attendre que le PFPDT constate qu’un préjudice grave et irréparable serait causé à la personne concernée. Le SRC suit déjà largement cette pratique aujourd’hui, car le PFPDT a recommandé de fournir des informations dans de nombreux cas de ce type.

Al. 4

Cet alinéa correspond en grande partie à l’actuel art. 63, al. 4. Si le report en soi n’est pas susceptible de recours, la communication des données au sens de la LPD intervient après la levée de l’intérêt au maintien du secret, et ce sous la forme d’une décision susceptible de recours au sens de l’art. 5 PA.

Al. 5

Aujourd’hui, rien ne régit ce qui se passe lorsque la communication des informations entraîne une charge de travail excessive. Il est désormais prévu que le SRC puisse, dans ce cas, fournir des informations sommaires sur les données que la personne qui a présenté la demande a elle-même publiées ou transmises au SRC, en indiquant la période et le contexte dans lesquels les données ont été traitées, les personnes habilitées à y avoir accès et les services auxquels elles ont été communiquées(Par exemple, si un journaliste a publié chaque semaine des articles sur la sécurité intérieure ou extérieure, ceux-ci ne lui seront pas remis en copie, mais il suffira que le SRC lui communique combien d’articles il a enregistrés et de quand datent ceux-ci). Des renseignements sommaires peuvent également consister en une liste de mots-clés des documents publiés ou envoyés au SRC (p.ex. titre des documents, période de publication, etc.) L’expérience acquise ces dernières années dans le traitement des demandes de renseignements a démontré que la communication de renseignements n’entraîne une charge de travail excessive que dans des cas exceptionnels (p. ex. lorsqu’une personne s’est engagée pendant des décennies en faveur de la sécurité intérieure ou extérieure, a publié de nombreux articles et avis dans ce contexte et a été largement citée par les médias suisses et étrangers en relation avec divers événements, ou lorsqu’une personne a adressé plusieurs fois par semaine des requêtes au SRC dans l’exercice de ses fonctions officielles pendant plusieurs années).

Al. 6

Cet alinéa correspond à l’actuel art. 63, al. 5.

Art. 63b Vérification par le PFPDT

Al. 1

Cet alinéa correspond en grande partie à l’actuel art. 63, al. 3. Au lieu d’intérêts exigeant le maintien du secret qui justifient le report, on parle désormais de justification du report.

Al. 2

Cet alinéa correspond à l’actuel art. 64, al. 5. Afin d’uniformiser la terminologie allemande, le terme «Gefährdung» est également remplacé par «Bedrohung» dans ce paragraphe. Il est évident que le PFPDT ne peut procéder à une vérification que s’il est informé des faits qui sont soumis au secret. C’est pourquoi le SRC doit motiver ses reports auprès du Préposé.

Art. 64 Communication du PFPDT

Al. 1

L’actuel art. 64, al. 1 est devenu obsolète (voir l’art. 63b, al. 1).

Le nouvel al. 1 correspond à l’actuel art. 64, al. 2. Il renvoie au principe de la LPD selon lequel le PFPDT est autorisé à ouvrir une enquête en cas d’erreurs, ce qui est précisé par souci d’exhaustivité.

Al. 2

Par dérogation à l’art. 49, al. 4, LPD, le demandeur n’est logiquement pas informé du résultat de l’enquête. Étant donné que la communication prévue à l’art. 64, al. 1, remplace celle prévue à l’art. 49, al. 4, LPD, le contenu de la communication du PFPDT se limite à ce qui est indiqué à l’art. 64, al. 1 (le PFPDT n’informe ni de l’ouverture ni du résultat d’une éventuelle enquête, afin que le demandeur ne puisse pas savoir si le SRC traite des données le concernant).

Al. 3

Dans l’avant-projet de révision, la voie de recours devant le Tribunal administratif fédéral était encore prévue, ce qui correspondait à la LPD et à la LRens alors en vigueur. La révision totale de la LPD ayant supprimé la voie de recours devant le Tribunal administratif fédéral tant dans la LPD que dans la LRens, le SRC avait fait de même dans le présent projet de révision.

La consultation externe a toutefois démontré que la suppression de l’accès au TAF causait une restriction aux droits des personnes. C’est pourquoi le SRC a proposé de réintroduire la vérification par le TAF dans le projet.

Cet alinéa correspond en grande partie à l’actuel art. 64, al. 3. Le Tribunal administratif fédéral doit désormais examiner le report de l’information (anciennement appelé réponse) et le traitement des données. Comme il n’y a plus de recommandations, cette notion a été supprimée.

Al. 4

La LPD confère désormais au PFPDT, comme déjà mentionné, le droit de rendre des décisions. Les actuelles recommandations (voir l’actuel art. 64, al. 2) sont supprimées. Le contenu de l’actuel al. 4 est donc obsolète.

Art. 65 Vérification par le Tribunal administratif fédéral

Concernant la réintroduction d’une vérification par le Tribunal administratif fédéral, voir les explications relatives à l’art. 64, al. 3.

Al. 1

Cette disposition correspond à l’art. 65, al. 1 tel qu’il a été abrogé lors de la révision totale de la LPD.

Al. 2

Cet alinéa correspond à l’art. 65, al. 2 tel qu’il a été abrogé lors de la révision totale de la LPD. Étant donné que le PFPDT n’émet plus de recommandations, les explications à ce sujet ont été supprimées.

Art. 66

Al. 1

Cet article avec références adaptées correspond à l’actuel art. 66, al. 1.

Art. 66a Dispositions particulières applicables au droit d’accès

Conformément à l’art. 46, al. 2 P-LRens, l’examen de l’application de l’art. 5, al. 5, n’intervient que lorsque le SRC entend utiliser comme données de travail des données personnelles provenant de sources accessibles au public et des données personnelles enregistrées séparément provenant de MRSA. Étant donné que la communication de données à des requérants relève également de la notion d’utilisation, le SRC doit procéder à cet examen avant de fournir des renseignements au requérant.

Art. 68

Cet article correspond en grande partie à l’actuel art. 68. Les règles d’archivage touchant l’AS-Rens figurent désormais à l’art. 78e.

Al. 1

Dans la présente loi et les ordonnances d’exécution subséquentes, une distinction est faite entre les termes «supprimer» et «détruire». Le SRC propose les données destinées à être supprimées aux AFS à des fins d’archivage. Il détruit les données jugées sans valeur archivistique ou qui ont déjà été remises aux AFS. L’al. 1 porte sur l’archivage de données dont le SRC n’a plus besoin en permanence. Cette phase concerne donc la «suppression» et non la «destruction» de données. Seuls les moyens de recherche sont enregistrés dans le système des AFS. Les données proprement dites sont stockées sur des disques durs indépendants.

Al. 4

Cet alinéa précise que le SRC détruit les données que les AFS jugent sans valeur archivistique, ceci immédiatement après leur suppression, même si leur délai de conservation n’a pas encore expiré. Cela correspond au principe de la protection des données selon lequel les données ne peuvent être traitées que pendant la durée nécessaire à l’accomplissement de la tâche (la conservation de données déjà supprimées constitue également un traitement de données).

Art. 70

Al. 1, let. c

La let. c de l’actuel art. 70, al. 1, doit être supprimée pour éviter les doublons. D’une part, selon art. 27 révisé, le SRC sera désormais habilité à mener des MRSA contre des personnes et des groupes extrémistes violents, ce qui rend superflue la qualification de ces personnes et groupes qui incombait jusqu’ici au Conseil fédéral. D’autre part, selon la nouvelle conception du traitement des données, il n’y aura plus à l’avenir de système d’information séparé IASA-EXTR dans lequel les données relatives aux personnes et aux groupes extrémistes violents sont traitées séparément des autres données relevant du renseignement.

Al. 1, let. d

La let. d de l’actuel art. 70, al. 1, doit également être supprimée pour éviter les doublons. Une appréciation annuelle supplémentaire de la situation en matière de politique de sécurité n’est plus nécessaire aujourd’hui, d’autant plus que le Conseil fédéral fournit des informations beaucoup plus complètes à ce sujet via ses rapports sur la politique de sécurité, qui sont désormais publiés tous les quatre ans. Le pilotage politique du Service de renseignement est suffisamment couvert par les autres dispositions de l’article. Cette suppression ne concerne pas les rapports du DDPS sur le renseignement et la politique de sécurité à l’intention des commissions parlementaires compétentes (art. 80). Ces derniers sont maintenus conformément aux besoins du Parlement.

La suppression permet en outre d’éviter une certaine contradiction avec l’al. 2, qui dispose que les documents liés aux tâches visées à l’al. 1 ne sont pas accessibles au public. Le rapport de situation annuel du SRC, qui présente les principaux aspects de l’évolution de la situation du point de vue du renseignement, informe dans tous les cas le public sur l’appréciation de la situation.

Al. 3

La disposition existante selon laquelle le Conseil fédéral est autorisé à conclure seul des traités internationaux dans le domaine du renseignement doit être étendue aux domaines de la recherche d’informations et de la formation. Conformément à la pratique internationale, lesdits traités peuvent peuvent être classifiés «secret» en vertu de l’art. 13, al. 3, LSI. À l’heure actuelle, la collaboration internationale en matière de renseignement a tendance à se formaliser. Il est toutefois peu probable qu’un autre État soit prêt à conclure des traités accessibles au public dans ce domaine dans un avenir proche.

La nouvelle LSI prévoit l’autorisation générale du Conseil fédéral de conclure des traités internationaux en matière de sécurité de l’information (art. 87, en vigueur depuis le 1^er mai 2022). Afin d’éviter toute ambiguïté, la mention de cette compétence est aussi maintenue dans la LRens, au même titre que les domaines dans lesquels le Conseil fédéral peut conclure seul des traités portant sur la collaboration en matière de renseignement.

Le Conseil fédéral rend compte chaque année à l’Assemblée fédérale des traités internationaux qu’il a conclus de manière indépendante. En revanche, seule la DélCdG est informée des traités confidentiels ou secrets conclus dans le domaine du renseignement (art. 48a, al. 2, LOGA). De plus, les organes de surveillance des services de renseignement AS-Rens et DélCdG conservent, en vertu de leurs droits de surveillance, un accès illimité à ces documents, sur demande. Le contrôle et la surveillance sont ainsi garantis.

Art. 74

Les alinéas abrogés sont désormais intégrés au nouvel alinéa sur les dispositions pénales, intégré avant les dispositions finales. Toutes les dispositions pénales sont ainsi regroupées à la fin de la loi, comme de coutume (s’agissant de la numérotation des alinéas, voir les explications relatives à l’art. 83a).

Art. 75 Auto-contrôle du SRC

La présente loi emploie le terme «autorités d’exécution cantonales», aussi la formulation de l’article est harmonisée en ce sens.

Art. 76 Autorité de surveillance indépendante des activités de renseignement

Art. 77

Al. 2

La procédure concernant la soumission du projet de budget annuel au Conseil fédéral par l’AS-Rens via le DDPS et sa transmission sous forme inchangée à l’Assemblée fédérale, jusqu’alors uniquement réglée à l’art. 4 OS-Rens, est désormais intégrée à l’art. 77, al. 2, étant donné qu’une base légale formelle est en principe nécessaire à cet égard.

Al. 3^bis

Cet alinéa reprend le contenu de la deuxième phrase de l’actuel al. 2 et précise que l’AS-Rens engage elle-même son personnel.

Art. 78 Activités de l’AS-Rens

Cette disposition reprend le contenu des al. 1 et 2 de l’actuel art. 78 avec quelques adaptations rédactionnelles (nouveaux al. 1 et 2) et se concentre sur les tâches de l’AS-Rens, les services soumis à surveillance et la coordination avec les autres autorités de surveillance de la Confédération et des cantons.

Art. 78a Compétences de l’AS-Rens

Al. 1 et 2

Ces alinéas reprennent le contenu de l’actuel art. 78, al. 4.

Al. 3

Pour garantir l’accomplissement de ses tâches, notamment la surveillance de l’exploration du réseau câblé (reprise des activités de surveillance de l’OCI, art. 79, al. 2 LRens), le nouvel al. 3 précise que l’AS-Rens peut exiger la participation des fournisseurs de services postaux et de télécommunication ainsi que l’accès à leurs locaux.

Al. 4

Les termes relatifs à la gestion des données figurant à l’al. 4, qui reprend l’actuel art. 78, al. 5, 1^re et 3^e phrases, sont adaptés au nouveau concept de gestion des données et à la LPD. Le contenu ne s’en trouve pas modifié. Il est dorénavant précisé que l’accès aux données des services soumis à surveillance peut également s’effectuer en ligne (accès online).

Al. 5

L’al. 5 mentionne désormais expressément la compétence de l’AS-Rens en matière de traitement de données personnelles de toute nature. Cette compétence existe déjà aujourd’hui, puisque l’actuel art. 78, al. 5, habilite l’AS-Rens à accéder à toutes les données des services soumis à surveillance et à enregistrer les données collectées. Ce nouvel alinéa met la loi en conformité avec la LPD, en particulier avec son art. 34.

Les données traitées par l’AS-Rens peuvent être classées dans les trois catégories suivantes:

• – Données des services soumis à surveillance: conformément à l’al. 5, elles ne sont conservées que pendant la durée nécessaire à la réalisation du but du traitement.

• – Données administratives: données et documents nécessaires à l’accomplissement des tâches administratives de l’AS-Rens.

• – Données de surveillance: toutes les données et tous les documents créés par l’AS-Rens elle-même, tels que la correspondance relative aux contrôles, les procès-verbaux des auditions, les rapports de contrôle, etc. Ces données sont sensibles et nécessitent une protection particulière lors de leur traitement et de leur archivage (voir l’ art. 78e P-LRens et les explications correspondantes).

Al. 6

L’al. 6 reprend le contenu de l’actuel art. 78, al. 5, 2^e phrase. Il précise par ailleurs que les données et documents des services soumis à surveillance sont effacés ou détruits dès que le but du traitement est atteint.

Art. 78b Résultat des contrôles et mise en œuvre des recommandations

Cette disposition comprend les al. 6 et 7 de l’actuel art. 78. Elle porte sur la forme du résultat des contrôles effectués par l’autorité de surveillance indépendante ainsi que sur le destinataire des rapports qu’elle établit, et précise la responsabilité de la mise en œuvre des recommandations formulées.

La DélCdG a exigé des éclaircissements sur les activités de l’AS-Rens dans le cadre de la surveillance des SRCant et sur ses éventuelles recommandations. Des précisions sont donc apportées au texte de loi. Si l’art. 78, al. 1 dispose clairement que les activités de surveillance de l’AS-Rens s’étendent également aux activités des SRCant, la question des recommandations que l’AS-Rens adresse à ces dernières n’a jusqu’à présent été que partiellement réglée dans l’OS-Rens (art. 13, al. 1). Le nouvel art. 78b résout ce manque de clarté en précisant à l’al. 1 que l’AS-Rens peut adresser des recommandations à toutes les entités dont elle assure la surveillance en vertu de l’art. 78, al. 1 P-LRens. Grâce à cette précision, il est désormais clair que les recommandations de l’AS-Rens peuvent être adressées à un ou plusieurs services s’il est question de collaboration entre différents organes. De plus, la précision concernant l’information à l’autorité cantonale de surveillance, qui figurait dans l’ordonnance, sera désormais inscrite dans la loi.

Le DDPS ou le service cantonal compétent est chargé de mettre en œuvre les recommandations de l’AS-Rens, indépendamment de l’organe auquel celles-ci sont adressées, en vertu du nouvel art. 78b, qui reprend l’actuel art. 78, al. 1. Le nouvel al. 4 introduit une nouvelle procédure pour la validation des recommandations relevant de la compétence cantonale et, le cas échéant, pour leur rejet par les autorités cantonales. La compétence décisionnelle au sein des cantons est ainsi réglée de manière analogue à l’échelon fédéral (voir al. 2), et il est tenu compte d’une demande de la DélCdG.

Art. 78c Collaboration avec des autorités de surveillance et organisations étrangères

Les principes de la coordination de la surveillance des services de renseignement avec les autorités étrangères sont désormais réglementés par la LRens. Les détails de cette coordination internationale sont définis dans l’OS-Rens. Les raisons de cette adaptation sont les suivantes:

La transmission mutuelle d’informations, notamment de données personnelles, a augmenté parallèlement à l’intensification de la collaboration transfrontalière des services de renseignement et aux évolutions techniques. Cet échange d’informations et de données avec les services de renseignement étrangers fait partie du travail quotidien du SRC. Il peut être effectué sous diverses formes, par oral ou par écrit. Compte tenu de l’internationalisation continue des activités de renseignement, la collaboration entre les autorités de surveillance gagne en importance. Cette collaboration est souvent nécessaire pour assurer une surveillance efficace des services de renseignement actifs au niveau international. C’est pourquoi l’AS-Rens doit avoir la possibilité d’échanger des informations et des expériences avec ses partenaires internationaux en matière de surveillance, à l’instar d’autres autorités de surveillance suisses (p. ex. l’Autorité fédérale de surveillance des marchés financiers ou le PFPDT).

La coordination internationale avec des partenaires externes joue également un rôle important dans la formation des membres de l’AS-Rens en matière de renseignement. Le développement des connaissances de l’AS-Rens comme de ses membres ne peut pas se fonder uniquement sur les informations fournies par les autorités soumises à la surveillance.

Art. 78d Rapport d’activité

L’art. 78d P-LRens reprend la formulation de l’actuel art. 78, al. 3. L’information spécifique du DDPS s’effectue par le biais de la communication du résultat des différents contrôles de l’AS-Rens (art. 78b, al. 1).

Art. 78e Archivage

Al. 1 et 2

Il est désormais précisé que l’AS-Rens propose elle aussi aux AFS les données dont elle n’a plus besoin en permanence et qui sont destinées à être supprimées (données de surveillance et données administratives, ainsi qu’autres documents), que les AFS stockent ces données dans des locaux hautement sécurisés, et que celles-ci sont soumises à un délai de protection prolongé (voir al. 2). Les données de l’AS-Rens reposent en grande partie sur celles du SRC, des SRCant et des autres services soumis à surveillance, raison pour laquelle l’intérêt au maintien du secret est tout aussi important. Seuls les moyens de recherche sont enregistrés dans le système des AFS. Les données proprement dites sont stockées sur des disques durs indépendants.

L’AS-Rens détruit les données que les AFS jugent sans valeur archivistique, par exemple des données administratives, ceci immédiatement après leur suppression, même si leur délai de conservation n’a pas encore expiré. Cela correspond au principe de la protection des données selon lequel les données ne peuvent être traitées que pendant la durée nécessaire à l’accomplissement de la tâche (la conservation de données déjà supprimées constitue également un traitement de données).

Art. 79

Comme indiqué dans le commentaire général de la présente section («Contrôle et surveillance du SRC»), l’AS-Rens reprend intégralement les tâches de l’OCI, avec toutes les compétences y relatives. L’art. 79, qui règle l’existence et les tâches actuelles de l’OCI, peut ainsi être abrogé sans remplacement.

Art. 80

Étant donné que les collaborateurs des services nationaux peuvent eux aussi être dotés d’une identité d’emprunt (voir art. 18), l’information du Conseil fédéral et de la DélCdG concernant le but et le nombre des identités d’emprunt est étendue. Sur demande de la DélCdG, il doit en outre être précisé que le rapport fournit également des informations sur la dotation des sources humaines en identités d’emprunt.

La LRens emploie le terme «autorités d’exécution cantonales», aussi la formulation de l’al. 4 est harmonisée en ce sens.

Art. 83a–83b

Les explications justifiant l’introduction de la disposition pénale concernant l’interdiction d’exercer une activité figurent à l’art. 83c.

L’art. 83b P-LRens reprend les alinéas abrogés 4, 4^bis et 5 de l’art. 74. Le libellé de l’art. 74 correspond à la version adoptée par le Parlement⁴⁴ le 25 septembre 2020 en lien avec la mise en œuvre de la Convention du Conseil de l’Europe pour la prévention du terrorisme. Il est entré en vigueur au 1^er juillet 2021.

Comme les décisions relatives à l’interdiction d’exercer une activité et à l’interdiction d’organisations sont rendues par le Conseil fédéral, les dispositions pénales correspondantes obéissent à des règles de poursuite pénale différentes de celles des autres infractions visées à l’art. 83c.

Art. 83c Insoumission à une décision et violation de l’obligation de garder le secret

Al. 1 et 2

La loi ne prévoit actuellement aucune sanction exécutive ou pénale particulière (telle que des dispositions pénales) pour le cas où les personnes concernées s’opposeraient à une demande de renseignements de la part du SRC, notamment en vertu de l’art. 25, al. 1. Les moyens de contrainte administratifs servent à faire respecter les obligations légales des personnes qui n’observent pas les obligations qui leur incombent. Ainsi, le SRC ne dispose actuellement que des outils prévus par le droit procédural (art. 40 s. PA) pour faire exécuter une ordonnance en vertu de l’art. 25. La seule possibilité est de menacer la personne concernée d’une amende pour insoumission en vertu de l’art. 292 du code pénal (CP)⁴⁵. Conformément à l’art. 106, al. 1, CP, le montant maximum d’une telle amende s’élève à 10 000 francs. Si la disposition n’est pas respectée, le SRC peut déposer une plainte auprès du ministère public cantonal compétent pour insoumission à une décision de l’autorité.

Le SRC peut rendre des décisions en rapport avec les obligations de fournir des renseignements qui incombent aux particuliers (art. 25). Le service chargé de l’exploration du réseau câblé peut en outre rendre des décisions impliquant un exploitant de réseaux filaires ou un opérateur de télécommunications afin d’obtenir des données (art. 43). Conformément à l’art. 26 ORens, le service exécutant est l’ACEM, rattaché au commandement Cyber.

Si les obligations découlant de cette loi sont violées et que l’accomplissement des tâches légales du SRC s’en trouve entravé, une nouvelle disposition doit permettre de sanctionner les personnes responsables. Cette disposition se base sur la disposition pénale dans la LSCPT (art. 39) et reprend la même menace de peine. L’ampleur de cette sanction est notamment justifiée par le fait qu’une amende doit avoir un effet répressif approprié. Dans le domaine de l’exploration du réseau câblé en particulier, il est peu probable qu’une amende dont le maximum s’élèverait à seulement 10 000 francs produise l’effet escompté sur les personnes responsables, ceci pour de nombreux fournisseurs de services de télécommunication. Par analogie à l’art. 39 LSCPT, la punition visée à cet article n’est que subsidiaire à des dispositions plus strictes qui pourraient s’appliquer simultanément en vertu d’autres lois. On peut ici notamment citer les violations d’obligations de garder le secret (et év. l’abus d’autorité), qui sont réglementées en détail dans le CP. Il en va de même pour la falsification de titres visée à l’art. 251 CP.

Dans le cadre de l’exploration du réseau câblé, tout exploitant de réseaux filaires ou opérateur de télécommunications qui ne fournit pas les données exigées par le service chargé de l’exploration est passible de poursuites. Il est possible qu’un exploitant de réseaux filaires doive fournir des données pour plusieurs explorations distinctes. Si l’exploitant ne s’acquitte pas de ses obligations, les personnes responsables sont passibles de poursuites à plusieurs reprises. L’amende peut être augmentée en cas de récidive. Les critères usuels de détermination de la peine s’appliquent.

La divulgation d’informations à des tiers conformément aux art. 19, al. 3, et 20, al. 2, équivaut à une violation du secret de fonction au sens de l’art. 320 CP. C’est pourquoi la LRens ne contient pas de disposition pénale spécifique à ce sujet, mais seulement une disposition pénale visant les particuliers. Jusqu’à présent, la divulgation d’informations à des tiers était non punissable pour les particuliers.

Le nouvel al. 2 crée la possibilité, dans les cas mineurs, de condamner l’entreprise à payer une amende pour non-respect des obligations d’un collaborateur de l’entreprise. Cette disposition permet aux autorités d’éviter des frais d’enquête disproportionnés.

Contrairement aux particuliers qui, en vertu de l’art. 25, sont tenus de fournir des renseignements ou des enregistrements au SRC, les sources humaines visées à l’art. 15 ne sont soumises à aucune obligation de fournir des informations. Elles ne sont donc pas non plus soumises à cette disposition pénale.

Art. 83d Juridiction

Al. 1

Cette disposition permet au SRC ainsi qu’au service chargé de l’exploration du réseau câblé de prendre des mesures contre toute personne qui ne s’acquitte pas de ses obligations, conformément aux principes du droit pénal administratif. Le même principe s’applique à la violation de l’obligation de garder le secret. Dans le cadre de ces procédures, le service chargé de l’exploration du réseau câblé rend des décisions, raison pour laquelle il est également mentionné dans cet alinéa.

Al. 2

Cet alinéa reprend l’art. 74, al. 6 (abrogé). Il est complété par la poursuite et le jugement de la violation de l’interdiction d’exercer une activité.

Art. 83e Communication

Cet article reprend le contenu de l’art. 74, al. 7 (abrogé). Il concerne l’infraction à l’interdiction d’organisations et à l’interdiction d’exercer une activité.

Art. 85 Exécution par les cantons

Al. 1

Les SRCant sont déjà habilités à obtenir et à traiter des informations au sens de l’art. 6, al. 1, let. a. Désormais, ils auront également la possibilité, sur mandat du SRC, de traiter des informations au sens de l’art. 6, al. 1, let. b (informations relatives à des événements à l’étranger et dans le cyberespace qui revêtent une importance pour la politique de sécurité). Cette disposition correspond déjà à la pratique actuelle, à l’exception de la nouvelle mention du cyberespace. Si, par exemple, un SRCant est chargé de contacter des membres d’un mouvement d’opposition résidant en Suisse afin de les sensibiliser au fait qu’ils pourraient être espionnés par leur pays d’origine, les informations visées à l’art. 6, al. 1, let. b, doivent également être transmises au SRCant dans le cadre de l’attribution du mandat.

Le traitement de telles informations est toutefois important dans le domaine de la sûreté extérieure, mais aussi pour le renseignement et la lutte contre les menaces et les activités d’influence émanant de puissances étrangères. Ces activités sont pertinentes sur le plan de la politique de sécurité lorsqu’elles émanent d’États, sont dirigées contre le fonctionnement d’un État ou d’une société, ou ont comme objectif de saper l’ordre démocratique d’un État de droit. Il peut s’agir de retarder des processus décisionnels, d’orienter des décisions dans une direction souhaitée ou, de manière générale, de saper la confiance dans les processus démocratiques et l’action de l’État. Ces activités sont le fait d’acteurs étatiques étrangers et peuvent être soutenues par des personnes se trouvant en Suisse. Là encore, les informations visées à l’art. 6, al. 1, let. b, doivent être transmises au SRCant dans le cadre de l’attribution du mandat.

Al. 2

La compétence pour recourir aux mesures de recherche non soumises à autorisation était jusqu’à présent régie l’art. 85, al. 1. Comme déjà indiqué dans les commentaires relatifs à l’art. 9, al. 3 P-LRens, les SRCant, lorsqu’ils établissent leur rapport à l’intention du SRC, doivent respecter la restriction relative au traitement des données prévue à l’art. 5, al. 5.

Modification d’autres dispositions

Loi fédérale du 21 mars 1997 instituant des mesures visant au maintien de la sûreté intérieure ⁴⁶

Ces modifications tiennent compte de la mise en œuvre de la motion Rieder 17.3862 «Interdiction de se rendre dans un pays donné pour les extrémistes potentiellement violents».

Art. 2

Les mesures préventives de police existantes sont complétées à l’al. 2, let. f, par des mesures contre la violence lors de défilés et de rassemblements. Les personnes dont il y a lieu de craindre, sur la base d’indices concrets et actuels, qu’elles souhaitent quitter le territoire pour participer à un défilé ou à un rassemblement en vue de commettre des actes de violence contre des personnes ou des biens à l’étranger sont empêchées d’agir et d’atteindre leur objectif. Une restriction de sortie du territoire à l’encontre de ces personnes sert à prévenir un danger. Les mesures préventives de police empêchent les personnes concernées d’exprimer leurs revendications par la violence.

Art. 10a Assistance administrative entre autorités suisses

La sauvegarde de la sûreté intérieure et extérieure de la Suisse est une tâche de l’État qui doit être accomplie de manière coordonnée, en tenant compte des structures existantes aux trois niveaux étatiques, à savoir la Confédération, les cantons et les communes. La coopération nationale est indispensable pour lutter efficacement contre les menaces. La Confédération, les cantons et les communes se soutiennent mutuellement dans l’accomplissement de leurs tâches et collaborent entre eux. Ils sont tenus de se prêter mutuellement assistance (voir l’art. 4, al. 2, de cette loi et l’art. 44, al. 2, Cst.). Selon les cas, l’obligation de fournir une assistance administrative peut concerner, par exemple, les autorités de police, les autorités de poursuite pénale et les autorités judiciaires (tribunaux) de la Confédération et des cantons, le SRC, les SRCant, le Secrétariat d’État aux migrations (SEM), les autorités cantonales d’exécution des peines, les autorités de protection de l’enfant et de l’adulte ainsi que les offices des habitants, des migrations, des affaires sociales, des impôts et du registre foncier. Sont également concernés par l’obligation d’assistance administrative dans des cas particuliers les établissements de droit public tels que les offices d’assurance-invalidité ou la Caisse nationale suisse d’assurance en cas d’accidents.

Jusqu’à présent, les dispositions relatives à l’assistance administrative et au traitement des données étaient régies par des sections spéciales de la LMSI. Désormais, ces dispositions seront, dans la mesure du possible, regroupées dans la 3^e partie commune déjà existante. Les dispositions spéciales relatives au traitement des données, telles que celles concernant les tâches de protection des personnes et des bâtiments prévues à l’art. 23b, prévalent dans la mesure où elles dérogent aux dispositions générales de la 3^e partie de la présente loi.

Al. 1 et 2

Cet article régit l’assistance administrative entre fedpol et les autorités fédérales, cantonales et communales. D’une part, les autorités mentionnées sont tenues, sur demande, de communiquer à fedpol les informations nécessaires à l’accomplissement des tâches visées à l’art. 2 de cette loi, y compris les données personnelles sensibles au sens de l’art. 5, let. c, ch. 1, 2 et 4 à 6, LPD. Ne sont pas concernées les données génétiques qui, en vertu de l’art. 5, let. c, ch. 3, LPD, sont considérées comme des données personnelles sensibles. D’autre part, fedpol est tenu, dans la mesure où aucun intérêt au maintien du secret ne s’y oppose, de communiquer aux autorités fédérales, cantonales et communales qui en font la demande, dans des cas particuliers, les informations et les données personnelles sensibles qui ont été collectées en vertu de la présente loi, qui ont un lien objectif avec les tâches prévues par la présente loi et qui sont nécessaires à l’accomplissement de leurs tâches légales.

Fedpol est tenu, dans des cas particuliers, de collecter des informations, y compris des données personnelles sensibles, sur des personnes susceptibles d’être concernées par une mesure prise en vertu de la présente loi. Un cas particulier ne doit pas nécessairement se rapporter à une seule personne, mais peut également concerner, par exemple, une manifestation ou un événement particulier présentant des risques. Les demandes groupées sont autorisées, c’est-à-dire qu’une demande d’informations concernant plusieurs personnes peut être présentée dans le cadre d’une seule demande d’assistance administrative et traitée ensuite de manière groupée. Les données personnelles particulièrement sensibles de tiers peuvent être collectées si cela est nécessaire dans un cas particulier pour l’accomplissement des tâches prévues par la présente loi. Il convient de veiller à ce que le service qui traite les données n’ait pas connaissance d’informations couvertes par un secret professionnel, commercial ou de fabrication qui ne sont pas en rapport avec la raison pour laquelle le traitement des données est nécessaire. La collecte des données en vertu de la présente loi et leur traitement ultérieur ne nécessitent pas le consentement de la personne concernée ou du tiers. Les données collectées en vertu de la présente loi sont traitées conformément aux art. 3 ss de la loi fédérale du 13 juin 2008 sur les systèmes d’information de police de la Confédération (LSIP)⁴⁷ notamment en vue de l’examen, de l’adoption et de l’exécution des mesures. Le traitement des données débouche en règle générale sur une procédure régie par la PA.

Al. 3

Fedpol peut refuser de communiquer des informations et des données personnelles sensibles au sens de l’al. 2 lorsque la sauvegarde de la sûreté intérieure ou extérieure de la Suisse exige le maintien du secret.

Art. 10b Assistance administrative aux autorités étrangères

Les activités qui menacent la sûreté intérieure ou extérieure de la Suisse ne se limitent pas au territoire cantonal, mais s’étendent, selon la situation, l’organisation et le réseau, au territoire de plusieurs cantons et pays. Cette situation rend indispensable une coopération internationale étroite.

Al. 1

Fedpol peut, pour accomplir les tâches visées à l’art. 2 ainsi qu’aux art. 67, al. 4, et 68 LEI, échanger des informations, y compris des données personnelles sensibles au sens de l’art. 5, let. c, ch. 1 à 2 et 4 à 6, LPD, avec les autorités étrangères qui accomplissent dans leur pays des tâches analogues à celles de fedpol.

Une interdiction d’entrée sur le territoire et une expulsion au sens de l’art. 67, al. 4, et de l’art. 68 LEI ont, tout comme les mesures prévues à l’art. 2 LMSI, pour but de prévenir un danger pour la sûreté intérieure ou extérieure de la Suisse, raison pour laquelle les mêmes possibilités d’assistance administrative doivent être disponibles pour l’accomplissement des tâches. Les autorités fédérales, cantonales et communales sont déjà tenues, en vertu de l’art. 97, al. 1 et 2, LEI, de communiquer les données nécessaires à l’adoption et à l’exécution d’une expulsion ou d’une interdiction d’entrée sur le territoire.

Les informations, y compris les données personnelles sensibles, que fedpol obtient par voie d’assistance administrative en vertu de la présente disposition sont utilisables devant les tribunaux. La transmission de constatations et de renseignements de police provenant de l’étranger est envisageable. Les demandes réciproques concernant des groupes doivent être qualifiées d’assistance administrative et sont donc autorisées. Il est également envisageable que, dans des cas particuliers justifiés, notamment en cas de restrictions de sortie du territoire en vertu de la présente loi, fedpol transmette des informations, y compris des données personnelles sensibles, aux autorités étrangères chargées de tâches similaires afin que celles-ci puissent réagir de manière appropriée en cas de non-respect d’une mesure. Les autorités compétentes du pays où se déroule l’événement ont intérêt à être informées des restrictions de sortie du territoire prononcées par fedpol, car les manifestations sont généralement accompagnées d’un niveau de risque élevé et les mesures de sécurité sont donc particulièrement importantes. Les conditions régissant la communication de données à caractère personnel à l’étranger en vertu des art. 16 et 17 LPD doivent être respectées. La communication de données à des autorités étrangères est notamment autorisée lorsqu’elle est nécessaire à la sauvegarde d’un intérêt public prépondérant (art. 17, al. 1, let. c, ch. 1, LPD).

Al. 2

Si fedpol communique des informations à une autorité étrangère, celles-ci ne peuvent être utilisées que pour la procédure ou l’acte officiel qui est à l’origine de la demande d’assistance administrative. Si les données doivent ensuite être utilisées dans une procédure pénale, les principes de l’entraide judiciaire internationale en matière pénale s’appliquent. Les informations issues de l’assistance administrative internationale ne peuvent être communiquées à des tiers que si fedpol l’autorise au préalable. Les intérêts liés au secret, tels que la protection des sources, doivent être préservés. L’autorité étrangère destinataire est tenue de respecter ces restrictions.

Art. 10c Communication de données entre fedpol et les entreprises chargées d’une mission de droit public ainsi que les exploitants d’infrastructures critiques

Al. 1

Les entreprises chargées d’une mission de droit public et les exploitants d’infrastructures critiques sont tenus, sur demande, de communiquer les informations, y compris les données personnelles sensibles au sens de l’art. 5, let. c, ch. 1 à 2 et 4 à 6, LPD, qui sont nécessaires à l’accomplissement des tâches visées à l’art. 2 de la présente loi ainsi qu’à l’accomplissement des tâches visées à l’art. 67, al. 4, et à l’art. 68 LEI.

Afin de prévenir une atteinte à la sûreté intérieure, par exemple par sabotage, espionnage ou attentat terroriste, ou afin d’évaluer une menace, fedpol est tenu, pour protéger les biens de la police, d’obtenir des informations et des données particulièrement sensibles de la part d’entreprises chargées d’une mission de droit public (p. ex. Chemins de fer fédéraux suisses, exploitants d’aéroports, fournisseurs cantonaux d’énergie) et aux exploitants d’infrastructures critiques (p. ex. stations de transformation dans le réseau de distribution d’électricité, centrales nucléaires).

Al. 2

Fedpol peut communiquer aux entreprises chargées d’une mission de droit public et aux exploitants d’infrastructures critiques des informations et des données personnelles sensibles qui sont nécessaires pour prévenir un danger. La transmission peut inclure des informations sur les modes opératoires nécessaires pour prévenir une menace. La condition préalable est qu’il existe un danger réel pour des personnes, des installations, des bâtiments ou d’autres infrastructures, ou que la situation justifie la transmission des informations. Seules les données nécessaires à la défense contre le danger doivent être transmises. L’échange de données entre les entreprises chargées d’une tâche de droit public et les exploitants d’infrastructures critiques n’est pas prévu par la présente loi.

Art. 10d Demande à fedpol

Les autorités fédérales, cantonales et communales peuvent demander à fedpol de prendre des mesures au sens de l’art. 2 de la présente loi ainsi que des mesures au sens de l’art. 67, al. 4, et de l’art. 68 LEI. La demande doit être motivée. Cela n’empêche pas fedpol d’agir de sa propre initiative et de prendre ces mesures de son chef, pour autant que les conditions y relatives soient remplies.

Art. 14

Al. 1

La référence à l’expulsion à titre préventif et à l’interdiction d’entrée au sens de l’art. 67, al. 4, et de l’art. 68 LEI, que fedpol prononce à l’encontre de ressortissants étrangers pour préserver la sûreté intérieure ou extérieure, est nouvellement ajoutée. Fedpol peut donc se fonder sur les possibilités de recherche d’informations prévues à l’art. 14, al. 2, LMSI pour prononcer ces mesures d’éloignement et d’interdiction d’entrée sur le territoire. Fedpol et les cantons peuvent obtenir ces données comme ils le font déjà en vertu du droit en vigueur, même si les personnes concernées n’en ont pas connaissance.

Art. 23h

La disposition relative au traitement des données selon la section 5 doit être abrogée, car son contenu est couvert par les dispositions communes de la section 3, par les art. 3 ss et 18 LSIP et, dans la mesure où une procédure en résulte, par art. 12 PA.

Art. 23i

La disposition relative à la demande par l’autorité visée à la section 5 doit être abrogée, car son contenu est couvert par les dispositions communes de la section 3.

Art. 23r

L’assistance administrative n’a plus besoin d’être mentionnée à l’al. 2, car elle est couverte par les dispositions communes de la section 3.

Art. 24a

Al. 4

Cette disposition doit être reformulée, car l’art. 13 LMSI, auquel elle renvoie, a été abrogé le 1^er septembre 2017. La nouvelle formulation ne contient plus de renvoi à un autre article, mais mentionne directement les services (initialement énumérés à cet endroit) qui ont une obligation de communiquer. Les tribunaux fédéraux et cantonaux sont également mentionnés. Les jugements rendus en relation avec des violences commises lors de manifestations sportives sont nécessaires pour vérifier les mesures enregistrées dans le système d’information électronique visé à l’art. 24a (adaptation ou, le cas échéant, levée de la mesure en raison d’un acquittement ultérieur). Jusqu’à présent, les jugements parvenaient à fedpol de manière incomplète et par des voies détournées (p. ex. via les autorités de police). Dorénavant, les jugements rendus en relation avec des actes de violence lors de manifestations sportives doivent être transmis directement à fedpol par les tribunaux qui les ont rendus.

Art. 24d Interdiction de se rendre dans un pays donné

L’interdiction de se rendre dans un pays donné est une mesure préventive de police. Elle vise à garantir les fondements démocratiques et constitutionnels et à empêcher des personnes de participer à des actes de violence en relation avec des défilés ou des manifestations à l’étranger. La mesure doit être ordonnée à un stade précoce. Fedpol est habilité à restreindre la liberté de circulation de certaines personnes dans la mesure où les biens juridiques à protéger le justifient. Le non-respect d’une restriction de sortie du territoire est puni d’une amende au sens de l’art. 292 CP.

Aucune restriction de sortie du territoire ne peut être prononcée à l’encontre de l’exercice légitime d’un défilé ou d’une manifestation politique, idéologique ou religieuse. Les activités politiques ainsi que l’expression d’opinions et de croyances visant à provoquer des changements dans l’État et la société ne peuvent être restreintes par des interdictions de se rendre dans un pays donné. La protestation et l’indignation sont indispensables dans une société démocratique. Les droits fondamentaux et les droits de l’homme protègent les expressions de croyances et d’opinions ainsi que les activités politiques qui sont accueillies favorablement ou avec indifférence par une partie de la société, mais aussi celles qui offensent, choquent ou dérangent une partie de la population. C’est ce qu’exigent le pluralisme, la tolérance et l’ouverture d’esprit, sans lesquels il ne saurait y avoir de société démocratique⁴⁹. Les droits fondamentaux et les droits de l’homme sont toutefois abusés lorsqu’ils sont invoqués pour lutter par la violence contre l’ordre démocratique et constitutionnel. Exprimer sa propre opinion par la violence contre d’autres personnes ou des biens n’est pas couvert par le champ d’application objectif du droit à la liberté d’expression⁵⁰. Les personnes dangereuses pour lesquelles des actes violents ne peuvent être exclus doivent accepter la restriction de leurs libertés fondamentales, dans la mesure où celle-ci est proportionnée. Les autorités compétentes doivent utiliser le nouvel instrument de prévention avec prudence. La motivation d’une décision doit être adaptée à la durée du délai et aux informations disponibles dans ce délai.

Al. 1

En tant qu’autorité de police de la Confédération, Fedpol est compétente pour prononcer des restrictions de sortie du territoire à l’encontre de personnes dangereuses ou pour interdire à une personne de quitter la Suisse à destination d’un pays déterminé pour une durée déterminée. Cet alinéa définit les conditions dans lesquelles une restriction de sortie du territoire peut être prononcée.

Let. a

Une personne à l’encontre de laquelle une restriction de sortie du territoire doit être prononcée doit avoir participé, selon une condamnation pénale ou des informations de police ou des services de renseignement, à des actes de violence contre des personnes ou des biens. Ces informations peuvent provenir, par exemple, d’indications relatives à une procédure pénale en cours, de constatations de la police ou des services de renseignement ou d’une décision de renvoi. La participation à un comportement violent peut, mais ne doit pas nécessairement, être liée à un défilé ou à une manifestation.

Let. b

En outre, des indices concrets et actuels doivent permettre de supposer que la personne concernée veut quitter le territoire pour participer, dans le pays de destination, à une manifestation ou à un rassemblement et commettre des actes de violence contre des personnes ou des biens. Il existe des indices concrets de comportement violent futur lorsque le comportement de la personne concernée permet de craindre que celle-ci commette de tels actes. Fedpol doit exposer la probabilité d’un comportement violent futur sur la base du comportement antérieur de la personne concernée. Une telle appréciation comporte des incertitudes. Les indices sont considérés comme pertinents s’ils existent au moment où la restriction de sortie du territoire est ordonnée. Des craintes remontant à longtemps, qui ne semblent plus pertinentes pour la sécurité au moment déterminant, ne peuvent à elles seules justifier l’existence d’un danger actuel. Elles peuvent toutefois être prises en compte dans le cadre d’une appréciation globale, en combinaison avec d’autres indices.

Al. 2

Non seulement le départ direct vers le pays de destination est interdit, mais aussi le départ vers d’autres pays qui permettraient de contourner l’interdiction. Cette mesure vise à empêcher les personnes concernées de participer malgré tout à la manifestation en empruntant d’autres itinéraires. La restriction de sortie du territoire inclut donc les départs vers certains pays tiers afin d’empêcher le voyage vers le pays de destination via un pays tiers. Des exceptions justifiées à la restriction sont possibles si la personne peut faire valoir des raisons importantes et si l’objectif de la mesure n’est pas compromis. Fedpol décide de l’octroi d’une dérogation dans le cadre d’une pesée sommaire des intérêts.

Al. 3

L’interdiction de se rendre dans un pays donné est enregistrée dans le système de recherches automatisées de police visé à l’art. 15 LSIP (RIPOL), de sorte que les autorités ayant accès au RIPOL en soient informées et puissent faire respecter la restriction. Le système de recherches RIPOL est régulièrement consulté par les autorités chargées de tâches de sécurité. Les autorités frontalières reçoivent également une communication afin d’être sensibilisées à la situation pendant la période concernée. En outre, fedpol peut informer les autorités de sécurité compétentes à l’étranger afin qu’elles puissent réagir à l’interdiction de se rendre dans un pays donné, par exemple en imposant une restriction d’entrée ou un renvoi local. Ce faisant, fedpol peut communiquer des données personnelles sensibles (voir art. 10b LMSI). La partie nationale du Système d’information Schengen (N-SIS; art. 16 LSIP) ne prévoit pas de catégories de signalement pour les restrictions de sortie du territoire visant les extrémistes violents, raison pour laquelle l’information ne peut pas être transmise via le canal SIS.

L’expérience acquise dans le domaine des restrictions de sortie du territoire visant à prévenir la violence lors de manifestations sportives montre que ces restrictions ont un effet préventif: la personne visée renonce souvent à quitter le territoire en raison de la peine encourue.

Art. 24f

Al. 2

Les restrictions de sortie du territoire visant à empêcher des activités extrémistes violentes peuvent être prononcées à l’encontre de personnes âgées de 16 ans et plus, comme c’est le cas pour les restrictions de sortie du territoire visant à empêcher des actes de violence lors de manifestations sportives. Cette limite d’âge basse tient compte du fait que certains mineurs présentent également une forte disposition à la violence, et elle souligne le caractère préventif de la mesure. La pratique de la police montre en effet qu’un certain nombre de personnes très jeunes sont déjà instrumentalisées par des groupements extrémistes violents pour servir leurs intérêts. En 2018, par exemple, 40 mineurs ont participé à une manifestation non autorisée en Suisse. Des personnes cagoulées ont causé des dégâts matériels d’environ 100 000 francs. Au total, 147 personnes, dont 21 mineures, ont été dénoncées pour divers délits (notamment émeute, insoumission à une décision de l’autorité, entrave à l’exercice de la fonction publique, violence et menaces à l’encontre de fonctionnaires, infraction à la loi sur les explosifs du 25 mars 1977⁵¹, dommages matériels). La personne la plus jeune était âgée de 13 ans au moment de son arrestation. Une restriction de sortie du territoire a donc également une fonction protectrice pour les jeunes, dans la mesure où ceux-ci sont confrontés à une décision administrative qui les empêche de participer à des actes de violence organisés.

Art. 24g

Al. 1

La disposition existante relative aux voies de recours est complétée de manière à inclure la restriction de sortie du territoire visant à prévenir la violence lors de manifestations et de rassemblements.

Al. 2

Le droit de recours est en principe régi par l’art. 48 PA. Le droit de recours supplémentaire prévu à l’al. 2, let. a et b, de la présente loi a été introduit dans le cadre de la loi fédérale du 25 septembre 2020 sur les mesures policières de lutte contre le terrorisme (MPT)⁵². Il n’est nécessaire que dans les procédures correspondantes et ne s’applique donc qu’aux procédures visées à la section 5, et non aux mesures prises contre la violence lors de manifestations sportives ou de défilés et manifestations.

Art. 28

Al. 2

La modification corrige une référence erronée dans la loi, qui résultait d’une modification antérieure du droit. Elle n’entraîne aucune modification matérielle du droit en vigueur.

Loi du 18 décembre 2020 sur la sécurité de l’information⁵³

Art. 45

Al. 6, let. c et 7

Comme mentionné à plusieurs reprises, le projet de révision de règle plus les systèmes d’information, mais le traitement des données. C’est pourquoi, à l’art. 45, al. 6, let. c, LSI, l’expression «INDEX NDB» est supprimée. L’accès est réglé à l’al. 7. Cette modification correspond au droit d’accès déjà accordé aux services spécialisés chargés des contrôles de sécurité des personnes à l’art. 58e, al. 1, let. c, LRens.

Art. 56

Al. 3

À l’instar des services spécialisés chargés des contrôles de sécurité des personnes, les services chargés des procédures de sécurité relatives aux entreprises disposent désormais également d’un droit d’accès, voir à ce sujet les explications relatives à l’art. 58e, al. 1, let. d, P-LRens. Cette disposition est également reprise dans la LSI.

Art. 75

Al. 3

Avec la loi-cadre et le MPT, un nouveau motif supplémentaire de détention relevant du droit des étrangers, à savoir la menace pour la sûreté intérieure ou extérieure de la Suisse, a été créé à l’art. 75, al. 1, let. i, à l’art. 76, al. 1, let. b, ch. 1, et à l’art. 76a, al. 2, let. j, LEI. La menace pour la sûreté intérieure ou extérieure est donc considérée comme un indice concret laissant craindre que la personne concernée tentera de se soustraire à l’exécution du renvoi ou de l’expulsion (voir le message du 22 mai 2019⁵⁵ relatif à la loi fédérale sur les mesures de police en matière de lutte contre le terrorisme, ainsi que l’arrêt du Tribunal fédéral du 15 janvier 2025⁵⁶).

Dans la pratique, il s’est avéré problématique que l’art. 75, al. 1, LEI ne permette de placer en détention en phase préparatoire que les personnes qui ne sont pas titulaires d’une autorisation de séjour de courte durée, d’une autorisation de séjour ou d’une autorisation d’établissement. Si une personne étrangère titulaire d’une telle autorisation compromet la sûreté intérieure ou extérieure de la Suisse, fedpol peut prononcer à son encontre un renvoi (art. 68, al. 1, LEI). Celui-ci est assorti d’une interdiction d’entrée en Suisse pour une durée déterminée ou indéterminée (art. 68, al. 3, LEI). Si la personne concernée a gravement ou de manière répétée enfreint l’ordre public ou la sécurité publique, ou si elle compromet la sécurité intérieure ou extérieure, l’expulsion est immédiatement exécutoire (art. 68, al. 4, LEI). En cas de renvoi en vertu de l’art. 68 LEI, la collectivité publique a en principe un intérêt important et légitime à ce que la personne concernée soit éloignée et empêchée de revenir (message du 8 mars 2002⁵⁷ relatif à la loi sur les étrangers). En vertu du droit en vigueur, la détention en vertu du droit des étrangers n’est pas possible avant la notification de la décision de renvoi en première instance si la personne concernée est titulaire d’une autorisation de séjour de courte durée, d’une autorisation de séjour ou d’une autorisation d’établissement. En cas de menace pour la sécurité intérieure ou extérieure, il doit donc désormais être possible de prononcer la détention préparatoire également dans ces cas pendant la procédure de renvoi en première instance. Comme à l’art. 75, al. 1, let. i, à l’art. 76, al. 1, let. b, ch. 1, et à l’art. 76a, al. 2, let. j, LEI, l’existence d’une menace pour la sûreté intérieure ou extérieure doit être appréciée sur la base des informations dont disposent fedpol ou le SRC.

La détention en phase préparatoire vise à garantir l’exécution d’une procédure d’expulsion. Une telle procédure est engagée par fedpol lorsqu’il existe des indices concrets laissant présumer une menace pour la sûreté intérieure ou extérieure. Si cette menace laisse craindre que la personne pourrait se soustraire à l’exécution de l’expulsion, la nouvelle disposition permet d’ordonner une détention en phase préparatoire. Le principe de proportionnalité énoncé à l’art. 36, al. 3, Cst. doit être respecté dans chaque cas particulier lors de la décision de détention. La détention préparatoire ne peut être ordonnée que si l’exécution de la mesure d’éloignement est prévisible, c’est-à-dire juridiquement et matériellement possible (art. 80, al. 6, let. a, LEI). En tant qu’autorité de décision, fedpol doit examiner, dans le cadre de la procédure d’expulsion, les éventuels obstacles à l’exécution, en particulier le respect du principe de non-refoulement et de l’interdiction de la torture, en fonction du pays de destination. Si, pendant la détention préparatoire au sens de l’art. 75, al. 3, LEI ou pendant la procédure de renvoi, fedpol arrive à la conclusion que l’exécution n’est pas prévisible, la personne concernée doit être libérée.

Pour les ressortissants des États membres de l’UE ou de l’AELE, la réserve prévue à l’art. 2, al. 2 et 3, LEI s’applique. Ces dispositions doivent être appliquées dans le cadre fixé par l’art. 5 de l’annexe I de l’accord du 21 juin 1999 entre la Confédération suisse, d’une part, et la Communauté européenne et ses États membres, d’autre part, sur la libre circulation des personnes (ALCP)⁵⁸ ou par l’art. 5 de l’annexe K, appendice 1, de la Convention du 4 janvier 1960 instituant l’Association européenne de libre-échange (Convention AELE)⁵⁹ et la jurisprudence correspondante de la Cour de justice de l’Union européenne. Cela signifie en particulier qu’une détention ne peut être justifiée que si le comportement personnel de la personne contre laquelle la détention est ordonnée représente une menace réelle, actuelle et suffisamment grave pour la sécurité intérieure ou extérieure de la Suisse. La simple existence de condamnations pénales ne peut à elle seule justifier automatiquement une telle détention.

Après notification de la décision d’expulsion, une détention en vue du renvoi peut être ordonnée en vertu de l’art. 76 LEI, pour autant que les autres conditions de détention soient également remplies.

Conformément à l’art. 61, al. 1, let. d, LEI, l’autorisation relevant du droit des étrangers dont est titulaire une personne s’éteint par la décision de renvoi de première instance.

Art. 101

Al. 1

L’inclusion de fedpol dans le champ d’application de cette norme comble une lacune juridique. Fedpol mène également des procédures en vertu de la présente loi afin de préserver la sécurité intérieure ou extérieure de la Suisse, notamment en prononçant des interdictions d’entrée (art. 67, al. 4, LEI) et des expulsions (art. 68 LEI). Fedpol doit donc pouvoir traiter ou faire traiter les données personnelles, y compris les données personnelles sensibles, des étrangers et des tiers impliqués dans des procédures relevant de la présente loi, dans la mesure où ces données sont nécessaires à l’accomplissement des tâches légales de fedpol.

Loi fédérale du 20 juin 2003 sur le système d’information commun aux domaines des étrangers et de l’asile⁶⁰

Art. 9

Al. 1 et 2

Le SRC dispose aujourd’hui d’un accès en ligne au système d’information central sur la migration (SYMIC), qui sert au traitement des données personnelles issues du domaine des étrangers et de l’asile.

Le système d’information pour la délivrance de documents de voyage suisses et d’autorisations de retour aux étrangers (ISR), qui était auparavant régi par la LEI, a été abrogé⁶¹ et ses données ont été transférées dans le SYMIC. Le but du SYMIC a été étendu en conséquence aux tâches liées à la délivrance de documents de voyage suisses et d’autorisations de retour pour les ressortissants étrangers relevant du domaine des étrangers et de l’asile.

L’ISR était, pour certaines catégories d’étrangers, le pendant du système d’information sur les documents d’identité (ISA) prévu à l’art. 11 de la loi du 22 juin 2001 sur les documents d’identité⁶². L’accès du SRC à l’ISA était déjà réglementé par le MPT. L’accès aux données de l’ancien ISR pour l’identification d’une personne est également indispensable pour permettre au SRC d’effectuer des recherches exhaustives. Sans cet accès, le SRC n’est souvent pas en mesure d’identifier une personne et doit donc recourir à d’autres mesures qui peuvent constituer une atteinte plus importante aux droits de la personnalité. Toutes les informations relatives à d’éventuels voyages et à l’obtention de documents sont importantes, par exemple pour détecter à un stade précoce les personnes susceptibles de partir en djihad ou pour empêcher des voyages dans des zones de guerre. Grâce à cet accès à l’ISR, le SRC peut travailler avec des moyens moins contraignants et mieux adaptés à la protection de la personnalité.

Comme mentionné, le SRC fait déjà partie des autorités qui disposent d’un droit d’accès aux données du SYMIC à certaines fins. Toutefois, en raison du transfert des données de l’ISR vers le SYMIC, le SRC a également besoin de cet accès à des fins d’identification de personnes dans le cadre du traitement d’affaires importantes pour la politique de sécurité à l’étranger. L’art. 9, al. 1, let. l, ch. 1, et al. 2, let. l, ch. 1, qui définit les fins auxquelles le SRC peut accéder aux données du SYMIC dans le cadre de la procédure de consultation, doivent donc être complétés par l’accomplissement des tâches du SRC au sens de l’art. 6, al. 1, let. b, LRens.

Les détails relatifs à l’accès en ligne sont réglés comme d’habitude dans l’ordonnance.

Loi du 13 décembre 2002 sur le Parlement⁶³

Art. 142

Al. 2 et 3

L’intégration de l’AS-Rens dans l’art. 142, al. 2, LParl, constitue le pendant de l’art. 77, al. 2, LRens. Ce faisant, on peut tenir pleinement compte de l’exigence d’une base légale formelle. Le Conseil fédéral estime que l’AS-Rens devrait aussi être intégrée à l’art. 142, al 3, LParl, et que celle-ci est la mieux placée pour défendre son budget devant l’Assemblée fédérale lorsque cela s’avère nécessaire. Le libellé s’inspire de la version adoptée par le Parlement le 25 septembre 2020 dans le cadre de la révision de la LPD, qui est entrée en vigueur le 1^er septembre 2023.

Le statut particulier de l’AS-Rens tel que défini dans une loi formelle résultera par ailleurs dans un ajout à l’art. 1, al. 2, de l’ordonnance sur les finances de la Confédération du 5 avril 2006⁶⁴.

Loi du 17 juin 2005 sur le Tribunal administratif fédéral⁶⁵

Art. 23

Al. 2, let. b

À la suite de la modification et de la nouvelle structure de l’art. 29 LRens, le renvoi de l’art. 23, al. 2, let. b LTAF doit être adapté.

Code pénal⁶⁶

Art. 66a

Al. 1, let. p

Un renvoi est modifié suite à l’abrogation et au déplacement partiel de l’art. 74, al 4, LRens.

Code de procédure pénale⁶⁷

Art. 46

Les droits d’accès de fedpol pour l’exercice de certaines tâches de police préventive sont étendus par le nouveau ch. 11, let. a. Fedpol obtient désormais, pour prononcer et lever des mesures de police préventive en matière de lutte contre le terrorisme et pour prévenir la violence lors de défilés et de manifestations au sens de la LMSI, les mêmes droits d’accès à l’extrait de registre 2 (art. 38 de la loi sur le casier judiciaire) dont il dispose déjà dans le cadre des mesures de non-admission relevant du droit des étrangers (voir art. 46, let. a, ch. 4). Fedpol peut ainsi savoir si une procédure pénale est en cours contre une personne potentiellement dangereuse ou si un jugement de fond est inscrit au casier judiciaire pour un type d’infraction déterminé, mais il ne peut pas connaître les faits précis sur lesquels repose l’accusation. Le service compétent de fedpol doit obtenir ces informations a posteriori, par voie d’assistance administrative, directement auprès de l’autorité pénale compétente. En cas de danger imminent, l’examen des informations relatives à des procédures pénales en cours ou terminées qui peuvent être pertinentes pour le prononcé des mesures mentionnées ne peut donc être que sommaire.

Les modifications des let. b et c sont de nature purement terminologique. La LRens emploie le terme «source humaine» au lieu de «informateur». Par ailleurs, l’art. 9 LRens détermine les autorités cantonales qui collaborent avec le SRC et les désigne par le terme «autorité d’exécution cantonale». Ce terme est repris à la let. c.

Loi du 20 mars 1981 sur l’entraide pénale internationale⁶⁹

Art. 11a

Al. 3

La version actuelle de l’art. 11a, al. 3, de la loi est en vigueur depuis le 1^er janvier 2010 et contient encore une référence à l’exécution de la LMSI par le SRC. Les activités mentionnées dans cet article sous l’exécution de la LMSI par le SRC sont intégrées dans la LRens à l’heure actuelle. La modification correspondante de l’EIMP a été oubliée au moment où la LRens a été adoptée. Son contenu ne change pas. Les ordonnances sont modifiées en conséquence.

Loi fédérale du 13 juin 2008 sur les systèmes d’information de police de la Confédération⁷⁰

Art. 15

Al. 1, let. j

Conformément à l’art. 24d, al. 3, LMSI, les interdictions de se rendre dans un pays donné sont inscrites dans le système RIPOL. La base légale pour le RIPOL est complétée avec la let. j.

Art. 18

Al. 5, let. d

Le nouvel alinéa crée une base pour la conservation des données. Les systèmes contiennent des informations et des données personnelles particulièrement sensibles séparées logiquement qui sont nécessaires pour garantir la saisie et la confiscation de matériel de propagande incitant à la violence; la saisie d’objets dangereux; ainsi que les restrictions de sortie du territoire visant à prévenir la violence lors de manifestations sportives et la violence lors de défilés et de manifestations. La licéité du traitement des données est garantie à l’art. 3, al. 2 ss, LSIP.

Al. 6

Les données visées à l’al. 5, let. b, sont conservées pendant 15 ans au maximum. Les données visées à la let. c sont conservées pendant la durée de la mesure ordonnée, étant donné qu’une interdiction d’entrée sur le territoire au sens de l’art. 67, al. 4, ou de l’art. 68, al. 3, LEI peut être prononcée pour une durée supérieure à cinq ans et, dans les cas graves, pour une durée illimitée. Les données visées à la let. d sont conservées pendant 10 ans au maximum.

Al. 7

L’accès aux systèmes au moyen d’une procédure en ligne est réservé aux collaborateurs de fedpol et à l’OFJ pour l’accomplissement des tâches qui leur incombent en vertu de l’EIMP. Les collaborateurs de fedpol chargés du traitement des données visées à l’al. 5, let. b à d, ont accès aux systèmes pour traiter ces données. Les détails relatifs aux droits d’accès ne doivent pas être réglés dans une loi formelle, mais réglés à un niveau inférieur.

Art. 18a Recherche et traitement des données pertinentes en matière de sécurité concernant les collaborateurs, les candidats à un emploi et les mandataires

Avec le nouvel art. 7, al. 1, let. e et al. 1^bis à 2 ainsi que l’art. 7a P-LRens, le SRC introduit des mesures supplémentaires de protection et de sécurité de ses collaborateurs, de ses installations et des données qu’il traite (voir ci-dessus). Deux de ces nouvelles mesures, à savoir le contrôle de collaborateurs déjà liés par un rapport de travail et celui de personnes se trouvant dans une procédure d’engagement, sont également nécessaires à fedpol. Les tâches que fedpol accomplit couvrent l’ensemble des activités de police judiciaire liées à la grande criminalité et s’étendent à l’exploitation des systèmes d’information de police et à la protection des magistrats, des bâtiments de la Confédération ainsi que des personnes et des bâtiments devant être protégés en vertu du droit international public. L’accomplissement de ces tâches pose des exigences élevées en termes de loyauté des collaborateurs. Cela s’applique également aux personnes et entreprises qui postulent pour des mandats de fepdol ou en exécutent déjà.

S’agissant des personnes se trouvant dans la phase ultime d’une procédure d’engagement, fedpol vérifie aujourd’hui déjà si elles font l’objet d’une procédure administrative ou pénale en cours, si une sanction correspondante a été prononcée à leur encontre ou si d’autres faits relevant du droit pénal sont constatés. Ces vérifications se fondent sur leur consentement préalable conformément à l’art. 6, al. 6, LPD (al. 3). Il s’est toutefois avéré que cette mesure devait pouvoir être appliquée en tous les cas à l’avenir et qu’une base légale correspondante était nécessaire.

Si aucun contrôle de sécurité des personnes ou aucune procédure de sécurité relative aux entreprises n’ont été effectués, fedpol peut désormais obtenir et traiter des données pertinentes sur une personne ou une entreprise qui sollicite ou exécute des mandats de fedpol.

Avec cette extension du contenu, les vérifications doivent désormais pouvoir s’appuyer sur une base légale formelle spécifique. Celle-ci doit être créée par un nouvel art. 18a LSIP. Son libellé s’inspire étroitement de la réglementation prévue par le SRC à l’art. 7a, al. 2 à 4, LRens. Le titre «Recherche et traitement des données pertinentes en matière de sécurité concernant des candidats à un emploi et des mandataires» vise à établir une distinction conceptuelle avec les «contrôles de sécurité des personnes» au sens de la LSI et les «contrôles de loyauté» au sens de l’art. 20b de la loi du 24 mars 2000 sur le personnel de la Confédération⁷¹. Ces contrôles concernent les personnes présélectionnées pour un emploi au sein de fedpol, le contrôle devant dans tous les cas être effectué avant la prise de fonction au sein de fedpol (al. 1), ainsi que les personnes ou entreprises qui postulent pour des mandats de fedpol ou qui en exécutent (al. 2).

Concrètement, il s’agira d’interroger en priorité les systèmes d’information suivants régis par la LSIP: NES (art. 10, 11 et 13), IPAS (art. 12 et 14), RIPOL (art. 15), l’index national de police (art. 17) et ORMA (art. 18), ainsi que le système d’information HOOGAN, visé à l’art. 24a LMSI.

Si fedpol soupçonne un comportement fautif, il porte plainte auprès des autorités de poursuite pénale compétentes.

Contrairement au SRC, qui se fonde sur la LRens pour accomplir ses tâches, fedpol ne dispose d’aucune loi au sens formel qui règlemente les siennes de façon exhaustive. Il convient dès lors d’insérer dans la LSIP la nouvelle disposition légale qui réglemente les contrôles en matière de personnel par fedpol. En effet, cette loi réglemente déjà les systèmes d’information sur lesquels fedpol s’appuie principalement pour effectuer ces contrôles. Par ailleurs, elle contient déjà, à son nouvel art. 17, al. 4, let. l (version selon la LSI), une autre disposition légale qui touche aux contrôles de sécurité relatifs aux personnes. Ce contenu, qui relève du droit du personnel, n’est donc pas une nouveauté dans la LSIP.

Loi du 3 février 1995 sur l’armée⁷²

Art. 99

Al. 5

À la suite des modifications des dispositions relatives à l’AS-Rens dans la LRens, un renvoi est modifié.

Loi du 20 juin 1997 sur les armes⁷³

Art. 9

Al. 2

L’art. 9 de la loi sur les armes (LArm) est en vigueur depuis le 12 décembre 2008. À cette date, les tâches de fedpol et du service de renseignement intérieur étaient réglées dans la LMSI, et les SRCant étaient les mêmes pour ces deux offices. Avec l’entrée en vigueur de la LRens, leurs tâches ont été clairement séparées sur le plan légal. Un canton peut ainsi spécifier une autorité d’exécution pour l’exécution de la LMSI, et une autre autorité d’exécution pour celle de la LRens. Étant donné qu’en pratique, c’est l’autorité d’exécution au sens de la LRens prend position sur l’acquisition d’armes, le renvoi à la LRens dans l’art. 9 LArm doit être modifié et celui à la LMSI supprimé.

Art. 32c

Al. 7

L’accès au système d’information commun harmonisé (ARMADA) visé à l’art. 32a, al. 3, LArm, doit permettre au SRC de mieux évaluer le potentiel de menace d’une personne, puisqu’il est en mesure de fournir des renseignements quant à la possession d’une arme, au retrait d’une arme ou au refus d’un permis d’acquisition d’armes. À la lumière de plusieurs attentats terroristes à motivation d’extrême droite (comme ceux de Christchurch ou de Hanau), ce sujet a encore gagné en importance. On sait par ailleurs que des personnes issues de milieux salafistes ou islamistes enclins à la violence tentent d’acquérir des armes. Il est impératif de pouvoir enquêter dans les meilleurs délais afin d’évaluer sérieusement la menace pour la sûreté intérieure ou extérieure.

Si la présente loi entre en vigueur avant la LE-OFDF, la modification de cette disposition prévue dans le LE-OFDF deviendra caduque.

Loi fédérale du 19 décembre 1958 sur la circulation routière⁷⁴

Art. 89e

Let. a^bis

Avec l’entrée en vigueur partielle, le 1^er janvier 2019, de la modification du 15 juin 2012 de la loi du 19 décembre 1958 sur la circulation routière (LCR)⁷⁵, les accès en ligne du SRC aux systèmes de l’Office fédéral des routes, qui ont été remplacés par le nouveau système d’information relatif à l’admission à la circulation et dont une partie avait été fixée avec l’entrée en vigueur de la LRens, ont été supprimés par inadvertance. Il s’agit d’une erreur législative qui se voit corrigée par le présent complément.

Loi fédérale du 18 mars 2016 sur la surveillance de la correspondance par poste et télécommunication⁷⁶

Art. 14 Transmission des données relatives à la surveillance à fedpol

Diverses adaptations rédactionnelles sont apportées à cette disposition afin de l’aligner sur la formulation de l’art. 14a, qui est analogue. Sur le fond, l’article reste inchangé. Les données contenues dans le système de traitement du service SCPT sont énumérées à l’art. 8 LSCPT et comprennent également des informations sur les services de télécommunication (art. 8, let. c, LSCPT), c’est-à-dire les renseignements (art. 7, let. c, LSCPT).

Al. 1

La transmission des données du service SCPT à fepol continue de s’effectuer par le biais du système de traitement du Service SCPT, selon une procédure en ligne. Comme auparavant, conformément à la let. a, le transfert de données ne peut avoir lieu que si fedpol est habilité à traiter les données en question en vertu du droit applicable. En outre, conformément à la let. b, seules les personnes qui ont besoin de ces données pour l’accomplissement de leurs tâches professionnelles sont habilitées à les traiter. L’accès est régi par les dispositions des différents systèmes de la LSIP (art. 10, al. 4, 12, al. 6, 13, al. 3, et 18, al. 7, LSIP). Il s’agira principalement de l’évaluation d’informations dans le cadre d’enquêtes pénales et de mesures de police préventives visant à prévenir des menaces terroristes. Les renvois à la LSIP sont déplacés de l’al. 1 à l’al. 2. L’al. 2 actuel est abrogé, car l’Office fédéral de la police n’est habilité à traiter les données issues du système de traitement que si la personne concernée dispose de droits d’accès au système de traitement et aux données auprès de l’Office fédéral de la police. L’al. 2 actuel est donc repris à l’al. 1, let. a, de la présente disposition.

Al. 2

Les art. 10, 12 et 13 LSIP sont complétés par l’art. 18 LSIP. Ce dernier concerne les systèmes de gestion des affaires et des dossiers de fedpol. L’art. 18 LSIP est en vigueur depuis le 1^er juin 2022 et a été introduit par la loi fédérale du 25 septembre 2020⁷⁷ sur les mesures policières en matière de lutte contre le terrorisme. Le terme «copie» est remplacé par «marquer et sauvegarder», ce qui doit permettre, comme jusqu’à présent, la reproduction des données du système de traitement par les autorités de poursuite pénale.

Art. 14a Transmission au SRC des données relatives à la surveillance

Comme pour l’art. 14, cette disposition fait l’objet de modifications rédactionnelles. Seules les données sont désormais mentionnées, car le SRC ne dispose plus de différents systèmes d’information. Les données contenues dans le système de traitement sont décrites à l’art. 8 LSCPT et comprennent également les informations relatives aux services de télécommunication (art. 8, let. c, LSCPT), c’est-à-dire les renseignements (art. 7, let. c, LSCPT). Sur le fond, cet article reste également inchangé. Les explications fournies à l’art. 14 s’appliquent par analogie au SRC pour cet article. Par analogie avec l’art. 14, al. 2, l’al. 2 précise que les données provenant du système de traitement du service SCPT sont enregistrées et marquées comme données issues de MRSA au sens de l’art. 49, let. c, LRens. Cette formulation remplace le terme «copie» figurant à l’al. 1 en vigueur.

Art. 15

Al. 1, let. b

Cette disposition reprend la dénomination «fedpol» introduite à l’art. 14.

Art. 21

Al. 3

Pour accomplir leurs tâches légales, les autorités de police et le SRC doivent parfois pouvoir utiliser des moyens d’accès aux télécommunications (p. ex. cartes SIM prépayées) et des services pour lesquels ni ces autorités ni leurs collaborateurs ne figurent dans les répertoires ou les systèmes des fournisseurs de services de télécommunication et du service SCOT. Ils ont besoin de ces moyens d’accès notamment pour protéger leurs collaborateurs, leurs contacts et leurs sources, mais aussi leurs méthodes et leurs capacités techniques (par exemple lors de communications pendant des observations de personnes ayant accès à des moyens techniques sophistiqués, comme dans les milieux du crime organisé ou de l’espionnage).

Les collaborateurs des autorités de police et du SRC qui accomplissent leurs tâches légales en utilisant leur véritable identité, c’est-à-dire sans la protection d’une identité d’emprunt, ont besoin de mesures de protection spéciales. Les collaborateurs disposant d’une telle identité d’emprunt (enquêteurs infiltrés au sens de l’art. 285a CPP et personnes dotées d’une identité d’emprunt au sens des art. 17 et 18 LRens) peuvent acquérir des moyens d’accès aux télécommunications en utilisant cette identité d’emprunt selon la procédure normale, sans devoir révéler leur véritable identité, et sont ainsi suffisamment protégés.

Le nouvel al. 3 vise à créer la base légale permettant aux fournisseurs de services de télécommunication, tout en ayant connaissance du fait que des autorités habilitées sont des participants à certains moyens d’accès et services protégés, de protéger au mieux ces données et de ne les communiquer qu’aux autorités habilitées qui en font la demande par l’intermédiaire du service SCPT. Les fournisseurs de services de télécommunication remplissent ainsi toutes leurs obligations en matière d’identification des participants et de communication de renseignements aux autorités habilitées, tout en empêchant les criminels potentiels d’en prendre connaissance et en protégeant ainsi les activités opérationnelles des autorités de police et du SRC. Les fournisseurs de services de télécommunication peuvent être tenus de prendre des mesures appropriées pour empêcher la diffusion ultérieure des données. Aujourd’hui, un nombre important et incontrôlable de personnes ont accès aux systèmes des fournisseurs de services de télécommunication et donc aux données enregistrées pour fournir des renseignements. Tous les fournisseurs de services de télécommunication ne sont donc pas en mesure de garantir que leurs systèmes ne seront pas utilisés par des criminels pour identifier des agents infiltrés et compromettre ainsi leur mission. Il est donc nécessaire que les fournisseurs de services de télécommunication puissent être tenus de mettre en œuvre des solutions techniques ou de trouver des méthodes pour garantir cette protection. Ces mesures visant à garantir la confidentialité peuvent également être utilisées pour protéger des personnes exposées telles que les conseillers fédéraux ou certains politiciens.

Art. 33

Al. 4

En vertu de l’art. 33, al. 4, LSCPT, le service SCPT perçoit une redevance des fournisseurs de services de télécommunication pour les frais occasionnés par la vérification. Cette disposition n’a pas fait ses preuves dans la pratique. Dans la plupart des cas, il est difficile de prouver les frais occasionnés par la vérification sans un travail administratif considérable.

Dans le cas des fournisseurs importants de services de télécommunication, la procédure de contrôle doit être répétée en permanence, car nombre de leurs services font l’objet d’une évolution technologique constante. Or, il est difficile de quantifier le travail de contrôle sans clore la procédure. Dans la pratique, seules les petites et moyennes entreprises (PME) pour lesquelles la procédure a pu être menée à terme ont pu se voir facturer les frais de vérification, car leurs services sont moins touchés par l’évolution technologique. Il ne semble pas approprié de facturer la charge de la vérification uniquement aux PME. Cela correspond également au postulat Vitali du 16 septembre 2019 (19.4031 «Pour une loi fédérale proportionnée sur la surveillance de la correspondance postale et des télécommunications»), qui demande que les bases légales de la LSCPT soient rendues plus favorables aux PME. En outre, la charge administrative liée à la fourniture de la preuve de l’effort de contrôle fourni dépasse généralement la taxe facturée. La suppression de cette taxe supprime d’une part la charge administrative du service SCPT liée à l’établissement de l’attestation et à la facturation. D’autre part, les fournisseurs de services de télécommunication, en particulier les PME, seront désormais exemptés de la taxe forfaitaire de 500 francs par service contrôlé. Il convient de noter que cette taxe ne représente pas un montant significatif et qu’elle n’a d’ailleurs été facturée que très rarement. Pour ces raisons, il semble judicieux, tant du point de vue administratif que financier, de renoncer à percevoir cette taxe. L’art. 33, al. 4, LSCPT doit donc être abrogé.

Art. 39

Al. 4

Comme l’art. 83c LSCPT, l’art. 39 LSCPT prévoit également l’application de la disposition de l’art. 7 DPA pour les amendes d’un montant maximal de 20 000 francs. Cette modification permet, dans les cas mineurs, de condamner l’entreprise (personne morale, société en nom collectif ou en commandite ou entreprise individuelle) au paiement d’une amende pour les infractions commises par des personnes physiques. Cette disposition permet aux autorités d’éviter des frais d’enquête disproportionnés. Comme à l’art. 83c LSCPT ou à l’art. 89 de la loi fédérale sur les médicaments et les dispositifs médicaux du 15 décembre 2000⁷⁸, le montant de l’amende est fixé à 20 000 francs au maximum (au lieu de 5000 francs comme dans l’actuel art. 7 DPA).

16.–22.

La LRens emploie le terme «autorités d’exécution cantonales», aussi la formulation de ces lois est harmonisée en ce sens.

Loi fédérale du 25 septembre 2020 sur les précurseurs de substances explosibles⁷⁹

Art. 18

Al. 1

Comme mentionné à plusieurs reprises, le projet de révision de règle plus les systèmes d’information, mais le traitement des données. À l’art. 18, al. 1, let. h, le terme «INDEX SRC» est donc remplacé par «données au sens de l’art. 49, let. j, LRens».

Art. 7 et 7a

Les nouvelles dispositions relatives à l’évaluation de l’utilisation des données et des appareils du SRC par les collaborateurs ainsi qu’à la collecte d’informations sur les collaborateurs, les candidats à un poste et les mandataires du SRC empiètent sur leur droit fondamental à la vie privée et à l’autodétermination en matière d’information (art. 13 Cst.). Pour ce qui est de la proportionnalité de cette extension, nous renvoyons aux commentaires relatifs à ces dispositions.