Révision de la loi sur les télécommunications

Le Conseil fédéral a ouvert la procédure de consultation sur le projet de révision partielle de la Loi sur les télécommunications (LTC). Elle fait suite à la mise en consultation par l’Office fédéral de la communication de la révision de l’Ordonnance sur les services de télécommunication (OST) qui prévoit en particulier de modifier la notion de service universel pour tenir compte du passage à la téléphonie IP. Dès 2018, l’accès à Internet ne devrait plus être lié à la location d’une ligne de téléphone et le débit minimal serait augmenté à 3000/300 kbit/s. Le prix de l’abonnement au téléphone fixe devrait inclure tous les appels vers les réseaux fixes et mobiles en Suisse pour un prix maximum de CHF 27.20. L’obligation de mettre à disposition une cabine téléphonique dans chaque commune et d’assurer le service de téléfax seraient supprimés. Ces prestations pourraient évidemment continuer à être fournies sur une base volontaire.

Cette révision de la LTC prévoit de nombreuses modifications dont les principales sont:

  • Obligation d’annonce: de nombreux fournisseurs (en particulier les fournisseurs de télécommunication OTT qui fournissent leurs prestations sur Internet comme WhatsApp ou Facebook) ne sont pas annoncés. La révision prévoit la suppression de l’obligation de s’annoncer pour tous les fournisseurs de services de télécommunications. Seuls ceux qui utilisent des ressources publiques particulières (ressources d’adressage ou fréquences de radiocommunication soumises à concession) devraient s’annoncer.
  • Itinérance internationale (roaming): le devoir d’information actuel sur les coûts est insuffisant et la protection des consommateurs représente un intérêt prépondérant. La révision va créer une base légale permettant d’améliorer la situation de concurrence et seules les prestations réellement consommées devrait être facturées. Des prix plafonds ne sont pas prévus pour l’instant.
  • Ressources d’adressage et noms de domaines: l’Ordonnance sur les domaines Internet (ODI) repose sur une interprétation large de la notion de ressources d’adressage. Une base légale suffisante sera ajoutée et les éléments principaux de l’ODI repris dans la LTC. Une possibilité de contraindre une entreprise à assumer la fonction de registre sera prévue. Des clarifications sont également prévues s’agissant des annuaires téléphoniques.
  • Protection des consommateurs: la mention dans l’annuaire pour marquer le refus des appels publicitaires est insuffisante et devrait aussi être ouverte aux personnes qui ne souhaitent pas figurer dans l’annuaire. Des possibilités de filtrage au niveau du réseau et de l’utilisateur devraient être proposées. Des informations supplémentaires devraient être fournies aux clients et futurs clients s’agissant de la qualité du réseau et des services, ainsi que des éventuelles restrictions. Les différentes prestations proposées dans une offre combinée devraient aussi pouvoir être obtenues séparément.

Le séquestre de courriers électroniques chez le fournisseurs de télécommunications

Pour le tribunal fédéral (ATF 140 IV 181), les courriels qu’un prévenu a relevés sur le serveur du fournisseur de service de télécommunication peuvent être séquestrés chez le fournisseur, alors que ceux qui n’ont pas encore été relevés peuvent faire l’objet d’une surveillance en temps réel. Le secret de la correspondance disparaît dès que les courriels sont relevés, même s’ils restent accessibles sur le serveur et qu’ils n’ont pas été lus.

Séquestre ou surveillance de la correspondance ?
Un homme est accusé de meurtre et sa correspondance électronique contient des éléments nécessaires à l’enquête. La question qui se pose est de savoir quelle mesure (et donc quelles conditions) s’applique dans ce cas. De manière générale, lorsqu’une autorité pénale souhaite accéder à la correspondance électronique d’un prévenu, trois possibilités s’offrent à elle :

  • Le séquestre (263 CPP), qui permet de saisir les objets et valeurs patrimoniales appartenant au prévenu ou à des tiers lorsqu’il est probable qu’ils seront utilisés comme moyens de preuves. S’ils sont détenus par un tiers, ce dernier est soumis à une obligation de dépôt. Le prévenu est informé du séquestre par une ordonnance du ministère public.
  • La surveillance en temps réel (269 CPP) des télécommunications qui peut être ordonnée par le ministère public lorsque de graves soupçons laissent présumer qu’une infraction contenue dans la liste de l’art. 269. al. 2 CPP a été commise et que cette mesure est proportionnée. Elle doit être autorisée par le tribunal des mesures de contraintes. Cette mesure est secrète mais le prévenu peut ensuite la contester dans les 10 jours suivant son information. La surveillance porte sur le contenu et les données accessoires.
  • La surveillance rétroactive (273 CPP) qui se limite aux données relatives au trafic et à la facturation et identification des usagers (données accessoires). Elle peut être ordonnée par le ministère public lorsque de graves soupçons laissent présumer qu’un crime, un délit ou une contravention au sens de l’art. 179septies CP a été commis et que cette mesure est proportionnée. Elle doit être autorisée par le tribunal des mesures de contraintes. Cette mesure est secrète mais le prévenu peut ensuite la contester dans les 10 jours suivant son information. Il n’y a pas de surveillance rétroactive du contenu des courriels et les données accessoires peuvent être demandées avec effet rétroactif sur une période de six mois au plus.

Les limites du secret des télécommunications
La sphère privée de l’utilisateur est protégée par le secret des télécommunications qui s’applique durant le processus de communication. Ainsi un courrier postal est protégé pendant l’envoi, mais plus une fois qu’il est remis à son destinataire. On considère qu’il y a remise également lors du dépôt dans la boîte aux lettres du destinataire puisque l’on est dans sa sphère de maîtrise et que le fournisseur n’y a plus accès. Dans le cas d’une case postale, la maîtrise est partagée et le secret se prolonge jusqu’à ce que le destinataire accède à la case. Pour que l’autorité puisse obtenir le courrier qui est dans la boîte aux lettres (ou dans la case postale si le destinataire l’a ouverte et a choisi de l’y laisser), on appliquera les règles du séquestre, alors que pour le courrier dans la case non ouverte, ce sera celles de la surveillance de la correspondance (en temps réel).

Critique
L’analogie avec la case postale a ses limites en raison de l’ubiquité des données électroniques. Premièrement, relever un courriel ne signifie pas, selon le protocole utilisé, qu’il n’est plus sur le serveur. Le protocole POP3 généralement se connecte au serveur de messagerie, récupère le message et l’efface du serveur. En revanche, le protocole IMAP laisse les courriels sur le serveur dans le but de pouvoir les consulter de différents clients de messagerie. Pour le TF, celui qui utilise le protocole IMAP, pourtant très répandu car il permet d’accéder à sa messagerie depuis un téléphone et un ordinateur par exemple, renonce de fait à la protection du secret de la correspondance pour tous les messages qu’il a reçu.

Deuxièmement, lorsqu’un message est partiellement téléchargé, par exemple lorsqu’il est automatiquement poussé («push») sur un téléphone portable mais que seuls l’expéditeur et l’objet sont affichés (le corps du message étant encore exclusivement sur le serveur), le TF considérera-t-il qu’il est déjà entièrement dans la sphère du destinataire ?

Troisièmement, le TF retient que la consultation des messages déposés (mais pas encore relevés) dans la boîte électronique est une surveillance en temps réel et non rétroactive (ce qui permet l’accès au contenu). Sachant que les messages peuvent avoir été déposés plusieurs semaines auparavant, on peut se demander si l’on n’aurait pas déjà dû considérer que ce qui est arrivé dans la boîte est soumis à une surveillance rétroactive.

A mon avis, il aurait certainement été plus simple de considérer que toute acquisition directement chez le fournisseur est une surveillance des télécommunications, par opposition à l’acquisition chez le prévenu qui serait un séquestre. Cela éviterait aussi au ministère public de devoir savoir à l’avance si le prévenu a déjà relevé ou non un message qu’il souhaite obtenir et au fournisseur de séparer les messages sur le serveur qui ont déjà été relevés de ceux qui ne l’ont pas été (ce qui est une question indépendante de savoir s’ils sont marqués comme lus ou non lus!). Aux Etats-Unis, le Stored Communications Act prévoit un régime différent selon que les messages ont plus ou moins 180 jours, ce qui offre au moins un critère objectif.

Données des travailleurs et candidats: recommandation du Conseil de l’Europe

Le Comité des Ministres du Conseil de l’Europe a adopté au début du mois d’avril 2015 la Recommandation sur le traitement des données à caractère personnel dans le cadre de l’emploi (CM/Rec(2015)5). Cette recommandation s’applique à tout traitement de données à caractère personnel concernant les rapports entre employeurs et employés relatifs au recrutement, à l’exécution du contrat de travail et à la fin des rapports de travail dans les secteurs public et privé.

Elle rappelle la garantie du respect des droits de l’homme, de la dignité humaine et des libertés fondamentales, ainsi que les principes applicables au traitement des données (en particulier lors de la collecte, l’enregistrement, l’utilisation interne et la communication externe des données), la transparence du traitement, et les droits d’accès, de rectification et d’opposition.

Proportionnalité et transparence
La Recommandation souligne en particulier la proportionnalité du traitement. Les employeurs devraient veiller à ce que le traitement des données ne porte que sur les données strictement nécessaires pour atteindre l’objectif déterminé dans les cas individuels concernés (4.1) et les données devraient être pertinentes et non excessives, compte tenu du type d’emploi ainsi que des besoins évolutifs d’information de l’employeur (5.2).

Les données fournies à la suite d’un acte de candidature devraient en principe être effacées dès qu’il devient clair que la candidature ne sera pas retenue par l’employeur ou sera retirée par le candidat. Lorsque de telles données sont conservées en vue d’une demande d’emploi ultérieure, l’intéressé devrait en être informé en conséquence et les données devraient être effacées à sa demande (13.2). En l’absence de réaction du candidat, on devrait pouvoir considérer qu’il ne s’oppose pas à la conservation pour une période raisonnable. Quant aux données traitées dans le cadre d’une enquête interne, elles devraient être effacées dans un délai raisonnable si aucune sanction n’a été prononcée à l’égard d’un employé (13.4).

Des informations sur les données détenues par des employeurs devraient être mises à la disposition de l’employé concerné (10.1) et une description particulièrement claire et complète devrait être fournie des catégories de données qui peuvent être collectées et de leur utilisation potentielle lorsque des moyens techniques comme la vidéosurveillance sont utilisés (10.3). Ces informations, facilement accessibles et à jour, devraient être fournies avant que l’employé n’exerce effectivement l’activité prévue (10.4).

S’agissant des dispositifs techniques et de communication utilisés par un employé, une information périodique doit être fournie quant à la finalité du traitement, la durée de conservation des données collectées, la sauvegarde des données de connexion et l’archivage des messages électroniques professionnels (14.1).

Les réseaux sociaux
Les employeurs devraient collecter les données directement auprès de la personne concernée. Lorsqu’il est nécessaire et licite de traiter des données collectées auprès de tiers, par exemple pour obtenir des références professionnelles, la personne concernée devrait en être préalablement dûment informée (5.1). De plus, les employeurs devraient s’abstenir d’exiger ou de demander à un employé ou à un candidat d’avoir accès à des informations que celui-ci partage avec d’autres en ligne, notamment sur des réseaux sociaux (5.3).

Le Conseil de l’Europe souhaite ainsi clairement protéger les employés et candidats et exclure toute possibilité pour l’employeur ou futur employeur de se renseigner en ligne sur la personne concernée, notamment par le biais des moteurs de recherche. Il n’est pas fait d’exception pour les données partagées publiquement. On peut néanmoins se demander s’il ne faut pas considérer qu’il y a un accord implicite du candidat qui rend publiques des données sur un réseau social professionnel ou un site de recherche d’emploi.

Internet et le courrier électronique
En ce qui concerne l’accès à Internet, il conviendrait de préférence d’une part d’adopter des mesures préventives, telles que la configuration de systèmes ou l’utilisation de filtres qui peuvent empêcher certaines opérations, et d’autre part de prévoir éventuellement des contrôles effectués de manière graduée et par sondages non individuels, en utilisant des données anonymes ou agrégées (14.2).

L’accès par des employeurs aux communications électroniques professionnelles de leurs employés ne peut survenir que s’ils ont été informés au préalable de cette éventualité et si cela est nécessaire pour des raisons de sécurité ou d’autres raisons légitimes (14.3). En aucun cas le contenu, l’envoi et la réception de communications électroniques privées dans le cadre du travail ne devraient faire l’objet d’une surveillance (14.4).

En cas d’absence d’un employé, les employeurs devraient prendre les mesures nécessaires et prévoir les procédures appropriées visant à permettre l’accès aux communications électroniques professionnelles, uniquement lorsqu’un tel accès est nécessaire d’un point de vue professionnel. Cet accès devrait intervenir de la façon la moins intrusive possible et uniquement après avoir informé les employés concernés (14.3).

Lorsqu’un employé quitte son emploi, l’employeur devrait prendre des mesures techniques et organisationnelles afin que la messagerie électronique de l’employé soit désactivée automatiquement. Si le contenu de la messagerie devait être récupéré pour la bonne marche de l’organisation, l’employeur devrait prendre des mesures appropriées afin de récupérer son contenu avant le départ de l’employé et si possible en sa présence (14.5).

Surveillance et données biométriques
L’utilisation des systèmes et technologies d’information ayant pour finalité directe et principale de contrôler de l’activité et le comportement des employés ne devraient pas être permises. S’ils ont d’autres finalités légitimes (sécurité, protection de la santé, gestion efficace, etc.), les représentants des employés doivent être consultés préalablement et les systèmes spécialement conçus et placés de façon à ne pas porter préjudice aux droits fondamentaux des employés (15.1 et 15.2). Quant aux appareils permettant de localiser un employé, ils ne devraient être introduits que s’ils s’avèrent nécessaires pour atteindre les finalités légitimes poursuivies par les employeurs et si leur utilisation ne conduit pas à un contrôle permanent des employés.

La collecte et le traitement de données biométriques ne devraient être réalisés que lorsqu’ils sont nécessaires à la protection des intérêts légitimes des employeurs, des employés ou des tiers, et s’il n’y a pas de possibilité d’utiliser d’autres méthodes alternatives de traitement moins intrusives pour la vie privée (18.1).

De manière générale, tout traitement de données lié à l’utilisation d’Internet, des courriels, de la vidéosurveillance, d’appareils de localisation ou de données biométriques exige une information préalable des employés (finalité du dispositif, durée de conservation, existence ou non des droits d’accès et de rectification, et la façon dont ces droits peuvent être exercés), des mesures internes appropriées, ainsi que la consultation des représentants des employés et cas échéant des autorités nationales de protection des données (21).

Voir également

La surveillance électronique des employés (publication)

Le Tribunal fédéral dit non à un logiciel espion pour surveiller un employé

Surveillance d’employés par le service informatique: les règles à suivre

Publications: La surveillance électronique des employés

Dans l’ouvrage Internet au travail édité par Jean-Philippe Dunand et Pascal Mahon, j’ai abordé la question de «La surveillance électronique des employés». Cette contribution est complétée par la présentation faite lors d’un séminaire organisé par l’Université de Neuchâtel.

Après avoir fait le point sur les exigences légales (Loi fédérale sur la protection des données et recommandations du Préposé fédéral à la protection des données et à la transparence, art. 28ss du Code civil, Loi et Ordonnance 3 sur le travail, ainsi que les articles 179ss du Code pénal), on passe en revue les jurisprudences déterminantes sur le sujet. Les points principaux sont ensuite regroupés en deux principes essentiels, l’information et la proportionnalité.

Différents cas d’applications sont finalement examinés: la surveillance téléphonique, la surveillance de l’Internet, la surveillance du courrier électronique, et la surveillance de l’activité. L’article se conclut par les conséquences d’une surveillance illégale et quelques recommandations pratiques.

Que fait-on de nos données?

A l’occasion de la journée internationale de la protection des données, je vous propose exceptionnellement une vidéo, en l’occurrence celle d’un entretien que j’ai eu très récemment avec Xavier Colin pour l’émission Geopolitis produite par la RTS et TV5 Monde: Big Data, que fait-on de nos données.

Le tribunal fédéral fixe les conditions auxquelles les cantons peuvent prévoir des mesures de surveillance préventives

Les mesures de surveillance dites invasives (en principe conduites à l’insu de la personne concernée) sont envisagées dans trois situations précises :

  1. une infraction pénale a été commise ou est en train d’être commise et l’on veut identifier l’auteur ou réunir des preuves (surveillance répressive);
  2. une infraction pénale sera potentiellement commise et l’on veut la prévenir ou la révéler (surveillance préventive);
  3. il existe une menace concrète pour la sûreté intérieure ou extérieure, sans qu’il ne s’agisse d’une infraction pénale (surveillance préventive).

On distingues ces mesures de la surveillance d’observation (qui est utilisée pour surveiller un rayon déterminé accessible au public, afin de constater des mouvements ou des phénomènes objectifs, sans traiter des données personnelles, dont l’exemple classique est le contrôle de la fluidité du trafic routier, et de la surveillance dissuasive) et de la surveillance dissuasive (qui consiste à surveiller ouvertement un lieu pour tenter d’empêcher les personnes qui s’y trouvent de commettre des infractions, dont l’exemple classique est la vidéosurveillance).

Des compétences cantonales et fédérales
La surveillance répressive est une compétence fédérale. Les modalités sont prévues dans le Code de procédure pénale (CPP), qui prévoit les conditions auxquelles ces mesures peuvent être mises en place. Dans ce domaine, les cantons ne peuvent plus adopter des mesures supplémentaires que le droit fédéral ne prévoit pas.

La surveillance préventive est un mélange de compétences cantonales et fédérales. Le parlement doit discuter prochainement du projet de Loi fédérale sur le renseignement qui donnerait à la Confédération de nouveaux pouvoirs, en particulier celui de procéder à des écoutes téléphoniques, des enregistrements audios et vidéos, ainsi que l’exploration radio et du réseau câblé. Cela ne concerne pas le cas où une infraction va être commise, mais celui où l’on craint un risque pour la sécurité intérieure ou extérieure de la Suisse.

Le nouveau CPP a supprimé la surveillance lors de l’enquête préliminaire que connaissaient certains cantons. Ainsi, une mesure de surveillance n’est possible qu’une fois l’enquête ouverte (c’est-à-dire lorsqu’il y a des soupçons suffisants qu’une infraction pénale a été commise). Restait alors la question de savoir si cela interdisait une surveillance avant que l’infraction ne soit commise (le CPP ayant exclu la surveillance préventive, ou si les cantons pouvaient adopter des normes la prévoyant dans leurs lois de police (le CPP ne pouvait ni l’exclure ni la prévoir).

Le Tribunal fédéral a justement dû se pencher sur deux cas, l’un zurichois (1C_653/2012) et l’autre genevois (1C_518/2013). Il est arrivé à la conclusion que les cantons peuvent prévoir des mesures de surveillance secrètes, mais que des conditions similaires à celles prévues par le CPP doivent être mises en place.

La compétence des cantons de veiller sur leur territoire au maintien de la sécurité publique et de l’ordre est réputée compétence originelle des cantons et le législateur fédéral n’’a pas voulu réglementer les investigations secrètes préventives dans le CPP. Les investigations secrètes préventives sont des mesures qui servent à prévenir ou à révéler une infraction potentielle. Elles sont antérieures à la procédure pénale (qui est une compétence fédérale) et doivent s’inscrire dans la législation policière cantonale.

Les garanties lors de la surveillance préventive
La surveillance n’en porte pas moins une atteinte importante à la sphère privée et familiale, protégée par la constitution et la CEDH. Toute atteinte doit être fondée sur une base légale (les restrictions graves devant être prévues par une loi au sens formel), être justifiée par un intérêt public et être proportionnée au but visé.

Le Tribunal fédéral met en parallèle les mesures préventives du droit cantonal et les mesures contenues dans le CPP et exige au moins les mêmes garanties. Ainsi, il doit toujours exister des indices sérieux qu’une infraction pourrait être commise et la mesure doit être subsidiaire (échec avéré ou probable d’autres procédés d’investigation). Elle doit être réservée à des infractions d’une certaine gravité (mais il est possible de se contenter des crimes et délits dans dresser un catalogue). Finalement, la personne concernée devra être informée et avoir la possibilité de faire contrôler la légalité de la mesure devant une autorité judiciaire indépendante.

Selon le type de mesure retenue, une autorisation judiciaire préalable est nécessaire. C’est notamment le cas pour les recherches secrètes, les enquête sous couverture et la surveillance de plateformes de communications fermées sur Internet.

La neutralité du Net

La question de la neutralité des réseaux n’a pas suscité de grands débats en Suisse jusqu’à présent, contrairement aux USA ou en Europe. L’Office fédéral de la communication (OFCOM) vient pourtant de rendre un premier rapport.

De quoi s’agit-il ?
Le principe de neutralité du Net est un principe de non-discrimination qui régit le fonctionnement d’Internet depuis son origine: chacun doit avoir accès au même Internet. Cette règle empêche le fournisseur d’accès à Internet (FAI) de sélectionner les contenus auxquels son client peut accéder ou en favoriser certains. Selon ce principe, le FAI ne peut pas limiter la vitesse à laquelle sont transmis les paquets de données sur le réseau ou limiter l’accès à certain sites ou services. Le fournisseur d’accès doit rester neutre et se contenter de mettre à disposition le conduit qui permet d’accéder aux services. Il ne doit pas élargir ce conduit (et augmenter le débit) pour favoriser des sites qu’il soutient (les siens par exemple) ou réduire, voire fermer ce conduit pour les sites qu’il n’aime pas (ses concurrents par exemple). En revanche, le fournisseur peut évidemment limiter de manière neutre le débit maximal ou le volume de données compris dans un abonnement. Mais ce volume de données ne doit pas être réservé à certains sites ou services.

Pas de réponse, mais le début d’une discussion
A ce jour, il n’y a en Suisse guère de règle qui interdit à un FAI de limiter ou dégrader la qualité de certains services. La loi sur les télécommunications ne contient pas d’obligations autres que celle pour le titulaire de la concession de service universel (actuellement Swisscom), d’assurer un service téléphonique public qui inclut la transmission de données faisant appel à des débits compatibles avec les voies de transmission de la parole. Le Conseil fédéral pourrait cependant, par voie d’ordonnance, obliger les fournisseurs à publier des informations précises sur la qualité du service fourni.

Le rapport de l’OFCOM a pour objectif de poser des bases de discussion sur la neutralité des réseaux en Suisse. Il présente le fonctionnement d’Internet, la situation en Suisse et à l’étranger. Il retient que la question de savoir à quel point il est nécessaire et opportun de traiter toutes les données de la même manière est controversée. Certains considèrent qu’il faut laisser les fournisseurs gérer le réseau et définir leurs produits, alors que d’autres demandent un traitement équitable de toutes les données. Le rapport présente les différents arguments et les prises de position adoptées par différents groupes d’intérêts. Le Conseil fédéral donnera son point de vue dans un rapport à venir sur le marché des télécommunications.

Malheureusement, le rapport ne contient pas d’état de la situation actuelle en Suisse. Des indications chiffrées sont toutefois données globalement pour 32 pays européens (dont la Suisse). Il en ressort que la majorité des FAI ne prennent pas de mesures d’exclusion ou de limitation de certains services (notamment P2P ou VoIP). Ces limitations ou restrictions touchent toutefois plus de 20% des abonnés lors de l’utilisation de connections paires-à-paires (P2P) dépassent le 20% sur les réseaux fixes et 27% sur les réseaux mobiles. Près d’un utilisateur sur deux subit également des restrictions à l’utilisation de la téléphonie sur IP (VoIP) au moyen de son abonnement mobile.