Sachant que le Pakistan est un pays qui comporte certains risques, je pose au Conseil f\u00e9d\u00e9ral les questions suivantes\u00a0:
1. Est-ce que les informations sont cod\u00e9es avant d'\u00eatre envoy\u00e9es dans des pays tiers, dans quel cas il ne serait pas possible de faire le lien entre des chiffres et des personnes\u00a0?
2. Est-ce que la protection des donn\u00e9es est garantie par les op\u00e9rateurs t\u00e9l\u00e9phoniques\u00a0? Si oui, de quelle mani\u00e8re\u00a0?
3. Si des personnes malveillantes pouvaient s'approprier ces donn\u00e9es CRM, quelles informations pourraient-elles en retirer\u00a0?
","ReasonText":"Les op\u00e9rateurs t\u00e9l\u00e9phoniques font traiter les donn\u00e9es CRM (Customer Relationship Management) \u00e0 l'\u00e9tranger.
Le CRM est ici consid\u00e9r\u00e9 comme\u00a0: \"un processus permettant de traiter tout ce qui concerne l'identification des clients, la constitution d'une base de connaissances sur la client\u00e8le, l'\u00e9laboration d'une relation client et l'am\u00e9lioration de l'image de l'entreprise et de ses produits aupr\u00e8s du client.
Les donn\u00e9es CRM sont utilis\u00e9es afin de mieux cerner les besoins des clients et ainsi pouvoir leur faire des offres plus cibl\u00e9es.
Swisscom, par exemple, fait traiter ses donn\u00e9es au Pakistan.
","DocumentationText":null,"MotionText":null,"FederalCouncilResponseText":"L'interpellation se r\u00e9f\u00e8re au traitement des \"donn\u00e9es t\u00e9l\u00e9phoniques\" en g\u00e9n\u00e9ral. Le d\u00e9veloppement fait toutefois explicitement r\u00e9f\u00e9rence \u00e0 Swisscom qui ferait traiter ses donn\u00e9es CRM au Pakistan. Questionn\u00e9e \u00e0 ce sujet, l'entreprise affirme qu'aucune donn\u00e9e de ce type n'est trait\u00e9e dans ce pays. Actuellement, seuls les travaux de maintenance d'une application sp\u00e9cifique seraient encore ex\u00e9cut\u00e9s au Pakistan, mais Swisscom envisagerait de s'en charger \u00e0 nouveau enti\u00e8rement elle-m\u00eame d\u00e8s cette ann\u00e9e.
Les r\u00e9ponses ci-dessous se basent sur les donn\u00e9es des quatre principales entreprises de t\u00e9l\u00e9communication actives en Suisse qui, selon le secteur consid\u00e9r\u00e9, couvrent ensemble jusqu'\u00e0 97\u00a0% des clients suisses. Il en ressort que ces entreprises respectent la loi. Le Conseil f\u00e9d\u00e9ral n'a pas de raison de soup\u00e7onner que d'autres fournisseurs de services de t\u00e9l\u00e9communication ne respecteraient pas \u00e9galement les prescriptions applicables en mati\u00e8re de protection des donn\u00e9es.
1. Avant le transfert de donn\u00e9es personnelles \u00e0 l'\u00e9tranger, une s\u00e9rie de mesures organisationnelles et techniques permet de garantir le respect de la loi du 19 juin 1992 sur la protection des donn\u00e9es (LPD). Afin d'assurer la s\u00e9curit\u00e9 du transfert, les donn\u00e9es sont notamment crypt\u00e9es et authentifi\u00e9es. Selon l'application, le contenu des donn\u00e9es transmises est par ailleurs rendu anonyme. L'anonymisation n'est toutefois pas toujours possible\u00a0; dans certains cas, le nom et l'adresse sont n\u00e9cessaires pour le traitement. En outre, des conventions de protection des donn\u00e9es sont conclues, et des mesures organisationnelles, comme la restriction de l'acc\u00e8s aux donn\u00e9es, sont prises et des contr\u00f4les r\u00e9guliers effectu\u00e9s.
2. Lorsqu'ils transmettent des donn\u00e9es personnelles \u00e0 un destinataire situ\u00e9 \u00e0 l'\u00e9tranger, les d\u00e9tenteurs de fichiers - donc aussi les fournisseurs de services de t\u00e9l\u00e9communication - sont tenus en particulier de se conformer \u00e0 l'article 6 LPD. Celui-ci n'autorise la transmission que si le pays \u00e9tranger dispose d'une l\u00e9gislation ad\u00e9quate sur la protection des donn\u00e9es. Le Pr\u00e9pos\u00e9 f\u00e9d\u00e9ral \u00e0 la protection des donn\u00e9es et \u00e0 la transparence (PFPDT) tient une liste publique des pays qui remplissent cette condition.
La transmission de donn\u00e9es personnelles \u00e0 un destinataire domicili\u00e9 dans un pays qui ne dispose pas d'une l\u00e9gislation assurant un niveau de protection ad\u00e9quat est autoris\u00e9e dans certains cas seulement, par exemple si le destinataire s'est engag\u00e9 contractuellement \u00e0 garantir une protection ad\u00e9quate ou si la communication a lieu entre des soci\u00e9t\u00e9s r\u00e9unies sous une direction unique, sous r\u00e9serve toutefois que les entit\u00e9s concern\u00e9s ob\u00e9issent \u00e0 des r\u00e8gles assurant un niveau de protection des donn\u00e9es ad\u00e9quat.
Les donn\u00e9es concernant le trafic des appels et la facturation sont envoy\u00e9es uniquement dans les pays qui, selon la liste du PFPDT, garantissent une protection ad\u00e9quate ou \u00e0 des entreprises \u00e9trang\u00e8res qui s'engagent par contrat \u00e0 le faire. Toutefois, lorsque les abonn\u00e9s t\u00e9l\u00e9phonent dans des pays peu s\u00fbrs, ils y g\u00e9n\u00e8rent \u00e9videmment aussi des donn\u00e9es d'appel.
3. Si des personnes malveillantes \u00e0 l'\u00e9tranger devaient acc\u00e9der \u00e0 des donn\u00e9es personnelles, elles ne pourraient s'emparer que des informations transmises depuis la Suisse. Suivant les op\u00e9rations de traitement, il peut s'agir de num\u00e9ros de t\u00e9l\u00e9phone, de noms, d'adresses, de donn\u00e9es de facturation, d'habitudes en mati\u00e8re de t\u00e9l\u00e9phonie ou d'informations sur les services Internet utilis\u00e9s. On ne peut toutefois pas exclure que les donn\u00e9es mentionn\u00e9es ci-dessus soient combin\u00e9es avec des fichiers tenus par d'autres entreprises de services, actives par exemple dans le domaine des transactions par cartes de cr\u00e9dit ou des services Internet (recherche d'informations, courriels ou espaces de discussion). Pour toutes les donn\u00e9es sensibles, les abonn\u00e9s devraient donc opter pour un fournisseur offrant la protection la plus \u00e9lev\u00e9e possible.
R\u00e9ponse du Conseil f\u00e9d\u00e9ral.","FederalCouncilProposal":8,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1266969600000)\/","SubmittedBy":"Grin Jean-Pierre","BusinessStatus":229,"BusinessStatusText":"Liquid\u00e9","BusinessStatusDate":"\/Date(1268998155830)\/","ResponsibleDepartment":9,"ResponsibleDepartmentName":"D\u00e9partement de l'environnement, des transports, de l'\u00e9nergie et de la communication","ResponsibleDepartmentAbbreviation":"DETEC","IsLeadingDepartment":true,"Tags":"34","Category":null,"Modified":"\/Date(1690511109080)\/","SubmissionDate":"\/Date(1259193600000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Conseil national","SubmissionCouncilAbbreviation":"CN","SubmissionSession":4812,"SubmissionLegislativePeriod":48,"FirstCouncil1":1,"FirstCouncil1Name":"Conseil national","FirstCouncil1Abbreviation":"CN","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"M\u00e9dias et communication"}}