Aux \u00c9tats-Unis, la loi \"Foreign Intelligence and Surveillance Act\" (FISA) permet aux autorit\u00e9s de ce pays d'exiger des entreprises am\u00e9ricaines qu'elles leur livrent des donn\u00e9es personnelles de ressortissants de pays tiers stock\u00e9es dans leurs \"nuages\" (\"cloud\"). Parmi les donn\u00e9es qui peuvent \u00eatre surveill\u00e9es, on compte celles qui ont un lien avec des organisations politiques. Or, parmi elles se trouvent des entreprises qui, comme Google, Facebook ou Twitter, d\u00e9tiennent un nombre tr\u00e8s important de donn\u00e9es personnelles de citoyens suisses. La quasi-totalit\u00e9 des personnes vivant en Suisse pourraient donc voir leurs donn\u00e9es personnelles transmises \u00e0 des autorit\u00e9s \u00e9trang\u00e8res et trait\u00e9es par elles au m\u00e9pris de la LPD et/ou des garanties proc\u00e9durales (surtout p\u00e9nales). Cette l\u00e9gislation inqui\u00e8te l'UE, laquelle admet l'avoir \"n\u00e9glig\u00e9e en d\u00e9pit des probl\u00e8mes de souverainet\u00e9 des donn\u00e9es et de protection des droits des citoyens\" (cf. rapport du Parlement europ\u00e9en \"Fighting cyber crime and protecting privacy in the cloud\", 2012).
Je pose donc au Conseil f\u00e9d\u00e9ral les questions suivantes\u00a0:
1. Le Conseil f\u00e9d\u00e9ral est-il inform\u00e9 des cons\u00e9quences de la loi FISA\u00a0? Quelle en est son appr\u00e9ciation et quelles d\u00e9marches a-t-il entam\u00e9 dans ce contexte\u00a0?
2. Que compte faire le Conseil f\u00e9d\u00e9ral pour emp\u00eacher des violations de la LPD par des entreprises \u00e9trang\u00e8res traitant des donn\u00e9es personnelles de citoyens suisses\u00a0?
3. Que compte-t-il faire pour garantir l'application du droit suisse de la protection des donn\u00e9es aux donn\u00e9es collect\u00e9es en Suisse par des entreprises \u00e9trang\u00e8res, m\u00eame si elles n'ont pas de filiale en Suisse\u00a0?
4. Compte-t-il intervenir aupr\u00e8s des \u00c9tats-Unis (ou d'autres pays disposant de l\u00e9gislations similaires \u00e0 FISA) afin que l'application de ce type de l\u00e9gislations ne soit pas contraire \u00e0 notre l\u00e9gislation sur la protection des donn\u00e9es\u00a0?
5. Comment compte-t-il garantir que les droits de proc\u00e9dure (p\u00e9nale ou civile, selon le droit suisse ou \u00e9tranger) des citoyens dont les donn\u00e9es seront transmises ou surveill\u00e9es sur la base de FISA seront respect\u00e9s\u00a0?
6. Comment compte-t-il garantir que les donn\u00e9es surveill\u00e9es ne seront pas utilis\u00e9es pour des proc\u00e9dures au sujet d'actes qui ne rel\u00e8vent pas du droit p\u00e9nal suisse (par ex. \"d\u00e9lit\" d'opinion)?
7. La l\u00e9gislation actuelle est-elle suffisante pour emp\u00eacher ces pratiques\u00a0? Si non, quand le Conseil f\u00e9d\u00e9ral va-t-il en proposer le renforcement\u00a0?
","ReasonText":null,"DocumentationText":null,"MotionText":null,"FederalCouncilResponseText":"Se procurer des donn\u00e9es \u00e0 l'insu des personnes concern\u00e9es dans le cadre des activit\u00e9s de renseignement constitue le modus operandi des services de renseignements. Les moyens offerts par les nouvelles technologies - et en particulier le fait d'enregistrer et de traiter de nombreuses donn\u00e9es de mani\u00e8re d\u00e9centralis\u00e9e et d\u00e9localis\u00e9e (\"cloud computing\") - rendent toutefois possible une surveillance \u00e0 large \u00e9chelle des citoyens par des puissances \u00e9trang\u00e8res qui n'ont pas n\u00e9cessairement les m\u00eames conceptions que les autorit\u00e9s suisses en mati\u00e8re de protection des donn\u00e9es et de service de renseignement. Ce risque a \u00e9t\u00e9 mis en \u00e9vidence \u00e0 propos du \"Foreign Intelligence Surveillance Amendment Act\" des \u00c9tats-Unis (FISA) dans une \u00e9tude du Parlement europ\u00e9en, mais ne concerne pas que les \u00c9tats-Unis.
Le Conseil f\u00e9d\u00e9ral r\u00e9pond aux questions pos\u00e9es de la mani\u00e8re suivante\u00a0:
1. Le Conseil f\u00e9d\u00e9ral est conscient des risques \u00e9voqu\u00e9s par l'interpellation, mais n'a pas connaissance de violations des droits de la personnalit\u00e9 de citoyens suisses sur la base de la FISA dans un cas concret. Pour l'instant, il n'a pas entam\u00e9 de d\u00e9marches \u00e0 ce sujet aupr\u00e8s des autorit\u00e9s am\u00e9ricaines. Celui qui utilise les r\u00e9seaux sociaux doit compter avec le risque que les informations qu'il divulgue puissent \u00e9chapper \u00e0 son contr\u00f4le ainsi qu'au champ d'influence des autorit\u00e9s suisses. Il lui incombe d'appr\u00e9cier ce risque et de rester vigilant. Il convient de renvoyer ici au programme Jeunes et m\u00e9dias, dont le but est de sensibiliser les enfants et les adolescents, les parents, les enseignants et les autres personnes assumant le r\u00f4le d'\u00e9ducateurs aux opportunit\u00e9s et aux dangers des nouveaux m\u00e9dias (http\u00a0://www.bsv.admin.ch/themen/kinder_jugend_alter/00071/03045/index.html\u00a0?lang=fr).
2. Le Conseil f\u00e9d\u00e9ral estime qu'il incombe principalement au PFPDT, dans le cadre de ses t\u00e2ches de conseil, de prendre des mesures visant \u00e0 sensibiliser les utilisateurs d'Internet et \u00e0 responsabiliser les ma\u00eetres de fichier. Le PFPDT a d'ailleurs publi\u00e9 des explications au sujet de l'utilisation de services en nuage. Le PFPDT a \u00e9galement la comp\u00e9tence, dans les limites du principe de territorialit\u00e9, d'effectuer des enqu\u00eates et d'\u00e9mettre des recommandations \u00e0 l'\u00e9gard des ma\u00eetres de fichiers qui ne respecteraient pas la l\u00e9gislation suisse. Pour citer un exemple, c'est ainsi que le PFPDT a agi dans l'affaire Google Street View (voir \u00e9galement l'ATF 138 II 346).
3. La marge de manoeuvre de la Suisse est limit\u00e9e face \u00e0 des violations du droit de la protection des donn\u00e9es par des entreprises \u00e9trang\u00e8res n'ayant pas de si\u00e8ge dans notre pays. En raison du principe de territorialit\u00e9, des violations de la LPD ne peuvent \u00eatre sanctionn\u00e9es qu'en pr\u00e9sence d'un rattachement suffisant avec la Suisse. Un tel rattachement \u00e9tait donn\u00e9 dans l'affaire Google Street View (ATF 138 II 346, cons. 3). C'est dans un cas d'esp\u00e8ce que les r\u00e9elles possibilit\u00e9s d'intervention de la Suisse dans l'application de la FISA pourront \u00eatre mesur\u00e9es.
4. Le Conseil f\u00e9d\u00e9ral est dispos\u00e9 \u00e0 aborder le sujet aupr\u00e8s des autorit\u00e9s \u00e9trang\u00e8res concern\u00e9es s'il devait avoir connaissance d'atteintes r\u00e9p\u00e9t\u00e9es aux droits de la personnalit\u00e9 des citoyens suisses suite \u00e0 l'utilisation d'Internet. Il va \u00e9galement suivre avec attention les mesures prises au niveau europ\u00e9en. Il n'exclut pas la possibilit\u00e9 de conclure avec certains \u00c9tats des accords bilat\u00e9raux ou multilat\u00e9raux\u00a0; ces accords viseraient \u00e0 emp\u00eacher, en grande partie, ce genre de violations de la protection des donn\u00e9es (par ex. le Safe Harbor Framework avec les \u00c9tats-Unis).
5./6. La question de savoir dans quelle mesure des fournisseurs tels que Google, Facebook ou Twitter peuvent transmettre les donn\u00e9es d'un utilisateur r\u00e9sidant en Suisse \u00e0 des tiers d\u00e9pend du contrat conclu entre le fournisseur et l'utilisateur en question. Le contenu de ce contrat se limite essentiellement aux conditions g\u00e9n\u00e9rales du fournisseur. La doctrine tend \u00e0 qualifier de tels contrats de contrats de consommation au sens de l'article 120 LDIP et de la CL. Ils seraient ainsi imp\u00e9rativement soumis au droit suisse. Cela n'exclut cependant pas que le fournisseur se r\u00e9serve le droit de transmettre des donn\u00e9es \u00e0 des tiers de mani\u00e8re appropri\u00e9e. En cas de violation du contrat, l'utilisateur dispose d'un for en Suisse (art. 114 LDIP et 15 CL). La question de savoir dans quelle mesure un jugement suisse est ex\u00e9cutoire pour un fournisseur \u00e9tranger d\u00e9pend de nombreux facteurs - sur lesquels la Suisse n'a que peu d'influence - tels que le droit de l'\u00c9tat dans lesquel le fournisseur a son si\u00e8ge. Cette probl\u00e9matique sera trait\u00e9e dans le rapport ex\u00e9cutant le postulat Amherd 11.3912, \"Donnons un cadre juridique aux m\u00e9dias sociaux\", du 29 septembre 2011.
7. Comme l'a d\u00e9montr\u00e9 l'arr\u00eat Google Street View d\u00e9j\u00e0 cit\u00e9, la l\u00e9gislation suisse n'est pas inop\u00e9rante vis-\u00e0-vis de soci\u00e9t\u00e9s \u00e9trang\u00e8res qui publient des donn\u00e9es personnelles collect\u00e9es en Suisse sur Internet. Le Conseil f\u00e9d\u00e9ral examinera toutefois dans le cadre des travaux de r\u00e9vision de la LPD en cours si la l\u00e9gislation est suffisante ou non dans ce domaine.
R\u00e9ponse du Conseil f\u00e9d\u00e9ral.","FederalCouncilProposal":8,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1367971200000)\/","SubmittedBy":"Schwaab Jean Christophe","BusinessStatus":229,"BusinessStatusText":"Liquid\u00e9","BusinessStatusDate":"\/Date(1426809600000)\/","ResponsibleDepartment":5,"ResponsibleDepartmentName":"D\u00e9partement de justice et police","ResponsibleDepartmentAbbreviation":"DFJP","IsLeadingDepartment":true,"Tags":"12|15","Category":null,"Modified":"\/Date(1690492734100)\/","SubmissionDate":"\/Date(1362528000000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Conseil national","SubmissionCouncilAbbreviation":"CN","SubmissionSession":4907,"SubmissionLegislativePeriod":49,"FirstCouncil1":1,"FirstCouncil1Name":"Conseil national","FirstCouncil1Abbreviation":"CN","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Droit|\u00c9conomie"}}