Dans le d\u00e9bat sur la souverainet\u00e9 num\u00e9rique de la Suisse et l\u2019utilisation des services en nuage, la s\u00e9curit\u00e9 juridique est un facteur extr\u00eamement important pour les utilisateurs publics et priv\u00e9s.
En 2018, les \u00c9tats-Unis ont adopt\u00e9 le CLOUD Act (Clarifying Lawful Overseas Use of Data Act), qui a entra\u00een\u00e9 une ins\u00e9curit\u00e9 juridique pour les utilisateurs de technologies en nuage. Cette loi autorise les autorit\u00e9s am\u00e9ricaines de poursuite p\u00e9nale, dans le cadre de la pr\u00e9vention, de l\u2019investigation, de l\u2019\u00e9lucidation et de la poursuite concernant les infractions p\u00e9nales graves, \u00e0 acc\u00e9der aux preuves, c\u2019est-\u00e0-dire aux donn\u00e9es stock\u00e9es par les fournisseurs de services de communication ayant leur si\u00e8ge aux \u00c9tats-Unis, peu importe que les donn\u00e9es soient stock\u00e9es aux \u00c9tats-Unis ou par exemple dans l\u2019UE ou en Suisse, notamment via des filiales europ\u00e9ennes. Elle dispose ainsi d\u2019un champ d\u2019application extraterritorial.
On peut lire dans le rapport du Conseil f\u00e9d\u00e9ral du 26 novembre 2025 intitul\u00e9 \u00ab Souverainet\u00e9 num\u00e9rique de la Suisse \u00bb que ce dernier a charg\u00e9 le DFJP, le 9 avril 2025, de se pencher sur l\u2019\u00e9laboration d\u2019une base l\u00e9gale qui r\u00e9ponde aux d\u00e9fis auxquels sont confront\u00e9es les autorit\u00e9s de poursuite p\u00e9nale dans le cadre de l\u2019obtention de donn\u00e9es \u00e9lectroniques transfrontali\u00e8res.
Le Royaume-Uni a d\u00e9j\u00e0 conclu en 2019 un accord bilat\u00e9ral avec les \u00c9tats-Unis dans le cadre du CLOUD Act, accord qui a abouti \u00e0 une augmentation consid\u00e9rable de la s\u00e9curit\u00e9 juridique : ainsi, l\u2019acc\u00e8s des autorit\u00e9s am\u00e9ricaines d\u2019instruction p\u00e9nale aux donn\u00e9es du secteur public est, de facto, exclu. Un accord permettrait \u00e9galement d\u2019instaurer des droits r\u00e9ciproques pour les autorit\u00e9s suisses d\u2019instruction p\u00e9nale, ce qui acc\u00e9l\u00e9rerait consid\u00e9rablement les enqu\u00eates p\u00e9nales concernant les preuves \u00e9lectroniques. Pour les m\u00eames raisons, l\u2019Australie a sign\u00e9 avec les \u00c9tats-Unis, en 2021, un accord portant sur le CLOUD Act.
Je prie le Conseil f\u00e9d\u00e9ral de bien vouloir r\u00e9pondre aux questions suivantes :
1. L\u2019objet principal du CLOUD Act est de permettre aux autorit\u00e9s de poursuite p\u00e9nale am\u00e9ricaines d\u2019acc\u00e9der aux donn\u00e9es stock\u00e9es en dehors des \u00c9tats-Unis dans le cadre de leurs proc\u00e9dures p\u00e9nales, y compris lorsqu\u2019elles sont stock\u00e9es sur un serveur \u00e0 l\u2019\u00e9tranger. Comme cette nouvelle possibilit\u00e9 d\u2019acc\u00e8s est souvent en conflit avec le droit du lieu o\u00f9 les donn\u00e9es sont stock\u00e9es, les \u00c9tats-Unis proposent \u00e0 d\u2019autres \u00c9tats, pour autant qu\u2019ils remplissent certaines normes en mati\u00e8re d\u2019\u00c9tat de droit, de conclure un accord (executive agreement) \u00e9galement r\u00e9gi par le CLOUD Act. En concluant un tel accord, l\u2019\u00c9tat partenaire accepte que les autorit\u00e9s de poursuite p\u00e9nale am\u00e9ricaines acc\u00e8dent aux donn\u00e9es stock\u00e9es sur son territoire par des fournisseurs de service. En retour, l\u2019\u00c9tat partenaire a l\u2019assurance que ses autorit\u00e9s de poursuite p\u00e9nales pourront adresser des injonctions de production aux fournisseurs de service se trouvant aux \u00c9tats-Unis.
L\u2019Office f\u00e9d\u00e9ral de la justice (OFJ) a examin\u00e9 le CLOUD Act et la possibilit\u00e9 de conclure un accord avec les \u00c9tats-Unis et a r\u00e9dig\u00e9 pour ce faire le rapport du 17 septembre 2021 sur le CLOUD Act (loi Cloud). Le rapport conclut que les proc\u00e9dures pr\u00e9vues dans le CLOUD Act, qui trouvent leur origine dans le syst\u00e8me anglo-saxon de common law, sont difficilement compatibles avec les normes de droit suisse relatives aux droits fondamentaux et \u00e0 la protection des donn\u00e9es. L\u2019Union europ\u00e9enne (UE) est parvenue \u00e0 la m\u00eame conclusion. Elle a \u00e9labor\u00e9 de son c\u00f4t\u00e9 un syst\u00e8me transfrontalier d\u2019acc\u00e8s aux donn\u00e9es dans le cadre des proc\u00e9dures p\u00e9nales (l\u00e9gislation e-evidence de l\u2019UE). L\u2019OFJ a \u00e9galement \u00e9valu\u00e9 cette solution et a r\u00e9dig\u00e9 le rapport du 24 octobre 2023 sur le projet e-evidence de l\u2019UE. Ce dernier reprend les modes de fonctionnement des syst\u00e8mes p\u00e9naux qui trouvent application sur le continent europ\u00e9en. La protection juridique et la protection des donn\u00e9es se fondent sur les normes europ\u00e9ennes.
Le Conseil f\u00e9d\u00e9ral est parvenu \u00e0 la conclusion que le syst\u00e8me de l\u2019UE est davantage conciliable avec le droit suisse et que la Suisse s\u2019orientera donc vers ce syst\u00e8me. Lors de sa s\u00e9ance du 9 avril 2025, il a charg\u00e9 le D\u00e9partement f\u00e9d\u00e9ral de justice et police d\u2019\u00e9tudier la cr\u00e9ation des bases l\u00e9gales requises et d\u2019\u00e9valuer si une collaboration plus \u00e9troite avec l\u2019UE \u00e9tait possible. En fonction de l\u2019avanc\u00e9e des travaux, il sera possible d\u2019envisager dans un deuxi\u00e8me temps un accord avec les \u00c9tats-Unis qui r\u00e8glerait les interactions entre les syst\u00e8mes e-evidence et CLOUD Act. Les informations sur l\u2019\u00e9tat du projet et les deux rapports de l\u2019OFJ sur le CLOUD Act et sur le projet e-evidence sont disponibles sur : https://www.bj.admin.ch/bj/fr/home/sicherheit/gesetzgebung/e-evidence.html.
2. Jusqu\u2019\u00e0 pr\u00e9sent seuls deux \u00c9tats appliquant le droit anglo-saxon (le Royaume-Uni et l\u2019Australie) ont conclu avec les \u00c9tats-Unis un accord portant sur le CLOUD Act. Comme la Suisse est un \u00c9tat ayant un syst\u00e8me juridique continental, elle devrait probablement n\u00e9gocier un accord nettement plus complet, notamment en mati\u00e8re de protection juridique, de protection des droits fondamentaux et de protection des donn\u00e9es. C\u2019est pourquoi il semble peu probable que l\u2019accord entre le Royaume-Uni et les \u00c9tats-Unis puissent servir de mod\u00e8le \u00e0 la Suisse. De plus amples informations \u00e0 ce sujet se trouvent dans le rapport de l\u2019OFJ sur le CLOUD Act.
En plus du CLOUD Act, les lettres de s\u00e9curit\u00e9 nationale (National Security Letters ou NSL) et la section 702 du Foreign Intelligence Surveillance Act (FISA) repr\u00e9sentent un probl\u00e8me majeur pour la souverainet\u00e9 num\u00e9rique de la Suisse, pour l\u2019autod\u00e9termination num\u00e9rique de sa population et pour la protection des donn\u00e9es. Ces instruments permettent aux autorit\u00e9s am\u00e9ricaines d\u2019acc\u00e9der aux donn\u00e9es des personnes non am\u00e9ricaines stock\u00e9es aupr\u00e8s de fournisseurs de services en nuage am\u00e9ricains, et ce sans qu\u2019un juge ne l\u2019ait ordonn\u00e9 au cas par cas et avec une obligation stricte de maintien du secret envers les clients concern\u00e9s. Il n\u2019est pas pr\u00e9vu de conclure des accords bilat\u00e9raux et multilat\u00e9raux dans le cadre des NSL et de la section 702, car elles servent express\u00e9ment \u00e0 assurer la s\u00e9curit\u00e9 nationale des \u00c9tats-Unis. Un \u00e9ventuel accord portant sur le CLOUD Act ne restreindrait pas ces droits d\u2019acc\u00e8s et ne permettrait pas non plus de les r\u00e9glementer de mani\u00e8re transparente. Ainsi, le risque d\u2019un acc\u00e8s extraterritorial aux donn\u00e9es suisses demeure, m\u00eame si les donn\u00e9es sont localis\u00e9es formellement ou s\u2019il existe des m\u00e9canismes de protection contractuelles.
3. La conclusion d\u2019un accord portant sur le CLOUD Act diminuerait consid\u00e9rablement la souverainet\u00e9 de la Suisse. Les autorit\u00e9s de poursuite p\u00e9nale am\u00e9ricaines auraient des droits d\u2019acc\u00e8s tr\u00e8s larges sur les donn\u00e9es stock\u00e9es en Suisse. Une telle d\u00e9cision ne doit pas \u00eatre prise \u00e0 la l\u00e9g\u00e8re. Si la Suisse faisait cavalier seul, les relations avec d\u2019autres partenaires importants (par exemple avec l\u2019UE concernant l\u2019acc\u00e8s au march\u00e9 et l\u2019ad\u00e9quation de la protection des donn\u00e9es) seraient compromises. La s\u00e9curit\u00e9 juridique serait renforc\u00e9e pour certains fournisseurs de service, surtout ceux bas\u00e9s aux \u00c9tats-Unis. Toutefois, le fait que les autorit\u00e9s de poursuite p\u00e9nale am\u00e9ricaines puissent acc\u00e9der aux donn\u00e9es cr\u00e9erait une grande ins\u00e9curit\u00e9 juridique pour de nombreuses autres entreprises du num\u00e9rique quant \u00e0 l\u2019acc\u00e8s au march\u00e9 europ\u00e9en et quant aux possibles atteintes \u00e0 la sph\u00e8re priv\u00e9e des personnes qui stockent des donn\u00e9es en Suisse. Un examen minutieux est donc n\u00e9cessaire avant de prendre une quelconque d\u00e9cision sur les prochaines \u00e9tapes.
","FederalCouncilProposal":null,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1771372800000)\/","SubmittedBy":"Bally Maya","BusinessStatus":229,"BusinessStatusText":"Liquid\u00e9","BusinessStatusDate":"\/Date(1781864061000)\/","ResponsibleDepartment":5,"ResponsibleDepartmentName":"D\u00e9partement de justice et police","ResponsibleDepartmentAbbreviation":"DFJP","IsLeadingDepartment":true,"Tags":"8|34|1216","Category":null,"Modified":"\/Date(1781864072637)\/","SubmissionDate":"\/Date(1766016000000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Conseil national","SubmissionCouncilAbbreviation":"CN","SubmissionSession":5211,"SubmissionLegislativePeriod":52,"FirstCouncil1":1,"FirstCouncil1Name":"Conseil national","FirstCouncil1Abbreviation":"CN","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Politique internationale|M\u00e9dias et communication|Droit p\u00e9nal"}}