Révision de la loi sur le renseignement

Ce que nous demandons concrètement:

• De renoncer à une surveillance portant sur l’exercice des droits politiques fondamentaux;
• D’édicter des bases légales claires pour l'utilisation des données biométriques ainsi que d'interdire la reconnaissance faciale dans l'espace public;
• De garantir la protection du secret professionnel et des sources;
• De renoncer à étendre la surveillance soumise à autorisation et d'assouplir les contrôles;
• D’abolir la surveillance arbitraire (exploration du réseau câblé, conservation des données) – problème que pose déjà la législation en vigueur;
• De garantir la transparence relative aux catégories de données et aux consignes d'effacement pour le Service de renseignement de la Confédération;
• De renforcer le droit d’accès à ses propres données personnelles;
• De renforcer la surveillance parlementaire du Service de renseignement au vu des atteintes aux principes de l'Etat de droit actuelles et qui seront encore aggravées avec la révision.

Pas de surveillance portant sur l’exercice des droits politiques

Actuellement, le SRC est limité dans la collecte de données: il ne peut collecter et traiter «des informations relatives aux activités politiques ou à l’exercice de la liberté d’opinion, d’association ou de réunion en Suisse» (art. 5 al. 5 LRens), à moins qu'il n'existe des «indices concrets» que ces droits sont exercés pour «préparer ou exécuter des activités terroristes, des activités d’espionnage ou des activités relevant de l’extrémisme violent.» (art. 5 al. 6 LRens).

La révision prévoit que le SRC soit désormais autorisé à collecter sans restriction des «don-nées brutes» donnant des informations sur l'exercice des droits politiques. Dans un second temps seulement, les données collectées seraient examinées afin de déterminer si elles ont été collectées à juste titre et si elles peuvent être réutilisées. Les informations portant sur des appels publics à des manifestations, des événements politiques, des rassemblements ou des activités spontanées pourraient ainsi être enregistrées et conservées à titre préventif pendant des années dans des banques de données en tant que matériel d’information.

Ce que nous demandons:

La limite de la surveillance prévue par l'actuel article 5 de la LRens doit être maintenue: aucun chèque en blanc ne doit être donné pour collecter et traiter des informations sur les activités politiques et sur l'exercice de la liberté d'opinion, de réunion ou d'association en Suisse.

Clarification des bases légales pour l'utilisation des données biométriques et interdiction de la reconnaissance faciale dans l'espace public

Selon la nouvelle loi fédérale sur la protection des données (nLPD), les données biométriques sont considérées comme des données sensibles. Elles ne peuvent être traitées par les autorités que si une base légale claire est prévue: le traitement des données doit être proportionné et les personnes concernées doivent avoir la possibilité de connaître le but et l’entité en charge du traitement de leurs données. La notion de «données biométriques» n'est pas mentionnée dans la loi sur la protection des données (LPD) et n'est pas non plus prévue dans la révision à venir. La LPD en vigueur (art. 44 ss) autorise en principe le traitement des «données sensibles», mais contrairement à d'autres types de données, la LPD ne spécifie pas les obligations, les procédures d'autorisation, les systèmes d'information ni les critères d'enregistrement et de durée de conservation des données biométriques.

L'Autorité de surveillance indépendante (AS-Rens) a révélé dans son rapport d'activité 2021 que le SRC utilisait un système de reconnaissance faciale et traitait des données biométriques. L'utilisation de systèmes de reconnaissance biométrique à des fins d'identification dans des lieux publiquement accessibles en Suisse est contraire aux droits fondamentaux et aux droits humains.

Ce que nous demandons:

• La révision de la loi sur le renseignement doit définir les conditions autorisant les mesures de surveillance étatiques et les moyens employés, en particulier la saisie de données biométriques.
• L'établissement de profils basés sur des images doit être interdite, y compris l'utilisation de systèmes tiers.
• Un contrôle strict doit mettre un terme à la pratique actuelle illégale du SRC.

Protection du secret professionnel et des sources

La révision de la LRens vise à assouplir les dispositions protégeant le secret professionnel (en biffant l'art. 28 al. 2 LRens). A l'avenir, le SRC pourrait pénétrer secrètement dans les systèmes de communication de professionnel·le·x·s du secteur médical, d'aumônier·ère·x·s, d’avocat·e·x·s ou encore de journalistes qui seraient en contact avec une personne surveillée par le SRC, ou si cette personne utilise leurs locaux ou leurs moyens de communication. Le téléphone et le bureau de groupes professionnels protégés pourraient ainsi être mis sur écoute, les courriels lus et les ordinateurs infiltrés.

Ce que nous demandons:

• Dans un État de droit démocratique, le secret professionnel doit être protégé. Les secteurs d’activités des professionnel·le·x·s du secteur médical, des aumônier·ère·x·s, des avocat·e·x·s ou encore des journalistes ont besoin d’une sécurité juridique leur garantissant une protection contre la surveillance, afin de pouvoir préserver la confidentialité nécessaire vis-à-vis de leurs patient·e·x·s, des client·e·x·s et de leurs sources.

Pas d’extension de la surveillance soumise à autorisation et d’assouplissement des contrôles

L’extension des mesures de surveillance soumises à autorisation et l’affaiblissement des contrôles actuels prévus par la révision de la LRens sont problématiques.

Parmi les mesures de recherche soumises à autorisation (MRSA) figurent notamment les écoutes téléphoniques, la mise sur écoute de locaux, la fouille de locaux, de véhicules et de conteneurs, l'infiltration dans des systèmes et des réseaux informatiques, la surveillance de la messagerie et des communications Internet. Jusqu'à présent, ces méthodes de surveillance graves ne pouvaient être utilisées que pour se défendre contre le terrorisme, l'espionnage, l'attaque d'une infrastructure critique et la prolifération.

Critique 1: Extension de la surveillance à la défense contre l'extrémisme violent

Il sera désormais également possible d’exercer cette surveillance invasive pour lutter contre «l'extrémisme violent» (art. 27, al. 1, let. a, ch. 1, P-LRens). Cette notion d' «extrémisme violent» n'étant pas définie juridiquement, les actes qu’il recouvre ne sont pas non plus définis. Il est en revanche sûr que le cercle des personnes pouvant faire l’objet d’une surveillance est considérablement étendu. Le spectre des atteintes graves au droit à la sphère privée – droit fondamental protégé – était jusque-là limité à la protection contre les dangers comme le terrorisme; avec l’élargissement prévu, la surveillance risque de devenir rapidement disproportionnée et donc inadmissible. C'est la raison pour laquelle, lors de l'introduction de la LRens en 2017, le Conseil fédéral avait sciemment renoncé à ne pas étendre la surveillance soumise à autorisation à «l'extrémisme violent»; c’est toutefois le cas aujourd’hui.

Critique 2: Retrait des possibilités de recours contre une surveillance disproportionnée

Après la révision, il sera encore plus difficile d’examiner la proportionnalité d’une mesure de recherche soumise à autorisation (MRSA). La révision prévoit en effet également d’affaiblir les contrôles actuels dans ce domaine. Pour l’instant, les personnes surveillées doivent être informées quand la surveillance prend fin, et ont la possibilité de faire recours contre celle-ci. Désormais, il sera possible d’informer les personnes surveillées encore plus tard (art. 33 P-LRens). Il devrait par ailleurs rester possible de renoncer complètement informer ultérieurement les personnes surveillées; celles-ci seraient ainsi privées de toute possibilité de recours.

Critique 3: Affaiblissement du contrôle dans la procédure d'autorisation des MRSA

Un autre affaiblissement du contrôle se manifeste dans la procédure d'autorisation. Aujourd'hui, les mesures de recherche soumises à autorisation (MRSA) doivent être approuvées par le Tribunal administratif fédéral et la Délégation pour la sécurité du Conseil fédéral. Désormais, l'approbation de l'ensemble de la Délégation pour la sécurité ne serait plus obligatoire pour une prolongation ou une extension des MRSA (art. 30, al. 3 et 4). De même, il serait possible que l'approbation du Tribunal administratif fédéral n'intervienne qu'a posteriori (art. 29b, al. 2, P-LRens). Entre la fin d'une autorisation en cours et la nouvelle décision du TAF, le SRC pourrait donc continuer à surveiller des personnes sans autorisation (art. 29b, al. 2 P-LRens).

Critique 4: Utilisation par l’Etat de chevaux de Troie

Grâce à des recherches menées par des médias internationaux, nous savons par ailleurs que le Service de renseignement de la Confédération utilise depuis longtemps des «chevaux de Troie» étatiques, notamment le logiciel espion «Pegasus». Les MRSA comprennent déjà l’infiltration dans les systèmes informatiques (article 26b LRens), mais l'ampleur et l'intensité de la surveillance ne sont pas claires. L'utilisation de chevaux de Troie étatiques porte atteinte à la sphère privée numérique et sape la sécurité informatique de la collectivité, car au lieu de les combler, les autorités laissent les failles de sécurité ouvertes.

Ce que nous demandons:

• Les méthodes de surveillance invasives ne doivent pas être étendues au domaine de «l'extrémisme violent».
• Les contrôles effectués dans le cadre de la procédure d'autorisation des MRSA ne doivent pas être affaiblis. Les personnes surveillées doivent dans tous les cas être in-formées immédiatement après l'arrêt des mesures afin de pouvoir demander à être entendues par la justice. Les lacunes en matière de sécurité doivent impérativement être signalées aux fabricants.

Suppression de la surveillance indépendante de tout motif et de tout soupçon (exploration du réseau câblé, conservation des données)

La LRens de 2017 a également introduit la surveillance de masse sans motif, qui s’applique aux câbles à fibres optiques internationaux (exploration du réseau câblé). Il s'agissait de fouiller «uniquement» les échanges de données à l'étranger via les câbles optiques internationaux, et non les c
ommunications en Suisse. Cette modification néglige toutefois le fait que la plupart des communications internet de la population suisse passent par des serveurs, des réseaux et des services étrangers. La surveillance de masse qui en résulte porte gravement atteinte à la sphère privée des personnes.

Lors de la surveillance de masse sans motif au moyen de l’exploration câblée, ce ne sont pas seulement les contacts des personnes surveillées de manière ciblée qui se retrouvent dans les banques de données du SRC, mais toutes les personnes en Suisse. Ces grands fichiers sont ensuite examinés selon différentes méthodes, ce qui a pour conséquence que des données de communication protégées par le secret professionnel apparaissent par exemple dans les résultats de la recherche.

Au-delà de la recherche par exploration câblée, l'accès aux données conservées constitue une autre forme de surveillance de masse par le SRC. Les entreprises de télécommunication telles que Salt, Sunrise et Swisscom, mais aussi les fournisseurs de messagerie électronique et les services en ligne ayant leur siège en Suisse sont tenus, dans le cadre de la loi fédérale sur la surveillance de la correspondance par poste et télécommunication (LSCPT), de conserver pendant six mois les métadonnées ou données secondaires de la communication. La police, les ministères publics et les services secrets peuvent utiliser ces données dans le cadre d'enquêtes.

Les données issues de l’exploration câblée et de la conservation des données permettent de tirer des conclusions globales sur le comportement de l'ensemble de la population. Dans son arrêt 1C_377/2019, le Tribunal fédéral qualifie cela de «surveillance de masse», non compatible avec les droits fondamentaux tels que le droit à la vie privée et la liberté d'expression.

Ce que nous demandons:

• Le chapitre sur l’exploration câblée doit être supprimé de la loi sur le renseignement.
• La possibilité d’utiliser les données conservées doit être abolie.

Clarification des catégories de données et des directives relatives à l'effacement pour le Service de renseignement de la Confédération

Jusqu'à présent, les données et informations collectées par le SRC étaient classées dans neuf systèmes d'information différents en fonction de leur utilisation – un système dédié aux informations sur l'extrémisme violent et un autre pour les informations concernant exclusivement les mesures de police de sécurité par exemple. Les données provenant de sources accessibles au public font partie d’un autre système encore. La révision de la loi sur le renseignement prévoit la suppression de ces différents réservoirs de données.

Selon la nouvelle procédure, le SRC doit d'abord collecter le plus grand nombre possible de données. Les données qui sont ou pourraient être pertinentes pour les activités du SRC seraient distinguées des données dites «admin» (interventions politiques de parlementaires, prises de position, lettres de citoyens, demandes de consultation, etc.) dans un deuxième temps seulement. Si, dans une étape suivante, les données potentiellement importantes pour les activités de renseignement – appelées données brutes – sont traitées, elles sont considérées comme des données de travail, qui sont conservées plus ou moins longtemps selon leur pertinence.

Avec le nouveau système de collecte, il est plus difficile de savoir dans quel but les données sont collectées. Cela est particulièrement délicat dans le domaine de l'extrémisme violent: lors de l'adoption de la loi sur le renseignement en 2017, le législateur avait reconnu que les données liées à l'extrémisme violent devaient être traitées dans un système d'information spécifique et être encadrées par des conditions de traitement des données particulièrement strictes. L'expérience a montré que le traitement des données dans le domaine de l'extrémisme violent s'est avéré particulièrement sensible du point de vue politique et de la protection des données. Dans la nouvelle loi sur le renseignement, le Conseil fédéral projette d’éliminer cette séparation, pourtant effectuée pour de bonnes raisons.

A l'avenir, si une vérification de la pertinence des données de travail aura lieu périodiquement, aucun délai n’est explicitement prévu le projet de loi mis en consultation. Le projet renvoie aux délais de conservation et d'effacement fixés dans l'ordonnance existante, pouvant être modifiés à tout moment par le Conseil fédéral. Cette lacune entraîne le risque d'une conservation de données excessive, ce qui porte atteinte aux droits fondamentaux des personnes concernées par la surveillance.

En l'état actuel de la révision de la loi, le délai à partir duquel le droit de regard pour les personnes ou organisations concernées est valable n’est pas spécifié. Court-il dès la réception des données collectées, après le triage des données brutes ou seulement une fois que les informations sont considérées comme des données de travail des services de renseignement? Il n’est pas non plus clair si le contrôle parlementaire a accès ou connaissance de toutes les données collectées dès le départ – indépendamment du fait que celles-ci soient réutilisées ou non et de la manière dont elles le sont. Or, c'est la seule manière de contrôler de manière fiable si le SRC respecte ses limites légales, à savoir de ne pas surveiller les activités politiques légales.

Ce que nous demandons:

• Les finalités de la collecte et du traitement des données doivent être claires dès le départ et la loi doit garantir qu'elles seront traitées à ces fins seulement;
• Les données dont le traitement n'est pas justifié par une finalité suffisante en matière de renseignement ne doivent pas être collectées;
• Les données liées à l'extrémisme violent doivent continuer à être traitées séparément et selon des conditions particulièrement strictes;
• Aucune réserve de données ne doit pouvoir être constituée sans que la pertinence de leur collecte et la légalité de leur traitement aient été prouvées;
• Pour toutes les données existantes, il convient d'introduire dans la loi, sans exception, un bref délai pour examiner périodiquement la légitimité de la conservation et du traitement des informations;
• La loi doit stipuler que le droit de consultation s'applique déjà aux données brutes et pas seulement lorsque les informations sont traitées en tant que données de travail.

Renforcement des droits d'accès à ses propres données personnelles

Aujourd'hui déjà, la pratique du Service de renseignement de la Confédération est peu transparente, insuffisant et relativement arbitraire en matière de mise à disposition d’information. Souvent, le SRC se contente de donner accès à une liste des données qu'il a enregistrées. La documentation relative n’est pas remise, de sorte qu'il est impossible de vérifier si l'on a obtenu un accès complet aux informations stockées. La loi prévoit qu'un renseignement doit être fourni dans un délai de 30 jours ; or, le SRC met parfois une année pour le faire et n'accorde un droit de regard que sur les enregistrements jusqu'à la date de réception de la demande – à savoir sur ceux remontent à plus d'une année.

Au lieu de rendre la pratique en matière de renseignements plus simple et plus transparente, la révision prévoit de supprimer complètement la possibilité de recours devant le Tribunal administratif fédéral pour certains renseignements et communications (concernant le refus, la restriction ou le report de la réponse), ce qui est contraire à la CEDH et à la Constitution fédérale.

Ce que nous demandons:

• Il faut renoncer à prononcer des restrictions des possibilités de recours, surtout si elles sont combinées avec une extension de la compétence en matière de collecte de données et une absence de délai légal pour l’examen de l'utilisation ultérieure des données.
• Le droit de regard doit s'appliquer à toutes les données collectées et traitées par le SRC.
• La loi sur le renseignement doit garantir que le SRC doit en principe divulguer l'intégralité des documents.
• La loi sur le renseignement doit stipuler qu'au-delà des personnes physiques, les personnes morales (organisations, partis politiques) peuvent également exercer leur droit d'accès.

Renforcement de la surveillance parlementaire sur le SRC

Il faut s'attendre à ce que le Conseil fédéral propose au Parlement à la fin 2025 de permettre au SRC de disposer à l'avenir de compétences supplémentaires portant gravement atteinte aux droits fondamentaux et aux droits humains (voir les explications ci-dessus).

La surveillance parlementaire et administrative du SRC est quant à elle très faible. Elle ne dispose pas des compétences et des ressources nécessaires à une surveillance indépendante et efficace.

En raison de la séparation des pouvoirs, la Délégation des Commissions de gestion du Parlement n'a en effet pas la possibilité d'annuler ou de modifier les décisions du pouvoir exécutif. De plus, le secrétariat de la Commission de gestion ne dispose que de 20 postes à plein temps, ce qui est largement insuffisant au vu de la charge de travail.

La nouvelle autorité indépendante de surveillance des activités de renseignement (AS-Rens) créée en 2017 est une entité interne limitée à effectuer une surveillance technique. Bien qu'elle ne soit pas liée à une organisation, elle est rattachée administrativement au Département de la défense, de la protection de la population et des sports (DDPS). L'autorité de surveillance ne peut par ailleurs seulement émettre des recommandations qui, selon le droit en vigueur (art. 78 LRens), peuvent être acceptées par la personne responsable du DDPS ou rejetées sur la base d'une décision du Conseil fédéral.

Ce que nous demandons:

• Le secrétariat de la Délégation des Commissions de gestion du Parlement doit être doté de moyens financiers et de ressources humaines supplémentaires (notamment des spécialistes en informatique et des expert·e·x·s externes) afin de soutenir ses tâches de contrôle des bases de données.
• Un élargissement de la Délégation des Commissions de gestion du Parlement à d'autres membres doit être étudié afin de mieux faire face à des tâches de contrôle de plus en plus complexes.
• Un état des lieux complet portant sur une nouvelle structure de surveillance doit être mené afin de garantir l'indépendance, l'efficacité et l'efficience de la surveillance du SRC (inspirée du modèle de l'autorité de surveillance du Ministère public de la Confédération p. ex).