Preuves électroniques: la souveraineté des données suisses à l’épreuve de l’UE
Le Conseil fédéral a adopté une solution transitoire permettant aux fournisseurs suisses de services numériques de transmettre directement des preuves électroniques aux autorités pénales européennes. Une mesure qui ne résout toutefois qu’une partie des conflits juridiques et soulève des questions en matière de souveraineté des données. Décryptage avec Alexandre Jotterand, avocat spécialisé dans les technologies et l’innovation.
Le Conseil fédéral a récemment adopté un modèle d’autorisation permettant aux fournisseurs suisses de services numériques de transmettre directement des preuves électroniques aux autorités de poursuite pénale européennes. Cette mesure transitoire vise, selon l’annonce des autorités, à éviter les conflits entre le droit suisse et la nouvelle législation européenne «e-evidence». Celle-ci permet aux autorités pénales des États membres de l’UE d’obtenir directement auprès des fournisseurs concernés des données telles que des courriels, des historiques de conversation ou des adresses IP, indépendamment de leur lieu de stockage. Des entreprises comme Swisscom, Sunrise ou Proton peuvent être concernées. Or, répondre à ces demandes risque, dans certains cas, d’enfreindre l’article 271 du Code pénal suisse.
Les fournisseurs concernés peuvent désormais solliciter auprès du Département fédéral de justice et police (DFJP) une autorisation spéciale, valable deux ans au maximum et renouvelable. Parallèlement, le DFJP poursuit ses travaux en vue d’établir une base légale permanente et d’approfondir la coopération avec l’UE.
Cette solution ne résout toutefois qu’une partie des difficultés juridiques et soulève de nouvelles questions pour les prestataires numériques suisses, notamment en matière de souveraineté des données.
Alexandre Jotterand, avocat spécialisé dans les technologies et l’innovation et associé chez id est avocats, décrypte les implications de cette évolution pour les fournisseurs suisses et leurs clients.
Quels fournisseurs suisses sont concernés, au-delà des acteurs cités dans l’annonce des autorités?
La réglementation vise trois types de services: les services de communications électroniques (téléphonie, accès internet, mais aussi messagerie et courriel), les services de noms de domaine et d’adresses IP, et les services de la société de l’information qui permettent aux utilisateurs de communiquer entre eux ou qui stockent des données pour le compte de leurs utilisateurs (cloud, hébergement, réseaux sociaux, plateformes de marché). Le critère décisif est que le fournisseur propose ses services dans l’UE. Il faut pour cela un lien substantiel avec l’Union: un établissement dans un État membre, un nombre significatif d’utilisateurs dans un ou plusieurs États membres, ou des activités dirigées vers ces États (langue, monnaie, publicité). La simple accessibilité d’un site depuis l’UE ne suffit pas. Le lieu de stockage des données est indifférent. En Suisse, cela concerne au-delà de Swisscom, Sunrise et Proton des acteurs comme Infomaniak ou Threema, ainsi que de nombreux hébergeurs et éditeurs SaaS de taille plus modeste.
La solution transitoire règle-t-elle réellement le conflit de lois?
Elle n’en règle qu’une partie. L’autorisation lève, du côté des fournisseurs, le risque lié à l’art. 271 CP. Elle ne lève ni le secret des télécommunications (art. 321ter CP), ni le secret de fonction (art. 320 CP), ni le secret professionnel (art. 321 CP), qui peut s’appliquer au fournisseur en tant qu’auxiliaire d’un avocat ou d’un médecin. Le fournisseur devra donc analyser chaque injonction au regard de ces dispositions, dans des délais très courts. Surtout, elle ne règle pas le conflit de systèmes. La Suisse conserve une approche historique où l’accès aux données par une autorité étrangère passe par l’entraide judiciaire, avec des normes conçues pour protéger contre cet accès. Les législations récentes, comme le Cloud Act américain ou le paquet e-evidence européen, poursuivent le but inverse: faciliter cet accès. Avec cette solution, la Suisse fait un pas dans ce nouveau monde en facilitant l’accès d’autorités étrangères aux données d’entreprises suisses, sans avoir adapté son propre système. Nous sommes encore loin de systèmes compatibles.
Quelles conséquences pour la souveraineté numérique et la confidentialité des données hébergées en Suisse?
Pendant longtemps, le débat autour de la souveraineté s'est souvent porté à tort sur le risque d'un accès aux données par les autorités américaines. Sur ce point précis, la distinction entre fournisseurs américains et fournisseurs suisses (ou européens) perd en grande partie de sa raison d’être. Les fournisseurs suisses mettaient volontiers en avant leur indépendance face au Cloud Act. Ils devront réviser leurs arguments, car le système européen repose sur une logique comparable: ce qui compte, c’est l’endroit où le fournisseur propose ses services, pas celui où se trouvent les serveurs. Cela rend difficilement tenable la position de certaines autorités de surveillance, qui considèrent que tout risque d’accès par une autorité étrangère doit être exclu, indépendamment de sa probabilité. Dans le monde actuel, un accès hors de la voie de l’entraide internationale entre dans le champ du possible, y compris chez un fournisseur suisse. L’analyse doit donc porter sur la probabilité et les conséquences de cet accès, et sur les mesures pour le limiter. Indépendamment du risque d'accès aux données, la dépendance numérique vis-à-vis d'une poignée d'acteurs majeurs demeure dans tous les cas un réel enjeu.
L’absence de réciprocité est-elle problématique? Que devrait prévoir la future législation?
Elle est à tout le moins gênante, et le problème est difficile à résoudre. Avec les États-Unis, le Cloud Act permet de conclure un accord bilatéral offrant une forme de réciprocité, mais la Suisse n’a pas fait ce choix à ce jour. Avec l’UE, la situation est différente: le système européen est réservé aux États membres, et la Suisse ne peut tout simplement pas y participer. La Suisse pourrait créer sa propre législation d’accès aux données détenues par des fournisseurs étrangers. Mais cela supposerait de renoncer à la logique de l’entraide qui fonde son système actuel. Et il faudrait encore pouvoir l’imposer. Un «Cloud Act suisse» serait bien plus difficile à faire respecter par des fournisseurs étrangers que ce que peuvent obtenir les États-Unis ou l’UE.
L’actualité IT en Suisse et à l’international, avec un focus sur la Suisse romande, directement dans votre boîte mail > Inscrivez-vous à la newsletter d’ICTjournal, envoyée du lundi au vendredi!
