Ordonnance
sur le système de traitement pour la surveillance
de la correspondance par poste et télécommunication
(OST-SCPT)

La présente or­don­nance règle l’ex­ploit­a­tion et l’util­isa­tion du sys­tème de traite­ment du Ser­vice Sur­veil­lance de la cor­res­pond­ance par poste et télé­com­mu­nic­a­tion (Ser­vice SCPT).

¹ Les fourn­is­seurs de ser­vices de télé­com­mu­nic­a­tion (FST), à l’ex­cep­tion de ceux qui ont des ob­lig­a­tions re­streintes en matière de sur­veil­lance, et les fourn­is­seurs de ser­vices de com­mu­nic­a­tion dérivés ay­ant des ob­lig­a­tions éten­dues en matière de fourniture de ren­sei­gne­ments et de sur­veil­lance ex­ploit­ent avec le Ser­vice SCPT un réseau des­tiné à trans­mettre au sys­tème de traite­ment les ren­sei­gne­ments et les don­nées is­sues des sur­veil­lances (réseau de trans­mis­sion).

² Le réseau de trans­mis­sion per­met aus­si d’échanger les de­mandes de ren­sei­gne­ments et les man­dats de sur­veil­lance, ain­si que des in­form­a­tions sur leur ex­écu­tion.

³ Le Dé­parte­ment fédéral de justice et po­lice édicte des pre­scrip­tions tech­niques et ad­min­is­trat­ives ap­plic­ables au réseau de trans­mis­sion.

¹ Le sys­tème de traite­ment con­tient les don­nées suivantes:

a.

les ren­sei­gne­ments et les don­nées is­sues des sur­veil­lances trans­mis par les per­sonnes ob­ligées de col­laborer;

b.

les don­nées selon la let. a pré­parées pour être ex­ploitées;

c.

les de­mandes de ren­sei­gne­ments et les or­dres de sur­veil­lance trans­mis par les autor­ités ha­bil­itées;

d.

les ca­ra­ctéristiques de traite­ment ajoutées par les autor­ités qui ex­ploit­ent les don­nées;

e.

des don­nées sur l’ex­écu­tion et le suivi des af­faires, y com­pris les don­nées sur l’as­sur­ance de la qual­ité, les don­nées de test, les stat­istiques et la compt­ab­il­ité;

f.

des don­nées per­met­tant de présenter plus sim­ple­ment et de fil­trer les don­nées selon les let. a et b;

g.

des clés cryp­to­graph­iques.

² Peuvent être traitées dans le sys­tème:

a.²

des don­nées con­cernant des ren­sei­gne­ments (chap. 3, sec­tions 1 et 4 à 6, de l’or­don­nance du 15 novembre 2017 sur la sur­veil­lance de la cor­res­pond­ance par poste et télé­com­mu­nic­a­tion [OS­CPT]³);

b.⁴

des don­nées de sur­veil­lances en temps réel (chap. 3, sec­tions 1, 8, 9 et 11 OS­CPT);

c.⁵

des don­nées de sur­veil­lances rétro­act­ives (chap. 3, sec­tions 1, 10 et 11 OS­CPT);

d.

des don­nées sur l’ex­écu­tion et le suivi des af­faires du Ser­vice SCPT (art. 6).

¹ Les don­nées en­re­gis­trées dans le sys­tème de traite­ment provi­ennent:

a.

des autor­ités qui ont or­don­né une sur­veil­lance ou des autor­ités désignées par celles-ci, des autor­ités qui ont autor­isé une sur­veil­lance et des autres autor­ités as­so­ciées à la procé­dure;

b.

des per­sonnes ob­ligées de col­laborer;

c.

du Ser­vice SCPT;

d.

de bases de don­nées pour la véri­fic­a­tion des res­sources d’ad­ressage;

e.

des fourn­is­seurs d’in­form­a­tions géo­graph­iques et de matéri­el car­to­graph­ique.

² Les autor­ités ne peuvent com­pléter les don­nées is­sues de sur­veil­lances que par l’ajout de ca­ra­ctéristiques de traite­ment selon l’art. 3, al. 1, let. d, et par l’ajout de clés cryp­to­graph­iques selon l’art. 3, a. 1, let. g; une im­port­a­tion plus éten­due de don­nées d’en­quête n’est pas ad­mise.

¹ Les fonc­tions suivantes peuvent être util­isées pour traiter les ren­sei­gne­ments et les don­nées is­sues de sur­veil­lances:

a.

écoute sim­ul­tanée ou écoute différée;

b.

af­fichage et im­pres­sion;

c.

loc­al­isa­tion et re­présent­a­tion sur une carte;

d.

dé­cod­age et déchif­frage;

e.

re­groupe­ment;

f.

recher­che et fil­trage;

g.

at­tri­bu­tion d’un en­re­gis­trement vo­cal à une voix déjà en­re­gis­trée dans le sys­tème;

h.

tran­scrip­tion;

i.

com­mentaire;

j.

déclen­che­ment d’une alerte lor­sque sur­vi­ennent cer­tains événe­ments tels que l’ap­proche géo­graph­ique d’un point don­né ou un pro­ces­sus de com­mu­nic­a­tion;

k.

trans­mis­sion sé­cur­isée aux per­sonnes autor­isées;

l.

ef­face­ment.

² Les fonc­tions ne s’ap­pli­quent qu’aux don­nées auxquelles la per­sonne qui les ex­écute a ac­cès.

Le Ser­vice SCPT traite les don­nées suivantes pour l’ex­écu­tion et le suivi des af­faires:

a.

les co­or­don­nées des autor­ités qui ont or­don­né une sur­veil­lance et des autor­ités désignées par celles-ci, des autor­ités qui ont autor­isé une sur­veil­lance et des autres autor­ités as­so­ciées à la procé­dure, ain­si que des per­sonnes désignées par celles-ci;

b.

pour autant que ces in­form­a­tions soi­ent con­nues: les nom, prénom, date de nais­sance, ad­resse et pro­fes­sion de la per­sonne à sur­veiller et de son con­seil jur­idique;

c.

le mo­tif de la de­mande de ren­sei­gne­ments ou de la sur­veil­lance, en par­ticuli­er l’in­dic­a­tion des art­icles réprim­ant les in­frac­tions que la mesure doit per­mettre d’élu­cider;

d.

les types de ren­sei­gne­ments de­mandés et de sur­veil­lances or­don­nées;

e.

des com­mu­nic­a­tions écrites ou or­ales ain­si que les con­ver­sa­tions télé­pho­niques en­re­gis­trées selon l’art. 8 OS­CPT⁶;

f.

des dé­cisions des autor­ités, tell­es qu’or­dres de sur­veil­lance, autor­isa­tions et pro­long­a­tions, des dé­cisions re­l­at­ives à des sanc­tions ad­min­is­trat­ives ou pénales, ain­si que des dé­cisions sur re­cours;

g.

les don­nées men­tion­nées aux art. 15, let. h à k, et 49, al. 1, let. h à l, et 2, OS­CPT;

h.

le numéro de référence et le nom de l’af­faire à laquelle se rap­portent les ren­sei­gne­ments et les sur­veil­lances;

i.

les co­or­don­nées des per­sonnes ob­ligées de col­laborer ain­si que des per­sonnes physiques que celles-ci ont désignées comme in­ter­locuteurs;

j.

des don­nées sur les per­sonnes ob­ligées de col­laborer, not­am­ment con­cernant la dispon­ib­il­ité à ren­sei­gn­er et à sur­veiller;

k.

les res­sources d’ad­ressage et les iden­ti­fi­ants dispon­ibles;

l.

d’autres don­nées de nature tech­nique;

m.

les don­nées sur la per­cep­tion des émolu­ments et le verse­ment des in­dem­nités.

¹ Le Ser­vice SCPT crée, sur de­mande trans­mise au moy­en du for­mu­laire à cet ef­fet, des comptes d’util­isateurs per­son­nels pour per­mettre aux groupes de per­sonnes suivants d’ac­céder au sys­tème, pour autant que ces ac­cès soi­ent né­ces­saires à l’ex­écu­tion de leurs tâches:

a.

col­lab­or­at­eurs des autor­ités;

b.

col­lab­or­at­eurs des per­sonnes ob­ligées de col­laborer;

c.

col­lab­or­at­eurs du Ser­vice SCPT;

d.

per­sonnes auxquelles le Ser­vice SCPT a con­fié des tâches de main­ten­ance, d’ex­ploit­a­tion ou de pro­gram­ma­tion.

² Il peut, sur or­dre de la per­sonne com­pétente, ha­bi­liter des col­lab­or­at­eurs des autor­ités men­tion­nées à l’art. 9, al. 1 à 3, LSCPT à oc­troy­er des ac­cès pour autant que cela soit né­ces­saire à l’ex­écu­tion de leurs tâches. Lor­squ’ils oc­troi­ent un ac­cès, ces col­lab­or­at­eurs de­meurent re­spons­ables de l’util­isa­tion qui en est faite et doc­u­mentent l’oc­troi de man­ière à ce qu’il puisse être re­tracé.

³ Le Ser­vice SCPT véri­fie péri­od­ique­ment que les con­di­tions d’oc­troi des droits d’ac­cès sont tou­jours re­m­plies.

⁴ Les droits d’ac­cès au sys­tème de traite­ment sont réglés dans l’an­nexe. Le Ser­vice SCPT les pré­cise dans un règle­ment de traite­ment (art. 6 de l’or­don­nance du 31 août 2022 sur la pro­tec­tion des don­nées⁷).⁸

¹ L’or­dre de sur­veil­lance in­dique au Ser­vice SCPT quels col­lab­or­at­eurs des autor­ités men­tion­nées à l’art. 9, al. 1 à 3, LSCPT ont ac­cès aux don­nées de quelles sur­veil­lances. Après l’au­then­ti­fic­a­tion, une procé­dure d’ap­pel leur per­met d’ac­céder aux don­nées is­sues des sur­veil­lances prévues dans l’or­dre.

² Les per­sonnes con­cernées par l’art. 279 du code de procé­dure pénale⁹, ou l’art. 70j de la procé­dure pénale milit­aire du 23 mars 1979¹⁰, par l’art. 33 de la loi fédérale du 25 septembre 2015 sur le ren­sei­gne­ment¹¹, par les art. 35 et 36 LSCPT et par la loi fédérale du 25 septembre 2020 sur la pro­tec­tion des don­nées¹², ain­si que leurs con­seils jur­idiques peuvent dé­poser auprès de l’autor­ité com­pétente en vertu de l’art. 10, al. 1 à 3, LSCPT une de­mande d’ac­cès aux don­nées is­sues des sur­veil­lances.¹³ Elles ob­tiennent via les autor­ités com­pétentes et en vertu des dis­pos­i­tions qui s’ap­pli­quent à ces autor­ités un ac­cès aux don­nées dont elles ont be­soin pour ex­er­cer leur droit de con­sul­ter le dossier et leur droit d’ac­cès aux don­nées.

³ Le Ser­vice SCPT autor­ise cer­tains des col­lab­or­at­eurs visés à l’art. 7, al. 2, à oc­troy­er des ac­cès au sein de leur autor­ité, à des autor­ités autor­is­ant des mesur­es ain­si qu’à des per­sonnes autor­isées visées à l’al. 2, pour autant que ces ac­cès soi­ent né­ces­saires à l’ex­écu­tion des tâches ou pour per­mettre à des tiers d’ex­er­cer leurs droits.¹⁴

⁴ Le Ser­vice SCPT peut, avec le con­sente­ment de l’autor­ité char­gée de la procé­dure, per­mettre à ses col­lab­or­at­eurs ou à d’autres aux­ili­aires de pren­dre con­nais­sance du con­tenu des don­nées de sur­veil­lances, lor­sque cela est né­ces­saire pour con­seiller l’autor­ité con­cernée ou la per­sonne ob­ligée de col­laborer con­cernée, à des fins d’as­sur­ance de la qual­ité ou pour as­surer le bon fonc­tion­nement du sys­tème de traite­ment.¹⁵

⁵ Le con­sente­ment n’est pas re­quis:

a.

pour as­surer le bon fonc­tion­nement du sys­tème:

1.

en cas de graves dys­fonc­tion­ne­ments ou de risque de graves dys­fonc­tion­ne­ments,

2.

lor­squ’il est im­possible ou qu’il serait dis­pro­por­tion­né de ret­rouver la sur­veil­lance con­cernée ou de con­tac­ter l’autor­ité com­pétente pour cette sur­veil­lance, ou

b.

lor­squ’il serait dis­pro­por­tion­né de con­tac­ter toutes les autor­ités com­pétentes en rais­on du grand nombre de sur­veil­lances con­cernées.¹⁶

⁶ Le Ser­vice SCPT prend les mesur­es con­trac­tuelles, or­gan­isa­tion­nelles et tech­niques ap­pro­priées afin que les don­nées ne soi­ent pas ac­cess­ibles à des tiers.¹⁷

Le sys­tème de traite­ment pos­sède des in­ter­faces:

a.

pour la trans­mis­sion de man­dats et la ré­cep­tion de don­nées et de con­firm­a­tions, dir­ecte­ment ou via le réseau de trans­mis­sion con­necté aux sys­tèmes des per­sonnes ob­ligées de col­laborer;

b.

pour la copie de don­nées, selon l’art. 14, al. 1, LSCPT, dans le réseau de sys­tèmes d’in­form­a­tion de po­lice de l’Of­fice fédéral de la po­lice et selon l’art. 14a LSCPT, dans le sys­tème d’in­form­a­tion du Ser­vice de ren­sei­gne­ment;

c.

pour l’ac­cès aux bases de don­nées pour la véri­fic­a­tion de res­sources d’ad­ressage.

¹ Le Ser­vice SCPT s’as­sure en par­ticuli­er des points suivants par des mesur­es tech­niques et or­gan­isa­tion­nelles:

a.

pro­tec­tion des ac­cès et contre les modi­fic­a­tions: par une au­then­ti­fic­a­tion sûre des per­sonnes et des ser­vices ha­bil­ités et une de­scrip­tion dé­taillée de leurs droits re­spec­tifs de lec­ture et d’écrit­ure;

b.

con­trôle du trans­port: par une trans­mis­sion sé­cur­isée des don­nées du sys­tème de traite­ment;

c.

con­trôle des ac­cès et des modi­fic­a­tions: par la journ­al­isa­tion de tous les ac­cès à des don­nées et de toutes les modi­fic­a­tions de don­nées et par des con­trôles réguli­ers par sond­age pour détecter des ir­régu­lar­ités.

² Il dé­cide des mesur­es à pren­dre sur la base d’une ana­lyse des risques fondée sur l’état de la tech­nique et les normes in­ter­na­tionales per­tin­entes.

³ Il édicte, à l’at­ten­tion des util­isateurs du sys­tème, les in­struc­tions né­ces­saires à la mise en œuvre des mesur­es.

⁴ Il con­serve les fichiers de journ­al­isa­tion pendant toute la durée de con­ser­va­tion ap­plic­able aux don­nées is­sues de ren­sei­gne­ments ou de sur­veil­lances. Les fichiers de journ­al­isa­tion de la de­struc­tion des don­nées sont con­ser­vés dur­ant deux an­nées sup­plé­mentaires.¹⁸

Le Ser­vice SCPT dé­cide des mesur­es à pren­dre en cas de dérange­ment ou de risque de dérange­ment du bon fonc­tion­nement du sys­tème de traite­ment. S’il peut at­tribuer le dérange­ment à une ou plusieurs procé­dures, il en­tend préal­able­ment, lor­sque cela est pos­sible, les autor­ités com­pétentes pour ces procé­dures.

Les don­nées util­isées à des fins stat­istiques doivent être an­onymisées av­ant leur pub­lic­a­tion.

¹ Les don­nées des sur­veil­lances sont à la dis­pos­i­tion des autor­ités par une procé­dure d’ap­pel et avec l’en­semble des fonc­tions de traite­ment selon l’art. 5, au max­im­um:

a.

jusqu’à l’en­trée en force de la dé­cision qui clôt la procé­dure pénale con­cernée;

b.

jusqu’à six mois après la fin de l’opéra­tion du Ser­vice de ren­sei­gne­ment de la Con­fédéra­tion (SRC);

c.

jusqu’à six mois après la fin de la recher­che en cas d’ur­gence;

d.

jusqu’à six mois après la fin de la recher­che d’une per­sonne con­dam­née;

d^bis20

cent jours après la fin de la loc­al­isa­tion par télé­phonie mo­bile de ter­ror­istes po­ten­tiels en vertu de l’art. 23q, al. 3, de la loi fédérale du 21 mars 1997 in­stitu­ant des mesur­es vis­ant au main­tien de la sûreté in­térieure²¹; s’il ex­iste, en vertu de l’art. 11, al. 4^ter, LSCPT, une rais­on con­crète de penser que les don­nées ser­viront dans une procé­dure pénale, la let. a est ap­plic­able, ou

e.

jusqu’à l’en­voi des sup­ports de don­nées ou doc­u­ments aux autor­ités pour trans­mis­sion à une autor­ité étrangère dans le cadre d’une procé­dure d’en­traide ju­di­ci­aire in­ter­na­tionale.

² Les don­nées restent en­suite dispon­ibles dans le sys­tème de traite­ment pendant une péri­ode pro­longée, mais avec des fonc­tions de traite­ment ré­duites, jusqu’à la fin de la durée de con­ser­va­tion selon l’art. 11 LSCPT. L’autor­ité com­pétente peut de­mander plus tôt déjà que les don­nées soi­ent con­ser­vées de cette façon.

³ En cas de modi­fic­a­tions tech­niques de grande ampleur ap­portées au sys­tème de traite­ment, les don­nées sont en­core à la dis­pos­i­tion des autor­ités pendant une durée de six à douze mois avec l’en­semble des fonc­tions de traite­ment.

¹ La dernière autor­ité à avoir été en charge de la procé­dure com­mu­nique au Ser­vice SCPT av­ant l’ex­pir­a­tion du délai de con­ser­va­tion selon l’art. 11 LSCPT:

a.

que les don­nées doivent être détru­ites, ou

b.

que les don­nées doivent être mises à la dis­pos­i­tion d’une autor­ité désignée par elle et ef­facées dans le sys­tème après avoir reçu con­firm­a­tion de la ré­cep­tion.

² Si l’autor­ité com­pétente n’est plus iden­ti­fi­able à l’ex­pir­a­tion du délai de con­ser­va­tion ou ne donne aucune in­struc­tion après avoir été in­vitée à le faire, le Ser­vice SCPT pré­pare un sup­port de don­nées. Il ad­resse ce­lui-ci à la plus haute in­stance ju­di­ci­aire can­tonale ou au Tribunal pén­al fédéral. Après que l’in­stance en ques­tion a con­firmé la ré­cep­tion et la lis­ib­il­ité du sup­port, le Ser­vice SCPT détru­it les don­nées dans le sys­tème. Il con­signe la procé­dure dans un fichi­er de journ­al­isa­tion.

³ Les don­nées is­sues de ren­sei­gne­ments sont sauve­gardées pendant douze mois, puis con­ser­vées avec des fonc­tions de traite­ment ré­duites pendant le délai de con­ser­va­tion de l’art. 11 LSCPT, et sont en­suite détru­ites.²²

¹ Les don­nées de la Con­fédéra­tion à valeur archiv­istique des­tinées à être détru­ites sont pro­posées pour archiv­age aux Archives fédérales. Les archives sans valeur archiv­istique sont détru­ites.

² Les don­nées des can­tons des­tinées à être détru­ites sont pro­posées à l’autor­ité can­tonale com­pétente lor­sque le droit du can­ton en ques­tion le pré­voit. Con­formé­ment à l’art. 4, al. 2, de la loi fédérale du 26 juin 1998 sur l’archiv­age²³, l’archiv­age de don­nées des can­tons est de la com­pétence de ceux-ci.

¹ Jusqu’à la mise en ser­vice des nou­velles com­posantes du sys­tème, le Ser­vice SCPT peut ét­ab­lir les fichiers de journ­al­isa­tion selon l’an­cien droit.

² Tant que les don­nées ne sont pas con­ser­vées de man­ière cent­ral­isée pendant une longue péri­ode, elles sont con­ser­vées selon la pratique en vi­gueur. À partir du mo­ment où, con­formé­ment à l’art. 13, l’en­semble des fonc­tions de traite­ment ne sont plus dispon­ibles, les autor­ités reçoivent les don­nées de sur­veil­lance sur un sup­port de don­nées ou elles peuvent les téléchar­ger dans leur propre sys­tème.

La présente or­don­nance entre en vi­gueur le 1^er mars 2018.