Section 3 Protection des données et échange d’informations

¹Pour accomplir ses tâches, l’OFCS peut traiter des données personnelles, y compris les ressources d’adressage au sens de l’art. 3, let. f, LTC⁷³ et les données sensibles qui s’y rapportent, qui contiennent des informations relatives:

a.

à des opinions religieuses, philosophiques ou politiques; le traitement des données n’est admissible que dans la mesure où il est nécessaire à l’évaluation de menaces et de dangers concrets en matière de cybersécurité;

b.

à des poursuites ou à des sanctions pénales ou administratives.

²Lors du traitement de données personnelles ou en cas de soupçon fondé d’usurpation d’identité ou d’utilisation abusive de ressources d’adressage, l’OFCS en informe les personnes concernées si cela n’entraîne pas des efforts disproportionnés et qu’aucun intérêt public prépondérant ne s’y oppose.

¹L’OFCS et les exploitants d’infrastructures peuvent communiquer entre eux des données personnelles dans la mesure où cela est nécessaire à la protection contre des cybermenaces.

²L’OFCS et les fournisseurs de services de télécommunication peuvent communiquer entre eux des ressources d’adressage et les données personnelles qui s’y rapportent dans la mesure où cela est nécessaire à la protection contre des cybermenaces.

¹L’OFCS apporte son soutien au SRC en lui fournissant des évaluations périodiques du nombre, du type et de l’ampleur des cyberattaques ainsi que, sur demande, des analyses techniques des cybermenaces.

²Il octroie au SRC l’accès à des informations concernant l’identité ou le mode opératoire des auteurs de cyberattaques dans le but de déceler à temps et de prévenir les menaces pour la sûreté intérieure ou extérieure, d’apprécier la menace ou d’assurer un service d’alerte précoce en vue de protéger les infrastructures critiques au sens de l’art. 6, al. 1, let. a, 2 et 5, LRens⁷⁶.

³Il octroie aux autorités de poursuite pénale l’accès à des informations concernant l’identité et le mode opératoire des auteurs de cyberattaques.

⁴Il octroie aux services cantonaux chargés de la cybersécurité l’accès aux informations nécessaires à la protection contre les cybermenaces.

¹L’OFCS peut échanger avec des services étrangers ou internationaux chargés de la cybersécurité des informations permettant de connaître l’identité ou le mode opératoire des auteurs de cyberattaques s’ils en ont besoin pour accomplir des tâches qui correspondent à celles de l’OFCS. Si l’échange d’informations comprend également des données personnelles, les art. 16 et 17 LPD⁷⁸ sont applicables.

²L’échange d’informations au sens de l’al. 1 n’est autorisé que si les services étrangers ou internationaux garantissent que les données seront utilisées conformément aux fins prévues.

¹L’OFCS conserve les données personnelles aussi longtemps que celles-ci sont utiles pour détecter des cybermenaces ou gérer des cyberincidents, mais durant cinq ans au plus à compter de leur dernière utilisation à cette fin. Pour les données sensibles, le délai est de deux ans.⁸⁰

²L’archivage des données est régi par les dispositions de la législation relative à l’archivage.