La Suisse peine à concilier les enquêtes sur la cybercriminalité et son économie de la vie privée

Environ 65 000 cas de cybercriminalité ont été signalés en Suisse en 2025, soit presque trois fois le niveau enregistré cinq ans plus tôt, selon les chiffres du Centre national pour la cybersécurité cités par Swissinfo. Cette hausse incite Berne à reconsidérer la manière dont les services numériques doivent coopérer avec les enquêteurs.

Le débat dépasse largement la question de l'accès de la police aux comptes en ligne. La Suisse a acquis une position solide dans la technologie de la protection de la vie privée, attirant des entreprises qui commercialisent des messageries chiffrées, des services de stockage en nuage, des outils d'intelligence artificielle et d'autres prestations conçues pour protéger les informations contre les attaquants comme contre les autorités. Proton, basée à Genève, place le droit suisse de la protection des données au cœur de sa marque.

Ce modèle commercial subit désormais la pression du même contexte de menaces qui rend les communications sécurisées si attractives. Des groupes criminels, des États hostiles et des terroristes peuvent utiliser les systèmes chiffrés pour dissimuler leurs activités, tandis que les entreprises et les utilisateurs ordinaires s'appuient sur le chiffrement pour protéger leurs secrets commerciaux, leurs données personnelles et leur correspondance sensible.

La réponse proposée par le gouvernement porte principalement sur l'Ordonnance sur la surveillance de la correspondance par poste et télécommunication. Les modifications proposées en 2025 devraient préciser les obligations des fournisseurs d'accès à internet dans les enquêtes pénales. Les grandes plateformes pourraient se voir imposer des exigences de conservation des données et de coopération proches de celles qui s'appliquent aux opérateurs de télécommunications traditionnels.

Les choix faits à Berne affecteront à la fois la sécurité publique et les conditions qui ont permis à la Suisse de devenir un pôle technologique.

Proton affirme avoir suspendu ses projets d'investissement dans de nouvelles infrastructures en Suisse, en invoquant des inquiétudes quant à l'orientation des règles proposées. L'entreprise soutient que les nouvelles obligations de conservation et de coopération pourraient affaiblir la confiance dont dépendent les services de protection de la vie privée.

Proton n'est plus une jeune pousse suisse confidentielle. La société genevoise est devenue la plus grande entreprise européenne de technologies de protection de la vie privée et compte plus de 100 millions d'utilisateurs dans le monde, selon les chiffres cités par Swissinfo. Ses produits comprennent la messagerie chiffrée, le stockage en nuage et des services d'intelligence artificielle.

Le directeur de l'exploitation Raphael Auphan a déclaré que ce différend concerne autant la réputation de la Suisse que n'importe quelle obligation de conformité particulière. Il a averti que le pays pourrait perdre des entreprises qui se sont développées grâce aux protections suisses de la vie privée et ont exporté ces standards vers des clients du monde entier.

L'argument économique a un poids certain. Les entreprises de protection de la vie privée choisissent leur juridiction en partie pour la prévisibilité juridique et la crédibilité de leurs garanties. Si les fournisseurs estiment que la Suisse exigera une collecte de données plus large ou un accès plus rapide pour les enquêteurs, ils pourraient réorienter leurs nouveaux serveurs, leur personnel et leurs investissements vers d'autres pays.

Les entreprises ont également un intérêt commercial à résister à des règles susceptibles d'augmenter leurs coûts ou de rendre leurs produits moins attractifs. Cela ne tranche pas le débat politique, mais explique pourquoi Proton et des entreprises similaires pressent le gouvernement de restreindre ou de reconsidérer les obligations envisagées.

Les règles proposées placeraient les plateformes numériques plus près du cadre juridique applicable aux opérateurs de télécommunications traditionnels. L'objectif est de donner aux enquêteurs des voies plus claires pour accéder à l'information au cours des procédures pénales, tout en obligeant certains fournisseurs à conserver ou à communiquer davantage de données.

Cette approche reflète un paysage de menaces en mutation. Les autorités suisses font face à une hausse rapide des cas de cybercriminalité signalés, ainsi qu'à des craintes que des États hostiles et des réseaux terroristes exploitent les services en ligne. Les enquêteurs ont besoin de preuves exploitables, et les procureurs ont besoin que les fournisseurs répondent dans le cadre d'une procédure juridique prévisible.

Le chiffrement complique ce processus, car les outils de protection de la vie privée performants sont conçus pour empêcher tout accès non autorisé. Dans bien des cas, le fournisseur ne détient peut-être pas le contenu sous une forme lisible. Les exigences de conservation des données peuvent aussi entrer en conflit avec la conception technique d'un service, en particulier lorsqu'une entreprise a construit son produit autour de la collecte d'un minimum d'informations.

Les éléments à disposition ne permettent pas d'identifier un texte législatif définitif ni un calendrier de mise en œuvre arrêté. Ils montrent toutefois que la Suisse examine si les règles existantes conviennent à des services qui opèrent au-delà des frontières et combinent communication, stockage et intelligence artificielle.

Le différend ne porte donc pas uniquement sur la procédure policière. Il concerne la manière dont le droit suisse définit un fournisseur d'accès à internet, les informations que les entreprises doivent conserver, et jusqu'où les autorités peuvent aller dans les systèmes utilisés par des clients établis hors de Suisse.

La décision de la Suisse fixera les conditions d'un secteur technologique fondé sur la confiance juridique. La tradition constitutionnelle du pays en matière de protection de la vie privée est devenue un atout commercial, permettant aux entreprises de promouvoir la juridiction suisse auprès de clients qui cherchent une protection contre les criminels, les grandes entreprises et la surveillance gouvernementale.

Cette pression est partagée par les démocraties libérales de l'Union européenne, des États-Unis et du Royaume-Uni. Chacune adapte ses règles à la cybercriminalité et aux activités d'États hostiles, tout en cherchant à préserver un chiffrement légitime. Le défi propre à la Suisse tient à l'ampleur de son économie de la vie privée et à la force de la marque nationale qui lui est associée.

Pour les résidents suisses, l'issue pourrait avoir des conséquences sur les services qu'ils utilisent pour la messagerie, le stockage, les paiements et les communications professionnelles. Pour les entreprises, elle pourrait influencer le lieu où elles établissent leur infrastructure et la quantité d'informations qu'elles collectent. Pour les enquêteurs, la valeur de toute réforme dépendra de sa capacité à produire des preuves auxquelles les fournisseurs peuvent techniquement accéder et qu'ils peuvent légalement communiquer.

Le gouvernement doit donc résoudre des questions pratiques en même temps que des questions politiques. Quels fournisseurs devraient être soumis à des obligations renforcées ? Quelles données doivent être conservées ? Comment doivent fonctionner les enquêtes transfrontalières ? Quelles garanties doivent empêcher que l'accès systématique ne s'étende au-delà des affaires graves ?

La Suisse n'a pas encore trouvé cet équilibre. Ses prochaines étapes réglementaires montreront si le pays peut renforcer les enquêtes sur la cybercriminalité tout en gardant une protection de la vie privée crédible aux yeux des utilisateurs et des investisseurs.