-
- Art. 3 Cst.
- Art. 5a Cst.
- Art. 6 Cst.
- Art. 10 Cst.
- Art. 13 Cst.
- Art. 16 Cst.
- Art. 17 Cst.
- Art. 20 Cst.
- Art. 22 Cst.
- Art. 26 Cst.
- Art. 29a Cst.
- Art. 30 Cst.
- Art. 31 Cst.
- Art. 32 Cst.
- Art. 42 Cst.
- Art. 43 Cst.
- Art. 43a Cst.
- Art. 45 Cst.
- Art. 51 Cst.
- Art. 52 Cst.
- Art. 55 Cst.
- Art. 56 Cst.
- Art. 60 Cst.
- Art. 68 Cst.
- Art. 69 Cst.
- Art. 74 Cst.
- Art. 75b Cst.
- Art. 77 Cst.
- Art. 81 Cst.
- Art. 96 al. 1 Cst.
- Art. 96 al. 2 lit. a Cst.
- Art. 110 Cst.
- Art. 117a Cst.
- Art. 118 Cst.
- Art. 119a Cst.
- Art. 122 Cst.
- Art. 123a Cst.
- Art. 123b Cst.
- Art. 130 Cst.
- Art. 136 Cst.
- Art. 164 Cst.
- Art. 166 Cst.
- Art. 170 Cst.
- Art. 176 Cst.
- Art. 178 Cst.
- Art. 189 Cst.
- Art. 191 Cst.
-
- Art. 11 CO
- Art. 12 CO
- Art. 50 CO
- Art. 51 CO
- Art. 84 CO
- Art. 97 CO
- Art. 98 CO
- Art. 99 CO
- Art. 100 CO
- Art. 143 CO
- Art. 144 CO
- Art. 145 CO
- Art. 146 CO
- Art. 147 CO
- Art. 148 CO
- Art. 149 CO
- Art. 150 CO
- Art. 633 CO
- Art. 701 CO
- Art. 713 CO
- Art. 715 CO
- Art. 715a CO
- Art. 734f CO
- Art. 785 CO
- Art. 786 CO
- Art. 787 CO
- Art. 788 CO
- Art. 808c CO
- Dispositions transitoires relatives à la révision du droit de la société anonyme du 19 juin 2020
-
- Art. 2 LDP
- Art. 3 LDP
- Art. 4 LDP
- Art. 6 LDP
- Art. 10 LDP
- Art. 10a LDP
- Art. 11 LDP
- Art. 12 LDP
- Art. 13 LDP
- Art. 14 LDP
- Art. 15 LDP
- Art. 16 LDP
- Art. 17 LDP
- Art. 19 LDP
- Art. 20 LDP
- Art. 21 LDP
- Art. 22 LDP
- Art. 23 LDP
- Art. 24 LDP
- Art. 25 LDP
- Art. 26 LDP
- Art. 27 LDP
- Art. 29 LDP
- Art. 30 LDP
- Art. 31 LDP
- Art. 32 LDP
- Art. 32a LDP
- Art. 33 LDP
- Art. 34 LDP
- Art. 35 LDP
- Art. 36 LDP
- Art. 37 LDP
- Art. 38 LDP
- Art. 39 LDP
- Art. 40 LDP
- Art. 41 LDP
- Art. 42 LDP
- Art. 43 LDP
- Art. 44 LDP
- Art. 45 LDP
- Art. 46 LDP
- Art. 47 LDP
- Art. 48 LDP
- Art. 49 LDP
- Art. 50 LDP
- Art. 51 LDP
- Art. 52 LDP
- Art. 53 LDP
- Art. 54 LDP
- Art. 55 LDP
- Art. 56 LDP
- Art. 57 LDP
- Art. 58 LDP
- Art. 59a LDP
- Art. 59b PRA
- Art. 59c LDP
- Art. 60 LDP
- Art. 60a LDP
- Art. 62 LDP
- Art. 63 LDP
- Art. 64 LDP
- Art. 67 LDP
- Art. 67a LDP
- Art. 67b LDP
- Art. 73 LDP
- Art. 73a LDP
- Art. 75 LDP
- Art. 75a LDP
- Art. 76 LDP
- Art. 76a LDP
- Art. 90 LDP
-
- Art. 1 EIMP
- Art. 1a EIMP
- Art. 3 al. 1 et 2 EIMP
- Art. 8 EIMP
- Art. 8a EIMP
- Art. 11b EIMP
- Art. 16 EIMP
- Art. 17 EIMP
- Art. 17a EIMP
- Art. 32 EIMP
- Art. 35 EIMP
- Art. 47 EIMP
- Art. 48 EIMP
- Art. 54 EIMP
- Art. 56 EIMP
- Art. 55a EIMP
- Art. 67 EIMP
- Art. 67a EIMP
- Art. 74 EIMP
- Art. 74a EIMP
- Art. 80 EIMP
- Art. 80a EIMP
- Art. 80b EIMP
- Art. 80h EIMP
- Art. 63 EIMP
- Art. 80c EIMP
- Art. 80d EIMP
- Art. 80k EIMP
-
- Vorb. zu Art. 1 LPD
- Art. 1 LPD
- Art. 2 LPD
- Art. 3 LPD
- Art. 4 LPD
- Art. 5 let. c LPD
- Art. 5 let. d LPD
- Art. 5 lit. f und g LPD
- Art. 6 al. 3-5 LPD
- Art. 6 al. 6 et 7 LPD
- Art. 7 LPD
- Art. 10 LPD
- Art. 11 LPD
- Art. 12 LPD
- Art. 14 LPD
- Art. 15 LPD
- Art. 19 LPD
- Art. 18 LPD
- Art. 20 LPD
- Art. 21 LPD
- Art. 22 LPD
- Art. 23 LPD
- Art. 25 LPD
- Art. 26 LPD
- Art. 27 LPD
- Art. 28 LPD
- Art. 29 LPD
- Art. 31 al. 2 let. e LPD
- Art. 33 LPD
- Art. 34 LPD
- Art. 35 LPD
- Art. 38 LPD
- Art. 39 LPD
- Art. 40 LPD
- Art. 41 LPD
- Art. 42 LPD
- Art. 43 LPD
- Art. 44 LPD
- Art. 44a LPD
- Art. 45 LPD
- Art. 46 LPD
- Art. 47 LPD
- Art. 47a LPD
- Art. 48 LPD
- Art. 49 LPD
- Art. 50 LPD
- Art. 51 LPD
- Art. 52 LPD
- Art. 54 LPD
- Art. 55 LPD
- Art. 58 LDP
- Art. 57 LPD
- Art. 60 LPD
- Art. 61 LPD
- Art. 62 LPD
- Art. 63 LPD
- Art. 64 LPD
- Art. 65 LPD
- Art. 66 LPD
- Art. 67 LPD
- Art. 69 LPD
- Art. 72 LPD
- Art. 72a LPD
-
- Art. 1 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 2 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 3 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 4 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 5 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 6 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 7 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 8 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 9 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 11 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 12 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 16 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 18 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 25 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 27 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 28 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 29 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 32 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 33 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 34 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
-
- Art. 2 al. 1 LBA
- Art. 2a al. 1-2 and 4-5 LBA
- Art. 2 al. 2 LBA
- Art. 2 al. 3 LBA
- Art. 3 LBA
- Art. 7 LBA
- Art. 7a LBA
- Art. 8 LBA
- Art. 8a LBA
- Art. 9 LBA
- Art. 11 LBA
- Art. 14 LBA
- Art. 15 LBA
- Art. 20 LBA
- Art. 23 LBA
- Art. 24 LBA
- Art. 24a LBA
- Art. 25 LBA
- Art. 26 LBA
- Art. 26a LBA
- Art. 27 LBA
- Art. 28 LBA
- Art. 29 LBA
- Art. 29a LBA
- Art. 29b LBA
- Art. 30 LBA
- Art. 31 LBA
- Art. 31a LBA
- Art. 32 LBA
- Art. 33 LBA
- Art. 34 LBA
- Art. 38 LBA
CONSTITUTION FÉDÉRALE
LOI FÉDÉRALE SUR L’IMPÔT FÉDÉRAL DIRECT
CODE DES OBLIGATIONS
LOI FÉDÉRALE SUR LE DROIT INTERNATIONAL PRIVÉ
CONVENTION DE LUGANO
CODE DE PROCÉDURE PÉNALE
CODE DE PROCÉDURE CIVILE
LOI FÉDÉRALE SUR LES DROITS POLITIQUES
CODE CIVIL
LOI FÉDÉRALE SUR LES CARTELS ET AUTRES RESTRICTIONS À LA CONCURRENCE
LOI FÉDÉRALE SUR L’ENTRAIDE INTERNATIONALE EN MATIÈRE PÉNALE
LOI FÉDÉRALE SUR LA PROTECTION DES DONNÉES
LOI FÉDÉRALE SUR LA POURSUITE POUR DETTES ET LA FAILLITE
CODE PÉNAL
CYBERCRIME CONVENTION
ORDONNANCE SUR LE REGISTRE DU COMMERCE
ORDONNANCE SUR LES DISPOSITIFS MÉDICAUX
LOI SUR LE BLANCHIMENT D’ARGENT
LOI SUR LA TRANSPARENCE
LOI FÉDÉRALE SUR LE TRANSFERT INTERNATIONAL DES BIENS CULTURELS
LOI SUR LES PRODUITS THÉRAPEUTIQUES
LOI FÉDÉRALE SUR L’HARMONISATION DES IMPÔTS DIRECTS DES CANTONS ET DES COMMUNES
- I. Généralités
- II. Système informatique (Let. A)
- III. Données informatiques (let. b)
- IV. Fournisseur de Services (let. c)
- V. Données relatives au trafic (let. d)
- Bibliographie
- Travaux législatifs
I. Généralités
1La Convention sur la cybercriminalité commence par fournir, à son article 1, quatre définitions des notions centrales auxquelles se réfèrent les différents articles qui suivent. Les rédacteurs de la convention ont certes précisé dans leur Rapport explicatif que les Parties ne seraient pas tenues de reproduire mot pour mot, dans leurs lois internes, les quatre notions définies à l'art. 1 CCC. Ils ont toutefois précisé qu’il fallait que les lois nationales couvrent ces notions d'une façon qui soit compatible avec les principes de la Convention et offrent un cadre équivalent pour sa mise en œuvre.
2Les rédacteurs de la Convention étaient manifestement conscients de l’évolution rapide de l’informatique.
II. Système informatique (Let. A)
3La définition retenue par les auteurs de la Convention sur la cybercriminalité se compose de trois aspects. Elle suppose, en premier lieu, l’existence d’un dispositif. Celui-ci peut être isolé ou en réseau. La définition englobe donc aussi bien l’ordinateur personnel que les environnements informatiques interconnectés. Le deuxième élément réside dans la présence d’un programme. Il faut donc que le dispositif fonctionne sur la base d’instructions préétablies. Le dispositif ne peut pas être purement mécanique. Une boîte à musique ou une horloge ne sont donc pas des systèmes informatiques. Enfin, le traitement des données doit s’effectuer de manière automatique. Il ne suffit pas que le dispositif se limite à un stockage passif des données, il faut qu’il exécute automatiquement un processus de transformation de ces données. Un appareil photographique, un dictaphone ou une clé USB ne sont donc pas des systèmes informatiques.
4Dans ses lignes directrices, le Comité de la Convention sur la cybercriminalité a précisé que la définition de « système informatique » incluait, par exemple, les téléphones mobiles modernes qui sont multifonctionnels et ont parmi leurs fonctions la capacité de produire, traiter et transmettre des données, telles que l'accès à Internet, l'envoi d'e-mails, la transmission de pièces jointes, le téléchargement de contenus ou de documents. Il en va de même des assistants numériques personnels, avec ou sans fonctionnalité sans fil qui produisent, traitent et transmettent également des données.
5La définition qui a été retenue appréhende volontairement le système informatique sous l’angle de sa fonctionnalité, et non de sa forme. Cette approche lui confère une souplesse suffisante pour évoluer dans le temps et inclure des technologies qui n’existaient pas encore en 2001, telles que les smartphones, l’Internet des objets (IoT) ou le cloud computing.
A. Un dispositif
6 L’informatique repose fondamentalement sur le traitement de données. Cette dernière notion sera développée ci-dessous au chiffre III. A ce stade, les données peuvent être définies comme des informations numériques immatérielles. Afin de pouvoir être traitées, ces informations requièrent toutefois un ensemble de composants matériels qui permettent tant leur traitement que leur stockage.
7Bien qu'elle ne constitue pas l'élément le plus important du système informatique, la carte mère représente néanmoins l'ossature. Il s'agit d'une grande carte électronique qui sert de support à l’ensemble des composants du système. L'élément véritablement central du système informatique est le processeur.
8Les derniers composants indispensables au fonctionnement du système informatique sont les périphériques. Les périphériques d'entrée permettent l’introduction des données dans le système, tels que la souris, le clavier ou le scanner. On y oppose les périphériques de sortie qui assurent la restitution des données traitées par le système, comme l'écran, l'imprimante ou le graveur de DVD. Tous ces éléments matériels sont appelés hardware et forment un dispositif.
9Il serait toutefois réducteur de penser que tous les composants qui forment le dispositif doivent nécessairement être localisés en un seul lieu de manière compacte, car cela reviendrait à limiter la notion de dispositif à un ordinateur personnel ou à un smartphone. Or, il existe actuellement des superordinateurs qui occupent chacun une halle entière. A l’inverse, il existe aussi des dispositifs dont les composants sont éparpillés tout autour du globe.
10Le dispositif peut fonctionner de manière isolée ou de manière interconnectée. Avant la démocratisation d’Internet au milieu des années 90, la plupart des dispositifs fonctionnaient de façon isolée. Depuis lors, ce mode de fonctionnement constitue plutôt l’exception, réservée à des situations qui nécessitent un niveau de sécurité maximal, notamment afin d’éviter toute intrusion par le biais de connexions externes.
11Les dispositifs sont interconnectés lorsqu'ils sont reliés entre eux au moyen d’une connexion filaire ou sans fil, telle que les ondes, les liaisons infrarouges, la fibre optique ou les liaisons satellitaires, formant ainsi un réseau. Celui-ci peut être limité à une certaine zone géographique, par exemple une habitation, une entreprise ou une université. Il s’agit alors d’un réseau local (Local Area Network ou LAN). Ce réseau peut toutefois aussi s'étendre sur une zone beaucoup plus vaste, par exemple, une ville, un pays ou un continent. On parle alors de réseau étendu (Wide Area Network ou WAN). Le plus grand réseau étendu est Internet puisqu’il s’agit d’un réseau formé d'une multitude de réseaux interconnectés s'étendant au monde entier.
12Enfin, la notion de dispositif comprend aussi les autres appareils qui permettent aux ordinateurs connectés aux réseaux de s’échanger des données. A ce titre, les serveurs, les routeurs, les commutateurs (switches), les modems et les passerelles (gateways) doivent aussi être qualifiés de dispositifs.
B. Un programme
13Aux éléments matériels (hardwares) s'opposent les éléments logiciels (softwares), lesquels regroupent l’ensemble des programmes qui permettent le fonctionnement et l’exploitation des différents composants du système informatique.
14Un programme peut être défini comme un ensemble de commandes qui, lorsqu’elles sont exécutées par un système informatique, permettent d'obtenir un résultat déterminé.
15Tout comme pour les composants matériels, il convient de distinguer les programmes en fonction de la tâche qu’ils remplissent. Le programme de « démarrage » de tout système informatique est le BIOS (Basic Input and Output System) ou UEFI (Unified Extensible Firmware Interface). Il est contenu dans une puce reliée à la carte mère et fournit les éléments nécessaires à l'amorçage du système. De plus, il assure la gestion de base des différents composants matériels du système informatique et joue le rôle d’interface entre ces composants et le système d'exploitation.
16Le système d'exploitation constitue, quant à lui, le programme central du système informatique. Il assure le fonctionnement global et cohérent du système en coordonnant les différentes requêtes adressées au système informatique par l'utilisateur ainsi que les interactions entre les composants matériels et les autres programmes. En d'autres mots, le système d'exploitation agit comme une interface essentielle entre les logiciels applicatifs et les éléments matériels du système.
17Enfin, les programmes applicatifs remplissent chacun une fonction spécifique. A titre d’exemples, Word© permet le traitement de texte, Photoshop© le traitement d’images, Outlook© la réception et l’envoi de courriels. Ces programmes reposent néanmoins sur le système d’exploitation pour accéder aux ressources matérielles et exécuter les tâches pour lesquelles ils ont été conçus.
C. Un traitement des données automatique
18Le traitement automatisé des données désigne le fait que les données sont traitées de manière automatique par un programme, sans qu'une intervention humaine directe ne soit nécessaire.
19Comme on le verra ci-dessous au chiffre III, les données constituent des informations numériques immatérielles. Afin de pouvoir être traitées par un système informatique, les informations issues du monde matériel doivent être converties dans un langage compréhensible par le dispositif. Ainsi, une pression exercée sur une touche de clavier, un bouton de souris ou un écran tactile est traduite en langage binaire et transformée en signaux électriques, logiques ou optiques.
20Une fois l’information matérielle convertie en signaux électriques, logiques ou optiques, le programme est en mesure de procéder au traitement automatisé des données. Lorsque le traitement est terminé, les données sont à nouveau traduites dans un langage intelligible pour l’utilisateur. Le programme peut ainsi, par exemple, afficher des caractères alphabétiques sur un écran lorsqu’un utilisateur presse sur les touches d’un clavier, transmettre les informations visuelles affichées à l’écran à une imprimante afin qu’elles soient reproduites sur du papier lorsque l’utilisateur clique sur l’icône « imprimer » ou encore établir une communication téléphonique lorsque l’utilisateur appuie sur le symbole du téléphone vert sur l’écran tactile de son smartphone. Chaque instruction donnée par l’utilisateur au système informatique engendre la création de données informatiques, lesquelles sont traitées de manière automatisée par des programmes, puis restituées à l’utilisateur sous une forme qui lui est compréhensible.
D. Perspectives
1. La dématérialisation des systèmes informatiques
21Dès les années 80, l’idée de l’informatique distribuée a fait son apparition, notamment à travers le slogan lancé par Sun Microsystems : « The network is the computer ! » (« Le réseau, c'est l'ordinateur ! »). Cette approche repose sur la mise en commun de ressources de calcul afin de traiter des volumes de données plus importants. Dans cette perspective, lorsque le réseau considéré est Internet, l’ « ordinateur » qu’il représente se compose de l’ensemble des ordinateurs qui y sont connectés, ce qui représente une capacité de calcul particulièrement considérable. C’est dans ce contexte qu’apparaissent, à partir de la fin des années 90 et avec la démocratisation d’Internet, des projets de calcul répartis. Ces derniers consistent à proposer à des particuliers de mettre à disposition, via Internet, la puissance de calcul de leurs ordinateurs personnels lorsqu’ils ne les utilisent pas, afin de procéder à des calculs qui nécessitent des capacités de traitement très élevées.
22Avec le temps, cette logique de mutualisation ne s’est plus seulement limitée au processeur. C’est l’ensemble de l’architecture informatique qui a progressivement été repensée pour devenir une architecture distribuée, en ce sens que les différentes ressources disponibles ne se trouvent plus nécessairement localisées au même endroit ni sur une même machine.
23Entre la fin des années 2000 et le début des années 2010 est apparu le cloud computing (« informatique en nuage »), lequel consiste à recourir à des serveurs informatiques distants, connectés à Internet, pour stocker, gérer et traiter des données, plutôt que de s’appuyer sur un serveur local ou un ordinateur personnel.
2. L’Internet des objets (IoT)
24Depuis quelques années, on assiste à une véritable explosion du nombre d’objets connectés. Qu’il s’agisse de montres, de fours, de télévisions ou de véhicules, la quasi-totalité des objets du quotidien existe sous une forme qui peut être connectée à Internet.
25Dans les années 90, SCHMID affirmait, en s’appuyant sur le Message du Conseil fédéral, que les distributeurs à nourriture, à essence, à billets, les photocopieurs ou les machines à sous ne pouvaient pas être qualifiés de systèmes informatiques, au motif que le législateur fédéral avait voulu limiter la notion de système informatique aux seuls dispositifs capables d’accomplir des fonctions dites « supérieures ».
26 Cette opinion ne peut plus être défendue aujourd’hui. Les objets connectés font désormais pleinement partie d’Internet, peuvent être pilotés à distance et sont en mesure d’exécuter tellement de tâches qu’ils réalisent l’ensemble des critères qui permettent de les qualifier de systèmes informatiques au sens de l’art. 1 let. a CCC. Ce changement de paradigme n’est toutefois pas sans soulever de sérieux problèmes. Les objets connectés ne bénéficient en effet généralement pas de mesures de protection équivalentes à celles des ordinateurs traditionnels. Les cybercriminels peuvent donc plus facilement accéder indûment à une montre connectée afin d’en extraire les moyens de paiement qu’elle renferme, déverrouiller une porte reliée à un système domotique pour pénétrer dans une habitation ou encore accéder à un réseau d’entreprise en se connectant sans droit à la machine à café connectée de sa cafétéria, qu’accéder à un ordinateur personnel spécialement protégé contre tout accès. Il en résulte que le champ d’application de l’art. 2 CCC, pour les Etats qui n’exigent pas comme la Suisse que l’infraction soit commise en violation de mesures de sécurité, se révèle particulièrement vaste et est appelé à s’étendre encore davantage dans les années à venir.
3. L’intelligence artificielle
27Comme on l’a vu ci-dessus (au chiffre II, lettre B), la définition posée par l’art. 1 let. a CCC suppose qu’un système informatique soit doté d’un programme. Ce programme exécute en principe une série de commandes prédéfinies par l’humain. Avec l’essor de l’intelligence artificielle, le caractère immuable des programmes ne va plus nécessairement de soi. Les systèmes fondés sur l’intelligence artificielle sont en effet capables d’apprentissage autonome et peuvent, dans certaines configurations, modifier leur propre code source ou adapter les paramètres de l’environnement dans lequel ils évoluent. Se pose dès lors la question de savoir si la notion de système informatique, telle qu’elle est actuellement définie, demeure suffisamment large pour appréhender ces évolutions technologiques ou si une redéfinition s’impose afin de tenir compte des développements futurs dans le domaine de l’intelligence artificielle. A notre avis, la définition actuelle est formulée de façon assez large pour inclure les évolutions technologiques connues à ce jour. En effet, même si l’intelligence artificielle est en mesure de réécrire le code source d’un programme pour s’adapter à son environnement, le système informatique continue à fonctionner sur la base d’un programme.
28Deux problématiques émergentes risquent toutefois de nécessiter une redéfinition dans les années à venir. La première est l’intelligence artificielle agentique autonome et déployée, c’est-à-dire des agents capables de négocier, migrer entre environnements, créer d’autres agents ou modifier leur propre infrastructure sans intervention humaine. Cela pose le problème de l’unité du système informatique, car on ne parviendrait plus à déterminer clairement à partir de quand un essaim d’agents constitue encore un système informatique ou plusieurs. De plus, la Convention ignore la notion de système informatique éphémère, distribué et auto-organisé. La seconde problématique est celle de l’intelligence artificielle neuromorphique, à savoir sans programmes séparés. On le voit par exemple avec les puces Loihi d’Intel qui imitent le cerveau humain. Contrairement aux processeurs traditionnels, ces puces traitent l'information par événements et intègrent la mémoire au processeur. Il n’existe donc plus de « programme » distinct du matériel. L’exécution et l’apprentissage sont indissociables, de sorte que la définition actuelle du système informatique deviendrait obsolète.
29A moyen terme, il serait donc nécessaire d’étendre la définition du système informatique, d’une part, aux agents autonomes déployés et, d’autre part, à tout dispositif matériel ou hybride qui réalise un traitement de données par apprentissage, y compris lorsque l’exécution ne repose pas sur un programme distinct.
III. Données informatiques (let. b)
30Les données informatiques sont définies comme « toute représentation de faits, d'informations ou de concepts sous une forme qui se prête à un traitement informatique, y compris un programme de nature à faire en sorte qu'un système informatique exécute une fonction » (art. 1 let. b CCC). Cette définition, reprise de celle de l'Organisation internationale de normalisation (ISO), se caractérise par sa neutralité technologique. Cela lui confère l’avantage d’avoir remarquablement résisté à l’évolution fulgurante des technologies depuis l’adoption de la Convention en 2001.
A. La forme des données
31Les systèmes informatiques utilisent un langage fondamentalement différent de celui des humains. Un texte, une image ou une œuvre musicale réalisée par l’humain n’a, en tant que telle, aucune signification pour un ordinateur. Pour pouvoir être comprise et traitée, cette information doit être convertie dans un langage intelligible pour la machine. C’est dans cette perspective que la définition de « données informatiques » retenue dans la Convention utilise les termes « qui se prête à un traitement ». Ils signifient que la représentation de faits, d'informations ou de concepts doit pouvoir être traitée directement par un système informatique, sans nécessiter une transformation préalable destinée à en permettre la reconnaissance par celui-ci.
32L'informatique repose sur un système binaire, ce qui signifie qu'il n’utilise que les chiffres 0 et 1. Cette unité élémentaire d’information est appelée bit.
33Les exemples qui précèdent illustrent que, en informatique, la donnée informatique est l’unité élémentaire qui contient une information. A l’inverse, lorsqu’un ensemble de données sont réunies pour former un tout cohérent, on parle de fichier. Il peut s’agir d’un texte, d’une image, d’une vidéo ou d’un enregistrement sonore.
B. Les types de données
34La définition de l’art. 1 let. b CCC n’opère pas de distinction entre les différents types de données. Toutes les données informatiques sont concernées, qu’elles soient personnelles ou non, privées ou publiques, compréhensibles par l’humain ou uniquement par la machine. Le contenu des données est également sans importance, qu’il s’agisse de données factuelles (dates, heures, mesures, etc.), de renseignements (rapports, analyses, etc.) ou de concepts abstraits (modèles, algorithmes, codes, etc.). Constituent donc des données au sens de l’art. 1 let. b CCC les données stockées sur des supports de sauvegarde, les données temporaires, les données en transit, les métadonnées et même les données chiffrées.
35Aux données créées par l’humain il faut à notre avis ajouter celles qui sont produites automatiquement par un système informatique à partir de données préexistantes, qu’on appelle données dérivées ou inférées, notamment par des procédés de transformation, de combinaison ou d’analyse algorithmique. A titre d’exemple, on peut citer les profils d’utilisateurs, les scores, les prédictions ou les classifications générées sans intervention humaine directe. Bien qu’il ne s’agisse pas de données initialement fournies par un utilisateur, elles doivent à notre avis aussi être englobées dans la définition de l’art. 1 let. b CCC, dès lors qu’elles se prêtent à un traitement informatique et sont exploitables par un système informatique.
36La définition de données informatiques s’étend selon nous également aux données volatiles (ou éphémères), notamment celles stockées temporairement dans la mémoire vive d’un système, générées dynamiquement lors de l’exécution d’un programme ou destinées à disparaître automatiquement après un laps de temps très court. Bien que leur durée de vie soit brève, elles revêtent une importance particulière dans le cadre des enquêtes pénales, en particulier en cas d’accès illégal (art. 2 CCC) ou d’atteinte à l’intégrité du système (art. 5 CCC) au moyen d’une attaque par déni de service distribué.
37Au regard de la définition des données informatiques axée uniquement sur la fonction, il importe peu que les données soient intelligibles pour un être humain. Des données demeurent des données informatiques même lorsqu’elles sont chiffrées, compressées, fragmentées ou stockées sous une forme qui ne permet pas une lecture immédiate. Le chiffrement des données n’est pas pertinent du point de vue juridique, puisqu’il constitue uniquement une modalité technique de traitement des données visant à en restreindre l’accès. Dès lors, le statut juridique des données ne se modifie pas du fait qu’elles sont chiffrées ou rendues temporairement inutilisables par des cybercriminels.
C. Les programmes
38La précision « y compris un programme », voulue par les rédacteurs de la Convention, vise à lever toute ambiguïté quant à l’inclusion des programmes dans la définition de l’art. 1 let. b CCC. Cette approche est tout à fait cohérente à double titre. Sous l’angle informatique, un programme est un ensemble d’instructions contenu dans un code source, lui-même composé d’une multitude de caractères, c’est-à-dire des données, qui déterminent la manière dont les données qui lui sont fournies doivent être traitées. D’un point de vue systématique, l’inclusion des programmes dans la définition de données informatiques s’inscrit dans la volonté clairement affirmée des rédacteurs de la Convention de ne pas opérer de distinction entre les différents types de données.
D. Perspectives
39Bien qu’il fût impossible, au moment de la rédaction de la Convention, de prévoir les développements futurs de l’informatique, le choix d’une définition technologiquement neutre a permis d’y intégrer tous les nouveaux types de données apparus depuis 2001. Tel est notamment le cas des crypto-actifs,
E. Excursus : la distinction entre données relatives à l’abonné, données relatives au trafic et données de contenu en droit pénal suisse
40L’évolution fulgurante des technologies au cours des trente dernières années a nécessité des adaptations législatives très importantes afin de distinguer quels types de données pouvaient être obtenus et à quelles conditions. La première Loi sur la surveillance de la correspondance par poste et télécommunication (LSCPT) a été adoptée le 6 octobre 2000 et est entrée en vigueur le 1er janvier 2002. Elle a été entièrement révisée en 2016, puis a subit plusieurs révisions partielles, dont notamment une importante en 2024.
41Le législateur a considéré que toutes les données n’avaient pas la même importance. Il est parti de la prémisse que plus l’atteinte à la vie privée, garantie par l’art. 13 Cst., était importante, plus les conditions auxquelles ces données pouvaient être obtenues devaient être élevées. La loi opère ainsi une distinction entre trois types de données : les données relatives à l’abonné (Bestandesdaten), les données relatives au trafic (Randdaten) et les données de contenu (Inhaltsdaten).
42La Convention sur la cybercriminalité opère cette même distinction à son article 18.
1. Les données relatives à l’abonné
43Les données relatives à l’abonné comprennent les informations d’identification du titulaire d’un raccordement. Il s’agit en particulier du nom, du prénom, de la date de naissance, de l’adresse et, si elle est connue, de la profession de l’usager (art. 21 al. 1 let. a LSCPT), ainsi que des ressources d’adressage (art. 21 al. 1 let. b LSCPT) et des types de services (art. 21 al. 1 let. c LSCPT) qui ont été utilisés.
44Ces données correspondent à celles énumérées à l’art. 18 § 3 CCC, à savoir : le type de service de communication utilisé, les dispositions techniques prises à cet égard et la période de service (let. a) ; l’identité, l’adresse postale ou géographique et le numéro de téléphone de l’abonné, et tout autre numéro d’accès, les données concernant la facturation et le paiement, disponibles sur la base d’un contrat ou d’un arrangement de services (let. b) ; toute autre information relative à l’endroit où se trouvent les équipements de communication, disponible sur la base d’un contrat ou d’un arrangement de services (let. c)
45Il s’agit des données les moins sensibles. Leur obtention ne porte qu’une atteinte minime à la sphère privée. En droit suisse, leur obtention est donc soumise uniquement aux conditions de l’art. 197 al. 1 CPP et ne nécessite pas d’autorisation du Tribunal des mesures de contrainte.
2. Les données relatives au trafic (ou données secondaires)
46Les données relatives au trafic sont les données indiquant avec qui, quand, combien de temps et d’où la personne surveillée a été ou est en communication ainsi que les caractéristiques techniques de la communication considérée (art. 8 let. b LSCPT).
47Dans un arrêt de principe
48La Convention sur la cybercriminalité les définit à l’art. 1 let. d CCC. Elles seront examinées en détail au chapitre V ci-dessous
49Ces données sont plus sensibles que les données relatives à l’abonné. Le législateur suisse a donc décidé de poser des exigences plus strictes à leur obtention. Il faut donc que les conditions de l’art. 197 al. 1 et 273 al. 1 CPP, soient réalisées cumulativement. L’obtention de ces données n’est donc possible que lorsqu’il existe de graves soupçons laissant présumer qu’un crime ou un délit a été commis. De simples suppositions ou de vagues soupçons ne suffisent pas. L’obtention de ces données n’est pas non plus possible en cas de contravention. A cela s’ajoute que l’obtention doit se justifier au regard de la gravité de l’infraction (principe de proportionnalité) et que les mesures prises jusqu’alors dans le cadre de l’instruction sont restées sans succès ou les recherches n’auraient aucune chance d’aboutir ou seraient excessivement difficiles en l’absence de surveillance (principe de subsidiarité).
50L’obtention de ces données n’est en outre possible qu’avec l’autorisation du Tribunal des mesures de contrainte (art. 274 CPP).
3. Les données de contenu
51Les données de contenu correspondent à la substance même des communications (art. 8 let. a LSCPT). Il s’agit de l’expression écrite ou orale de la pensée humaine, notamment du texte rédigé par l’auteur d’un courriel ou d’un message ou des paroles prononcées par un interlocuteur lors d’une conversation téléphonique.
52La surveillance des données de contenu est la forme de surveillance la plus intrusive et porte l’atteinte la plus grave au secret des télécommunications et à la sphère privée. Il va dès lors de soi que les exigences posées par le législateur suisse sont les plus élevées des trois types de données.
53Les données de contenu sont mentionnées à l’art. 21 CCC. Les rédacteurs de la Convention étaient également d’avis que ces données ne pouvaient pas être obtenues pour poursuivre n’importe quelle infraction. Ils ont donc intégré le principe de proportionnalité en prévoyant que ces données ne pouvaient être collectées que pour poursuivre certaines infractions graves qui devaient être définies en droit interne.
54La collecte des données de contenu est régie par l’art. 269 CPP. Elle nécessite l’existence de graves soupçons laissant présumer la commission d’un crime ou d’un délit énuméré exhaustivement à l’art. 269 al. 2 CPP. Dans ce cas également, de simples suppositions ou de vagues soupçons ne suffisent pas. L’obtention de ces données doit en outre se justifier au regard de la gravité de l’infraction (principe de proportionnalité). Il ne suffit donc pas que l’infraction poursuivie figure dans la liste de l’art. 269 al. 2 CPP, il faut en outre que la gravité concrète de l’infraction dans le cas d’espèce justifie la mesure de surveillance. Enfin, les mesures prises jusqu’alors dans le cadre de l’instruction sont restées sans succès ou les recherches n’auraient aucune chance d’aboutir ou seraient excessivement difficiles en l’absence de surveillance (principe de subsidiarité).
55Tout comme pour les données relatives au trafic, l’obtention des données de contenu n’est possible qu’avec l’autorisation du Tribunal des mesures de contrainte (art. 274 CPP).
IV. Fournisseur de Services (let. c)
56Selon l'art. 1 let. c CCC, « l'expression « fournisseur de services » désigne toute entité publique ou privée qui offre aux utilisateurs de ses services la possibilité de communiquer au moyen d'un système informatique, et toute autre entité traitant ou stockant des données informatiques pour ce service de communication ou ses utilisateurs ». Cette définition opère une distinction entre deux types de fournisseurs : les fournisseurs d’accès et les fournisseurs de stockage ou de contenu.
A. Les fournisseurs d’accès
57Les fournisseurs de services visés à l'art. 1 let. c ch. 1 CCC sont les fournisseurs d'accès (access provider), c'est-à-dire ceux qui permettent aux utilisateurs de se connecter à un réseau et de communiquer entre eux au moyen d’un système informatique.
58Il s’agit en premier lieu des opérateurs de télécommunications (p. ex. Swisscom, SFR, Deutsche Telekom, Vodafone, TIM) qui permettent aux particuliers de se connecter à Internet. Cette définition doit à notre avis être comprise de manière bien plus large et s’étendre à l’ensemble des entités qui fournissent l’accès à un réseau par l’intermédiaire d’un système informatique. Sont ainsi concernés les entreprises privées ou les collectivités publiques qui mettent à dispositions des utilisateurs des points d’accès à Internet (p. ex. les compagnies ferroviaires, les hôtels, les communes, etc.), les entreprises privées ou les collectivités publiques qui exploitent un réseau privé et fournissent à leurs utilisateurs un accès à ce réseau, ainsi que les particuliers qui disposent d’un point d’accès à Internet ou à un réseau domestique, notamment sous la forme d’une borne WiFi, et qui offrent à un tiers la possibilité de s’y connecter.
59Cette interprétation extensive est confirmée par les rédacteurs de la Convention, qui souligne dans leur Rapport explicatif qu’il est indifférent que les utilisateurs forment un groupe fermé ou que le fournisseur offre ou non ses services au public, gratuitement ou contre le paiement de droits. Le groupe fermé peut être constitué par les salariés d'une entreprise privée auxquels les services sont fournis par un réseau d'entreprise.
60A notre avis, la formulation « qui offre aux utilisateurs de ses services la possibilité de communiquer » englobe non seulement les entités publiques ou privées qui fournissent l’accès au réseau, mais également toutes celles qui rendent matériellement possible la communication. La notion de « fournisseur d’accès » s’étend ainsi à l’ensemble des entités qui mettent à disposition une infrastructure ou un service permettant la transmission, le routage ou l’acheminement des données à travers le réseau, pour autant qu’elles offrent une prestation fonctionnelle de communication aux utilisateurs. Ne sont en revanche pas concernés les acteurs purement techniques ou industriels, qui se limitent à la fabrication, à la fourniture ou à la maintenance d’équipements sans offrir eux-mêmes de service de communication.
61Sous l’angle purement fonctionnel, la définition de l’art. 1 let. c ch. 1 CCC concerne aussi certaines catégories d’acteurs intermédiaires du réseau qui, sans fournir un accès classique à Internet, jouent un rôle déterminant dans la possibilité effective de communiquer au moyen d’un système informatique. Tel est notamment le cas des fournisseurs de services de réseaux privés virtuels (Virtual Private Network ou VPN), qui assurent à leurs utilisateurs un accès sécurisé et anonyme à des ressources accessibles via le réseau, combinant des fonctions de routage, de transmission et de chiffrement des communications.
62Toujours du point de vue fonctionnel, peuvent également être visés par l’art. 1 let. c ch. 1 CCC les opérateurs de services d’infrastructure essentiels à la communication sur Internet, tels que les fournisseurs de services de résolution de noms de domaine (DNS) accessibles au public ou les opérateurs de points d’échange Internet (Internet Exchange Points ou IXP), pour autant qu’ils offrent une prestation permettant l’acheminement ou l’interconnexion des communications entre utilisateurs ou fournisseurs de réseaux.
B. Les fournisseurs de stockage ou de contenu
63Les fournisseurs de services visés par l'art. 1 let. c ch. 2 CCC sont ceux qui mettent à disposition, gratuitement ou contre rémunération, des espaces de stockage (hosting providers) ou du contenu pour les sites web (content providers).
64Les fournisseurs de stockage (hosting providers) sont des entités qui offrent aux utilisateurs d’Internet des serveurs qui permettent le stockage ou le traitement de données. Ils se subdivisent en deux catégories : ceux qui stockent ou traitent des données pour le compte des entités mentionnées au point (i) et ceux qui stockent ou traitent des données pour le compte des utilisateurs des services proposés par les personnes visées au point (ii) :
65La première catégorie regroupe les fournisseurs de stockage qui traitent ou conservent les données des fournisseurs d’accès. Il s’agit en particulier des données relatives au trafic (voir chiffre V ci-dessous), des données du système de noms de domaine (Domain Name System ou DNS) qui associe les noms de domaines à l’adresse IP des serveurs sur lesquels ils sont hébergés ou encore des données concernant les différents serveurs par lesquels transitent les courriels.
66La seconde catégorie concerne les fournisseurs qui stockent ou traitent les données des utilisateurs des fournisseurs d’accès. Sont visés, notamment, les entités qui hébergent des sites web, qui proposent des espaces permettant le déploiement de systèmes informatiques virtuels, ou encore des environnements dans lesquels des données peuvent être sauvegardées, gérées ou traitées à distance (cloud computing).
67Dans le contexte du cloud computing, la qualification de fournisseur de services au sens de l’art. 1 let. c ch. 2 CCC s’applique indifféremment aux différents modèles de services communément distingués, à savoir l’infrastructure en tant que service (Infrastructure as a Service ou IaaS), la plateforme en tant que service (Platform as a Service ou PaaS) et le logiciel en tant que service (Software as a Service ou SaaS). Quelle que soit la forme retenue, ces modèles impliquent tous le stockage, le traitement ou la mise à disposition de données informatiques pour le compte de tiers, ce qui justifie leur inclusion dans la définition de fournisseurs de services visés par l'art. 1 let. c ch. 2 CCC.
68Font également partie des fournisseurs de services les entités qui exploitent des réseaux de diffusion de contenu (Content Delivery Networks ou CDN). Ces acteurs assurent la mise en cache, le stockage temporaire et la distribution optimisée de données au moyen de serveurs géographiquement répartis.
69La définition de l’art. 1 let. c ch. 2 CCC n'est toutefois pas destinée à s'appliquer à un simple fournisseur de contenu (p. ex. à une personne qui passe un contrat avec un fournisseur d'hébergement pour qu'il héberge son site web), si celui-ci ne propose pas en outre des services de communication ou d'autres services de traitement des données.
70Cette analyse s’applique également aux plateformes en ligne et aux réseaux sociaux qui, au-delà de la diffusion de contenus, offrent des fonctionnalités structurées de communication et d’interaction entre utilisateurs. Ces services impliquent généralement la création de comptes, l’échange de messages, la publication de contenus, ainsi que le traitement automatisé de données à des fins de classification, de publicités ciblées ou de modération.
C. Perspectives
71Enfin, à l’instar de la définition retenue pour les données informatiques, la définition de fournisseur de services est conçue de manière technologiquement neutre. Cette approche lui a permis d’intégrer les nouveaux types de services apparus depuis 2001, en particulier les entités qui proposent des services basés sur l’intelligence artificielle pour traiter ou générer des données. Il convient toutefois de préciser que ce n’est pas l’intelligence artificielle en tant que telle qui est visée par la définition, mais bien les fonctions de stockage, de traitement ou de communication de données informatiques qu’elle permet d’assurer.
V. Données relatives au trafic (let. d)
72La dernière définition fournie par la convention figure à l'art. 1 let. d CCC, aux termes duquel les données relatives au trafic « désignent toutes données ayant trait à une communication passant par un système informatique, produites par ce dernier en tant qu'élément de la chaîne de communication, indiquant l'origine, la destination, l'itinéraire, l'heure, la date, la taille et la durée de la communication ou le type de service sous-jacent ». Ces données revêtent un statut juridique particulier, dans la mesure où elles peuvent servir d'indices, voire de preuves, dans des instructions pénales. Elles sont générées par les différents systèmes informatiques qui interviennent dans la chaîne de communication afin d’acheminer celle-ci de son point d'origine à sa destination. Elles sont donc des auxiliaires de la communication elle-même.
73Les données relatives au trafic sont nécessaires pour trouver la source de la communication ; c'est un point de départ permettant de réunir d'autres preuves ou un élément constitutif de la preuve de l'infraction.
74L'art. 1 let. d CCC dresse une liste exhaustive des catégories de données relatives au trafic qui sont soumises à un régime particulier dans la Convention,
75L'origine et la destination correspondent aux points du réseau à partir desquels une communication est émise et reçue. Ils sont identifiés, selon le mode de communication utilisé, par des numéros de téléphone ou, plus généralement, par des adresses IP attribuées aux systèmes informatiques concernés à un moment donné. Ces identifiants ne permettent pas nécessairement d’identifier directement un utilisateur final, notamment en présence d’adresses IP dynamiques, partagées ou dissimulées par des procédés tels que la traduction d’adresses réseau (NAT), les services de relais (p. ex. le réseau TOR) ou les réseaux privés virtuels (VPN). Ils revêtent une importance particulière pour l’enquête pénale, puisqu’ils permettent de découvrir le système informatique ou le point d’accès au réseau à l’origine ou à la destination de la communication.
76L'itinéraire décrit le parcours emprunté par la communication à travers les différents points de relais du réseau, en particulier les routeurs, les serveurs intermédiaires ou les autres infrastructures de transit. Il correspond à la succession des systèmes informatiques par lesquels les données sont acheminées depuis leur point d’origine jusqu’à leur destination. En pratique, cet itinéraire peut être partiellement ou totalement reconstitué à partir des données générées par ces différents systèmes, sous réserve des limitations techniques liées notamment à l’architecture du réseau, à l’utilisation de services intermédiaires ou au chiffrement des communications.
77L’heure et la date sont exprimées en temps universel coordonné (UTC). Ces informations sont essentielles lorsqu’on se trouve en présence d’adresses IP dynamiques. Etant donné que ces adresses sont réattribuées en permanence en fonction des besoins des utilisateurs, il est indispensable de disposer de ces informations pour pouvoir demander au fournisseur d’accès à quel système informatique il a attribué une adresse IP à un moment donné. Ces renseignements doivent être obtenus dans les plus brefs délais, dès lors que, selon les Etats, ils ne sont conservés que pour une durée comprise entre six et vingt-quatre mois au maximum. Une fois ce délai écoulé, les données sont détruites et il devient impossible d’identifier l’utilisateur auquel une adresse IP a été attribuée. Cette difficulté n’existe en revanche pas avec les adresses IP statiques, du fait qu'elles sont durablement attribuées aux mêmes utilisateurs.
78La taille de la communication est exprimée en bits ou en octets et correspond au volume de données échangées. Elle peut constituer un indice pour les enquêteurs sur le type de données échangées, dans la mesure où certains types de contenus, tels que les images, les enregistrements sonores ou les contenus audiovisuels, génèrent en principe des volumes de données plus importants que de simples messages textuels. Cet indicateur doit toutefois être interprété avec prudence, compte tenu des techniques contemporaines de compression, de fragmentation et de chiffrement des flux de données.
79La durée de la communication est mesurée en heures, minutes et secondes. Elle correspond au laps de temps pendant lequel une communication a été établie ou un échange de données a eu lieu entre les systèmes informatiques concernés. Cette information peut fournir des éléments contextuels utiles à l’enquête, notamment pour distinguer des communications ponctuelles de connexions prolongées ou répétées, sans toutefois révéler le contenu des échanges intervenus durant cette période.
80Enfin, le type de service sous-jacent fait référence au mode de communication ou à la catégorie fonctionnelle de service utilisée dans le cadre de l’échange de données, tels que la messagerie électronique, les services de messagerie instantanée, la visualisation de contenus audiovisuels en ligne ou encore le téléchargement de données. Il s’agit d’une qualification générale du service mobilisé, qui peut s’avérer délicate à établir avec précision lorsque plusieurs services sont combinés au sein d’un même flux de communication ou lorsque les données sont encapsulées ou chiffrées.
Bibliographie
Schmid Niklaus, Computer- sowie Check- und Kreditkartenkriminalität, Zurich 1994.
Travaux législatifs
Conseil de l’Europe, Explanatory Report to the Convention on Cybercrime, Budapest 23.11.2001, disponible sous https://rm.coe.int/16800cce5b, visité le 10.01.2026 (cité : Rapport explicatif de la Convention sur la cybercriminalité).
Comité de la Convention cybercriminalité (T-CY), Guidance Notes, disponible sous https://www.coe.int/fr/web/cybercrime/guidance-notes, visité le 10.01.2026 (cité : Note d’orientation).