Examen des faits concernant l’Internet gratuit des CFF

Nous avons procédé à un examen des faits concernant l’offre de wifi gratuite des CFF. À cette occasion, nous avons constaté que le système présentait un certain nombre de défauts. Nous avons donc émis des recommandations, à la suite desquelles les CFF ont modifié les dispositions en matière de protection des données de ce service ainsi que la durée de conservation des données d’utilisateurs.

À l'automne 2013, nous avions déjà contacté les CFF à propos de leur offre d'accès gratuit à Internet dans certaines gares. Ils n'ont toutefois pas donné suite à notre demande visant à modifier les conditions générales régissant ce service (cf. chiffre 1.3.4 de notre 22e Rapport d'activités). À la suite de cela, nous avons donc procédé à un examen des faits auprès des CFF.

Pour pouvoir utiliser l'accès gratuit à Internet dans les gares, les clients doivent s'enregistrer. Pour ce faire, ils doivent indiquer leur numéro de téléphone mobile, accepter les conditions générales et demander le code d'accès. L'enregistrement est effectif dès l'introduction du code transmis par SMS. Les CFF ont publié sur leur site Internet les conditions générales relatives au «free wifi CFF», accompagnées d'informations plus détaillées.

Au moment où nous avons procédé à notre examen des faits, les données relevées dans le contexte de l'accès Internet gratuit des CFF n'étaient utilisées que pour la prestation du service en question, pour le traitement des demandes de renseignements ainsi que dans le contexte de la loi fédérale sur la surveillance par poste et télécommunication (LSCPT). Contrairement aux conditions générales existant alors, les données n'étaient traitées ni pour améliorer les flux de personnes, ni pour analyser les comportements des clients en matière de déplacement, ni pour générer des annonces spécifiques dans le domaine de l'information aux clients. Les données relevées en vertu de la LSCPT n'étaient effacées qu'au bout de neuf mois. Au cours de nos recherches, les CFF ont adapté leurs conditions générales une première fois.

Forts du résultat de nos recherches, nous avons émis deux recommandations qui concernaient toutes deux le traitement des données en relation avec la LSCPT. Nous avons recommandé aux CFF de ne traiter que les données qui tombaient effectivement sous le coup de la LSCPT et en particulier de ne plus relever les données «adresse IP de destination» et «port de destination». Nous leur avons demandé en outre de conserver les données d'utilisation et les données accessoires des communications uniquement aussi longtemps que cela est prévu la loi, à savoir six mois et non pas neuf mois. De plus, nous avons fait aux CFF deux propositions d'amélioration. D'une part, nous avons suggéré l'élaboration d'une procédure consignée par écrit, régissant le traitement des demandes de renseignements. D'autre part, nous leur avons demandé d'adapter leurs conditions générales aux traitements de données effectivement réalisés.

Les CFF ont accepté notre seconde recommandation ainsi que nos deux propositions d'amélioration. Par contre, ils ont indiqué ne pas pouvoir se conformer à notre première recommandation car le Service de surveillance de la correspondance postale et des télécommunications (le SSCPT) leur avait fortement conseillé de continuer à enregistrer les données mentionnées ci-dessus pour les autorités de poursuite pénale.

Nous sommes toutefois d'avis que la journalisation de «adresse IP de destination» et «port de destination» n'est pas prévue en l'état par la LSCPT. Néanmoins, en raison de l'actuelle révision de la LSCPT, nous renonçons pour l'instant à soumettre ce point aux autorités compétentes. En conséquence, nous avons clos l'examen des faits, mais nous nous sommes expressément réservé le droit de revenir ultérieurement sur la question de la journalisation de «adresse IP de destination» et de «port de destination» et, le cas échéant, de requérir par voie judiciaire l'application de nos conclusions (cf. égal. le chiffre 1.4.1 du présent rapport d'activités).

https://www.edoeb.admin.ch/content/edoeb/fr/home/documentation/rapports-d-activites/23e-rapport-d-activites-2015-2016/examen-des-faits-concernant-linternet-gratuit-des-cff.html