Surveillance de masse : où en est vraiment la Suisse ?

La Suisse aime se racon­ter en refuge numé­rique : le pays de Pro­ton et de Three­ma, l’hé­ri­tière du secret ban­caire recon­ver­tie dans la pro­tec­tion des don­nées. La relance du dos­sier « Chat Control » par le Conseil de l’UE, fin juin, vient de redon­ner du lustre à cette image – la Confé­dé­ra­tion ayant expri­mé tôt ses réserves face au pro­jet euro­péen. Un exa­men atten­tif de ses propres chan­tiers légis­la­tifs révèle pour­tant un tableau plus nuan­cé : sur la sur­veillance des télé­com­mu­ni­ca­tions, le ren­sei­gne­ment, la bio­mé­trie ou l’emprise des pla­te­formes, la Suisse est tra­ver­sée par les mêmes ten­sions que ses voi­sins. Et elle les tranche, dos­sier par dos­sier, dans un sens qui n’est pas tou­jours celui de sa légende.

Chat Control : le revenant bruxellois

On croyait le dos­sier enter­ré. Le 26 mars 2026, le Par­le­ment euro­péen refu­sait – à une voix près, 307 contre 306 – de pro­lon­ger « Chat Control 1.0 », cette déro­ga­tion à la direc­tive ePri­va­cy qui auto­ri­sait les grandes pla­te­formes à scan­ner « volon­tai­re­ment » les com­mu­ni­ca­tions pri­vées de leurs uti­li­sa­teurs à la recherche de conte­nus pédo­cri­mi­nels. La déro­ga­tion a expi­ré le 4 avril, sans rem­pla­ce­ment. Trois mois plus tard, le Conseil de l’UE a relan­cé la machine : le 26 juin 2026, les ambas­sa­deurs des États membres se sont enten­dus pour res­sus­ci­ter le régime sous la forme d’un texte pré­sen­té comme nou­veau, mais qua­si­ment iden­tique à l’an­cien, valable jus­qu’en avril 2028. Début juillet, le texte amen­dé est repar­ti au Conseil, dans des condi­tions pro­cé­du­rales que ses détrac­teurs jugent pour le moins acro­ba­tiques.

Le volet le plus lourd du dos­sier, « Chat Control 2.0 » – offi­ciel­le­ment le règle­ment CSAR, pro­po­sé par la Com­mis­sion en mai 2022 – reste quant à lui en négo­cia­tion : il vise un cadre per­ma­nent et obli­ga­toire de détec­tion des conte­nus pédo­cri­mi­nels, impo­sé aux mes­sa­ge­ries, avec des impli­ca­tions directes pour le chif­fre­ment de bout en bout.

Et la Suisse dans tout cela ? Offi­ciel­le­ment, elle n’est pas concer­née : non membre de l’UE, elle ne serait pas liée par le règle­ment. Mais ses cham­pions du chif­fre­ment – Pro­ton, Three­ma – le seraient dès lors qu’ils opèrent sur le mar­ché euro­péen. Berne a d’ailleurs pris posi­tion tôt et sans ambi­guï­té : dès sep­tembre 2024, un avis de droit com­man­dé par le Conseil fédé­ral sou­li­gnait que le contrôle des mes­sa­ge­ries ins­tan­ta­nées envi­sa­gé par Bruxelles pour­rait vio­ler le droit suisse. Une hos­ti­li­té de prin­cipe qui vaut à la Confé­dé­ra­tion une répu­ta­tion flat­teuse de bas­tion de la vie pri­vée.

Cette répu­ta­tion mérite exa­men. Car pen­dant que la Suisse regarde Bruxelles avec cir­cons­pec­tion, elle mène chez elle plu­sieurs chan­tiers qui touchent au même nerf : jus­qu’où l’É­tat peut-il regar­der ?

L’OSCPT, ou le « Chat Control » que la Suisse s’est presque infligé

L’i­ro­nie du dos­sier suisse tient en un sigle : OSCPT, l’or­don­nance sur la sur­veillance de la cor­res­pon­dance par poste et télé­com­mu­ni­ca­tion. Le 29 jan­vier 2025, le Conseil fédé­ral a ouvert une consul­ta­tion sur une révi­sion par­tielle de ce texte d’ap­pli­ca­tion, avec un objec­tif affi­ché de cla­ri­fi­ca­tion des obli­ga­tions des pres­ta­taires. Der­rière le voca­bu­laire tech­nique, le pro­jet éten­dait les obli­ga­tions de sur­veillance bien au-delà des opé­ra­teurs télé­coms clas­siques, pour englo­ber mes­sa­ge­ries, four­nis­seurs d’e-mail et VPN – y com­pris de petits acteurs.

Les juristes ont vite poin­té le cœur du pro­blème. Une nou­velle caté­go­rie de requêtes obli­ge­rait les pres­ta­taires à conser­ver la date, l’heure, l’a­dresse IP et le port de la der­nière connexion de chaque uti­li­sa­teur : selon la revue swissprivacy.law, cela crée­rait de fac­to une sur­veillance géné­ra­li­sée de tous les accès aux ser­vices comp­tant plus de 5 000 uti­li­sa­teurs en Suisse – loin des pro­messes faites au Par­le­ment lors de la révi­sion de la loi elle-même. L’Inter­net Socie­ty Suisse aler­tait de son côté sur une menace pour le chif­fre­ment et rap­pe­lait que Pro­ton avait annon­cé son départ de Suisse si le texte pas­sait en l’é­tat. Pour la Fédé­ra­tion romande des consom­ma­teurs, qui suit le dos­sier de près, le pro­jet impo­se­rait de sto­cker des don­nées sur tous les uti­li­sa­teurs, sans le moindre soup­çon d’in­frac­tion – exac­te­ment le type de conser­va­tion indis­cri­mi­née que la Cour de jus­tice de l’UE a jugé contraire aux droits fon­da­men­taux dès 2018.

La suite a mon­tré que les contre-pou­voirs hel­vé­tiques ne sont pas déco­ra­tifs. La consul­ta­tion, close en mai 2025, a tour­né à la levée de bou­cliers géné­rale : socié­té civile, opé­ra­teurs et faî­tières éco­no­miques ont reje­té le pro­jet de concert. En février 2026, le Conseil fédé­ral a fait machine arrière en annon­çant une ana­lyse d’im­pact et une seconde consul­ta­tion – un pro­cé­dé inha­bi­tuel qui dit l’am­pleur des objec­tions. Le Conseil des États a enfon­cé le clou en adop­tant une motion de Johan­na Gapa­ny (PLR/FR) som­mant le gou­ver­ne­ment de revoir sa copie. Et fin mai 2026, une étude com­man­dée par des acteurs du sec­teur – inté­rêt direct oblige, la pru­dence s’im­pose sur ses chiffres – pré­di­sait des mil­liards de pertes et des départs d’en­tre­prises en cas d’a­dop­tion. Le dos­sier est aujourd’­hui en sus­pens, mais pas aban­don­né.

La surveillance de masse existe déjà : elle s’appelle exploration du réseau câblé

Il serait tou­te­fois trom­peur de pré­sen­ter la Suisse comme un pays où la sur­veillance indis­cri­mi­née ne serait qu’un pro­jet avor­té. Elle existe, elle a même été approu­vée en vota­tion popu­laire. La loi sur le ren­sei­gne­ment (LRens), accep­tée par le peuple le 25 sep­tembre 2016 et entrée en vigueur en 2017, auto­rise le Ser­vice de ren­sei­gne­ment de la Confé­dé­ra­tion (SRC) à pra­ti­quer l’« explo­ra­tion du réseau câblé » : l’en­re­gis­tre­ment des signaux trans­mis par réseau filaire qui tra­versent la Suisse, ana­ly­sés par mots-clés. Comme la majo­ri­té des com­mu­ni­ca­tions suisses tran­sitent par des ser­veurs étran­gers, même un cour­riel échan­gé entre deux rési­dents suisses via Gmail peut être hap­pé par le dis­po­si­tif. Amnes­ty Inter­na­tio­nal y voit une sur­veillance de masse pré­ven­tive, menée sans soup­çon concret.

Cette cri­tique a reçu un ren­fort de poids. Dans un arrêt de novembre 2025, le Tri­bu­nal admi­nis­tra­tif fédé­ral a consta­té que l’ex­plo­ra­tion du réseau câblé, telle qu’elle est pra­ti­quée, viole la Consti­tu­tion fédé­rale et la Conven­tion euro­péenne des droits de l’homme. Un désa­veu judi­ciaire majeur – auquel la réponse poli­tique laisse son­geur. La révi­sion de la LRens, dont le Conseil fédé­ral a adop­té le mes­sage en jan­vier 2026, ren­force certes la sur­veillance indé­pen­dante du SRC et renonce, après les cri­tiques de la consul­ta­tion, à per­mettre la sur­veillance des avo­cats ou des méde­cins. Mais elle pré­voit aus­si d’é­tendre les moyens du ser­vice : le trai­te­ment des exi­gences posées par le Tri­bu­nal admi­nis­tra­tif fédé­ral est ren­voyé à une étape ulté­rieure du pro­ces­sus, dis­tincte du paquet prin­ci­pal.

Pour la coa­li­tion d’ONG qui suit le dos­sier (Amnes­ty, Digi­tale Gesell­schaft, humanrights.ch, Public Eye, notam­ment), la révi­sion aggrave le mal au lieu de le cor­ri­ger : elle per­met­trait au SRC de col­lec­ter d’a­bord et de véri­fier la léga­li­té ensuite, elle assou­plit les garde-fous pro­té­geant l’ac­ti­vi­té poli­tique et crée une base légale pour le pro­fi­lage par intel­li­gence arti­fi­cielle à par­tir de vastes bases de don­nées croi­sées. Début juin 2026, à l’ou­ver­ture du débat au Conseil natio­nal, ces orga­ni­sa­tions deman­daient le ren­voi pur et simple du pro­jet au Conseil fédé­ral. Le sort de ce texte consti­tue­ra l’un des meilleurs indi­ca­teurs de la tra­jec­toire suisse.

Biométrie : le pays des interdictions locales et du déploiement fédéral

Sur la recon­nais­sance faciale, la Suisse offre un pay­sage écla­té, presque contra­dic­toire – fédé­ra­lisme oblige. Il n’existe aucune inter­dic­tion natio­nale de l’i­den­ti­fi­ca­tion bio­mé­trique dans l’es­pace public, contrai­re­ment au règle­ment euro­péen sur l’IA qui la pro­hibe en prin­cipe. La nou­velle loi sur la pro­tec­tion des don­nées classe les don­nées bio­mé­triques par­mi les don­nées sen­sibles, mais elle ne s’ap­plique ni aux can­tons ni ne com­porte d’in­ter­dic­tion expli­cite.

Dans ce vide rela­tif, deux dyna­miques oppo­sées se déploient. D’un côté, une vague d’in­ter­dic­tions locales, por­tée par la cam­pagne « Stop à la recon­nais­sance faciale » d’Al­go­rithm­Watch CH, Amnes­ty et la Socié­té numé­rique : les légis­la­tifs de Zurich, Saint-Gall et Bâle-Ville ont adop­té des inter­ven­tions en ce sens, et en mai 2025, Lau­sanne est deve­nue la pre­mière ville romande à ban­nir la recon­nais­sance faciale de l’es­pace public – les enquêtes de police judi­ciaire res­tant exemp­tées. Le Tri­bu­nal fédé­ral a par ailleurs posé une balise impor­tante en octobre 2024, en jugeant, à pro­pos de la recherche auto­ma­ti­sée de véhi­cules, que ce type d’at­teinte grave à l’au­to­dé­ter­mi­na­tion infor­ma­tion­nelle exige une base légale for­melle.

De l’autre côté, le déploie­ment avance. Plu­sieurs polices can­to­nales – Argo­vie, Neu­châ­tel, Saint-Gall, Vaud – uti­lisent déjà des sys­tèmes de recon­nais­sance faciale dans le cadre de pour­suites pénales, sur des bases juri­diques que d’é­mi­nents juristes jugent contro­ver­sées. Sur­tout, l’Of­fice fédé­ral de la police fran­chit un cap en 2026 : avec le pro­jet « AFIS 2026 », fed­pol ajoute un module de recon­nais­sance faciale à son sys­tème natio­nal d’i­den­ti­fi­ca­tion, don­nant accès à plus d’un mil­lion d’i­mages de visages – dont celles de toutes les per­sonnes enre­gis­trées comme requé­rantes d’a­sile, s’in­quiète Algo­rithm­Watch CH. Et en novembre 2025, coup de théâtre : le Grand Conseil zuri­chois est deve­nu le pre­mier par­le­ment suisse à approu­ver des pro­jets pilotes de recon­nais­sance faciale bio­mé­trique à des fins de sur­veillance – à une voix près, 87 contre 86, et contre l’a­vis ini­tial du gou­ver­ne­ment can­to­nal.

Une voix d’é­cart à Zurich, une voix d’é­cart au Par­le­ment euro­péen sur Chat Control : le hasard des scru­tins dit quelque chose de l’é­qui­libre pré­caire dans lequel se trouvent ces ques­tions.

Les GAFAM : une régulation tardive, et qui ne vise pas la surveillance commerciale

Reste le troi­sième front : celui des géants du numé­rique, dont le modèle éco­no­mique repose sur une col­lecte de don­nées que Sho­sha­na Zuboff a popu­la­ri­sée sous le nom de capi­ta­lisme de sur­veillance. Ici, la Suisse avance – tard, et pru­dem­ment. Après un report en avril 2025 qu’une large alliance d’é­lus, de scien­ti­fiques et d’ONG avait vive­ment dénon­cé, le Conseil fédé­ral a fini par mettre en consul­ta­tion, le 29 octobre 2025, son pro­jet de loi fédé­rale sur les pla­te­formes de com­mu­ni­ca­tion et les moteurs de recherche. Le texte, ins­pi­ré du Digi­tal Ser­vices Act euro­péen, vise les ser­vices uti­li­sés par au moins 10 % de la popu­la­tion rési­dante – envi­ron 900 000 uti­li­sa­teurs, soit une poi­gnée de géants comme Google, Meta, Tik­Tok ou X. Au menu : pro­cé­dures de signa­le­ment des conte­nus illi­cites, jus­ti­fi­ca­tion des sup­pres­sions et blo­cages, trans­pa­rence de la publi­ci­té et des sys­tèmes de recom­man­da­tion, obli­ga­tion d’un repré­sen­tant légal en Suisse et sanc­tions pou­vant atteindre 6 % du chiffre d’af­faires mon­dial.

La consul­ta­tion, close le 16 février 2026, a des­si­né des cli­vages pro­fonds : trop timide pour les uns, exces­sive pour d’autres – le PLR défen­dant une approche mini­ma­liste et l’UDC reje­tant toute régle­men­ta­tion, tan­dis qu’eco­no­mie­suisse plaide pour un texte res­ser­ré afin d’é­vi­ter la sup­pres­sion pré­ven­tive de conte­nus. Insa­tis­faite du rythme fédé­ral, la socié­té civile a pris les devants : en mars 2026, la Fon­da­tion Gui­do Flu­ri et un comi­té d’é­lus de tous bords ont lan­cé une ini­tia­tive popu­laire « Inter­net » récla­mant un cadre consti­tu­tion­nel plus ambi­tieux, inté­grant jus­qu’à l’IA géné­ra­tive.

Il faut cepen­dant nom­mer la limite de tout cet édi­fice : ces textes régulent la modé­ra­tion, la trans­pa­rence et la res­pon­sa­bi­li­té des pla­te­formes – pas la sur­veillance com­mer­ciale elle-même. Aucun d’eux ne s’at­taque fron­ta­le­ment à la col­lecte publi­ci­taire mas­sive de don­nées per­son­nelles, cœur du réac­teur des GAFAM. Sur ce ter­rain, la Suisse s’en remet à sa loi sur la pro­tec­tion des don­nées, répu­tée moins exi­geante que le RGPD, et n’a pas d’é­qui­valent du Digi­tal Mar­kets Act euro­péen.

Un pays à la croisée des chemins

Que rete­nir de ce tour d’ho­ri­zon ? D’a­bord, que la Suisse n’est pas l’É­tat de sur­veillance que cer­tains dis­cours alar­mistes décrivent : les contre-pou­voirs y fonc­tionnent, et de manière spec­ta­cu­laire. Un tol­lé en consul­ta­tion a fait recu­ler le Conseil fédé­ral sur l’OSCPT ; un tri­bu­nal fédé­ral a décla­ré l’ex­plo­ra­tion du réseau câblé contraire à la Consti­tu­tion ; des villes inter­disent la recon­nais­sance faciale ; une ini­tia­tive popu­laire s’at­taque aux géants du numé­rique. Peu de pays offrent autant de leviers ins­ti­tu­tion­nels contre la dérive sécu­ri­taire.

Mais la Suisse n’est pas non plus le sanc­tuaire numé­rique de sa légende dorée. Elle pra­tique depuis 2017 une forme d’in­ter­cep­tion en masse des com­mu­ni­ca­tions trans­fron­ta­lières que sa propre jus­tice juge incons­ti­tu­tion­nelle – et que le légis­la­teur s’ap­prête à étendre plu­tôt qu’à cor­ri­ger. Son admi­nis­tra­tion a ten­té d’im­po­ser, par simple ordon­nance, une conser­va­tion géné­ra­li­sée de don­nées que la juris­pru­dence euro­péenne condamne depuis des années. Sa police fédé­rale déploie la recon­nais­sance faciale en 2026, et son plus grand can­ton vient d’ou­vrir la porte aux essais bio­mé­triques dans l’es­pace public.

Le vrai visage de la Suisse en matière de sur­veillance se déci­de­ra dans les mois qui viennent, sur trois dos­siers pré­cis : la seconde mou­ture de l’OSCPT, le sort par­le­men­taire de la révi­sion de la LRens, et l’is­sue de la loi sur les pla­te­formes. Trois textes, trois occa­sions de choi­sir entre le réflexe sécu­ri­taire qui gagne l’Eu­rope – Chat Control en tête – et le modèle qui a fait de ce pays l’a­dresse pré­fé­rée de ceux qui tiennent à leur vie pri­vée. Une chose est sûre : contrai­re­ment à une idée reçue, la neu­tra­li­té hel­vé­tique ne s’é­tend pas à cette ques­tion-là. Il fau­dra tran­cher.