Révocation du statut de fournisseur de services de télécommunication ayant des obligations restreintes en matière de surveillance.
Entscheiddatum: 13.10.2021Publikationsdatum: 22.10.2021
Bundesverwaltungsgericht Tribunal administratif fédéral Tribunale amministrativo federale Tribunal administrativ federal Cour I A-5373/2020
Arrêt du 13 octobre 2021 Composition Claudia Pasqualetto Péquignot (présidente du collège), Maurizio Greppi, Jérôme Candrian, juges, Julien Delaye, greffier. Parties A._______ AG, représentée par Me Sylvain Métille et Me Fabien Hohenauer, avocats,recourante, contre Service Surveillance de la correspondance par poste et télécommunication SCPT, Fellerstrasse 15, 3003 Berne, autorité inférieure. Objet Révocation du statut de fournisseur de services de télécommunication ayant des obligations restreintes en matière de surveillance.
A. A._______ AG (ci-après : A._______) est une société anonyme ayant son siège à S._______. Elle est active dans le développement de logiciels de sécurité et de confidentialité. Elle propose notamment le service [...]Mail.
B._______ AG (ci-après : B._______) était une société anonyme ayant son siège à S._______. Elle était active dans le développement de logiciels de sécurité et de confidentialité notamment dans le domaine de la communication. Elle proposait notamment le service [...]VPN. La société a été radiée par suite de fusion par publication au journal du [...] 2020. Le service [...]VPN a été repris par A._______.
B.
B.a Le 12 juillet 2018, A._______ a présenté au Service Surveillance de la correspondance par poste et télécommunication SCPT (ci-après : le Service SCPT) une demande pour être considérée comme un fournisseur de services de télécommunication ayant des obligations restreintes en matière de surveillance. Par décision du 26 juillet 2018, le Service SCPT a confirmé à A._______ qu'elle remplissait les conditions et accédé à sa demande.
B.b Par décision du 14 décembre 2018, le Service SCPT a confirmé que A._______ et B._______ étaient considérées comme une entité unique et qu'elles étaient reconnues ensemble comme un fournisseur de services de télécommunication ayant des obligations restreintes en matière de surveillance. Ces deux décisions (cf. également supra consid. B.a) n'ont pas fait l'objet d'un recours et sont entrées en force.
C.
C.a Par décision du 18 février 2020, le Service SCPT a prononcé que A._______ n'était plus considérée comme ayant des obligations restreintes en matière de surveillance. Cette décision a fait l'objet d'un recours auprès du Tribunal administratif fédéral (cause A-[...]). Le Service SCPT a retiré sa décision le 24 juin 2020. Le Tribunal administratif fédéral a ainsi radié l'affaire du rôle par décision du 4 août 2020.
C.b En parallèle, le 23 juin 2020, A._______ a requis du Service SCPT qu'il la qualifie de fournisseur de services de communication dérivés sans obligations étendues.
C.c Une réunion a eu lieu le 4 septembre 2020 entre des représentants du Service SCPT et A._______. La réunion a principalement porté sur les obligations de A._______ en matière de surveillance et les diverses conséquences de l'atteinte des seuils définis par l'ordonnance. A._______ a eu l'occasion de s'exprimer sur le sujet.
D. Par décision du 28 septembre 2020, le Service SCPT a prononcé que A._______ et B._______ n'étaient plus considérées comme ayant des obligations restreintes en matière de surveillance, qu'elles devaient exécuter ou faire exécuter par des tiers, concernant les services qu'elles proposent, toutes les surveillances ayant fait l'objet d'une standardisation. Elles devaient, pour ce faire, garantir l'enregistrement des données nécessaires pour assurer l'exécution des surveillances et la disponibilité à surveiller respectivement dans les deux et les douze mois, qu'elles restaient tenues de livrer ou de faire livrer par des tiers, concernant les services qu'elles proposent, tous les renseignements ayant fait l'objet d'une standardisation, qu'elles disposaient d'un délai de douze mois pour mettre en place un service de piquet que le Service SCPT puisse joindre en tout temps en vue de l'exécution des mesures de surveillance et que, jusqu'au moment où elles seraient en mesure de garantir leur disponibilité à surveiller, elles devaient exécuter les surveillances - en cours et à venir - selon la procédure convenue avec le Service SCPT pour la période où elles étaient considérées comme ayant des obligations restreintes en matière de surveillance.
E. A._______ (ci-après également : la recourante) a formé recours, le 29 octobre 2020, contre cette décision devant le Tribunal administratif fédéral.
Elle conclut, sous suite de frais et dépens, dans un premier temps, à ce que l'effet suspensif soit donné au recours, puis dans un second temps, à ce que la décision attaquée soit réformée en tant qu'elle soit considérée comme un fournisseur de services de communication dérivés sans obligations étendues en matière de surveillance ou à ce que la décision soit annulée et la cause renvoyée au Service SCPT. Elle requiert que ce dernier soit tenu de produire tous les documents permettant d'attester le nombre de cibles adressé à chaque fournisseur en 2017, 2018 et 2019.
F. En date du 11 décembre 2020, le Service SCPT (ci-après également : l'autorité inférieure) s'est opposé à la requête d'octroi de l'effet suspensif. Le Tribunal administratif l'a octroyé par décision incidente du 11 février 2021.
G. Dans sa prise de position du 5 février 2021, l'autorité inférieure a conclu, en substance, au rejet du recours dans la mesure de sa recevabilité.
H. En date du 26 août 2021, la recourante a maintenu les griefs formulés dans le cadre de son recours, ainsi que ses réquisitions de preuve. Par courrier du 10 septembre 2021, elle a indiqué ne pas avoir d'observations supplémentaires sur les pièces produites par l'autorité inférieure à l'appui de sa prise de position du 5 février 2021.
Les arguments avancés de part et d'autre au cours de la présente procédure seront repris plus loin dans la mesure où cela s'avère nécessaire.
La qualité pour recourir doit être reconnue à la recourante (art. 48 al. 1 PA). Au surplus, les dispositions relatives à la représentation, au délai de recours, à la forme du mémoire, ainsi qu'à l'avance de frais (art. 11 al. 1, 50 al. 1, 52 al. 1 et 63 al. 4 PA) sont respectées.
Partant, le recours est recevable.
2.1 Le Tribunal administratif fédéral fait cependant preuve d'une certaine retenue dans l'exercice de son pouvoir d'examen lorsque la nature des questions litigieuses qui lui sont soumises l'exige, singulièrement lorsque leur analyse nécessite des connaissances spéciales ou encore lorsqu'il s'agit de circonstances locales que l'autorité qui a rendu la décision connaît mieux (cf. ATF 131 II 680 consid. 2.3.3. ; arrêt du TAF A-379/2016 du 8 septembre 2016 consid. 2.2). Le Tribunal ne s'écartera alors pas sans nécessité de l'appréciation de l'autorité inférieure. En revanche, il vérifiera librement si l'autorité inférieure a établi complètement et exactement les faits pertinents et, sur cette base, si elle a correctement appliqué le droit, sans se laisser guider par des motifs étrangers aux normes appliquées et en tenant compte de manière adéquate de tous les intérêts en présence (cf. arrêt du TAF A-7143/2008 du 16 septembre 2009 consid. 5.4).
2.2 La procédure fédérale est essentiellement régie par la maxime inquisitoire, ce qui signifie que l'autorité administrative constate les faits d'office et procède, s'il y a lieu à l'administration de preuves par les moyens idoines (art. 12 PA). La maxime inquisitoire doit cependant être relativisée par son corollaire : le devoir de collaborer des parties (art. 13 PA ; cf. CLÉMENCE GRISEL, L'obligation de collaborer des parties en procédure administrative, 2008, no 142). La procédure de recours devant le Tribunal administratif fédéral est également régie par la maxime inquisitoire en vertu de l'art. 37 LTAF. Celle-ci est cependant quelque peu tempérée, notamment en raison du fait qu'il ne s'agit, dans ce cas, pas d'un établissement des faits ab ovo. Il convient de tenir compte de l'état de fait déjà établi par l'autorité inférieure. Dans ce sens, le principe inquisitoire est une obligation de vérifier d'office les faits constatés par l'autorité inférieure plus que de les établir (cf. arrêts du TAF A-5584/2008 du 11 juin 2010 consid. 1.2.1 et A-6120/2008 du 18 mai 2010 consid. 1.3.2).
2.3 Le Tribunal administratif fédéral applique le droit d'office, sans être lié par les motifs invoqués (art. 62 al. 4 PA), ni par l'argumentation juridique développée dans la décision attaquée (cf. André Moser/Michael Beusch/Lorenz Kneubühler, Prozessieren vor dem Bundesverwaltungsgericht, 2e éd. 2013, no 2.165). Il se limite en principe aux griefs soulevés et n'examine les questions de droit non invoquées que dans la mesure où les arguments des parties ou le dossier l'y incitent (cf. ATF 135 I 91 consid. 2.1 ; ATAF 2014/24 consid. 2.2).
2.4 Selon l'art. 61 al. 1 PA, l'autorité de recours statue elle-même sur l'affaire ou exceptionnellement la renvoie avec des instructions impératives à l'autorité inférieure. Pour des raisons d'économie de procédure et essentiellement afin que la procédure ne soit pas prolongée inutilement, le recours au Tribunal administratif fédéral est en principe réformatoire (cf. MOSER/BEUSCH/KNEUBÜHLER, op. cit., no 3.191 ; PHILIPPE WEISSENBERGER/ASTRID HIRZEL, Praxiskommentar VwVG, 2e éd. 2016, art. 61 PA no 10). D'une manière générale, l'art. 61 al. 1 PA confère néanmoins un large pouvoir d'appréciation à l'autorité de recours, qui doit notamment veiller à ce qu'une décision réformatoire ne limite pas de manière inadmissible le nombre d'instances de recours (cf. WEISSENBERGER/HIRZEL, op. cit., art. 61 PA no 15 et 17). Par ailleurs, l'autorité de recours ne saurait statuer elle-même sur l'affaire lorsque des questions pertinentes doivent être tranchées pour la première fois et que l'autorité inférieure dispose d'un certain pouvoir d'appréciation (cf. ATAF 2010/46 consid. 4).
3.1 Ont des obligations de collaborer les fournisseurs de services postaux au sens de la loi fédérale du 17 décembre 2010 sur la poste (LPO, RS 783.0), les fournisseurs de services de télécommunication au sens de l'art. 3 let. b de la loi fédérale du 30 avril 1997 sur les télécommunications (LTC, RS 784.10), les fournisseurs de services qui se fondent sur des services de télécommunication et qui permettent une communication unilatérale ou multilatérale (fournisseurs de services de communication dérivés), les exploitants de réseaux de télécommunication internes, les personnes qui mettent leur accès à un réseau public de télécommunication à la disposition de tiers ainsi que les revendeurs professionnels de cartes ou de moyens semblables qui permettent l'accès à un réseau public de télécommunication (art. 2 let. a à f LSCPT).
3.2 Selon l'art. 26 LSCPT, les fournisseurs de services de télécommunication livrent au Service SCPT ou, selon l'art. 17 let. c, à l'autorité qui a ordonné la surveillance ou à l'autorité désignée par celle-ci, sur demande, le contenu des communications de la personne surveillée et les données secondaires de télécommunication de la personne surveillée (al. 1 let. a et b). Ils doivent en outre livrer les informations nécessaires à l'exécution de la surveillance, tolérer les surveillances exécutées par le Service SCPT ou par les personnes mandatées par celui-ci, garantir sans délai l'accès à leurs installations et supprimer les cryptages qu'ils ont opérés (al. 2 let. a à c). Les fournisseurs de services de télécommunication qui participent à l'exploitation du service de télécommunication à surveiller livrent les données en leur possession au Service SCPT ou à celui d'entre eux qui est chargé de la surveillance (al. 3). L'ordre de surveillance peut prévoir l'exécution de celle-ci en temps réel ou la remise des données secondaires de télécommunication conservées concernant des communications passées (surveillance rétroactive ; al. 4). Les fournisseurs de services de télécommunication conservent les données secondaires de télécommunication durant six mois (al. 5). Le Conseil fédéral peut dispenser des fournisseurs de services de télécommunication de certaines obligations légales, en particulier ceux qui offrent des services de télécommunication de faible importance économique ou dans le domaine de l'éducation. Il ne les dispense pas de l'obligation de fournir sur demande les données secondaires de télécommunication de la personne surveillée dont ils disposent ni des obligations visées à l'al. 2 (al. 6).
3.3 Selon l'art. 27 LSCPT, les fournisseurs de services de communication dérivés tolèrent une surveillance exécutée par le Service ou par les personnes mandatées par celui-ci portant sur des données que la personne surveillée transmet ou enregistre en recourant à des services de communication dérivés. A cet effet, ils doivent sans délai garantir l'accès à leurs installations et fournir les renseignements nécessaires à l'exécution de la surveillance (al. 1 let. a et b). Ils livrent, sur demande, les données secondaires de télécommunication de la personne surveillée dont ils disposent (al. 2). Si cela est nécessaire pour surveiller la correspondance par télécommunication, le Conseil fédéral soumet l'ensemble ou une partie des fournisseurs de services de communication dérivés offrant des services d'une grande importance économique ou à un grand nombre d'utilisateurs à tout ou partie des obligations mentionnées à l'art. 26. Le cas échéant, les dispositions de la présente loi concernant les fournisseurs de services de télécommunication sont applicables par analogie (al. 3).
3.4 Sur ces bases, le Conseil fédéral a adopté l'ordonnance du 15 novembre 2017 sur la surveillance de la correspondance par poste et télécommunication (OSCPT, RS 780.11).
Sur demande d'un fournisseur de services de télécommunication, le Service SCPT le déclare comme ayant des obligations restreintes en matière de surveillance s'il n'offre ses services que dans le domaine de la recherche et de l'éducation, ou s'il n'atteint aucune des valeurs suivantes : des mandats de surveillance portant sur dix cibles différentes au cours des douze derniers mois (date de référence : 30 juin) ; un chiffre d'affaires annuel en Suisse de 100 millions de francs pendant deux exercices consécutifs généré par les services de télécommunication et les services de communication dérivés (art. 51 al. 1 OSCPT). Un fournisseur de services de télécommunication doit garantir l'enregistrement des données nécessaires pour assurer l'exécution des surveillances et la disponibilité à surveiller respectivement dans les deux et les douze mois à compter du moment où le Service SCPT décide qu'il n'est plus considéré comme ayant des obligations restreintes en matière de surveillance (art. 51 al. 5 OSCPT).
Le Service SCPT déclare, par une décision, un fournisseur de services de communication dérivés comme ayant des obligations étendues en matière de surveillance (art. 27 al. 3 LSCPT) lorsque celui-ci atteint une des valeurs suivantes : des mandats de surveillance concernant dix cibles différentes au cours des douze derniers mois (date de référence: 30 juin) ; un chiffre d'affaires annuel en Suisse de 100 millions de francs pendant deux exercices consécutifs, une grande partie de ce chiffre d'affaires devant être générée par la fourniture de services de communication dérivés, et 5000 usagers (art. 52 al. 1 OSCPT).
4.1 L'autorité inférieure fait valoir que les griefs de la recourante selon lesquels elle ne serait pas un fournisseur de services de télécommunication, mais un fournisseur de services de communication dérivés seraient irrecevables en tant qu'ils échapperaient à l'objet du litige. Selon l'autorité inférieure, sa décision ne portait que sur la question de savoir si les seuils permettant de soumettre la recourante aux obligations restreintes en matière de surveillance étaient atteints et non sur sa qualification en tant que fournisseur de services de télécommunication ou de fournisseur de services de communication dérivés.
La recourante estime que le prononcé de la décision constitue bien une qualification de la recourante en tant que fournisseur de services de télécommunication dès lors qu'elle la soumet à l'ensemble des obligations en matière de surveillance applicables à de tels fournisseurs. Elle rappelle aussi qu'elle a déposé, plusieurs mois avant cette décision, une demande de requalification en tant que fournisseur de services de communication dérivés que l'autorité inférieure refuserait de traiter.
4.2 Ne peut faire l'objet d'une procédure de recours que ce qui constituait déjà l'objet de la procédure devant l'instance inférieure ou ce qui, selon une interprétation correcte de la loi, aurait dû l'être (objet de la contestation ; Streitgegenstand). Les points sur lesquels l'autorité inférieure ne s'est pas prononcée et sur lesquels elle n'était pas non plus tenue de le faire ne peuvent être examinés par l'autorité supérieure. Celle-ci outrepasserait sinon ses compétences fonctionnelles. L'objet de la contestation résulte lui-même du dispositif de la décision attaquée et non de sa motivation. A cet égard, si des doutes demeurent quant à la portée du dispositif, il convient de l'interpréter, stade auquel la motivation de la décision peut servir d'aide. Par ailleurs, si le dispositif renvoie expressément aux considérants, ceux-ci font partie du dispositif dans la mesure du renvoi (cf. arrêts du TF 2C_642/2007 du 3 mars 2008 consid. 2.2 et 2A.121/2004 du 16 mars 2005 consid. 2.1 ; ATAF 2014/24 consid. 1.4.1 et 2010/12 consid. 1.2.1 ; arrêt du TAF A-1924/2012 du 31 mai 2013 consid. 2.4.1).
C'est en revanche le recourant qui est appelé à définir l'objet du litige (Angfechtungsobjekt) par le biais des conclusions de son recours, les points non contestés de la décision attaquée acquérant force exécutoire formelle. Le recourant ne peut ainsi que réduire l'objet du litige par rapport à l'objet de la contestation ; il ne peut l'élargir ou le modifier, puisque cela amènerait à une violation de la compétence fonctionnelle de l'autorité supérieure (cf. ATF 136 II 457 consid. 4.2 et 131 II 200 consid. 3.2 ; ATAF 2014/24 consid. 1.4.1 ; arrêts du TAF A-545/2012 du 14 février 2013 consid. 2.5 et A-1626/2010 du 28 janvier 2011 ; Jérôme Candrian, Introduction à la procédure administrative fédérale, 2013, ch. 182 et 184).
4.3 Le chiffre 1 du dispositif de la décision attaquée indique que « A._______ AG [A._______ AG et B._______ AG] n'est plus considérée comme ayant des obligations restreintes en matière de surveillance ». Selon le chiffre 2, elle doit exécuter ou faire exécuter par des tiers, concernant les services qu'elle propose, toutes les surveillances ayant fait l'objet d'une standardisation. Elle reste tenue de livrer ou de faire livrer par des tiers, concernant les services qu'elle propose, tous les renseignements ayant fait l'objet d'une standardisation. Les renseignements doivent être livrés de manière automatisée, via l'interface de consultation du système de traitement (chiffre 3). Elle dispose d'un délai de douze mois à compter de la présente décision pour mettre en place un service de piquet (chiffre 4).
4.4 D'emblée, il y a lieu de relever que l'objet de la contestation porte non seulement sur les obligations de surveillance en lien avec le service [...]Mail, mais également avec le service [...]VPN. La recourante a, en effet, indiqué avoir repris ce dernier à la suite de la radiation de B._______ AG par suite de fusion.
Au surplus, force est de constater qu'en date du 23 juin 2020, la recourante a requis de l'autorité inférieure qu'elle le qualifie de fournisseur de services de communication dérivés sans obligations étendues. Il ne ressort pas du dossier que l'autorité inférieure ait répondu à cette demande. Elle ne le prétend d'ailleurs pas. Ainsi, si elle ne mentionne pas l'existence de cette requête dans la décision attaquée - ce qui est déjà en soi critiquable -, force est bien d'admettre eu égard au texte clair du dispositif qu'elle soumet la recourante aux obligations en matière de surveillance des fournisseurs de services de télécommunications sans obligations restreintes. Partant, le Tribunal ne peut que constater que l'autorité inférieure rejette également, ne serait-ce qu'implicitement, la requête de la recourante d'être qualifiée de fournisseur de services de communication dérivés sans obligations étendues.
En tout état de cause, une interprétation systématique de la loi ne donnerait pas un résultat différent. En effet, il s'agit nécessairement de déterminer si les services fournis par un fournisseur relèvent des services de télécommunication ou de communication dérivés avant de vérifier si le fournisseur en question doit être soumis à des obligations restreintes ou étendues et si les seuils fixés par l'ordonnance sont atteints ou non.
4.5 Il suit de là que l'objet de la contestation porte non seulement sur la question de savoir si les seuils prévus par l'art. 51 OSCPT sont dépassés, mais également sur le point de savoir si la recourante constitue bel et bien un fournisseur de services de télécommunication en tant qu'il s'agit de la prémisse nécessaire pour que des obligations de surveillance restreintes ou étendues puissent lui être imposées.
Partant, les griefs de la recourante selon lesquels elle ne serait pas un fournisseur de services de télécommunication, mais un fournisseur de services de communication dérivés, ne dépassent pas l'objet du litige et sont, par conséquent, recevables.
5.1 En l'absence de dispositions transitoires, la question du droit applicable doit être tranchée par le biais des principes généraux du droit intertemporel (cf. arrêt du TAF A-612/2015 du 4 mars 2016 consid. 3.1.1). D'après les règles générales régissant la détermination du droit applicable (cf. ATF 131 V 425 consid. 5.1), l'application d'une norme à des faits entièrement révolus avant son entrée en vigueur est interdite (cf. ATF 137 II 371 consid. 4.2). En dérogation à ce principe général, les nouvelles règles de procédure s'appliquent pleinement dès leur entrée en vigueur aux causes qui sont encore pendantes (cf. ATF 137 II 409 consid. 7.4.5). Enfin, l'autorité de recours doit appliquer le droit en vigueur au jour où l'autorité de première instance a statué (cf. ATF 141 II 393 consid. 2.4 ; arrêt A-2600/2020 précité consid. 3.2).
5.2 En l'espèce, la décision attaquée a été prise le 28 septembre 2020, en application des principes de l'art. 2 LSCPT et de l'art. 3 LTC dans leur version en vigueur ce jour-là. Il suit de là que les changements apportés à la notion de fournisseurs de services de télécommunication par la révision de la loi sur les télécommunications et ses conséquences sur l'interprétation de l'art. 2 LSCPT ne sont pas applicables à la réalisation de l'état de fait litigieux. Il s'agit ainsi de tenir compte uniquement du droit applicable au jour où la décision attaquée a été prise.
6.1 La recourante rappelle qu'un simple fournisseur de services tel que la messagerie électronique ne rentrait pas dans la notion de fournisseur de services de télécommunication puisqu'il ne fournit pas lui-même d'accès à Internet. Elle estime que tant son service de messagerie [...]Mail que son service de réseau privé virtuel [...]VPN relèvent donc de services de communication dérivés au sens donné par la jurisprudence.
L'autorité inférieure considère qu'il faut donner une portée large à la notion de fournisseurs de télécommunication. Elle se réfère à cet effet aux travaux législatifs et à une intervention de Madame la Conseillère fédérale Leuthard. Elle considère, eu égard à ces éléments, que le service de messagerie électronique [...]Mail est bien un service de télécommunications. Elle n'explique toutefois pas en quoi tel serait le cas du service [...]VPN.
6.2 L'art. 2 LSCPT détermine qui est soumis à la loi, c'est-à-dire qui a des obligations en vertu de celle-ci. Le champ d'application à raison des personnes porte sur six catégories de personnes obligées de collaborer, caractérisées par les services et activités qu'elles fournissent. Il s'agit entre autres des fournisseurs de services de télécommunication au sens de l'art. 3 let. b LTC et des fournisseurs de services qui se fondent sur des services de télécommunication, aussi appelés fournisseurs de services de communication dérivés (cf. supra consid. 3.1 ; arrêt du TF 2C_544/2020 du 29 avril 2021 consid. 3.1). Pour ces premiers prestataires, les obligations énoncées aux art. 21 ss LSCPT sont applicables. Les fournisseurs de services de communication dérivés sont, quant à eux, soumis à des obligations qui vont en principe moins loin que les obligations des fournisseurs de services de télécommunication (cf. arrêt 2C_544/2020 précité consid. 3.1 ; ég. arrêt du TAF A-550/2019 du 19 mai 2020 consid. 4 ; Thomas Hansjakob, Überwachungsrecht der Schweiz, Kommentar zu Art. 269 ff StPO und zum BÜPF, 2018, no 1364 ; Message du 27 février 2013 concernant la loi fédérale sur la surveillance de la correspondance par poste et télécommunication [ci-après : Message LSCPT], FF 2013 2379, p. 2391). La loi sur la surveillance de la correspondance par poste et télécommunication confère ainsi diverses obligations à diverses catégories de personnes, caractérisées par leurs activités, chacune de ces activités devant à cet égard être considérée indépendamment des autres. Une même entreprise peut donc fort bien tomber dans plusieurs catégories, en fonction des activités qu'elle propose, et avoir des obligations de surveillance distinctes, en fonction de ces activités (cf. Message LSCPT, FF 2013 2379, p. 2402).
6.3 Dès lors que la recourante et l'autorité inférieure ne partagent pas leur interprétation des notions de fournisseur de services de télécommunication et de fournisseur de services de communication dérivés, il y a lieu d'interpréter l'art. 2 LSCPT ainsi que l'art. 3 let. b LTC auquel celui-ci renvoie.
6.3.1 Selon la jurisprudence, la loi s'interprète en premier lieu selon sa lettre (interprétation littérale). Si le texte n'est pas absolument clair, si plusieurs interprétations de celui-ci sont possibles, le juge recherchera la véritable portée de la norme, en la dégageant de sa relation avec d'autres dispositions légales et de son contexte (interprétation systématique), du but poursuivi, singulièrement de l'intérêt protégé (interprétation téléologique), ainsi que de la volonté du législateur telle qu'elle ressort notamment des travaux préparatoires (interprétation historique ; cf. ATF 135 II 416 consid. 2.2 et 134 I 184 consid. 5.1). Le Tribunal fédéral ne privilégie aucune méthode d'interprétation, mais s'inspire d'un pluralisme pragmatique pour rechercher le sens véritable de la norme. Il ne s'écarte de la compréhension littérale du texte que s'il en découle sans ambiguïté une solution matériellement juste (cf. ATF 143 II 202 consid. 8.5, 142 II 80 consid. 4.1, 140 II 289 consid. 3.2 et 139 II 49 consid. 5.3.1).
6.3.2 D'un point de vue littéral, la notion de fournisseur de services de télécommunication de l'art. 2 let. b LSCPT est liée à l'art. 3 let. b LTC. Cette dernière disposition stipule qu'un « service de télécommunications » est « la transmission d'informations pour le compte de tiers au moyen de techniques de télécommunication ». Dans les autres langues, l'art. 3 let. b LTC définit le terme « Fernmeldedienst » par « fernmeldetechnische Übertragung von Informationen für Dritte » et le terme « servizio di telecomunicazione » par « trasmissione mediante telecomunicazione di informazioni per terzi ». La « transmission au moyen de techniques de télécommunications » est alors décrite à la let. c. Il s'agit de « l'émission ou la réception d'informations, sur des lignes ou par ondes hertziennes, au moyen de signaux électriques, magnétiques ou optiques ou d'autres signaux électromagnétiques ». Les deux autres versions linguistiques ont un contenu similaire.
Selon le libellé de la loi, un fournisseur de services de télécommunication est donc un fournisseur qui offre l'émission ou la réception d'informations par le biais de lignes ou par ondes hertziennes, au moyen de signaux électriques, magnétiques ou optiques ou d'autres signaux électromagnétiques (cf. arrêt 2C_544/2020 précité consid. 4.2). Il ne ressort ainsi pas du texte de la loi qu'un fournisseur qui n'offre ni directement ni indirectement un accès à Internet et qui n'assume pas non plus de responsabilité envers ses clients pour la transmission d'informations via Internet soit un fournisseur de services de télécommunication. Dans un récent arrêt, le Tribunal fédéral a, en effet, rappelé que la simple introduction d'informations sur un réseau ne doit pas être comprise comme la transmission d'informations pour le compte de tiers au moyen de techniques de télécommunication. Si la simple introduction d'informations suffisait, il ne resterait plus de services qui pourraient être considérés comme des services de communication dérivés (cf. arrêt 2C_544/2020 précité consid. 4.2).
6.3.3 D'un point de vue historique, le Message du Conseil fédéral du 10 juin 1996 concernant la révision de la loi sur les télécommunications, FF 1996 III 1361, précise que les définitions des notions « informations », de « service de télécommunication » et de « transmission au moyen de techniques de télécommunication » étaient surtout importantes au regard du champ d'application de la loi et du régime de la concession. A cet égard, la notion essentielle est celle du transport des informations au moyen de techniques de télécommunication. Le fait que cette opération s'effectue par le biais d'une liaison point à point ou de liaisons commutées n'a aucune importance. En revanche, contrairement à la réglementation précédente, la novelle ne concernait pas le traitement d'informations destinées à être transmises (p. 1381). L'accent était ainsi mis sur le transport d'informations (cf. ég. arrêt 2C_544/2020 précité consid. 5.1.1).
Dans cette logique, le Message LSCPT, FF 2013 2379, précise que les fournisseurs de services de télécommunication s'engagent à transporter, à transmettre lui-même pour le compte d'un tiers, pour le public, au moyen de techniques de télécommunication au sens de l'art. 3 let. c LTC, des informations au sens de l'art. 3 let. a LTC. Constituent ainsi par exemple des fournisseurs de services de télécommunication les grands opérateurs actifs sur le marché suisse, qui permettent aux usagers de téléphoner ou d'accéder à Internet. Il n'en va, en revanche, pas de même des autres fournisseurs Internet, tels que les fournisseurs de services Internet ou les fournisseurs d'hébergement (p. 2403). Les personnes qui ne constituent ni des fournisseurs d'accès à Internet ni, partant, des fournisseurs de services de télécommunication, mais qui jouent un rôle dans le processus de correspondance par télécommunication en particulier par Internet, en fournissant des services qui ne peuvent être offerts qu'en relation avec l'activité d'un fournisseur de services de télécommunication sont désignés comme fournisseurs de services de communication dérivés (p. 2403 s.). Sont visés par-là les fournisseurs de services Internet qui permettent une communication unilatérale, rendant possible le chargement de documents, et ceux qui permettent une communication multilatérale, rendant possible la communication entre usagers ; peu importe si on a affaire à une communication synchrone ou asynchrone. Sont, par exemple, à qualifier comme tels les fournisseurs d'espace de stockage de courriers électroniques, les différents types de fournisseurs d'hébergement qui fournissent, par exemple, un hébergement d'applications ou de services de courriers électroniques, un hébergement de colocation de serveurs, un hébergement sans service de communication ou des services dans le nuage, les plateformes de discussion instantanée (chat), les plateformes d'échange de documents et les fournisseurs de services de téléphonie par Internet du type Peer-to-Peer. Le fait que le service soit crypté ne change rien à ce sujet, en tant que le cryptage ne permet pas à lui seul la communication (p. 2404).
Dans un arrêt du 29 avril 2021, le Tribunal fédéral s'est posé la question de savoir si les circonstances envisagées par le législateur lors de ce processus législatif avaient changé au point qu'il faille en tenir compte dans le cadre de l'interprétation de la notion de fournisseur de services de télécommunication. Le Tribunal fédéral a toutefois retenu qu'il n'y avait pas de place pour une interprétation objective contemporaine de la loi selon laquelle un fournisseur de services de messagerie instantanée et de téléphonie par Internet devait être qualifié de fournisseur de services de télécommunication. Il a retenu qu'une évolution technologique rapide dans le domaine des télécommunications avait déjà pu être observée pendant la procédure législative. Dès lors, il ne saurait être question d'une modification des circonstances par rapport à celles envisagées par le législateur (cf. arrêt 2C_544/2020 précité consid. 5.2.1). Considérant que la technologie derrière l'envoi de courriers électroniques est antérieure au développement des applications de messagerie instantanée et de téléphonie VOIP, on ne saisit pas en quoi il en irait autrement.
Les éléments précités confortent la conclusion selon laquelle des fournisseurs de services de courriers électroniques ne sont pas des fournisseurs de services de télécommunication au sens de l'art. 2 let. b LSCPT et que la simple introduction d'informations sur un réseau ne suffit pas à justifier un statut de fournisseur de services de télécommunications. (cf. ég. arrêt 2C_544/2020 précité consid. 5.1.2).
6.3.4 D'un point de vue systématique, comme considéré (cf. consid. 5), la loi sur les télécommunications a fait l'objet d'une révision entrée en vigueur le 1er janvier 2021. Il ressort du message relatif à cette révision que l'obligation d'annoncer a été supprimée principalement pour assurer l'égalité de traitement entre les fournisseurs de services de télécommunication classiques et les fournisseurs de services over-the-top, qui sont offerts par Internet. Le Conseil fédéral part du principe que seule une interprétation large de la notion de service de télécommunication peut répondre aux besoins actuels des utilisateurs et aux exigences inhérentes au principe juridique de l'égalité de traitement (cf. Message du 6 septembre 2017 concernant la révision de la loi sur les télécommunications [ci-après : Message LTC 2017], FF 2017 6185, p. 6224). Le Conseil fédéral fait ainsi une interprétation plus complète de la notion de fournisseur de services de télécommunication en droit des télécommunications, puisque la notion de services de télécommunication comprend également les services over-the-top dans le cadre de la récente révision de la loi. Cela étant, il a aussi indiqué que la notion de services de télécommunication s'avère maintenant plus large dans la loi sur les télécommunications que lors de l'élaboration de la loi sur la surveillance de la correspondance par poste et télécommunication. Elle inclut notamment les services over-the-top que le message relatif à la loi sur la surveillance de la correspondance par poste et télécommunication considère comme des services de communication dérivés. Afin d'éviter que des obligations actives de renseigner et de surveiller ne soient mises à la charge des fournisseurs de services de communication dérivés du simple fait que leurs activités correspondraient également à des services de télécommunication au sens de la loi sur les télécommunications, la référence à l'art. 3 let. b LTC est supprimée de l'art. 2 let. b LSCPT (cf. Message LTC 2017, FF 2017 6185, p.6282). Si la révision de la loi sur les télécommunications est entrée en vigueur au 1er janvier 2021, la date d'entrée en vigueur de l'art. 2 let. b LSCPT n'a, à ce jour, pas encore été fixée (RO 2020 6159, p. 6177). Il suit de là que le législateur a souhaité certes étendre la notion de fournisseurs de services de télécommunication dans le régime de la nouvelle loi sur les télécommunications. Toutefois, il n'a pas souhaité que cette extension soit répercutée en matière de surveillance de la correspondance par poste et télécommunication. Il y a lieu de comprendre de là que, dans le régime antérieur - applicable, on l'a vu, en l'espèce (cf. supra consid. 5.2) - la notion de fournisseur de services de télécommunication ne comprenait pas celle de fournisseurs de services over-the-top.
On peut également souligner que, dans un arrêt de la Cour de justice des Communautés européennes, il a été retenu que les fournisseurs de services de courriers électroniques, tel que « Gmail », effectuent une transmission de signaux, mais que cette transmission de signaux n'est pas suffisante pour que les activités exercées par Google afin d'assurer le fonctionnement de son service Gmail soient considérées comme un service de télécommunication au sens de la directive 2002/20/CE du Parlement européen et du Conseil du 7 mars 2002 relative à l'autorisation de réseaux et de services de communications électroniques (JO 2002 L 108, p. 21) (cf. arrêt de la CJCE C-193/18 du 13 juin 2019 ch. 26 ss).
6.3.5 D'un point de vue téléologie, l'objectif principal de la surveillance du trafic postal et des télécommunications est de lutter contre la criminalité et d'enquêter sur les infractions pénales. Selon le Message LSCPT, FF 2013 2379, l'objectif principal de la révision totale était de permettre la surveillance de personnes fortement soupçonnées d'avoir commis une infraction grave (p. 2385). La loi a ainsi été adaptée à l'évolution technologique et, dans la mesure du possible, aux développements futurs prévisibles en la matière (p. 2381). A cette fin, le champ d'application personnel de la loi a notamment été élargi aux fournisseurs de services de communication dérivés (cf. arrêt 2C_544/2020 précité consid. 5.3 ; arrêt A550/2019 précité consid. 4.5.1). On ne saurait toutefois en déduire que la notion de prestataire de services de télécommunication englobe les prestataires de services de courriers électroniques, comme le suggère l'autorité inférieure. Bien au contraire, il ressort de la distinction voulue par le législateur que ce dernier était conscient que des lacunes en matière de surveillance de la correspondance pouvait apparaître ou subsister malgré l'extension du champ d'application personnel de la loi aux fournisseurs de services de communication dérivés (cf. BO E 2014 p. 117 ; ég. arrêt 2C_544/2020 précité consid. 5.3). C'est pourquoi les art. 22 al. 4 et 27 al. 3 LSCPT permettent au Conseil fédéral de soumettre une partie des fournisseurs de services de communication dérivés offrant des services d'une grande importance économique ou à un grand nombre d'utilisateurs à tout ou partie des obligations en matière de surveillance applicables aux fournisseurs de services de télécommunication. En contrepartie, le Conseil fédéral peut également dispenser des fournisseurs de services de télécommunication de certaines obligations légales, en particulier ceux qui offrent des services de télécommunication de faible importance économique ou dans le domaine de l'éducation (art. 26 al. 4 LSCPT). La possibilité pour le Conseil fédéral - concrétisée dans l'ordonnance - de soumettre certains fournisseurs de services de télécommunication à des obligations restreintes et certains fournisseurs de services de communication dérivés à des obligations étendues concrétise le principe de la proportionnalité et permet de tenir compte des lacunes qui pourraient survenir en matière de surveillance de la correspondance (cf. arrêt A-550/2019 précité consid. 4.5.2 et 4.5.3).
Il suit de là qu'en raison de la possibilité pour le Conseil fédéral de soumettre certains fournisseurs de services de communication dérivés à des obligations étendues ne justifie pas, pour atteindre les buts de la loi, d'étendre la notion de fournisseurs de services de télécommunication comme le souhaiterait l'autorité inférieure.
6.3.6 En conclusion, il y a lieu de retenir qu'un fournisseur qui n'offre ni directement ni indirectement un accès à Internet et qui n'assume pas non plus de responsabilité envers ses clients pour la transmission d'informations via Internet n'est pas un fournisseur de services de télécommunication au sens de l'art. 2 LSCPT. La simple introduction d'informations sur un réseau ne peut pas être comprise comme la transmission d'informations pour le compte de tiers au moyen de techniques de télécommunication. Ainsi, les fournisseurs de services Internet ou les fournisseurs d'hébergement ou les personnes qui ne constituent pas des fournisseurs d'accès, mais qui jouent un rôle dans le processus de correspondance par télécommunication en particulier par Internet, en fournissant des services qui ne peuvent être offerts que parce que l'usager dispose d'un accès au réseau par le biais d'un fournisseur de services de télécommunication sont désignés comme fournisseurs de services de communication dérivés. Il s'agit notamment des fournisseurs d'espace de stockage de courriers électroniques ainsi que d'hébergement d'applications ou de services de courriers électroniques.
6.4 En l'espèce, la recourante offre notamment les services [...]Mail et [...]VPN. Ces deux services ont, comme considéré, fait l'objet de la décision attaquée (cf. supra consid. 4.4) et la recourante se voit imposer des obligations de surveillance pour chacun d'eux.
6.4.1 La recourante décrit son service [...]Mail comme un service de message électronique sécurisé avec un chiffrement de bout en bout intégré et des fonctionnalités de sécurité à la pointe de la technologie (cf. www.[...].com à propos, consulté le 13 octobre 2021). Les messages sont stockés sur les serveurs de [...]Mail dans un format chiffré. Ils sont aussi transmis dans un format chiffré entre les serveurs et les appareils de l'utilisateur. Les messages entre les utilisateurs de [...]Mail sont également transmis sous forme chiffrée dans le réseau. L'architecture « zéro accès » de [...]Mail signifie que les données sont chiffrées de manière à les rendre inaccessibles pour la recourante. Les données sont chiffrées côté client à l'aide d'une clé de chiffrement à laquelle elle n'a pas accès (cf. www.[...].com sécurité, consulté le 13 octobre 2021). L'autorité inférieure ne prétend pas que la recourante offrirait un accès à Internet ou qu'elle assumerait une responsabilité envers ses clients pour la transmission d'informations via Internet. Les clients de [...]Mail doivent ainsi recourir à un fournisseur de services de télécommunication tiers afin d'avoir l'accès à Internet (fixe ou mobile) nécessaire au transport de l'information. Dans cette situation, le service [...]Mail est un service over-the-top, c'est-à-dire un service fourni via Internet, mais qui ne constitue pas lui-même un service d'accès à Internet.
Ainsi, le service [...]Mail relève bel et bien des services de communication dérivés au sens de l'art. 2 LSCPT et non des services de télécommunications. Le fait que le service soit crypté de bout en bout ne change rien à ce sujet.
Le recours doit par conséquent être admis sur ce point.
6.4.2 Quant au service [...]VPN, force est d'admettre que l'autorité inférieure se montre quelque peu lacunaire. Ni la décision attaquée, ni les différentes prises de position ne développent l'étendue du service proposé par la recourante. La recourante ne développe pas non plus ce point.
Il est toutefois notoire qu'un réseau virtuel privé (Virtual Private Network ou VPN) est un système permettant de créer un lien direct entre des ordinateurs distants, qui isole leurs échanges du reste du trafic se déroulant sur des réseaux de télécommunication publics. Autrement dit, le fournisseur de services de télécommunication qui fournit à l'usager un accès Internet ne voit pas l'usage qui en est fait lorsqu'un VPN est employé. Si l'on imagine le réseau mis en place par un fournisseur de services de télécommunication comme un tunnel, le VPN constitue un second tunnel à l'intérieur de celui-ci qui relie directement l'usager au destinataire de l'information. Si l'utilisation d'un VPN nécessite, a priori, un accès Internet pour fonctionner et présente ainsi certaines caractéristiques d'un service de communication dérivé, il n'en demeure pas moins qu'il porte sur le transfert de l'entier des informations entre l'utilisateur et le destinataire. On ne peut ainsi ignorer qu'il présente aussi certaines caractéristiques propres aux fournisseurs de service de télécommunications.
Ceci étant, force est bien d'admettre, sur ce point, que la décision attaquée n'a pas tranché cette question et que l'autorité inférieure ne s'est pas attardée sur les services VPN proposés par la recourante, de sorte que le Tribunal ne peut, en pleine connaissance de cause, effectuer son contrôle. Il s'agissait là pourtant d'une question décisive pour l'issue du litige.
S'agissant du service [...]Mail, elle devra déterminer si la recourante - en tant que fournisseur de services de communication dérivés - est nonobstant soumise à des obligations de surveillance étendues en matière de surveillance. Elle devra également déterminer, s'agissant du service [...]VPN, si celui-ci relève des services de télécommunication au sens de l'art. 2 LSCPT ou s'il s'agit d'un service de communication dérivé et, le cas échéant, dire si la recourante est soumise à des obligations restreintes ou étendues.
Ce n'est que de cette façon que l'instance de recours pourra, le cas échéant, et sans limiter le nombre d'instances de recours, exercer son contrôle (cf. supra consid. 2.4).
Le recours étant admis et la cause renvoyée à l'autorité inférieure, les autres griefs soulevés par la recourante peuvent souffrir de demeurer ouverts.
Reste encore à revenir sur les réquisitions de preuve de la recourante.
9.1 Selon l'art. 33 PA, l'autorité admet les moyens de preuve offerts par la partie s'ils paraissent propres à élucider les faits. Par ailleurs, tel qu'il est garanti à l'art. 29 al. 2 de la Constitution fédérale de la Confédération suisse du 18 avril 1999 (Cst., RS 101), le droit d'être entendu comprend notamment le droit pour l'intéressé de produire des preuves pertinentes et d'obtenir qu'il soit donné suite à ses offres de preuves pertinentes (cf. ATF 136 I 265 consid. 3.2, 135 II 286 consid. 5.1 et 129 II 497 consid. 2.2).
A cet effet, il y a lieu de rappeler que l'autorité peut cependant renoncer à procéder à des mesures d'instruction lorsque les preuves administrées lui ont permis de former sa conviction et que, procédant d'une manière non-arbitraire à une appréciation anticipée des preuves qui lui sont encore proposées, elle a la certitude que ces dernières ne pourraient l'amener à modifier son opinion (cf. ATF 136 I 229 consid. 5.3, 130 II 425 consid. 2.1, 125 I 127 consid. 6c/cc in fine et 124 I 208 consid. 4a).
9.2 S'il était ainsi loisible à la recourante de penser que ses dernières observations n'étaient pas finales, le Tribunal rappelle qu'il ne lui appartient pas de diriger la procédure et encore moins de décider des mesures d'instruction qui doivent ou non être ordonnées. C'est là la conséquence de l'art. 12 PA.
Sur le vu de ce qui précède et compte tenu de l'issue du recours, il y a donc formellement lieu de rejeter les réquisitions de preuve de la recourante.
Vu l'issue du litige, il n'y a pas lieu de percevoir de frais de procédure. L'avance de frais de 2'000 francs, prestée par la recourante le 10 novembre 2020, lui sera restituée dès l'entrée en force du présent arrêt.
La recourante, qui obtient gain de cause, est représentée par deux mandataires professionnels. Elle n'a toutefois pas remis de décompte et les griefs conduisant à l'admission du recours ne constituent qu'une petite partie des écritures déposées par la recourante. Quant aux autres griefs formulés par la recourante, ils constituaient, a priori, davantage en un plaidoyer en faveur d'un contrôle constitutionnel abstrait des lois fédérales par les tribunaux fédéraux que de véritables griefs recevables. Partant, il se justifie d'octroyer à la recourante, ex aequo et bono, une indemnité de 1'500 francs à titre de dépens et de mettre celle-ci à la charge de l'autorité inférieure.
Le recours est admis. Partant, la décision de l'autorité inférieure du 28 septembre 2020 est annulée.
La cause est renvoyée à l'autorité inférieure pour nouvelle décision au sens des considérants.
Il n'est pas perçu de frais de procédure. Partant, l'avance de frais de 2'000 francs déjà prestée par la recourante lui sera restituée dès l'entrée en force du présent arrêt.
Une indemnité de 1'500 francs est allouée à la recourante à titre de dépens et mis à la charge de l'autorité inférieure.
Le présent arrêt est adressé :
à la recourante (acte judiciaire ; annexe : formulaire « adresse de paiement »)
à l'autorité inférieure (acte judiciaire)
au Département fédéral de justice et police DFJP (acte judiciaire)
L'indication des voies de droit se trouve à la page suivante.
La présidente du collège : Le greffier : Claudia Pasqualetto Péquignot Julien Delaye
Indication des voies de droit :
La présente décision peut être attaquée devant le Tribunal fédéral, 1000 Lausanne 14, par la voie du recours en matière de droit public, dans les trente jours qui suivent la notification (art. 82 ss, 90 ss et 100 LTF). Ce délai est réputé observé si les mémoires sont remis au plus tard le dernier jour du délai, soit au Tribunal fédéral soit, à l'attention de ce dernier, à La Poste Suisse ou à une représentation diplomatique ou consulaire suisse (art. 48 al. 1 LTF). Le mémoire doit être rédigé dans une langue officielle, indiquer les conclusions, les motifs et les moyens de preuve, et être signé. La décision attaquée et les moyens de preuve doivent être joints au mémoire, pour autant qu'ils soient en mains de la partie recourante (art. 42 LTF).
Expédition :