Voici comment annoncer une violation de données personnelles en Suisse

Le nouveau guide du PFPDT clarifie dans les obligations légales en matière de notification des violations de sécurité des données en Suisse.

Contexte et enjeux du guide

Le 7 février 2025, le Préposé fédéral à la protection des données et à la transparence (PFPDT, ou EDÖB en allemand) a publié un guide détaillant les obligations légales en matière de notification des violations de la sécurité des données. Ce document a pour objectif d’accompagner les entreprises et organisations dans l’application de l’article 24 de la Loi sur la protection des données (LPD) suisse.

Ce cadre réglementaire impose aux responsables du traitement de signaler les incidents susceptibles d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. La publication de ce guide intervient dans un contexte où les violations de données sont de plus en plus fréquentes, nécessitant une réponse structurée et rapide pour protéger les personnes impactées.

Définition d’une violation de la sécurité des données

L’article 5, lettre h, de la LPD définit une violation de la sécurité des données comme la perte, la destruction, la modification accidentelle ou illicite, ainsi que la divulgation ou l’accès non autorisé à des données personnelles.

L'essentiel Cybersécurité, IA & Tech

Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.

Ou suivez le flux temps réel

Toutefois, certaines atteintes ne relèvent pas du champ d’application de l’article 24 LPD, notamment lorsque les violations concernent uniquement des secrets commerciaux, des informations confidentielles ne contenant pas de données personnelles, ou encore des données relatives à des personnes décédées.

Le guide du PFPDT vise à préciser les critères d’évaluation du risque et les obligations des responsables du traitement en cas d’incident, notamment en matière de notification à l’autorité et d’information aux personnes concernées.

Évaluation du risque élevé et critères de gravité

Le guide met l’accent sur la notion de risque vraisemblablement élevé, qui conditionne l’obligation de notification auprès du PFPDT. Cette évaluation repose sur plusieurs critères :

La nature des données compromises : Les informations sensibles, telles que les données de santé, biométriques ou financières, sont plus à risque. Toutefois, même des données non sensibles peuvent nécessiter une notification, par exemple en cas de vol de pièces d’identité ou d’accès frauduleux à des comptes personnels.
Le contexte de l’incident : Une fuite résultant d’une erreur technique est moins préoccupante qu’une publication malveillante sur le darknet. La diffusion massive de données confidentielles accroît le risque.
Les conséquences potentielles pour les individus : Usurpation d’identité, fraude bancaire, chantage, discrimination… Plus le risque d’un préjudice est élevé, plus l’obligation de signalement devient impérieuse.
Le volume et la durée d’exposition des données : Une violation impliquant de nombreux individus peut justifier une notification, même en l’absence de dommages immédiats.
La vulnérabilité des personnes concernées : Si les victimes sont des mineurs ou des personnes en situation de handicap, l’impact de la violation est d’autant plus grave.

Obligations de notification au PFPDT

Si l’incident présente un risque élevé, l’entreprise doit annoncer la violation au PFPDT dans les meilleurs délais via le portail d’annonce officiel (databreach.edoeb.admin.ch).

Cette notification doit inclure :

Une description détaillée de l’incident (moment, durée, étendue, nature des données impliquées).
Une analyse des risques et des conséquences potentielles pour les personnes concernées.
Les mesures déjà prises ou prévues pour limiter l’impact.
Les contacts pour un suivi avec l’autorité.

Information des personnes concernées

Les entreprises doivent informer les individus concernés si cela est nécessaire à leur protection ou si le PFPDT l’ordonne. Cette obligation est distincte de l’annonce faite à l’autorité et peut être requise même si le risque global est faible.

Critères d’information des personnes concernées

Une information individuelle doit être délivrée aux personnes affectées si :

Elles doivent prendre des mesures pour se protéger (exemple : changer leurs identifiants, bloquer une carte bancaire, surveiller des tentatives de fraude).
L’incident risque de causer des inquiétudes importantes et une communication proactive permet d’atténuer la situation.
L’impact touche un grand nombre de personnes ou suscite un intérêt médiatique, justifiant une transparence accrue.

Sanctions et conséquences en cas de non-conformité

Le PFPDT peut exiger qu’une entreprise corrige un manquement et prendre des mesures administratives. Une mauvaise gestion d’une fuite de données peut causer d’importants dommages à la réputation d’une organisation et nuire à la confiance de ses clients et partenaires.