Le TAF a rejeté un recours contre une décision du PFPDT et confirmé l’injonction d’informer les personnes concernées (arrêt A‑3790/2024 du 8 avril 2026). Il critique toutefois sévèrement la conduite de la procédure par le PFPDT en ce sens qu’il violations graves du droit d’être entendu ou violation de l’obligation de l’autorité de motiver sa décision reconnaît.
En l’occurrence, il s’agissait de Obligation d’informer les personnes concernées d’une violation de la sécurité des données (le Blick a rapporté):
- SkySale Schweiz (représenté ici par Me Martin Steiger) exploite la boutique en ligne apfelkiste.ch. Pour traiter les cas d’assistance, Apfelkiste utilise des URL spécifiques au client avec une valeur de hachage impossible à deviner (apparemment parce que Apfelkiste autorise les commandes d’invités).
- Ces URL se sont retrouvées dans l’index des moteurs de recherche, surtout Bing. Les données de contact, le contenu des communications, les données bancaires (IBAN) et d’autres données ont ainsi été divulguées. Pendant environ huit mois, au moins 19 000 cas ont été concernés.
- Après avoir été informé par une tierce personne, Apfelkiste a signalé l’incident au PFPDT et a pris des mesures, notamment en bloquant le crawler de Bing et en redirigeant les URL concernées vers une autre page d’atterrissage.
Apfelkiste avait renoncé à informer les personnes concernées. Après une enquête, le PFPDT a ordonné l’information des personnes concernées. Comme il s’était également exprimé dans la décision sur les exceptions ou la publication, il n’était pas clair ce qui était concrètement demandé à Apfelkiste. Le TAF a néanmoins rejeté le recours de Apfelkiste, même si c’est avec des pincements au ventre évidents.
Ordonner l’information des personnes concernées
Après avoir échangé une correspondance avec le PFPDT, Apfelkiste n’a pas informé les clients concernés, ce qui a amené le PFPDT à ordonner une telle information :
[…], SkySale Schweiz GmbH a fait savoir au PFPDT qu’elle ne jugeait pas nécessaire d’informer les personnes concernées. Les mesures qu’elle a prises ont été efficaces. Il n’y a pas eu de on ne voit pas quelles mesures supplémentaires seraient ouvertes aux personnes concernées pour réduire les risques […] en plus des mesures qu’elle a elle-même prises. En outre, l’information des personnes concernées n’est pas possible ou ne peut être mise en œuvre qu’au prix d’efforts disproportionnés.
Le TAF reproduit le dispositif de la décision comme suit :
Par décision du 28 mai 2024, le PFPDT a obligé SkySale Schweiz GmbH à informer les personnes concernées par la […] violation de la sécurité des données dans un délai de 10 jours à compter de l’entrée en force de la décision (chiffre 1). Le PFPDT a indiqué que le type et le contenu de l’information devaient être conformes aux prescriptions de la législation sur la protection des données (chiffre 2). En outre, les personnes physiques responsables du respect de la décision […] ont été expressément informées que la décision était rendue sous la menace d’une amende conformément à la loi sur la protection des données (chiffre 3). Enfin, un émolument d’un montant total de 2’850 francs a été imposé à SkySale Schweiz GmbH (chiffre 4).
Questions de procédure
Cette décision a été rendue après une enquête correspondante (ce qui devrait être la règle, mais qui, selon l’avis de Str. L’avis n’est pas toujours obligatoire). L’information des personnes concernées n’a toutefois pas été ordonnée à titre préventif, ce qui aurait en principe été possible (art. 55 al. 2 PA) :
Par décision du 28 mai 2024, le PFPDT a obligé SkySale Schweiz GmbH à informer les personnes concernées […] de la violation de la sécurité des données. dans les 10 jours à compter de l’entrée en force de la décision […]. Le PFPDT a indiqué que le type et le contenu de l’information devaient être conformes à la législation sur la protection des données (chiffre 2). […]
Il a également été reproché une insuffisance Établissement des faits. Jusqu’à présent, la décision elle-même n’est pas disponible pour le public, ce qui ne va pas de soi : le PFPDT a malheureusement une conception très généreuse de l’information du public autorisée par l’art. 57, al. 2 LPD. En conséquence, il n’est pas possible de vérifier les griefs de Apfelkiste concernant les faits – mais le fait que les décisions ne traitent les faits que de manière lacunaire ou imprécise correspond en tout cas à une certaine expérience. Le TAF peut et doit en tout cas établir lui-même les faits :
Le Tribunal administratif fédéral statue en principe avec un pouvoir de cognition illimité ; il examine la décision attaquée sous l’angle des violations du droit – y compris la constatation inexacte et incomplète des faits pertinents et les erreurs de droit dans l’exercice du pouvoir d’appréciation – ainsi que sous l’angle de l’adéquation (art. 49 PA). Le Tribunal administratif fédéral établit ensuite d’office les faits pertinents, sous réserve de l’obligation de collaborer des parties […].
Du droit à la droit d’être entendu il en résulte en outre un droit des parties à ce que leurs arguments soient pris en compte. La question de savoir si cela avait été fait dans le cas présent a été contestée devant le TAF, car une prise de position n’avait pas été mentionnée dans la décision, ou en tout cas pas expressément. Selon le TAF, le PFPDT n’est pas non plus tenu de le faire – il suffit que les prises de position soient versées au dossier, du moins si le déroulement de la procédure permet de constater que la prise de position a été prise en compte et de quelle manière (ici par une adaptation de la décision).
Le TAF fixe également des exigences assez basses en ce qui concerne la profondeur de la motivation de la décision : Le fait que le PFPDT ait considéré le phishing comme un danger pour les personnes concernées n’a pas dû être motivé plus précisément. Sur un point, le TAF rejette toutefois la motivation de la décision – le PFPDT a Le droit de Apfelkiste à une motivation compréhensible „gravement“ violé.
Ce jugement doit avoir valeur de signal sur ce point. On peut constater qu’autrefois les examens des faits, et aujourd’hui les enquêtes, traitent parfois les faits de manière très libérale et que les motivations du PFPDT peuvent être très succinctes, couper les cheveux en quatre, un peu aérées ou même contradictoires.
Donc, „grave“, et ce, tant dans la motivation que dans le dispositif :
Dans la décision attaquée, l’instance inférieure constate d’une part qu’une information des personnes concernées n’est pas impossible, mais qu’elle est disproportionnée. En même temps, elle indique que l’art. 24, al. 5, let. c LPD, respectivement la communication publique, peut s’appliquer dans le présent cas de figure. La décision attaquée ne contient pas d’autres explications. Elle n’aborde pas du tout la question de la publication. D’autre part, elle indique qu’aucun motif n’a été démontré qui justifierait une restriction de l’information des personnes concernées. Dans le dispositif, l’instance inférieure oblige ensuite la recourante à informer les personnes concernées, sans toutefois le préciser. En qualifiant l’information individuelle de disproportionnée, mais en décrétant en même temps l’obligation d’informer les personnes concernées sans différenciation claire, respectivement sans explication, la décision attaquée est Décision incompréhensible et donc insuffisamment motivée. Par conséquent, l’instance inférieure a Violation grave du droit de la plaignante à une motivation compréhensible et concluante de la décision.
En outre, le PFPDT a pris connaissance d’autres explications de Apfelkiste concernant le Faits „non pris en compte ou pris en compte seulement en partie“.“ – il s’agissait de détails techniques des URL concernées et de leur indexation, qui n’étaient bien sûr pas des détails, mais qui étaient essentiels dans l’évaluation des risques pour les personnes concernées :
En résumé, on peut retenir que l’instance inférieure n’a pas pris en compte, ou seulement partiellement, les explications de la recourante sur les faits dans la décision attaquée.
En outre, plusieurs déclarations imprécises ont été reprochées au PFPDT. – Les juges* administratifs fédéraux ont dû se gratter la tête en lisant la décision. Néanmoins, le TAF renonce à annuler la décision. Certes, le droit d’être entendu est de nature formelle. Comme le TAF statue avec un plein pouvoir de cognition et qu’un renvoi serait un passage à vide, il statue lui-même. Mais tout de même : il impose au PFPDT, bien qu’il ait obtenu gain de cause, une indemnité de partie de 500 CHF. et réduit les frais de justice, car le PFPDT a violé le droit d’être entendu et l’obligation des autorités de motiver leurs décisions.
Violation de la sécurité des données
Le TAF confirme tout d’abord qu’il y a eu une violation de la sécurité des données au sens de l’art. 5, let. h LPD. Il décrit la notion de violation de la sécurité des données de la manière suivante :
La violation de la sécurité des données peut également être décrite comme un «incident non planifié ayant une incidence sur la sécurité», qui entraîne une atteinte à un ou plusieurs objectifs de protection de la sécurité des données. Trois objectifs de protection sont déterminants à cet égard : Confidentialité (les données ne sont accessibles qu’aux personnes autorisées), Disponibilité (les données sont disponibles lorsqu’elles sont nécessaires) et Intégrité (les données ne sont pas modifiées de manière non autorisée ou involontaire). En d’autres termes, il y a violation de la sécurité des données lorsque au moins un de ces trois aspects est compromis involontairement ou illégalement est en cours. En principe, il doit de manière efficace à un tel préjudice ou l’auraient été. La confidentialité est de toute façon déjà considérée comme compromise dès lors que le simple fait de parler de la situation est considéré comme une violation de la loi. Possibilité que des données personnelles sont accessibles à des personnes non autorisées ; le fait qu’un tel accès ait effectivement lieu ou ait eu lieu n’est pas pertinent. Une violation de la sécurité des données peut notamment s’accompagner d’un préjudice durable et d’une véritable atteinte à la personnalité, dans la mesure où la personne concernée perd le contrôle de ses données ou que celles-ci sont utilisées de manière abusive ou divulguées à des personnes non autorisées. La question de savoir si une violation de la sécurité des données s’est produite doit être examinée indépendamment du fait qu’elle ait été provoquée de manière fautive ou illicite. Dans ce contexte, les risques liés à la violation ne sont pas non plus pris en compte. La violation de la sécurité des données peut être causée aussi bien par des tiers que par le responsable du traitement ou le sous-traitant lui-même […].
C’est certainement une définition pertinente. Le fait qu’un accès ait eu lieu n’est pas déterminant pour la notion de violation de la sécurité, mais bien pour l’évaluation des risques.
Il était clair que la sécurité des données personnelles avait été violée en l’occurrence et, pour autant que l’on puisse en juger, ce fait n’était pas contesté dans son principe :
Il ressort du dossier que des URL RMA de cas d’assistance de l’intimé ont été Index du moteur de recherche Bing de Microsoft et donc, depuis juin 2023 environ, des données clients ou des données personnelles selon l’art. 5, let. a LPD, à savoir des données de contact (noms, adresses e‑mail, adresses postales), des contenus de communication (de l’échange entre le client et «apfelkiste.ch» pour le support), des données bancaires (IBAN) ainsi que des données d’images (photos des produits achetés) et des codes de bons d’achat. ont été divulgués/accédés à des personnes non autorisées ou la possibilité que des données personnelles soient accessibles à des personnes non autorisées. L’objectif de protection de la confidentialité a donc été compromis, indépendamment du fait qu’un tel accès ait effectivement eu lieu ou non.
Pour l’évaluation des risques
Il est remarquable et juste que le TAF ait constaté que la le nombre de personnes concernées ne joue en principe aucun rôle pour la question de savoir si une violation de la sécurité déclenche un „besoin de protection“ des personnes concernées, c’est-à-dire le besoin de mesures de réduction des risques :
Le fait que seule une petite partie des URL RMA soit concernée et qu’au maximum et non au minimum 19 000 URL ou clients soient concernés ne change rien à l’appréciation de l’existence d’un besoin de protection. Le site Le besoin de protection se rapporte à la clientèle individuelle concernée par la violation de la protection des données. et consiste à pouvoir prendre les mesures nécessaires pour réduire les risques pour leur personnalité ou leurs droits fondamentaux. Ces mesures ne dépendent donc pas du nombre d’URL RMA ou de clients concernés.
Cela est vrai parce que le droit à la protection de la personnalité ou des droits fondamentaux est un droit individuel et que les individus ne peuvent pas être moins bien protégés simplement parce que le nombre d’autres personnes concernées est faible. Mais le nombre de personnes concernées peut Probabilité d’occurrence d’événements dommageables, ce qui peut ou doit être pris en compte lors d’une évaluation des risques. Cela aussi découle de l’arrêt du TAF :
Même si le risque d’abus augmente en principe avec le nombre de personnes qui ont accès (sans autorisation) aux données personnelles, il s’agit en l’occurrence d’un cercle de clients non négligeable (environ 19 000 personnes). Un abus de données ne peut pas être exclu ; il existe plutôt un risque pertinent pour la personnalité et les droits fondamentaux des personnes concernées.
La caisse de pommes avait, après avoir pris connaissance de la violation Mesures qui rendaient l’accès difficile ou impossible aux personnes non autorisées. Mais cela n’était pas suffisant, car trop tardif :
En outre, il n’est pas exclu que les données précédemment divulguées aient déjà été consultées, stockées ou traitées ultérieurement. En conséquence, même après la restriction d’accès a posteriori, il existe toujours un risque pertinent d’utilisation abusive des données, raison pour laquelle le besoin de protection des personnes concernées persiste.
C’est peut-être vrai, mais le TAF simplifie trop les choses. Il ne joue aucun rôle dans l’évaluation des risques peu importe que les personnes concernées se soient manifestées ou que des conséquences négatives soient connues. sont
La motivation de la plaignante, selon laquelle il n’y avait aucun signe que les conséquences possibles pour la clientèle concernée se seraient effectivement manifestées, n’est pas convaincante. Il en va de même pour l’objection selon laquelle il n’y avait pas de probabilité d’occurrence pertinente et que, contrairement aux attentes initiales, celle-ci s’est révélée faible, […]. […]
Le fait que – pour autant que l’on sache – aucune conséquence concrète ne se soit produite jusqu’à présent ne permet pas de conclure que le risque devrait être considéré comme faible. De même, on ne peut pas suivre la plaignante lorsqu’elle fait dépendre la probabilité de survenance d’un dommage du fait que la clientèle concernée se soit manifestée ou non.
C’est faux dans la mesure où cela dénie toute pertinence aux conséquences connues. En présence d’un grand nombre de personnes concernées et d’une longue durée, le fait que personne ne se soit manifesté et qu’aucune conséquence négative ne se soit apparemment produite permet de conclure que la probabilité de survenance de conséquences négatives est un peu plus faible que ce que l’on pourrait supposer autrement. Apparemment, les données concernées n’ont pas été systématiquement récupérées, vendues sur le darknet et utilisées pour une campagne d’hameçonnage – ce qui n’est pas sans importance, même si cela ne prouve évidemment pas un risque zéro.
Sur l’obligation de notification aux personnes concernées
Le PFPDT avait apparemment justifié de manière assez générale l’obligation de communiquer la violation aux personnes concernées par le fait qu’il pouvait y avoir du phishing :
L’information [selon le PFPDT] permet aux personnes concernées d’exercer un contrôle sur l’utilisation de leurs données. Elle explique que dans sa communication du 16 février 2024, la plaignante a mentionné l’usurpation d’identité et un préjudice financier comme conséquences possibles pour les personnes concernées. Souvent, des jeux de données issus de violations de la sécurité des données seraient utilisés pour les attaques de phishing décrites dans la décision attaquée. L’instance inférieure reproche en outre à la recourante de faire valoir qu’un effet de réduction des risques ne peut plus être attendu en raison de l’écoulement du temps, alors qu’elle a elle-même provoqué un retard dans l’information. Selon elle, cet argument vide de sa substance l’obligation d’informer.
La question qui se posait devant le TAF était de savoir si l’information des personnes concernées permettait d’éviter ou de réduire les risques, ce qui est notamment le cas lorsque la personne concernée est elle-même en mesure de prendre certaines mesures pour se protéger. Le TAF dit ici, en passant, quelque chose de bienvenu :
Le PFPDT ne peut demander l’information que si cela est nécessaire à la protection de la personne concernée
Le PFPDT lui-même avait, dans son Guide des violations de la sécurité affirme qu’il peut aussi ordonner une information des personnes concernées parce que les gens aiment la lire :
[…] également parce qu’il estime qu’en raison du grand nombre de personnes concernées ou d’une couverture médiatique, il existe un intérêt public à ce que les responsables fournissent de manière appropriée au grand nombre de personnes concernées, et donc indirectement aussi à un large public, des informations plus détaillées sur les conséquences d’une violation de la sécurité des données.
Cela ne devrait plus être d’actualité.
Le TAF admet cependant ici une obligation d’informer les personnes concernées de l’incident, car le le risque d’hameçonnage, d’ingénierie sociale, d’usurpation d’identité ou de retrait d’argent existe et peut être réduit par les personnes concernées pourrait :
Dans le cas présent, diverses données personnelles sont concernées par la violation de la sécurité des données. En combinaison avec l’IBAN, le nom et l’adresse d’une personne, il est notamment possible d’accéder à ses données personnelles. fraude à l’identité ou à l’ingénierie sociale être commises. On pourrait aussi, par exemple, utiliser un de prélèvement automatique peuvent être prises. Les mesures que la personne concernée peut prendre elle-même sont par exemple la modification des données d’accès ou des mots de passe des comptes d’utilisateurs, l’examen des extraits de compte, l’examen critique des messages et des demandes qui pourraient avoir été fabriqués avec des données personnelles obtenues de manière illicite (particulièrement confidentielles) et qui pourraient servir à des fins de hameçonnage […] La personne concernée pourrait par exemple prendre ces mesures ou Information de sa propre banque et le Limiter ou bloquer le prélèvement automatique de la personne concernée. Il y a donc un besoin de protection des personnes concernées, raison pour laquelle l’information des personnes concernées s’avère nécessaire.
Que depuis la blessure un certain temps s’est écoulé n’y a rien changé – en général, le temps ne semble pas jouer de rôle dans les blessures comme celles que nous avons subies :
L’argument avancé par la plaignante selon lequel en raison de l’écoulement du temps, il ne faut plus s’attendre à un effet de réduction des risques n’est pas valable. Le temps écoulé depuis la violation de la protection des données n’exclut pas une utilisation abusive des données concernées. Les données personnelles peuvent, après une divulgation non autorisée être enregistrées, copiées et réutilisées ultérieurement ou transmises à tout moment. de l’information. Un abus peut donc se produire longtemps après la divulgation non autorisée ou la violation de la protection des données. L’écoulement du temps ne permet donc pas de conclure de manière fiable que les données concernées ne sont pas (ou plus) utilisées de manière abusive et qu’il ne faut plus s’attendre à un effet de réduction des risques. Par conséquent, le risque d’une utilisation abusive des données – et donc le besoin de protection des personnes concernées – subsiste indépendamment du temps écoulé depuis la violation de la protection des données.
Exceptions à l’obligation d’information
Selon l’art. 24 al. 5 LPD, le responsable peut notamment limiter, différer ou renoncer à informer la personne concernée si l’information est impossible ou exige des efforts disproportionnés.
„Impossible“ mais ne signifie pas „difficile“ ni „je ne sais pas quelle partie de ma clientèle est concernée“ :
En outre, une limitation de la notification à la personne concernée selon l’art. 24, al. 5, let. b, LPD est tout d’abord envisageable lorsqu’une information est impossible. C’est notamment le cas lorsque le responsable ne sait pas du tout quelles personnes sont concernées par la violation de la sécurité des données, ce qui peut être dû par exemple au fait que les fichiers journaux qui le permettraient ne sont plus disponibles. L’information est également impossible lorsqu’il est possible d’identifier les personnes concernées, mais que leurs coordonnées ne sont pas connues. Toutefois, le responsable ne peut pas se soustraire à l’obligation de déclarer en arguant qu’il ne sait pas exactement à quelles personnes de sa clientèle les données ont été volées. Dans de tels cas de figure, une déclaration «excessive» s’impose., Le responsable du traitement doit également informer les personnes (et leur demander par exemple de modifier leur mot de passe) qui ne sont peut-être pas concernées par la violation de la sécurité des données. […]
Dans le cas présent, une information était apparemment impossible, car Apfelkiste a fait bloquer toutes les URL potentiellement concernées par Bing comme mesure de protection. Cela rendait techniquement impossible l’information de la clientèle concernée. Le jugement n’indique pas clairement si c’est effectivement le cas, apparemment pas non plus le TAF, mais cela n’a pas joué de rôle :
Une restriction au sens de l’art. 24, al. 5, let. b, LPD est également possible si l’information a un effort disproportionné nécessite un effort particulier. C’est le cas, par exemple, lorsqu’un grand nombre de personnes concernées doivent être informées individuellement et que les coûts qui en résultent sont disproportionnés par rapport au gain d’informations pour chaque personne. Il faut également penser au cas où les coordonnées d’un grand nombre de personnes concernées sont difficiles à obtenir ou nécessitent de longues recherches, de sorte que la communication ne pourrait avoir lieu qu’à un moment où il est déjà trop tard pour que les personnes concernées prennent des contre-mesures, notamment parce que le risque s’est réalisé entre-temps […].
En l’espèce, une identification des personnes concernées n’est plus possible en raison des mesures prises par la plaignante. Mais même si une telle identification était possible, la restriction prévue à l’article 24, 5e alinéa, lettre b LPD s’appliquerait, car l’information des 19 000 clients concernés représenterait un effort disproportionné.
Information par voie d’avis public
Il est intéressant de noter que L’article 24 LPD ne prévoit pas expressis verbis de publication, mais fait uniquement dépendre l’exception à l’obligation d’informer les personnes concernées d’une telle possibilité, raison pour laquelle le PFPDT ne peut pas ordonner une telle publication – il dispose toutefois d’un moyen de pression grâce à l’instrument de sa propre information du public :
[…] Toutefois, la LPD ne prévoit pas (expressément) l’obligation de procéder à une communication publique dans de tels cas. Cela semble défendable dans la mesure où, dans des constellations où seules quelques personnes concernées ne peuvent pas être informées individuellement, par exemple parce que leur adresse électronique est inconnue, une la publication publique serait disproportionnée. Toutefois, des résultats choquants sont également envisageables dans certains cas : Si, par exemple, de nombreuses personnes sont concernées par une violation de la sécurité des données et que leur information individuelle nécessiterait des efforts disproportionnés, une communication publique n’est en principe pas nécessaire selon le texte de la loi, même si elle permettait de faire face efficacement aux risques découlant de la violation. Dans de tels cas, le PFPDT n’a pas non plus la compétence d’exiger (formellement) du responsable qu’il procède à une communication publique., En effet, dans le cadre d’une mesure de droit administratif, le PFPDT ne peut en principe exiger qu’un comportement auquel le responsable est déjà tenu par la loi. Le PFPDT pourrait néanmoins, dans certaines conditions, informer de sa propre initiative le public «de ses constatations et décisions» (art. 57, al. 2, LPD). Afin d’anticiper une telle mesure, le responsable devrait en fait, malgré l’absence d’obligation (expresse), être régulièrement conseillé de procéder de lui-même à une communication publique, dans la mesure où cela semble judicieux pour la protection des personnes concernées et proportionné dans le sens d’une considération globale […].
L’information publique n’est toutefois une alternative que si elle correspond à une information individuelle équivalente („l’information de la personne concernée est assurée de manière comparable par un avis public“). C’était discutable dans le cas présent. Toujours est-il que l’information ne serait pas totalement inefficace :
Avec une communication publique, par exemple sur le site Internet de la plaignante, on choisirait un canal d’information dont on peut s’attendre à ce qu’il soit atteint par au moins une partie de la clientèle concernée et que cette information soit transmise par divers canaux (transmission orale, information par les médias, etc.), de sorte que même la clientèle concernée en prenne finalement connaissance, même si elle n’est pas informée de première main dans le cadre de la communication publique. Le contenu de l’information serait le même que dans le cadre d’une information individuelle. Au vu de ce qui précède, une communication publique s’avère en principe possible.
De plus, une publication serait également convient, d’atteindre les personnes concernées (indépendamment du fait que d’autres personnes soient également informées). Comme une information individuelle ne serait pas possible ou serait disproportionnée, la publication est en même temps le moyen le plus doux et donc aussi le plus approprié. nécessaire. Après tout, elle est aussi raisonnable et donc proportionnel, La boîte à pommes est elle-même responsable d’un éventuel préjudice de réputation :
Compte tenu du besoin de protection existant, cet intérêt a un poids considérable. En revanche, l’intérêt de la plaignante à ne pas informer publiquement, afin de ne pas nuire à sa réputation et de ne pas inquiéter inutilement les clients non concernés ou potentiels, est important. L’intérêt à la protection de la réputation commerciale doit en principe être reconnu. Il faut toutefois tenir compte du fait que l’éventuel préjudice de réputation trouve son origine dans une violation de la protection des données dont la plaignante est elle-même responsable.. Il serait contraire à l’objectif de protection du droit de la protection des données qu’une personne (morale) puisse se soustraire à l’information des personnes concernées en invoquant d’éventuelles atteintes à sa réputation. Le fait que des clients non concernés ou potentiels aient également connaissance d’une violation de la protection des données ne constitue pas une charge supplémentaire disproportionnée, d’autant plus que la communication peut être effectuée de manière objective et se limiter au strict nécessaire. Dans l’ensemble, l’intérêt de la personne concernée à la protection de sa personnalité l’emporte sur l’intérêt de la plaignante à éviter une information publique ; la mesure s’avère donc également raisonnablement exigible.
Comme nous l’avons dit, le PFPDT ne peut pas ordonner la publication, car la LPD – telle que l’a lue le TAF – ne la prescrit pas expressément. On peut certes le contester ; le texte ne prévoit pas une telle obligation, mais le but de la loi est clair comme de l’eau de roche. Le PFPDT n’avait d’ailleurs pas ordonné une telle publication – il avait seulement ordonné d’informer les personnes concernées.
Le TAF protège ce dispositif et estime que la publication est proportionnée. Jusqu’ici tout va bien – mais il constate en même temps que l’information est impossible ou du moins disproportionnée et que la LPD n’ordonne pas vraiment la publication publique. Alors quid ? Au final, on ne peut sans doute reprocher au TAF que la même violation de l’obligation de motiver qu’il atteste au PFPDT. La proportionnalité n’est en tout cas pas une base juridique de protection des données pour une obligation de publication. La raison pour laquelle le TAF n’a pas tout simplement glissé une telle obligation dans l’art. 24, al. 5, n’est pas claire. Quoi qu’il en soit, dans ces circonstances, il est impossible que le non-respect de la décision entraîne une peine pour désobéissance.