Les exigences en matière de sécurité des données sont avant tout une question de cas particulier. Le droit de la protection des données ne donne qu’un cadre assez général pour l’examen des risques, des mesures possibles et des mesures à prendre.
Sur la question de savoir si la LPD et l’OLPD fixent des prescriptions minimales en matière de protection des données dont la violation peut être punissable, cf. ici.
Notification de brèche
sur les obligations de notification des incidents
Les violations de la sécurité des données doivent éventuellement être signalées au PFPDT – en cas de risques élevés pour les personnes concernées – et/ou communiquées aux personnes concernées (lorsque leur autoprotection est en jeu). Le PFPDT met en place ici un formulaire – qui présente toutefois des inconvénients majeurs – est à disposition. Il ne faut pas oublier que le PFPDT est malheureusement soumis au principe de transparence prévu par la LTrans.
A cela peuvent toutefois s’ajouter d’autres obligations de déclaration qui ne sont pas motivées par la protection des données, mais qui découlent des objectifs propres à chaque ordre juridique. Il s’agit notamment des suivantes :
La loi fédérale sur la sécurité de l’information au sein de la Confédération (LSIC) est complétée par des dispositions sur l’obligation de notification des exploitants de certaines infrastructures critiques. Les dispositions révisées entrent en vigueur le 1er avril 2025.
Une compilation des dispositions correspondantes, du message y relatif, de l’ordonnance sur la cybersécurité et du rapport explicatif est disponible ici en allemand et en anglais :
les derniers articles dans le domaine de la sécurité