Sécurité des données et violations de la sécurité des données

Même le meilleur concept de protection des données ne sert pas à grand-chose si des données tombent entre de mauvaises mains. La LPD oblige donc toutes celles et ceux qui traitent des données personnelles à assurer une sécurité des données appropriée.

Ce qu’exige la loi (art. 8)

Les responsables du traitement et les sous-traitants doivent garantir, par des mesures techniques et organisationnelles appropriées, une sécurité des données adaptée au risque. L’ordonnance sur la protection des données (OPDo) cite comme objectifs la confidentialité, la disponibilité, l’intégrité et la traçabilité des données (art. 1 à 3 OPDo). Dans certains cas, par exemple en cas de traitement automatisé à grande échelle de données sensibles, les traitements doivent être journalisés (art. 4 OPDo). Les mesures typiques sont :

des droits d’accès selon le principe « autant que nécessaire »,
le chiffrement des appareils et des transmissions de données,
des copies de sauvegarde et des mises à jour logicielles régulières,
la formation des collaborateurs.

Quiconque ne respecte pas intentionnellement les exigences minimales de l’OPDo peut être puni d’une amende sur plainte (art. 61, let. c).

Qu’est-ce qu’une violation de la sécurité des données

Il y a violation lorsque des données personnelles sont, de manière accidentelle ou illicite, perdues, effacées, modifiées ou rendues accessibles à des personnes non autorisées (art. 5, let. h). Exemples : une cyberattaque, un e-mail envoyé au mauvais destinataire ou un ordinateur portable non chiffré perdu.

Annonce au PFPDT (art. 24)

Le responsable du traitement annonce dans les meilleurs délais au PFPDT une violation entraînant vraisemblablement un risque élevé pour les personnes concernées. Il n’existe pas de délai fixe en heures comme dans l’UE.
L’annonce indique au minimum la nature de la violation, ses conséquences et les mesures prises.
Les sous-traitants annoncent sans délai toute violation au responsable du traitement.
Les personnes concernées doivent être informées lorsque leur protection l’exige ou que le PFPDT le demande.

Ce que vous pouvez faire vous-même

Si vous apprenez que vos données sont concernées par une fuite de données :

Changez le mot de passe concerné, ainsi que partout où vous l’utilisez également.
Activez l’authentification à deux facteurs.
Attendez-vous à des messages d’hameçonnage ciblés faisant référence à l’incident.
Contrôlez vos relevés de compte et de carte de crédit.
Demandez quelles données vous concernant étaient enregistrées (art. 25).

Si une entreprise ne vous informe pas alors qu’il existe un risque élevé, vous pouvez le dénoncer au PFPDT.

Vers le texte de loi : art. 24 LPD – pour une dénonciation : annonce au PFPDT.