Art. 15 OPDo

Annonce des violations de la sécurité des données

Chapitre 2: Obligations du responsable du traitement

Texte de loiÉtat: 1er décembre 2025

¹ L’annonce au PFPDT d’une violation de la sécurité des données comprend les informations suivantes:

a.
la nature de la violation;
b.
dans la mesure du possible, le moment et la durée;
c.
dans la mesure du possible, les catégories et le nombre approximatif de données personnelles concernées;
d.
dans la mesure du possible, les catégories et le nombre approximatif de personnes concernées;
e.
les conséquences, y compris les risques éventuels, pour les personnes concernées;
f.
les mesures prises ou prévues pour remédier à cette défaillance et atténuer les conséquences, y compris les risques éventuels;
g.
le nom et les coordonnées d’une personne de contact.

² Si le responsable du traitement n’est pas en mesure d’annoncer simultanément toutes les informations, il fournit les informations manquantes dans les meilleurs délais.

³ Si le responsable du traitement est tenu d’informer la personne concernée, il lui communique, dans un langage simple et compréhensible, au moins les informations visées à l’al. 1, let. a et e à g.

⁴ Le responsable du traitement documente les violations. La documentation contient les faits relatifs aux incidents, à leurs effets et aux mesures prises. Elle est conservée pendant au moins deux ans à compter de la date d’annonce au sens de l’al. 1.

Source: Version officielle sur Fedlex

En bref

L’annonce d’une violation de la sécurité des données au PFPDT doit notamment indiquer la nature de la violation, dans la mesure du possible le moment, la durée et l’ampleur, les conséquences pour les personnes concernées, les mesures prises et une personne de contact. Si l’entreprise doit vous informer, elle vous communique dans un langage simple et compréhensible au moins la nature de la violation, ses conséquences, les mesures prises et une personne de contact. Chaque violation doit être documentée ; la documentation est conservée au moins deux ans (art. 24 LPD).

Qu’est-ce que cela signifie pour moi ?

Si vous recevez une communication concernant une fuite de données, elle doit indiquer ce qui s’est passé, quelles conséquences et quels risques en découlent pour vous, ce que l’entreprise entreprend et à qui vous pouvez vous adresser.

Exemple

Une boutique en ligne vous informe que des inconnus ont copié des données de clients. La communication explique en termes simples ce qui s’est passé, quels risques existent, ce que la boutique entreprend et qui répond à vos questions.

Précise ces dispositions de la loi sur la protection des données (LPD)

art. 24 LPDAnnonce des violations de la sécurité des données

Explication de mydatenschutz.ch en langage simple – pas de conseil juridique. Seul le texte de loi fait foi.