Modèle de communication d'une violation de la sécurité des données aux personnes concernées
- art. 24 LPD
- art. 33-34 RGPD
- Environ 20 minutes
- Italiano · Deutsch · Français · English
En bref
La lettre par laquelle vous avertissez, en termes simples, les personnes dont les données ont été touchées par une violation. Vous en avez besoin lorsque l'incident présente un risque pour elles ou que l'autorité le demande.
- Pour qui
- Les personnes touchées par l'incident. Vous l'envoyez par courrier ou par e-mail, après avoir retiré les indications d'utilisation.
- À décider avant
- Ce qui s'est passé et quand, quelles données sont concernées, quelles conséquences sont possibles, ce que vous avez déjà fait et ce que vous conseillez aux personnes de faire.
- Ensuite
- Envoyez-la sans attendre, gardez-en une copie et notez l'envoi dans le registre des violations.
Ce qu'il contient
- 1Indications d'utilisation (à supprimer avant l'envoi)
- 2Texte de la communication
Un extrait
Indications d'utilisation (à supprimer avant l'envoi)
- Quand l'envoyer. Selon la LPD, les personnes doivent être informées lorsque cela est nécessaire à leur protection ou lorsque le PFPDT l'exige (art. 24 al. 4 LPD). Selon le RGPD, les personnes concernées doivent être informées dans les meilleurs délais lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés (art. 34 RGPD). Même lorsqu'elle n'est pas obligatoire, la communication est recommandée chaque fois que les personnes peuvent faire quelque chose pour se protéger.
- Contenu minimal. LPD : nature de la violation, conséquences et risques, mesures prises ou prévues, personne de contact (art. 15 al. 3 OPDo). RGPD : nature de la violation, point de contact, conséquences probables, mesures prises ou proposées (art. 34 par. 2 RGPD). Le texte ci-dessous couvre tous ces points.
- Langage. Phrases courtes, aucun terme technique ou juridique, aucune minimisation. Les passages entre crochets doivent être remplacés par le texte du cas concret.
- Canal. Utiliser un canal direct et personnel (lettre, e-mail, téléphone), séparé de tout message publicitaire. Si une communication individuelle est impossible ou exige des efforts disproportionnés, informer par une communication publique d'une efficacité équivalente, par exemple un avis bien visible sur le site web.
- Sécurité. Ne jamais demander de mot de passe ni de données bancaires dans la communication et ne pas y insérer de lien vers des pages de connexion : la personne qui reçoit le message doit pouvoir le distinguer d'une tentative d'escroquerie.
- Documentation. Consigner dans le registre des violations la date, le canal et les destinataires de la communication.
Le texte complet se génère sur la plateforme, avec les données de votre organisation déjà insérées.
LPD et RGPD comparés
| LPD (Suisse) | RGPD (UE) | |
|---|---|---|
| Quand informer | Si c'est nécessaire à leur protection ou si le PFPDT l'exige (art. 24, al. 4, LPD) | Si la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés (art. 34 RGPD) |
| Dans quel délai | Dans les meilleurs délais | Dans les meilleurs délais, sans retard injustifié |
| Exceptions | Intérêts prépondérants de tiers, obligation légale de garder le secret, information impossible ou disproportionnée (art. 24, al. 5, LPD) | Données rendues incompréhensibles, risque écarté, effort disproportionné : alors communication publique (art. 34, par. 3, RGPD) |
Le modèle s'adapte : il choisit les paragraphes selon les lois qui s'appliquent à votre organisation.
Modèles liés
- Modèle de formulaire interne de signalement d'une violation de la sécurité des données
- Modèle de notification d'une violation de la sécurité des données à l'autorité
- Modèle de procédure en cas de violation de la sécurité des données (data breach)
Question liée: Violation de la sécurité des données : quand et comment l'annoncer au PFPDT ?
Un modèle est une information générale, pas un conseil sur votre cas : il doit être adapté à votre organisation. Pour une question sur votre cas, il y a le conseil d'Advisorn. Par Advisorn, mis à jour le 20 octobre 2026.