Un e-mail contenant des données personnelles est parti à la mauvaise personne : est-ce une violation ?
Par Advisorn · mis à jour le 25 octobre 2026 · Art. 5, let. h, et 24 LPD ; art. 15 OPDo ; art. 33-34 RGPD
En bref
Oui. Communiquer des données personnelles à une personne non autorisée, même par erreur, est une violation de la sécurité des données (art. 5, let. h, LPD). Elle ne doit être annoncée au PFPDT que si elle entraîne vraisemblablement un risque élevé pour les personnes concernées (art. 24 LPD), par exemple lorsqu'elle contient des données sur la santé ou de nombreuses données de clients ; elle doit de toute façon être documentée (art. 15, al. 4, OPDo).
Que faire tout de suite
- demander au destinataire d'effacer l'e-mail et de le confirmer par écrit ;
- si possible, rappeler le message et bloquer les liens partagés ;
- évaluer quelles données il contenait, combien de personnes sont concernées et qui est le destinataire ;
- décider si le risque est élevé et s'il faut informer les personnes concernées ;
- consigner les faits, l'évaluation et les mesures.
Pour que cela ne se reproduise pas
La saisie automatique des destinataires est la cause la plus fréquente. Un délai d'envoi de quelques secondes, un avertissement pour les destinataires externes et l'envoi des documents délicats par un lien protégé plutôt qu'en pièce jointe sont utiles.
Questions proches
Modèles utiles
Informations générales, pas un conseil sur votre cas : pour votre cas, le texte de la loi fait foi. Pour une question sur votre cas, il y a le conseil d'Advisorn.