Violation de la sécurité des données : quand et comment l'annoncer au PFPDT ?
Par Advisorn · mis à jour le 17 octobre 2026 · Art. 24 LPD, art. 15 OPDo, art. 33-34 RGPD
En bref
Une violation de la sécurité des données doit être annoncée au PFPDT dans les meilleurs délais lorsqu'elle entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées (art. 24 LPD). Les personnes doivent être informées si cela est nécessaire à leur protection ou si le PFPDT l'exige ; avec le RGPD, la notification à l'autorité doit se faire dans les 72 heures (art. 33 RGPD).
Ce qu'il faut annoncer
Le formulaire en ligne du PFPDT demande, entre autres (art. 15 OPDo) :
- la nature de la violation et, si possible, le moment et la durée ;
- les catégories et le nombre approximatif de données et de personnes concernées ;
- les conséquences et les risques pour les personnes ;
- les mesures prises ou envisagées ;
- un nom et un contact.
Même sans annonce
Toute violation doit être documentée, avec les faits, les effets et les mesures, et la documentation doit être conservée au moins deux ans (art. 15, al. 4, OPDo). Un sous-traitant qui subit une violation doit l'annoncer dans les meilleurs délais à l'entreprise pour laquelle il traite les données (art. 24, al. 3, LPD).
Questions proches
Informations générales, pas un conseil sur votre cas : pour votre cas, le texte de la loi fait foi. Pour une question sur votre cas, il y a le conseil d'Advisorn.