Sécurité des données et violations selon la nLPD (art. 8 et 24)

Droit du numérique & propriété intellectuelle · Bachelor 3

Mesures de sécurité, annonce des violations au PFPDT et sanctions pénales dans la nLPD.

Introduction

La sécurité des données est l'un des piliers de la protection des données : un traitement parfaitement licite sur le plan des principes peut devenir illicite si les données sont insuffisamment protégées contre la perte, la modification, la divulgation ou l'accès non autorisés. La nouvelle loi fédérale sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023, exige du responsable du traitement et du sous-traitant qu'ils garantissent une sécurité adaptée au risque par des mesures techniques et organisationnelles appropriées (art. 8 nLPD).

La nLPD introduit également, à l'art. 24, une obligation d'annoncer au Préposé fédéral à la protection des données et à la transparence (PFPDT) les violations de la sécurité des données qui entraînent vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. Dans certains cas, la personne touchée doit aussi être informée.

Enfin, le législateur a renforcé le volet pénal : certaines violations des devoirs, notamment des exigences minimales de sécurité, peuvent être punies d'une amende, qui frappe la personne physique responsable et non l'entreprise. Ce deck de niveau Bachelor avancé présente ce triptyque : prévention, annonce, sanction.

Objectifs d'apprentissage

Expliquer l'obligation de sécurité de l'art. 8 nLPD et son lien avec le risque
Distinguer mesures techniques et mesures organisationnelles
Identifier les conditions d'annonce d'une violation au PFPDT et d'information des personnes concernées
Décrire le rôle du sous-traitant et le devoir de coordination avec le responsable
Présenter la responsabilité pénale en cas de violation des devoirs de sécurité

Concepts clés

Obligation de sécurité (art. 8 nLPD): Le responsable du traitement et le sous-traitant garantissent par des mesures techniques et organisationnelles appropriées une sécurité adéquate des données par rapport au risque. Les mesures visent à éviter toute violation de la sécurité, notamment la perte, la destruction, la modification ou la divulgation non autorisées.
Mesures techniques et organisationnelles: Les mesures techniques comprennent chiffrement, contrôle d'accès, sauvegardes, journalisation ; les mesures organisationnelles comprennent règlements internes, formation du personnel, gestion des droits et plans d'urgence. Leur niveau dépend de la nature des données, de la finalité, de l'état de la technique et des coûts.
Annonce au PFPDT (art. 24 nLPD): Le responsable annonce dans les meilleurs délais au PFPDT toute violation de la sécurité des données entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux. L'annonce décrit la nature de la violation, ses conséquences et les mesures prises ou envisagées.
Information des personnes concernées: Le responsable informe aussi les personnes touchées lorsque leur protection l'exige ou lorsque le PFPDT le demande. Des exceptions existent, notamment si l'information est impossible ou exige des efforts disproportionnés, ou si la communication est assurée par un moyen public.
Sous-traitance et sanctions pénales: Le sous-traitant annonce au responsable, dans les meilleurs délais, toute violation. Sur le plan pénal, la nLPD punit d'une amende notamment le non-respect des exigences minimales de sécurité ; la sanction vise la personne physique responsable et, sur plainte, la poursuite relève des autorités cantonales.

Conclusion

La nLPD fait de la sécurité des données une obligation de résultat adaptée au risque, assortie d'un devoir d'annonce en cas d'incident grave. Le triptyque prévention, annonce et sanction impose aux organisations de documenter leurs mesures, de former leurs collaborateurs et de se préparer à réagir vite.

Pour le juriste, la question centrale est la proportionnalité : quelles mesures étaient raisonnablement attendues, à quel moment le risque devient-il élevé, et quelles informations donner ? Des processus clairs, une bonne coordination avec les sous-traitants et la conservation de preuves sont les meilleurs atouts de la conformité.

Cartes

Quel article de la nLPD impose une sécurité des données adaptée au risque ?: L'art. 8 nLPD.
Qui doit garantir la sécurité des données selon l'art. 8 nLPD ?: Le responsable du traitement et le sous-traitant.
Donnez deux exemples de mesures techniques de sécurité.: Chiffrement des données, contrôle d'accès, sauvegardes, journalisation, pare-feu.
Donnez deux exemples de mesures organisationnelles.: Règlement interne, formation du personnel, gestion des droits d'accès, plan de réponse aux incidents.
Qu'entend-on par violation de la sécurité des données ?: Toute violation entraînant, de manière accidentelle ou illicite, la perte, la modification, la suppression, la destruction, la divulgation ou l'accès non autorisés à des données personnelles.
Quand faut-il annoncer une violation au PFPDT ?: Lorsqu'elle entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée (art. 24 nLPD).
Dans quel délai l'annonce doit-elle être faite ?: Dans les meilleurs délais, sans délai fixe exprimé en heures dans la loi.
Que doit contenir l'annonce au PFPDT ?: La nature de la violation, ses conséquences et les mesures prises ou envisagées.
Quand les personnes concernées doivent-elles être informées ?: Lorsque leur protection l'exige ou lorsque le PFPDT l'ordonne.
Que doit faire un sous-traitant qui constate une violation ?: L'annoncer au responsable du traitement dans les meilleurs délais.
Qui est puni en cas de violation des exigences minimales de sécurité ?: La personne physique responsable, par une amende ; la responsabilité pénale ne frappe pas l'entreprise elle-même, sous réserve de règles subsidiaires.
Quel est le plafond de l'amende dans les cas visés par la nLPD ?: Jusqu'à 250 000 francs pour les infractions principales prévues par la loi.

Glossaire

Mesures techniques et organisationnelles: Ensemble de dispositifs informatiques et de procédures internes destinés à garantir la sécurité des données.
Violation de la sécurité des données: Événement entraînant la perte, l'altération, la divulgation ou l'accès non autorisés à des données personnelles.
Risque élevé: Seuil à partir duquel l'annonce au PFPDT est requise : probabilité et gravité d'atteintes importantes à la personnalité ou aux droits fondamentaux.
Sous-traitant: Personne privée ou organe fédéral qui traite des données personnelles pour le compte du responsable.
Responsable du traitement: Entité qui détermine seule ou avec d'autres les finalités et les moyens du traitement.
Chiffrement: Procédé qui rend les données illisibles sans clé, réduisant le risque en cas d'accès non autorisé.
Exigences minimales de sécurité: Niveau de mesures minimal fixé par le Conseil fédéral dans l'ordonnance, dont la violation intentionnelle peut être punie.
Plainte pénale: Dénonciation de la personne lésée, nécessaire pour la poursuite de nombreuses infractions de la nLPD.