Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

finition à l’art. 3, let. d). La violation peut être causée par un tiers, mais son auteur peut aussi être un collaborateur qui outrepasse ses compétences. Le traitement non autorisé peut entraîner une perte de contrôle de la personne concernée sur ses données ou une utilisation abusive de celles-ci. Il peut aussi engendrer une violation de la personnalité, par exemple en entraînant la divulgation d’informations que la personne concernée souhaitait garder secrètes. Pour cette raison, l’art. 23, al. 2, let. a AP-LPD considère toute atteinte à la sécurité des données comme une violation de la personnalité.

La personne concernée ne peut réagir à ces menaces que si elle sait que la protection des données a été violée. C’est pourquoi le responsable du traitement doit notifier tout traitement non autorisé, au préposé en premier lieu et, si les conditions de l’al. 2 sont remplies, à la personne concernée également. La notification doit avoir lieu dès que le traitement non autorisé est connu. Le responsable du traitement doit en principe agir rapidement, mais la disposition lui laisse une certaine marge d’appréciation, qui dépend en pratique du risque créé pour la personne concernée. Plus ce risque sera élevé et le nombre de personnes concernées important, plus son intervention devra être rapide.

Le responsable du traitement ne peut renoncer à notifier la violation de la protection des données au préposé que si elle ne met vraisemblablement pas en péril la personnalité ou les droits fondamentaux de la personne concernée. Cette exception vise à éviter la notification de violations insignifiantes ; son interprétation doit cependant être restrictive. Le responsable du traitement doit évaluer les conséquences possibles de la violation pour la personne concernée. Il ne peut renoncer à l’annoncer que s’il aboutit à la conclusion qu’il est hautement improbable que le traitement non autorisé présente un risque.

Al. 2 : Annonce à la personne concernée

Selon l’al. 2, la personne concernée ne doit être informée que si les circonstances le requièrent ou que le préposé le demande. Il existe une marge d’appréciation assez large pour déterminer si la première condition est réalisée. Il faut se demander notamment si l’information peut réduire les risques pour la personnalité et les droits fondamentaux de la personne concernée, en lui permettant notamment de prendre les dispositions nécessaires pour se protéger (modification des données d’accès ou du mot de passe par ex.).

Al. 3 et 4

L’al. 3 dispose que le responsable du traitement peut restreindre, différer la notification à la personne concernée ou y renoncer dans les cas visés à l’art. 14, al. 3 et 4 (voir ch. 8.1.3.2).

Un traitement non autorisé peut aussi survenir chez le sous-traitant. Le cas échéant, l’al. 4 l’oblige à en informer le responsable du traitement. Il revient ensuite à ce dernier d’apprécier les risques et de décider si la violation doit être notifiée au préposé et à la personne concernée.

Le non-respect de l’obligation d’annoncer une violation de la protection des données est poursuivi d’office (voir l’art. 50, al. 2, let. d, AP-LPD).

8.1.3.6 Art. 18 Protection des données dès la conception et par défaut

L’art. 18 AP-LPD introduit le devoir de protection des données dès la conception, ainsi que par défaut. Cette disposition met en œuvre les exigences du P-STE 108 (art. 8, ch. 3) et de la directive (UE) 2016/680. L’art. 25 du règlement (UE) 2016/679 contient une règle similaire.

Al. 1 : Protection des données dès la conception

L’al. 1 impose au responsable du traitement et au sous-traitant de prendre dès la conception les mesures appropriées permettant de prévenir et de minimiser les risques d’atteintes à la personnalité et aux droits fondamentaux de la personne concernée. La nouvelle obligation repose sur le principe de la technologie au service de la protection des données personnelles (privacy by design). Le recours à des solutions techniques pour garantir la protection des données s’appuie sur l’idée que la technologie et le droit se complètent. Ainsi, des solutions techniques qui rendent impossible une violation de la protection des données ou qui en réduisent la probabilité rendent les règles juridiques et les recommandations de bonnes pratiques moins nécessaires. Par ailleurs ces technologies sont indispensables pour mettre en