D'abord : contenir, évaluer, documenter
Une violation de la sécurité des données au sens de la nLPD est toute atteinte à la sécurité qui entraîne la perte, l'effacement, la modification ou la divulgation non autorisée de données personnelles — un serveur piraté, un ordinateur portable perdu, un courriel mal adressé, un employé indélicat. Les premiers devoirs sont opérationnels, pas juridiques : arrêter l'hémorragie, préserver les preuves, comprendre ce qui s'est passé. Isolez les systèmes touchés sans détruire les journaux, et réunissez une petite équipe dotée d'autorité — informatique, juridique, direction, spécialistes au besoin.
Évaluez ensuite, honnêtement : quelles catégories de données sont touchées, quelle est leur sensibilité, combien de personnes sont concernées, et que peut-il réalistement leur arriver — fraude, usurpation d'identité, atteinte à la réputation ou au patrimoine ? Cette évaluation commande tous les devoirs juridiques qui suivent — mettez-la par écrit. La documentation n'est pas ici de la bureaucratie ; c'est ce qui vous permettra de montrer plus tard que vous avez examiné le risque sérieusement et agi en conséquence, quelle qu'ait été la décision d'annonce.
Si la violation frappe un prestataire qui traite des données pour vous, il doit vous en informer — l'évaluation et les annonces éventuelles restent votre responsabilité. Vérifiez aujourd'hui, pas pendant un incident, que vos contrats de sous-traitance le prévoient clairement.
Quand le PFPDT — et les personnes concernées — doivent être informés
La nLPD n'exige pas d'annoncer chaque incident. Le devoir d'annonce au Préposé fédéral à la protection des données et à la transparence (PFPDT) naît lorsque la violation entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées ; l'annonce doit alors intervenir dans les meilleurs délais. Savoir si ce seuil est atteint est précisément le jugement que votre évaluation documentée doit étayer : des données chiffrées sur un appareil perdu ne sont pas le même cas qu'une base de données clients exfiltrée avec des pièces d'identité.
Les personnes concernées doivent être informées lorsque leur protection l'exige — typiquement lorsqu'elles peuvent faire quelque chose de l'avertissement, comme changer leurs mots de passe ou surveiller des tentatives de fraude — ou lorsque le PFPDT le demande. Gardez à l'esprit que d'autres régimes peuvent s'appliquer en parallèle et être plus stricts : le RGPD de l'UE pour les données de résidents européens, les clauses contractuelles d'annonce envers clients et partenaires, et les attentes des autorités de surveillance pour les établissements régulés. Cartographiez ces devoirs avant de conclure que « pas d'annonce » est la réponse.
La discipline de communication
Une violation de données se perd deux fois : une fois techniquement, une fois dans la communication. Les règles sont simples et difficiles à suivre sous pression. Une équipe détient les faits ; une seule voix parle. Dites ce que vous savez, dites ce que vous ne savez pas encore, et ne spéculez jamais — un faux apaisement précoce est pire que le silence et se retient plus longtemps que la violation elle-même. Gardez les déclarations au PFPDT, aux personnes concernées, aux clients et au public cohérentes entre elles et avec votre évaluation écrite. Et associez un conseil juridique tôt, avant la rédaction de la première communication externe.
Ce qu'il faut faire
Les entreprises qui gèrent bien les violations de données ont tout décidé à l'avance : un plan de réponse aux incidents avec des rôles nommés, des contrats de sous-traitance avec des devoirs d'annonce clairs, un modèle de documentation et un exercice. Que vous gériez un incident en ce moment ou souhaitiez être prêt avant qu'il n'arrive, nous discutons volontiers de votre situation concrète.