Le cadre légal suisse
Selon l'art. 24, al. 3, LPD, le sous-traitant annonce au responsable toute violation de la sécurité des données dans les meilleurs délais, quel que soit le risque. Le responsable n'avise le PFPDT que des violations entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées.
Selon l'art. 15 OPDo, l'annonce indique notamment la nature, le moment, les conséquences et les mesures prises, ainsi qu'une personne de contact. Les informations manquantes sont fournies ultérieurement. Chaque violation est documentée, et la documentation est conservée au moins deux ans. Les organes publics cantonaux relèvent du droit cantonal.
Loi fédérale sur la protection des données (LPD), RS 235.1 · Ordonnance sur la protection des données (OPDo), RS 235.11
Délais supplémentaires selon le RGPD et la LSI
Si le RGPD s'applique aussi, le responsable notifie l'autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si un risque est improbable. Tout retard doit être motivé.
Depuis le 1er avril 2025, les exploitants d’infrastructures critiques visés par la loi sur la sécurité de l’information annoncent certaines cyberattaques soumises à déclaration à l’Office fédéral de la cybersécurité dans les 24 heures après leur découverte. Des critères légaux et exceptions s’appliquent; tout incident n’est pas concerné. Cette obligation peut s’ajouter à celle de protection des données et doit être examinée séparément.
Règlement (UE) 2016/679, règlement général sur la protection des données (RGPD), art. 28 et 33 · Loi sur la sécurité de l'information (LSI), RS 128, obligation de signaler les cyberattaques
Clauses contractuelles et preuves
Il est usuel de fixer pour la première annonce du sous-traitant un délai ferme de 24 à 48 heures dès la découverte, complété par des annonces successives. Le responsable garde ainsi le temps d'évaluer le risque et de respecter un éventuel délai de 72 heures. Les sous-traitants ultérieurs doivent être liés au même délai.
Le contrat devrait aussi fixer le canal d'annonce, les interlocuteurs et le contenu minimal, ainsi que l'aide à l'information des personnes concernées et la conservation des journaux. Un délai contractuel ne remplace pas l'obligation légale : même si un délai plus long est convenu, l'annonce reste due dans les meilleurs délais.
Loi fédérale sur la protection des données (LPD), RS 235.1 · Règlement (UE) 2016/679, règlement général sur la protection des données (RGPD), art. 28 et 33
Sources
- Loi fédérale sur la protection des données (LPD), RS 235.1
- Ordonnance sur la protection des données (OPDo), RS 235.11
- Règlement (UE) 2016/679, règlement général sur la protection des données (RGPD), art. 28 et 33
- Loi sur la sécurité de l'information (LSI), RS 128, obligation de signaler les cyberattaques
Recherché avec Omnilex et adapté pour cet article. Informations générales sur le droit suisse. L’appréciation d’un cas concret dépend des faits et du droit applicable.