L’intention ne se confond pas avec une inadvertance
L’art. 62 LPD punit, sur plainte, la révélation intentionnelle de données personnelles secrètes connues dans l’exercice d’une profession, d’une amende pouvant atteindre CHF 250’000. Une divulgation dont l’auteur accepte consciemment la possibilité peut également être intentionnelle. Une simple erreur d’adressage commise par négligence ne remplit pas cette infraction.
L’art. 61 LPD exige lui aussi l’intention pour les violations des devoirs de diligence qu’il énumère. Ces amendes maximales ne sont pas des sanctions automatiques pour chaque courriel mal adressé. La punissabilité et la peine dépendent du comportement concret.
LPD, art. 24, 61, 62 · CP, art. 12, 42, 56, 64, 86, 320, 321
Le régime d’assurance et la fonction comptent
L’exécution des assurances sociales est soumise à l’obligation de garder le secret de l’art. 33 LPGA. Pour les organes d’exécution de l’assurance-maladie sociale, l’art. 54 LSAMal prévoit une amende pouvant atteindre CHF 500’000 en cas de violation intentionnelle et CHF 150’000 en cas de négligence. Son application à une personne déterminée dépend de sa fonction et de ses responsabilités.
Ces dispositions sociales ne s’appliquent pas à une assurance privée d’indemnités journalières LCA du seul fait qu’il s’agit d’une assurance. L’art. 321 CP ne vise pas non plus indistinctement tous les employés d’assurance : une profession protégée ou une fonction d’auxiliaire correspondante doit effectivement être en cause. Un éventuel secret de fonction doit être examiné séparément.
LPGA, art. 4, 33 · LSAMal, art. 5, 54 · CP, art. 12, 42, 56, 64, 86, 320, 321
Les obligations de protection des données subsistent
L’incident devrait être signalé immédiatement en interne, documenté et limité autant que possible. Il faut déterminer les données concernées, le destinataire, les possibilités d’accès et les conséquences possibles pour les personnes touchées.
Selon l’art. 24 LPD, le responsable du traitement doit annoncer au PFPDT, dans les meilleurs délais, une violation susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux. Les personnes concernées doivent être informées si leur protection l’exige ou si le PFPDT le demande. Des conséquences civiles ou relevant du droit du travail peuvent s’ajouter.
LPD, art. 24, 61, 62 · PFPDT : annonce des violations de la sécurité des données (en allemand)
Sources
Recherché avec Omnilex et adapté pour cet article. Informations générales sur le droit suisse. L’appréciation d’un cas concret dépend des faits et du droit applicable.