Généralités
Envoi de données personnelles au mauvais destinataire, perte d'un support contenant des données sensibles, piratage de comptes, consultation d'un dossier par une personne non habilitée : ces situations constituent des violations de la sécurité des données personnelles. Elles sont aujourd'hui de plus en plus fréquentes et peuvent survenir au sein de l'entité elle-même ou chez un sous-traitant.
Cette page expose les situations constituant une violation de la sécurité des données, les mesures à prendre, le rôle du ou de la préposé-e ainsi que les principales obligations découlant des textes légaux :
- réagir immédiatement dès la constatation de la violation (art. 43 al. 1 LPrD) ;
- consigner la violation dans un document écrit (art. 43 al. 2 LPrD) ;
- annoncer la violation au ou à la préposé-e lorsqu'elle est susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux (art. 43 al. 3 LPrD). En cas de doute, il est recommandé de l'annoncer. Accéder au service en ligne d'annonce de violation de la sécurité des données de l'ATPrDM.
La violation de la sécurité des données personnelles en détail
-
La LPrD définit une violation de la sécurité des données comme toute violation de la sécurité entraînant de manière accidentelle ou illicite la perte de données personnelles, leur modification, leur effacement ou leur destruction, leur divulgation ou un accès non autorisé à ces données (art. 4 al. 1 let. k LPrD).
Concrètement, il s'agit d'un incident de sécurité affectant des données personnelles, qui empêche le responsable du traitement de garantir le respect des principes applicables au traitement des données personnelles.
Il existe plusieurs formes de violations, selon la composante de la sécurité qui est atteinte :
- la disponibilité : la perte, la destruction, l'inaccessibilité momentanée ou l'effacement de données personnelles ;
- l'intégrité : la modification de données personnelles ;
- la confidentialité : la communication de données personnelles à des tiers non autorisés ou leur consultation par des personnes non habilitées.
Une telle violation constitue une atteinte, accidentelle ou malveillante, au principe de sécurité des données. Ce principe, consacré à l'article 40 LPrD, impose au responsable du traitement d'assurer la sécurité des données au moyen de mesures techniques et organisationnelles appropriées. Il repose précisément sur ces trois éléments essentiels : la confidentialité, l'intégrité et la disponibilité des données personnelles.
Une violation peut survenir au sein de l'entité elle-même ou chez un sous-traitant. Dans ce dernier cas, le sous-traitant est tenu d'informer sans délai le responsable du traitement de toute violation survenue dans le cadre des traitements qui lui sont confiés (art. 43 al. 4 LPrD).
-
Lorsqu'une violation est suspectée, une vérification rapide doit être effectuée afin de confirmer l'incident. Dès sa constatation, une réaction immédiate est indispensable, y compris lorsque la violation provient d'un sous-traitant.
Les premières heures après la découverte d'une violation sont déterminantes pour limiter les conséquences. Il est donc essentiel de :
- Analyser la nature et l'étendue de l'incident.
- Mobiliser les ressources nécessaires sans délai.
- Déterminer si l'incident a lieu en raison d'une cyberattaque ou d'une erreur de l'autorité concernée, par exemple l'envoi de données personnelles au mauvais destinataire. En effet, l'urgence de réaction et les mesures à prendre diffèrent en fonction des cas.
- En cas de cyberattaque ou d’incident de sécurité lié à la cybercriminalité, il est également possible de consulter le site https://cybercrimepolice.ch/fr , qui fournit des informations et des conseils sur les principales formes de cybercriminalité, ainsi que la page Cybercriminalité, qui propose également des informations et des conseils utiles.
Les mesures à envisager incluent notamment :
- Alerter immédiatement les services informatiques responsables du système concerné, ou faire appel à une entreprise de sécurité informatique ;
- Isoler immédiatement les systèmes concernés en cas de cyberattaque, par exemple couper les connexions au réseau, désactiver le wifi et éviter toute remise en service des appareils compromis, en s'appuyant si nécessaire sur les recommandations de l'Office fédéral de la cybersécurité (OFCS) ;
- En principe, ne pas payer de rançon, conformément à la recommandation générale de l'OFCS : il convient en général de s'abstenir de tout paiement et de ne pas entrer en contact direct avec les auteurs de l'attaque ;
- Analyser avec l'aide du service informatique concerné ou une entreprise spécialisée en cybersécurité l'origine et l'étendue de l'attaque ;
- Mettre en œuvre des mesures de rétablissement proportionnées à la gravité de l'incident : correction ciblée pour une violation mineure ; pour un incident majeur, activation du plan de continuité des activités ou restauration complète de l'infrastructure sur la base des sauvegardes.
Preuves et démarches pénales
- Évaluer s'il est indiqué de contacter la Police cantonale, notamment afin de préserver les preuves et d'obtenir des conseils sur les mesures forensiques à prendre à la suite d'une fuite de données. La Police cantonale se tient à la disposition des citoyens pour les conseiller à cet égard au T +41 26 347 01 17 (numéro pour les appels non urgents).
- Conserver les preuves de la violation des données, notamment les messages reçus, les journaux de connexion, les captures d'écran ou les appels téléphoniques suspects. Lorsque cela est possible, il convient d'éviter toute manipulation ou suppression des éléments susceptibles d'être utiles à l'analyse de l'incident ou à une éventuelle procédure pénale.
- Déposer plainte en cas d'infraction pénale, notamment lorsque l'incident paraît constituer une infraction au sens des art. 143 ou 143bis CP. Les modalités sont présentées sur la page consacrée au dépôt d'une plainte pénale.
- Annoncer l'incident à l'Office fédéral de la cybersécurité (OFCS) lorsqu'il s'agit d'un incident de cybersécurité. Cette annonce peut être effectuée au moyen du service d'annonce de l'OFCS . Cette démarche est indépendante de l'éventuel dépôt d'une plainte pénale.
-
En fonction de la gravité de l’incident, il convient de mettre en place une cellule de gestion de crise afin de coordonner les actions des différents acteurs (technique, RH, communication, juridique) et d'examiner l'éventuelle opportunité de déposer une plainte pénale.
Lorsque le responsable du traitement dispose d'un correspondant en matière de protection des données au sens de l'article 45 LPrD, ce dernier doit être impliqué dans la gestion de la violation de la sécurité des données.
Il convient également d'informer les partenaires concernés, tels que les assurances ou les banques.
Une communication adaptée doit enfin être organisée afin d'avertir vos administrés, clients, collaborateurs, partenaires, fournisseurs et éventuellement les médias.
-
La violation doit être consignée dans un document écrit, en décrivant les faits (déroulement de la violation, nature de la violation, type de données concernées et catégories de personnes touchées), leurs conséquences et les mesures prises, tout en conservant les éléments utiles à l'analyse (art. 43 al. 2 LPrD).
Il est également essentiel d'identifier :
- la nature de la violation, par exemple une perte de données, une destruction, une manipulation, un accès non autorisé ou une communication à une personne non autorisée ;
- la cause de la violation ;
- le moment de la survenance de la violation et de sa découverte ;
- les données concernées, par exemple le nom, le prénom, l'adresse ou d'éventuelles données sensibles ;
- le nombre estimé de personnes touchées ;
- les conséquences constatées ou possibles de la violation.
Documenter les éléments relatifs à l'incident permet d'adapter les mesures en fonction du type d'incident. En effet, certaines situations, comme une erreur d'envoi, nécessitent des actions simples, contrairement à une cyberattaque.
-
Seules les violations susceptibles d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux doivent être annoncées au ou à la préposé-e.
Quand le risque est-il élevé ?
Un tel risque existe notamment lorsque la violation est de nature à causer un préjudice physique, matériel, moral ou financier aux personnes concernées, en particulier en cas de vol, d'usurpation d'identité, de discrimination, d'atteinte à la réputation ou d'humiliation.
Il peut également être admis lorsque la violation porte sur des données sensibles ou couvertes par le secret professionnel.
À titre d'exemple, peuvent relever d'un tel risque la perte de supports contenant des données sensibles - une clé USB contenant des données salariales, par exemple -, le piratage de comptes ou encore l'envoi de données protégées à des destinataires non autorisés.
Comment procéder à l'évaluation ?
L'évaluation pour déterminer la nécessité d'une notification doit se faire au cas par cas. Il convient d'examiner :
- la probabilité qu'un dommage survienne : faible, moyenne ou élevée ;
- la nature des conséquences négatives susceptibles de se produire (atteinte à la réputation, perte d'emploi, discrimination) ainsi que leur gravité : légère, moyenne ou grave ;
- la nature et le type de données concernées ;
- le type de violation ;
- le nombre de personnes touchées.
En revanche, une violation mineure, sans risque significatif pour la personnalité et les droits fondamentaux des personnes concernées, ne doit pas être annoncée.
En cas de doute, il est recommandé d'annoncer la violation.
-
Dans quel délai ?
Le responsable du traitement doit informer le ou la préposé-e dans les plus brefs délais lorsqu'un risque élevé est constaté (art. 43 al. 3 LPrD). En pratique, cela signifie dès la prise de connaissance d'une violation de la sécurité des données.
Sous quelle forme ?
L'annonce peut se faire à travers le formulaire Web mis en place par l'ATPrDM.
Lorsque la violation survient chez un sous-traitant
Celui-ci doit en informer sans tarder le responsable du traitement (art. 43 al. 4 LPrD). Il appartient ensuite à ce dernier d'apprécier si une violation doit être annoncée à l'autorité de surveillance.
Quel contenu ?
La notification au ou à la préposé-e doit contenir au minimum :
- la nature de la violation, par exemple un effacement ou une destruction, une perte, une modification, une inaccessibilité momentanée ou une communication à un tiers non autorisé ;
- le type de données concernées ;
- les catégories de personnes touchées ;
- les conséquences de la violation sur les personnes concernées ;
- les mesures prises ou prévues.
Lorsque certaines informations ne sont pas encore disponibles, une communication progressive est possible.
Quelle suite ?
Cette annonce permet au ou à la préposé-e de suivre la situation et de conseiller sur les mesures à prendre, notamment quant à l'information des personnes concernées.
-
L'article 44 alinéa 1 LPrD prévoit deux motifs alternatifs, et non cumulatifs, pouvant obliger le responsable du traitement à informer les personnes concernées de la survenance d'une violation de la sécurité des données :
- des motifs de transparence : la personne concernée a un droit à l'information sur ce qui est advenu de ses données, indépendamment de toute mesure concrète qu'elle serait en mesure de prendre. Ce motif peut à lui seul justifier une information, notamment lorsque la violation est d'une certaine gravité ou porte sur des données sensibles ;
- la nécessité de permettre à la personne concernée de prendre les mesures utiles à la sauvegarde de ses intérêts : il s'agit en particulier des situations où la personne concernée peut agir elle-même pour limiter les conséquences de la violation, par exemple modifier un mot de passe, remplacer une carte d'identité ou une carte bancaire, surveiller ses comptes bancaires ou anticiper une éventuelle diffusion de données sensibles telles que des documents médicaux ou des photos intimes.
Le responsable du traitement doit donc procéder à une appréciation globale tenant compte de ces deux motifs, et non se limiter à évaluer l'utilité pratique d'une information pour la personne concernée.
L'information peut également intervenir sur requête du ou de la préposé-e, lorsque celui-ci ou celle-ci estime que les conditions en sont réunies (art. 44 al. 4 LPrD).
Dans quel délai ?
La loi ne fixe pas de délai chiffré. Le principe général qui se dégage de l'article 44 LPrD, lu en relation avec l'article 43 alinéa 1 LPrD, lequel impose au responsable du traitement d'agir immédiatement dès la constatation d'une violation, commande néanmoins une réaction prompte. En effet, l'utilité de l'information est étroitement liée à sa célérité : plus le délai est long, moins la personne concernée est en mesure d'adopter des mesures efficaces pour limiter les conséquences de la violation.
Il est donc fortement recommandé d'informer les personnes concernées dès que les éléments essentiels de la violation sont connus, sans attendre que l'ensemble des investigations soit achevé. Une communication progressive reste possible lorsque certaines informations ne sont pas encore disponibles, pour autant que les éléments connus soient transmis sans délai.
Quel contenu ?
L'information devrait contenir :
- les conséquences possibles ;
- les mesures à prendre par l'organe public concerné ou par la personne concernée par la violation, par exemple la modification d'un mot de passe ;
- les coordonnées de contacts utiles.
Il est recommandé de fournir des informations claires ainsi que des conseils pratiques pour permettre aux personnes concernées de se protéger. Il convient également d'indiquer une personne de contact permettant aux personnes concernées d'obtenir des renseignements complémentaires ou de réagir de manière appropriée.
-
Restreindre, différer ou omettre l'information
Dans certaines situations et exceptionnellement, l'information des personnes concernées peut être restreinte, différée ou omise (art. 44 al. 2 LPrD), notamment lorsque :
- des intérêts prépondérants de tiers l'exigent (let. a) ;
- un intérêt public important le justifie, en particulier la sécurité intérieure ou l'ordre public (let. b) ;
- une procédure en cours pourrait être compromise (let. c) ;
- le devoir d'informer est impossible à respecter ou nécessite des efforts disproportionnés (let. d).
Lorsque le risque a été neutralisé
Si des mesures immédiates ont permis de neutraliser le risque, par exemple en rendant les données inutilisables, l'information des personnes concernées peut ne pas être nécessaire, pour autant que ni la transparence ni la protection des intérêts de ces dernières ne l'exigent.
L'annonce publique
Lorsque la violation concerne un grand nombre de personnes, une communication publique peut remplacer une information individuelle, à condition que le responsable du traitement veille à fournir une information aussi complète que possible (art. 44 al. 3 LPrD). L'annonce peut être communiquée par différents canaux afin d'augmenter les chances que toutes les personnes concernées en prennent effectivement connaissance.
-
Il est recommandé d'anticiper les violations de la sécurité des données en mettant en place des procédures internes claires, permettant de détecter, gérer et documenter efficacement les incidents. Par exemple, il est conseillé de définir déjà maintenant les personnes et entités qu'il faut contacter en cas de violation de la sécurité des données, ou encore d'effectuer des sauvegardes sécurisées selon les standards actuels.
Il convient par ailleurs d'analyser l'incident afin de mettre en place des mesures correctives et d'éviter qu'il ne se reproduise.
