Fuite de données : annoncer au PFPDT si le risque est élevé
Mis à jour le 24 octobre 2026
L'article 24 de la LPD oblige le responsable du traitement à annoncer au Préposé fédéral une violation de la sécurité des données qui entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. L'annonce intervient le plus vite possible et indique la nature de la violation, ses conséquences et les mesures prises. Si la protection de la personne l'exige, le responsable l'informe aussi. Toutes les incidents ne se déclarent pas : le critère est le risque élevé, que l'entreprise documente. Le PFPDT indique le canal de notification.
Article utile
Documenter l'analyse, même lorsque l'entreprise conclut que le risque n'est pas élevé. Cette note sert si le PFPDT interroge ensuite. Prévenir les personnes sans avoir contenu la fuite peut aggraver le dommage : l'ordre est d'abord de limiter l'accès, puis d'annoncer.