Le Préposé fédéral à la protection des données et à la transparence, ou PFPDT, surveille notamment les traitements des personnes privées et des organes fédéraux en Suisse. Il peut ouvrir une enquête et imposer des mesures correctrices. Il ne prononce pas les amendes pénales prévues par la loi fédérale sur la protection des données : celles-ci relèvent des autorités pénales cantonales. Cette répartition détermine à qui s’adresser et ce qu’une démarche peut réellement produire.
Pour une entreprise, le dossier à préparer dépend de la situation : répondre à une demande de renseignements, annoncer une violation ou organiser l’exécution d’une décision ne suit pas le même parcours. Pour une personne concernée, une dénonciation au PFPDT ne remplace pas nécessairement l’action permettant d’obtenir un accès, une rectification ou une indemnisation. Ce guide aide à choisir la démarche pertinente et à rassembler les faits utiles, sans promettre une issue ou un délai d’enquête.
Vérifier d’abord si le PFPDT est compétent
Le site officiel du PFPDT distingue ses activités de protection des données de celles liées à la transparence de l’administration fédérale. Dans le premier domaine, sa compétence concerne les personnes privées, notamment les entreprises et associations, ainsi que les organes fédéraux. Les administrations cantonales et communales relèvent en principe des autorités et législations cantonales correspondantes. Il faut identifier l’organisme qui traite les données avant de choisir une autorité.
Cette vérification peut être délicate pour un établissement médical, une institution parapublique ou un prestataire qui exécute une mission publique. Le nom commercial et le canton où se trouve le bâtiment ne tranchent pas toujours la question. Recherchez le statut de l’organisme, le traitement en cause et le texte qui encadre la mission. Une demande concernant le personnel peut aussi soulever une qualification différente de celle d’un service fourni aux usagers.
La LPD peut s’appliquer à des faits qui produisent des effets en Suisse même si leur origine se situe à l’étranger. Toutefois, il ne faut pas en déduire que toute difficulté impliquant un ressortissant suisse relève automatiquement du PFPDT. Le guide de la nLPD présente le champ de la loi. Dans votre dossier, décrivez le lien concret avec la Suisse et conservez les éléments qui permettent de comprendre cette relation.
Comprendre ce qu’une enquête peut changer
Depuis l’entrée en vigueur de la loi révisée, le PFPDT dispose d’un pouvoir de décision contraignant. Sa page consacrée à la surveillance distingue les constatations et décisions actuelles des rapports et recommandations établis sous l’ancienne loi. Cette distinction est importante lorsqu’un moteur de recherche renvoie vers un dossier ancien : la forme de l’intervention ne décrit pas nécessairement les pouvoirs actuels.
Selon l’article 49 LPD, des indices suffisants d’un traitement contraire aux règles de protection des données peuvent conduire à une enquête, d’office ou sur dénonciation. L’autorité peut renoncer à l’ouvrir si la violation est de peu d’importance. Elle peut demander les renseignements nécessaires et, lorsque les conditions légales sont réunies, prendre les mesures d’instruction prévues par la loi. Une entreprise doit organiser une réponse exacte, cohérente et vérifiable.
L’article 51 permet notamment d’ordonner une adaptation, une suspension ou une cessation du traitement, ainsi que des mesures portant sur les données. Pour le destinataire, une telle décision peut imposer une modification concrète du service. La préparation ressemble sur certains points à celle d’un contrôle de la CNIL, mais les pouvoirs, procédures et voies de recours ne doivent pas être copiés d’un pays à l’autre.
Imaginez une plateforme dont plusieurs anciens clients contestent la conservation de dossiers clôturés. Une réponse utile identifie la finalité de chaque conservation, les règles appliquées, les accès encore ouverts et les corrections déjà réalisées. Un dossier contenant uniquement une politique générale ne permet pas de vérifier ce qui se passe réellement. Préservez les versions antérieures et distinguez les mesures existantes de celles qui restent à mettre en œuvre.
Séparer les mesures du PFPDT des sanctions pénales
Les explications officielles sur les dispositions pénales précisent que les infractions des articles 60 à 63 LPD sont intentionnelles et peuvent être punies d’une amende maximale de 250 000 francs. Elles concernent des manquements définis par la loi, et non toute imperfection d’un programme de conformité. Les autorités cantonales de poursuite sont compétentes ; le PFPDT n’est pas l’autorité qui inflige ces amendes.
Les personnes physiques sont visées en premier lieu. Un mécanisme subsidiaire permet toutefois, sous les conditions de l’article 64, de condamner l’entreprise lorsque l’amende envisagée ne dépasse pas 50 000 francs et que les investigations nécessaires pour identifier la personne physique seraient disproportionnées. Il est donc inexact d’affirmer que les entreprises ne peuvent jamais être concernées ou que tout dirigeant répond personnellement de chaque incident.
Une erreur involontaire peut néanmoins entraîner des corrections administratives ou des conséquences civiles, même lorsqu’elle ne constitue pas une infraction pénale intentionnelle. La comparaison des différences entre nLPD et RGPD aide à comprendre ces plans distincts. Pour une direction, il est plus utile de clarifier les décisions et les moyens disponibles que d’attribuer une responsabilité pénale hypothétique à chaque propriétaire de fichier.
Une personne concernée doit choisir le bon parcours
Pour obtenir vos données ou faire corriger une information, commencez normalement par le responsable du traitement. Identifiez le service, les coordonnées de contact et les données concernées. Une description du contexte, accompagnée des références nécessaires, facilite la recherche. Évitez d’envoyer spontanément des dossiers complets de tiers ou des justificatifs sans rapport avec la demande. La vérification d’identité doit répondre au besoin réel de la situation.
Le PFPDT rappelle dans sa FAQ que les renseignements sont en principe fournis dans les 30 jours. Si ce délai ne peut être respecté, le responsable doit informer la personne du délai de réponse prévu. Une restriction ou un refus doit aussi être communiqué et motivé selon les règles applicables. Le silence n’est pas une confirmation fiable de l’absence de données.
Si le problème persiste, séparez ce que vous souhaitez obtenir de ce que vous souhaitez signaler. Une dénonciation informe le PFPDT d’un possible manquement. Dans cette procédure d’enquête, le dénonciateur n’a pas le statut de partie et ne peut pas exiger l’ouverture d’une enquête. Le recours permettant de faire valoir un droit individuel dépend notamment du caractère privé ou fédéral du responsable ; une action civile peut être nécessaire face à une personne privée.
Un dossier de dénonciation gagne à présenter une chronologie courte : demande initiale, preuve de réception, réponse obtenue et problème restant. Joignez les pièces utiles, en expliquant leur lien avec les faits. L’autorité indique qu’aucune copie de pièce d’identité ne doit être envoyée spontanément pour une demande d’information ou une dénonciation ; elle contactera la personne si une confirmation devient nécessaire. Cette précaution réduit les données diffusées pendant la démarche.
Le portail de violation est réservé à une autre démarche
Le service DataBreach du PFPDT permet aux responsables du traitement d’annoncer une violation de la sécurité des données. Il ne remplace pas le parcours de dénonciation d’une personne concernée. Le formulaire permet de transmettre les informations de manière sécurisée et de télécharger une confirmation. Une organisation doit conserver cette confirmation avec les faits et l’analyse qui ont motivé son annonce.
L’article 24 LPD impose l’annonce dans les meilleurs délais lorsque la violation entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux. L’absence d’un délai suisse fixé en heures ne constitue pas une marge d’attente discrétionnaire. Il faut évaluer rapidement les conséquences et faire progresser le dossier avec les informations disponibles, en distinguant les éléments confirmés des hypothèses encore examinées.
Dans un incident d’envoi erroné, le nombre de destinataires ne suffit pas à apprécier le risque. La nature des données, les personnes exposées, la possibilité de copier le document et la fiabilité des mesures de suppression comptent également. Un dossier contenant des informations médicales appelle une analyse différente d’un message professionnel déjà public. La décision d’informer les personnes doit être examinée séparément, notamment lorsque leur protection la nécessite ou que le PFPDT le demande.
Si l’organisation intervient comme sous-traitant, elle informe le responsable du traitement dans les meilleurs délais conformément à l’article 24. Les équipes doivent savoir à qui transmettre l’alerte sans attendre la clôture de l’investigation technique. Une documentation des violations et des décisions prises permet de reconstituer la réaction. Un outil de suivi de la conformité suisse peut être évalué sur cette capacité concrète, sans présumer les fonctions d’un fournisseur particulier.
Lorsqu’un incident concerne aussi le RGPD
Une annonce suisse n’épuise pas les obligations européennes éventuellement applicables. L’article 33 RGPD exige une notification à l’autorité compétente sans retard injustifié et, si possible, dans les 72 heures suivant la prise de connaissance, sauf si la violation est peu susceptible d’engendrer un risque. Tout retard doit être expliqué. Toutes les violations de données personnelles doivent être documentées, même lorsqu’elles ne sont pas notifiées.
La procédure de notification sous le RGPD distingue aussi la communication aux personnes en cas de risque élevé, sous les conditions et exceptions de l’article 34. Il ne faut donc pas utiliser le seuil suisse de risque élevé comme unique filtre pour décider d’une notification européenne. Un même incident peut appeler des conclusions différentes dans les deux régimes, avec une base factuelle commune.
De même, la présence d’un client français n’établit pas à elle seule la compétence de la CNIL pour toute opération d’une société suisse. Il faut examiner les établissements, les activités ciblant des personnes dans l’Union et les règles de compétence. Le guide du RGPD en Suisse aide à construire ce raisonnement. Préparez ensuite des coordonnées et des circuits d’escalade adaptés aux résultats de l’analyse.
Préparer une réponse d’entreprise traçable
Désignez un coordinateur capable de réunir les responsables métier, la sécurité, le service juridique et les prestataires utiles. Cette organisation pratique ne suppose pas qu’un conseiller soit obligatoire pour tout responsable privé. Lorsque cette fonction existe, précisez son rôle et ses moyens. Les missions du DPO européen constituent un point de comparaison, à adapter au régime et aux fonctions effectivement exercées en Suisse.
Préparez une carte du traitement examiné : qui collecte, pourquoi, dans quels outils, avec quels destinataires et pendant combien de temps. Le registre suisse des activités peut fournir cette structure. Il ne faut pas prétendre qu’il s’agit toujours du premier document demandé par l’autorité. Son utilité tient surtout à la capacité de relier une affirmation générale à un processus, un propriétaire et des preuves concrètes.
Vérifiez aussi les dépendances extérieures. Un traitement bien décrit peut rester difficile à expliquer si les accès du support, les sauvegardes ou les transferts du prestataire ne sont pas connus. Le dossier consacré aux transferts de données sous la nLPD aide à formuler ces questions. Demandez des réponses sur les opérations réelles et conservez les versions contractuelles applicables à la période examinée.
Enfin, séparez le dossier factuel du plan de correction. Le premier restitue ce qui s’est passé, y compris les incertitudes. Le second attribue chaque action, fixe son ordre de priorité et définit la preuve de réalisation attendue. La méthode d’audit de conformité RGPD peut inspirer cette organisation documentaire, sans remplacer l’analyse juridique suisse. Ne présentez pas comme terminée une mesure simplement commandée à un prestataire.
Après la réponse : suivre les mesures et les échéances
La transmission d’un dossier ne met pas nécessairement fin aux échanges. Prévoyez un point de contact durable et conservez les questions reçues, les pièces transmises et leurs versions. Si une erreur est découverte dans une réponse antérieure, examinez rapidement comment la rectifier. Il est préférable d’expliquer précisément une correction que de laisser coexister plusieurs descriptions incompatibles du même traitement.
Lorsqu’une décision impose une adaptation, transformez-la en tâches vérifiables. Pour une réduction de conservation, vérifiez par exemple le système principal, les exports, les espaces de partage et les prestataires concernés. Le constat de réalisation doit porter sur le périmètre réel de la mesure. Une simple modification de la politique publiée ne démontre pas que les données ont été traitées conformément à la décision.
Les voies et délais de recours doivent être examinés à partir de l’acte reçu et du cadre procédural applicable. Une contestation ne se gère pas comme une demande informelle de délai supplémentaire. Si plusieurs filiales ou autorités sont concernées, conservez une chronologie commune, mais identifiez les obligations propres à chacune. Ce suivi évite qu’une réponse envoyée dans un dossier soit considérée à tort comme suffisante dans tous les autres.
Questions fréquentes
Le PFPDT est-il la CNIL suisse ?
La comparaison aide à situer sa mission de surveillance, mais reste incomplète. Le PFPDT intervient aussi dans le domaine de la transparence fédérale et ne prononce pas les amendes pénales de la LPD. Sa compétence ne couvre pas indistinctement tous les organismes publics suisses. Le parcours à choisir dépend donc du responsable et de l’objet de la demande.
Toute fuite doit-elle être annoncée au PFPDT ?
L’annonce prévue par l’article 24 dépend du risque vraisemblablement élevé pour la personnalité ou les droits fondamentaux. L’organisation doit qualifier les faits et documenter sa réaction, même lorsqu’elle conclut à l’absence d’annonce. L’information des personnes et les obligations éventuellement applicables dans d’autres pays constituent des décisions supplémentaires ; elles ne se déduisent pas automatiquement de cette seule conclusion.
Une dénonciation permet-elle d’obtenir une indemnisation ?
La surveillance du PFPDT n’est pas une procédure générale d’indemnisation. Une personne qui souhaite obtenir réparation ou faire valoir un droit individuel doit identifier la voie appropriée, notamment judiciaire selon la situation. Elle peut également signaler des faits à l’autorité, mais doit distinguer les objectifs, les pièces nécessaires et les effets possibles de chacune de ces démarches.