Entre octobre 2024 et janvier 2025, le Préposé fédéral à la protection des données et à la transparence (PFPDT) a communiqué sur plusieurs cas de sanctions infligées à des entreprises suisses pour protection insuffisante des données personnelles. Les amendes prononcées ont pu atteindre 50 000 CHF, témoignant de la rigueur accrue dans l’application de la nouvelle Loi fédérale sur la protection des données (nLPD) .
1. Contexte de la nouvelle LPD : ce qui a changé
La nouvelle LPD (nLPD) est entrée en vigueur le 1er septembre 2023, succédant à l’ancienne loi en la modernisant profondément. Ses objectifs :
- Renforcer la protection des données personnelles des citoyens suisses.
- Améliorer la transparence sur la collecte et le traitement des informations sensibles.
- Aligner la législation suisse sur les standards internationaux en matière de protection des données (inspirés notamment par le RGPD européen).
Points clés de la nLPD
- Amendes renforcées : la loi prévoit des sanctions pouvant aller jusqu’à 250 000 CHF en cas de manquements graves.
- Obligation d’information : les personnes concernées (clients, collaborateurs, etc.) doivent être clairement informées de la finalité et de la durée du traitement.
- Gestion des risques : les entreprises doivent mettre en place des mesures organisationnelles et techniques pour assurer la sécurité et la confidentialité des données collectées.
2. Les principales infractions relevées
Selon les informations communiquées par le PFPDT entre octobre 2024 et janvier 2025, les principaux manquements ayant conduit à des amendes se répartissent en trois catégories :
- Sécurité informatique déficiente
- Absence de protocoles de chiffrement.
- Mots de passe trop simples ou partagés.
- Systèmes de pare-feu et de mises à jour inexistants ou obsolètes.
- Manque de transparence auprès des clients
- Politique de confidentialité inexistante ou non conforme.
- Défaut d’information sur la finalité de la collecte des données.
- Absence d’information sur les droits d’opposition ou d’accès.
- Notification tardive ou inexistante en cas de fuite de données
- Ignorance de l’obligation de déclarer rapidement toute violation de données personnelles.
- Communication trop tardive, empêchant le PFPDT d’agir en temps voulu.
3. Conséquences pour les entreprises suisses
Les amendes prononcées par le PFPDT ont atteint jusqu’à 50 000 CHF dans les cas les plus graves recensés entre octobre 2024 et janvier 2025. Au-delà de l’aspect financier, ces sanctions entraînent :
- Une dégradation de l’image de marque : les affaires de fuite de données ou de protection insuffisante sont souvent relayées par les médias, impactant la confiance des clients et des partenaires.
- Un coût interne de remédiation : mise à niveau des systèmes informatiques, formation du personnel, audits de sécurité, etc.
- Un risque juridique accru : les personnes concernées peuvent poursuivre l’entreprise en dommages et intérêts, notamment si elles subissent un préjudice lié à l’utilisation abusive de leurs données.
4. Bonnes pratiques pour éviter les sanctions
Pour minimiser les risques et se mettre en conformité avec la nLPD, voici quelques bonnes pratiques à adopter :
- Réaliser un audit de conformité
- Cartographier les flux de données (collecte, traitement, stockage).
- Vérifier la présence et l’efficacité des mesures de sécurité (cryptage, firewall, authentification multi-facteur).
- Mettre à jour sa politique de confidentialité
- Rédiger des documents clairs et accessibles pour informer les clients et collaborateurs.
- Indiquer les droits des personnes (accès, rectification, effacement) et les moyens de contact pour exercer ces droits.
- Former régulièrement le personnel
- Sensibiliser les équipes aux risques liés au phishing, à l’ingénierie sociale, au partage de mots de passe.
- Mettre à disposition un guide interne ou un référent “protection des données”.
- Prévoir une procédure en cas de fuite de données
- Identifier un plan d’action : qui alerter, comment communiquer, quels délais respecter ?
- Désigner un responsable de la gestion de crise et un porte-parole.
- Suivre les publications du PFPDT
- Le site du PFPDT (voir ci-dessous) publie régulièrement des recommandations et exemples concrets.
- S’abonner aux newsletters et participer aux conférences organisées.
5. Références officielles et liens utiles
- Préposé fédéral à la protection des données et à la transparence (PFPDT)
Site officiel
Retrouvez les directives, FAQ et actualités sur les sanctions. - Nouvelle Loi fédérale sur la protection des données (nLPD)
Informations détaillées du PFPDT
Textes législatifs et principes majeurs de la réforme. - Secrétariat d’État à l’économie (SECO)
Guides et conseils sur la nLPD
Portail offrant des ressources et des fiches pratiques pour les PME.
6. Conclusion
Les sanctions annoncées entre octobre 2024 et janvier 2025 par le PFPDT démontrent la vigilance accrue des autorités suisses en matière de protection des données. Avec des amendes pouvant atteindre 50 000 CHF (et pouvant aller jusqu’à 250 000 CHF selon la loi), la conformité à la nouvelle LPD n’est plus une simple formalité, mais un véritable enjeu stratégique pour toutes les entreprises.
En investissant dès maintenant dans la sécurisation des systèmes, la transparence et la formation du personnel, vous protégerez non seulement vos clients et collaborateurs, mais aussi la réputation et la pérennité de votre entreprise.
