Données personnelles perdues, volées ou envoyées au mauvais destinataire
Évaluez l’annonce
Un courriel envoyé au mauvais destinataire compte aussi.
Identifiez le type de données touchées.
Isolez les systèmes ou comptes concernés.
Évaluez s’il faut annoncer : au PFPDT pour une entreprise, à l’APDI pour une commune vaudoise.
Documentez une première analyse du risque.
Entreprise : annoncez au PFPDT aussi vite que possible une violation qui entraîne vraisemblablement un risque élevé pour les personnes, sur databreach.edoeb.admin.ch. Informez les personnes concernées si leur protection l’exige.
Des données chiffrées efficacement restent illisibles sans la clé : l’obligation d’annoncer ne s’applique alors pas. Pour une entreprise, chaque violation se documente, et cette documentation se garde au moins deux ans.
Commune vaudoise : pour ses propres traitements, une commune vaudoise relève de la loi cantonale sur la protection des données personnelles (LPrD), pas de la LPD fédérale. L’annonce à l’APDI n’est pas encore une obligation légale, mais le canton l’attend systématiquement et fournit un formulaire.
À ne pas faire
Attendre d’avoir tout clarifié. En cas de doute sur le risque, le PFPDT demande d’annoncer sans tarder.
Vous fier à la bonne foi d’un destinataire inconnu : elle n’exclut pas un risque élevé.
Qui prévenir : votre prestataire informatique, avec la personne qui décide de l’annonce. Cette décision revient au responsable du traitement, pas au prestataire. Quand Computis est votre sous-traitant informatique, elle vous annonce sans tarder toute violation de la sécurité des données.