Quelle amende en cas de sécurité insuffisante, de sous-traitance ou de transfert à l'étranger illicites ?

La loi sur la protection des données (LPD) prévoit, sur plainte, une amende de 250 000 francs au plus. Cette sanction vise les personnes privées qui agissent intentionnellement. Elle couvre trois situations: la communication de données personnelles à l’étranger en violation des conditions applicables au transfert international, la sous-traitance d’un traitement sans que les conditions légales soient remplies, et le non-respect des exigences minimales en matière de sécurité des données édictées par le Conseil fédéral. Pour apprécier le risque, il faut donc vérifier à la fois la qualité de personne privée, le caractère intentionnel du comportement et l’existence d’une plainte.^[1]

Pour un transfert à l’étranger, la LPD sanctionne la communication de données personnelles à l’étranger lorsqu’elle intervient en violation des conditions prévues pour ce type de communication et sans que les conditions prévues pour les cas admissibles soient remplies. Pour la sous-traitance, la sanction s’applique lorsque le traitement est confié à un sous-traitant sans que les conditions légales correspondantes soient remplies. Pour la sécurité des données, la sanction vise le non-respect des exigences minimales édictées par le Conseil fédéral. En pratique, il faut contrôler la base juridique du transfert, les conditions de recours au sous-traitant et les mesures de sécurité minimales applicables au traitement concerné.^[1]

Cette réponse résume le texte légal cité tel que publié sur Fedlex. Avant d’agir, vérifiez la disposition actuellement en vigueur ainsi que toute modification ultérieure.^[1]