Quelles mesures le Préposé fédéral (PFPDT) peut-il ordonner en cas de violation de la protection des données ?

En cas de violation des dispositions de protection des données, le Préposé fédéral à la protection des données et à la transparence (PFPDT) peut ordonner des mesures administratives directes sur le traitement lui-même. La loi fédérale sur la protection des données (LPD) prévoit qu’il peut imposer la modification, la suspension ou la cessation de tout ou partie du traitement. Il peut aussi ordonner l’effacement ou la destruction de tout ou partie des données personnelles. Ces mesures visent donc aussi bien la manière de traiter les données que l’existence même des données concernées. Lorsqu’une communication de données personnelles à l’étranger est contraire aux conditions prévues par la LPD ou par d’autres lois fédérales concernant ces communications, le PFPDT peut en outre suspendre ou interdire cette communication à l’étranger.^[1]

• Le PFPDT peut ordonner de fournir les informations requises pour certaines communications de données personnelles à l’étranger.
• Il peut ordonner de prendre les mesures prévues par la LPD en matière de protection des données dès la conception et par défaut.
• Il peut ordonner d’informer les personnes concernées conformément aux règles d’information applicables.
• Il peut ordonner d’établir une analyse d’impact relative à la protection des données personnelles.
• Il peut ordonner de le consulter lorsque la LPD le prévoit.
• Il peut ordonner de l’informer et, le cas échéant, d’informer les personnes concernées, conformément aux règles applicables en cas de violation de la sécurité des données.
• Il peut ordonner de communiquer à la personne concernée les renseignements auxquels elle a droit.
• Il peut aussi ordonner au responsable du traitement privé ayant son siège ou son domicile à l’étranger de désigner un représentant conformément à la LPD.

^[1]

Lorsque l’organe fédéral ou la personne privée a pris, durant l’enquête, les mesures nécessaires au rétablissement d’une situation conforme aux prescriptions de protection des données, le PFPDT peut se limiter à prononcer un avertissement. Il convient donc de vérifier, selon la situation concrète, si des mesures correctives ont déjà été prises pendant l’enquête, si des données sont communiquées à l’étranger, et quelles obligations d’information, d’analyse d’impact, de consultation ou de réponse à la personne concernée sont applicables.^[1]

Cette réponse résume le texte légal cité tel qu’il est publié sur Fedlex. Avant d’agir, vérifiez la disposition actuellement en vigueur ainsi que toute modification ultérieure.^[1]