Mon entreprise est-elle obligée de sécuriser les données personnelles qu'elle traite ?
Oui. Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. Les mesures doivent permettre d’éviter toute violation de la sécurité des données.
L’obligation vise les responsables du traitement et les sous-traitants. Elle impose d’assurer la sécurité des données personnelles au moyen de mesures organisationnelles et techniques appropriées. Le niveau de sécurité exigé n’est pas présenté comme identique dans tous les cas: il doit être adéquat par rapport au risque encouru. En pratique, il faut donc vérifier au moins deux éléments à la lumière de cette règle: le rôle exercé dans le traitement des données et le risque lié au traitement concerné, afin de déterminer quelles mesures sont appropriées.[1]
La règle ne se limite pas à une obligation générale de prudence. Elle précise que les mesures doivent permettre d’éviter toute violation de la sécurité des données. Le texte mentionne en outre que le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. Il faut donc vérifier non seulement si des mesures organisationnelles et techniques existent, mais aussi si elles sont adaptées au risque et conformes aux exigences minimales applicables lorsqu’elles ont été précisées.[1]
Cette réponse résume le texte légal cité tel qu’il est publié sur Fedlex. Avant d’agir, vérifiez la disposition actuellement en vigueur ainsi que toute modification ultérieure.[1]