Publié le 30 juin 2026, le 33ᵉ Rapport d’activité 2025/2026 du Préposé fédéral à la protection des données et à la transparence (PFPDT) offre un aperçu intéressant de l’état de la protection des données en Suisse. Plus que les décisions individuelles, ce sont les chiffres qui décrivent l’évolution du système : les notifications de violations de la sécurité des données augmentent, l’activité de surveillance s’intensifie et l’importance d’une gouvernance efficace de la protection des données est réaffirmée.
Les principaux chiffres
Au cours de la période de référence, 484 notifications de violations de la sécurité des données ont été reçues, contre 363 l’année précédente.
L’augmentation des signalements volontaires est particulièrement significative : leur nombre est passé de 26 à 141, notamment grâce à la mise à jour du guide du PFPDT relatif à la notification des violations de la sécurité des données.
L’activité de surveillance de l’Autorité confirme une intensification des contrôles :
- 2 447 dénonciations, dont 2 347 à l’encontre d’entités privées et 100 concernant la Confédération ;
- 156 interventions à bas seuil ;
- 22 examens préliminaires ;
- 9 enquêtes formelles.
Le Rapport souligne également une augmentation des notifications provisoires, utilisées lorsqu’un incident est encore en cours d’analyse et qu’il n’est pas possible d’en évaluer immédiatement les conséquences pour les personnes concernées.
Il est par ailleurs rappelé qu’en cas de violation de la sécurité des données, l’obligation de notification prévue à l’article 24 de la LPD demeure à la charge du responsable du traitement. L’utilité des signalements volontaires effectués par les sous-traitants est toutefois reconnue afin de faciliter la coordination des incidents complexes.
Le rôle du conseiller à la protection des données (DPO)
Le Rapport consacre une analyse spécifique au conseiller à la protection des données (DPO), qu’il définit comme une fonction essentielle du système suisse de protection des données, tant dans le secteur public que dans le secteur privé. Ses missions comprennent notamment la formation et la sensibilisation du personnel, le soutien à la mise en œuvre de la LPD ainsi que le rôle d’interlocuteur du PFPDT et des personnes concernées.
L’aspect le plus significatif concerne toutefois une difficulté expressément relevée par l’Autorité : le DPO n’est pas toujours suffisamment associé aux processus par le responsable du traitement. Le PFPDT constate en effet que, même au sein de l’Administration fédérale, il est fréquemment appelé à se prononcer sur des questions de protection des données sans qu’il soit précisé si le DPO de l’organisme concerné a été préalablement consulté.
Pour cette raison, le Rapport rappelle un principe de gouvernance très clair : le conseiller à la protection des données doit être associé suffisamment tôt aux processus afin que les projets soient correctement structurés dès leur lancement. L’Autorité précise également que les organes fédéraux devraient s’adresser en premier lieu à leur propre DPO et ne consulter le PFPDT que dans un second temps, lorsque cela s’avère nécessaire.
Une gouvernance toujours plus centrale
L’augmentation des notifications de violations de la sécurité des données confirme que les organisations évoluent dans un environnement numérique toujours plus complexe. Parallèlement, le Rapport souligne la nécessité de renforcer la gouvernance des traitements en associant rapidement le conseiller à la protection des données aux projets et aux décisions ayant une incidence sur le traitement des données personnelles.
La conformité à la LPD ne dépend pas uniquement des mesures techniques et organisationnelles, mais également de la capacité de l’organisation à intégrer la protection des données dans ses processus décisionnels dès la phase de conception.
