Les faits
Le 6 novembre 2026, le Préposé fédéral à la protection des données et à la transparence (PFPDT) a rendu publique une affaire désormais jugée en dernière instance. Elle concerne Skysale Schweiz GmbH, exploitante de la boutique en ligne apfelkiste.ch.
Après une violation de la sécurité des données, le PFPDT a examiné si l’entreprise pouvait s’abstenir d’informer les personnes concernées. Par décision du 28 mai 2024, il a jugé que non : cette information était nécessaire à leur protection, car c’est leur seul moyen de se prémunir contre le hameçonnage et les fraudes aux données bancaires. Il a ordonné, sous peine de sanction, d’informer les personnes dans un délai de dix jours dès l’entrée en force de la décision.
Skysale a recouru. Le Tribunal administratif fédéral a rejeté le recours par arrêt du 8 avril 2026. Il confirme le devoir d’information et précise que les mesures techniques prises après coup pour corriger la violation n’y changent rien. Comme l’entreprise n’était plus en mesure d’identifier les personnes concernées en raison des mesures qu’elle avait prises, l’information peut prendre la forme d’une communication publique.
Les conséquences
Pour l’entreprise, la procédure aura duré près de deux ans, et l’obligation d’informer subsiste malgré les corrections apportées. Une communication publique est une forme d’information plus visible qu’un courriel adressé aux personnes concernées.
Pour les personnes touchées, l’enjeu est concret : sans information, elles ne peuvent ni changer leurs mots de passe ni se méfier des faux messages qui suivent généralement une fuite.
Pour les autres entreprises, l’arrêt donne une indication claire sur la manière dont les juges lisent l’obligation d’information. Il ne faut pas en conclure que toute violation impose d’informer chaque personne : la loi lie cette obligation à la nécessité de protéger les personnes concernées.
Les leçons pour votre PME
Une fois l’incident maîtrisé, une seconde question demeure : avez-vous informé celles et ceux dont les données étaient en jeu ? Beaucoup d’entreprises découvrent cette question après coup, alors qu’elle se prépare avant.
Quelques vérifications simples permettent de voir où vous en êtes. D’autres demandent un regard plus fin sur vos outils, vos contrats et vos processus internes.
Les points de contrôle prioritaires, et les erreurs les plus fréquentes dans ce type de situation, font l’objet d’un guide pratique réservé aux abonnés de notre newsletter.
