Quatre décisions du PFPDT cet automne : les enseignements pour les entreprises suisses

Par Thomas Contin, Managing Partner

Trois ans après l'entrée en vigueur de la loi fédérale sur la protection des données (LPD) révisée, le Préposé fédéral à la protection des données et à la transparence (PFPDT) fait usage de son pouvoir de rendre des décisions contraignantes. L'automne 2026 en a apporté plusieurs, ainsi qu'un premier arrêt important du Tribunal administratif fédéral.

Le marketing exige un consentement que vous pouvez prouver

Add Conti GmbH vendait des adresses à des annonceurs et affirmait que les consentements provenaient de concours en ligne. Le PFPDT a jugé ces explications peu crédibles, a interdit le traitement et a ordonné l'effacement des données dans les 30 jours suivant l'entrée en force de la décision. L'entreprise avait aussi ignoré des demandes d'accès et d'effacement, et le fait de les avoir confiées à des prestataires ne la libérait pas de sa responsabilité. La décision du 26 juin 2026, publiée le 22 octobre, est entrée en force.

En pratique : quiconque utilise des données personnelles à des fins de marketing supporte le fardeau de la preuve du consentement. Une liste achetée, assortie d'un consentement que personne ne peut documenter, est un risque et non un actif.

Les données collectées dans un but restent liées à ce but

Le 29 octobre 2026, le PFPDT a annoncé une décision contre une agence de renseignements économiques qui utilisait aussi des données de solvabilité à des fins de marketing. Il a interdit cette utilisation, a interdit d'ajouter à sa base de données les informations fournies par les personnes lors d'une demande d'accès et a exigé que l'agence examine les demandes d'effacement même lorsqu'elles ne sont pas motivées. L'agence a recouru, la décision n'est donc pas encore entrée en force.

Les données biométriques exigent un consentement exprès

Dans deux arrêts du 13 octobre 2026 (A-4467/2025 et A-6813/2025), le Tribunal administratif fédéral a confirmé la position du PFPDT sur la reconnaissance vocale de PostFinance. Une empreinte vocale est une donnée personnelle sensible. Le client qui continue de parler après un message enregistré n'a pas donné son consentement exprès, et les empreintes vocales créées sans ce consentement doivent être effacées.

Enregistrer des personnes est une atteinte grave

Le 29 septembre 2026, le PFPDT a interdit à Baselland Transport AG d'utiliser des caméras corporelles qui enregistraient l'image et le son des passagers et du personnel, faute de base légale suffisante pour une entreprise qui accomplit une tâche publique. BLT a recouru. Une entreprise purement privée n'a pas besoin de base légale, mais elle doit tout de même justifier l'enregistrement par un intérêt prépondérant, respecter la proportionnalité et informer les personnes concernées.

Ce que vous devez faire maintenant

Vérifiez les preuves de consentement derrière chaque liste de marketing. Contrôlez que chaque traitement correspond à la finalité indiquée dans votre déclaration de protection des données. Si vous utilisez la reconnaissance de la voix, du visage ou des empreintes digitales, obtenez un consentement exprès et distinct. Avant d'installer des caméras, documentez pourquoi une mesure moins intrusive ne suffit pas.

Advisorn aide les entreprises à examiner leurs traitements, leurs déclarations de protection des données et leurs preuves de consentement, et les accompagne dans les procédures devant le PFPDT.