Violation de données nLPD : quand l'annoncer au PFPDT ?

Un ordinateur portable volé, un fichier clients envoyé au mauvais destinataire, un compte Microsoft 365 piraté, un ransomware : ce sont autant de violations de la sécurité des données au sens de la nLPD. Selon le risque pour les personnes concernées, une violation de données appelle une annonce au PFPDT, le Préposé fédéral à la protection des données et à la transparence.

Les heures qui suivent la découverte comptent. Cet article résume ce que prévoit la loi et la façon de s'y préparer. Il ne remplace pas un conseil juridique sur un cas précis.

Qu'est-ce qu'une violation de données selon la nLPD ?

La loi parle de violation de la sécurité des données lorsque, de manière accidentelle ou illicite, des données personnelles sont perdues, modifiées, effacées ou détruites, ou divulguées et rendues accessibles à des personnes non autorisées. Une attaque n'est donc pas nécessaire : une erreur suffit.

• Un ordinateur portable non chiffré perdu ou volé.
• Un e-mail contenant des données de clients envoyé à la mauvaise adresse.
• Une boîte e-mail compromise par phishing et consultée par un tiers.
• Des fichiers chiffrés ou copiés par un ransomware.
• Un partage de fichiers ouvert par erreur à toute personne disposant du lien.

Quand faut-il annoncer une violation au PFPDT ?

L'annonce est obligatoire lorsque la violation entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. Le risque dépend du type de données (données sensibles, données financières, mots de passe), du nombre de personnes touchées et des conséquences possibles : usurpation d'identité, fraude, atteinte à la réputation.

Un portable chiffré perdu présente en général un risque faible ; une liste de clients avec leurs coordonnées bancaires publiée en ligne, un risque élevé. L'annonce se fait dans les meilleurs délais, par le portail en ligne du PFPDT. La loi ne fixe pas un nombre d'heures, mais attendre d'avoir tout compris n'est pas une bonne idée : mieux vaut annoncer ce que l'on sait, puis compléter.

Faut-il informer les personnes concernées ?

Vous informez aussi les personnes concernées lorsque c'est nécessaire à leur protection ou lorsque le PFPDT l'exige. C'est le cas si elles peuvent agir pour limiter le dommage : changer un mot de passe, surveiller leur compte bancaire, se méfier de messages frauduleux qui exploiteraient les données volées.

Le message reste clair et factuel : ce qui s'est passé, quelles données sont touchées, ce que vous avez fait et ce que la personne peut faire. La loi prévoit des exceptions, par exemple lorsque l'information est impossible ou demande des efforts disproportionnés ; une communication publique peut alors la remplacer.

Documenter chaque violation

Le responsable du traitement documente les violations : les faits, leurs effets et les mesures prises. Lorsqu'une violation a été annoncée, l'ordonnance sur la protection des données (OPDo) impose de conserver cette documentation au moins deux ans à compter de l'annonce. Tenir ce journal, même pour les incidents mineurs, aide aussi à repérer ce qui se répète.

Le rôle du prestataire informatique

Votre prestataire informatique est souvent le premier à voir l'incident : alerte de l'EDR, connexion suspecte, sauvegarde altérée. En tant que sous-traitant, il doit vous informer dans les meilleurs délais. L'annonce au PFPDT reste votre décision, mais il vous transmet les éléments techniques dont il dispose : premiers constats, systèmes touchés, données concernées, mesures de confinement prises. Une investigation approfondie ou une analyse forensique fait en général l'objet d'un mandat séparé.

Préparez-vous avant l'incident avec une procédure écrite d'une page : qui décide, qui annonce, les coordonnées du prestataire et de l'assureur, l'emplacement des journaux et des sauvegardes. Les exploitants d'infrastructures critiques doivent en outre, depuis le 1er avril 2025, signaler les cyberattaques à l'OFCS dans les 24 heures.