Quand on parle de vol de données, on imagine un pirate qui force un serveur à distance. Cette image existe, mais elle est trompeuse. Dans la vie réelle d’une PME, la fuite commence beaucoup plus souvent par un geste banal : un fichier envoyé au mauvais destinataire, un ordinateur portable oublié dans un train, un compte qui n’a jamais été fermé après un départ.
Le résultat est pourtant le même. Des informations qui concernent vos clients, vos employés ou vos partenaires se retrouvent hors de votre contrôle. Et à partir de ce moment, vous devez répondre à trois questions : qu’est-ce qui est sorti, qui peut en faire quoi, et qu’êtes-vous tenu de faire.
Une fuite, ce n’est pas forcément un piratage
La notion juridique suisse est volontairement large. Une violation de la sécurité des données, c’est toute atteinte qui entraîne, de manière accidentelle ou illicite, la perte de données personnelles, leur modification, leur effacement, leur destruction, ou leur divulgation à des personnes non autorisées. Le mot important est « accidentelle ». L’erreur compte autant que l’attaque.
| Cause | À quoi ça ressemble en pratique | Ce qui la rend probable |
|---|---|---|
| Piratage | Intrusion sur un serveur ou une messagerie, exfiltration de fichiers avant chiffrement | Mot de passe faible, accès distant non protégé, faille non corrigée |
| Erreur humaine | Fichier joint au mauvais destinataire, liste de clients en copie visible, dossier partagé ouvert à tous | Pas de relecture, partage cloud mal configuré, urgence |
| Perte ou vol de matériel | Portable, téléphone ou clé USB perdus, avec des données non chiffrées | Absence de chiffrement du disque, pas de code de verrouillage |
| Prestataire compromis | Le logiciel de paie, le fiduciaire ou l’hébergeur subit une attaque, vos données partent avec | Contrat sans clause de sécurité, aucune visibilité sur le sous-traitant |
| Ancien employé | Copie du fichier clients emportée, compte encore actif des mois après le départ | Aucune procédure de départ, comptes partagés, accès jamais revus |
Aucune de ces cinq lignes n’est marginale. Les trois du milieu ne demandent aucune compétence technique à qui que ce soit, et elles suffisent à exposer l’intégralité de votre base clients.
C'est la faille la plus banale et la plus persistante. Un collaborateur quitte l'entreprise, son badge est rendu, son ordinateur aussi, mais son accès à la messagerie, au CRM ou au partage de fichiers reste actif. Parfois pendant des années. Le jour du départ, la révocation des accès doit figurer sur la même liste que la restitution des clés.
Que valent vos données pour un attaquant ?
Beaucoup de dirigeants pensent que leurs fichiers n’intéressent personne. « Je vends des fenêtres, pas des secrets d’État. » C’est une erreur d’appréciation sur la nature du marché. Les données ne sont pas revendues pour leur contenu, mais pour ce qu’elles permettent de faire.
Usurpation d’identité et fraude. Un nom, une date de naissance, une adresse et un numéro AVS suffisent à ouvrir des comptes ou à commander à crédit au nom d’un tiers. Vos fiches de personnel contiennent exactement cela.
Fraude au paiement ciblée. Vos échanges de messagerie et votre comptabilité révèlent qui paie quoi, à qui, et selon quel rythme. Un attaquant qui les connaît peut envoyer une fausse demande de changement de coordonnées bancaires parfaitement crédible, au bon moment.
Rebond vers vos clients. Vos contacts sont une porte d’entrée. Un message qui arrive d’un fournisseur connu, avec le bon ton et les bonnes références, est ouvert sans hésiter. Le préjudice sort alors de votre entreprise et touche vos partenaires.
Chantage à la publication. C’est le modèle des groupes de rançongiciel actuels : les données sont d’abord volées, puis chiffrées, et leur publication sert de levier supplémentaire. On parle de double extorsion. Au second semestre 2025, 57 incidents liés à des rançongiciels ont été annoncés à l’Office fédéral de la cybersécurité. Le fonctionnement complet de ces attaques est détaillé dans notre article sur le rançongiciel.
Sur l’ensemble de l’année 2025, l’OFCS a reçu 64 733 déclarations volontaires de cyberincidents, contre 62 954 en 2024. Ces annonces sont volontaires : elles donnent une tendance, pas un décompte exhaustif.
Quelles sont vos obligations quand la fuite est constatée ?
C’est le point où beaucoup de PME suisses appliquent, de bonne foi, des règles qui ne sont pas les leurs.
Le délai de 72 heures vient du règlement européen, pas du droit suisse. La loi fédérale sur la protection des données demande une annonce « dans les meilleurs délais », sans chiffre. Et surtout, l'annonce au Préposé fédéral n'est due que si la violation entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. Toutes les fuites ne s'annoncent pas.
Retenez trois principes, valables en règle générale.
Le seuil, c’est le risque élevé. Une adresse de contact professionnelle envoyée par erreur en interne ne se situe pas au même niveau qu’un tableau de salaires, un dossier médical ou une liste de coordonnées bancaires diffusés à l’extérieur. C’est à vous d’apprécier, et surtout de documenter votre appréciation, y compris quand vous concluez qu’il n’y a pas lieu d’annoncer.
Annoncer ne vous expose pas pénalement. La loi prévoit expressément que l’annonce faite au Préposé fédéral ne peut pas être utilisée dans une procédure pénale contre la personne qui annonce, sans son consentement. Ce point est important à connaître, parce que la crainte de s’auto-incriminer freine beaucoup de dirigeants.
Si vous êtes sous-traitant, le seuil ne s’applique pas à vous. Un sous-traitant doit annoncer toute violation à son mandant, sans condition de risque élevé. Si vous hébergez ou traitez les données d’un client, la transparence est due dans tous les cas.
À cela s’ajoutent des obligations qui ne viennent pas de la loi. Vos contrats commerciaux comportent souvent des clauses de confidentialité et des délais d’information en cas d’incident. Vos clients peuvent vous demander des comptes sur cette base bien avant qu’une autorité ne le fasse. La procédure complète est détaillée dans vos obligations nLPD et dans notre article dédié à l’annonce d’une violation.
Les conséquences réelles pour une PME
La sanction administrative n’est pas le premier problème. Ce qui coûte, c’est la suite.
La perte de confiance est immédiate et durable. Un client qui apprend que ses coordonnées bancaires ont circulé ne raisonne pas en termes de conformité. Il se demande simplement s’il continue à travailler avec vous. Ce qui se joue alors tient beaucoup à la façon dont vous l’avez appris et à qui le lui a dit : notre article sur communiquer pendant une cyberattaque détaille quoi dire, à qui, et par quel canal.
La responsabilité contractuelle suit. Si votre contrat vous engage à protéger les données confiées, une fuite peut ouvrir la voie à une demande de dommages-intérêts, indépendamment de toute procédure officielle.
Le coût interne est enfin largement sous-estimé. Identifier ce qui est sorti demande du temps, souvent celui d’un expert externe. Il faut ensuite informer, répondre aux questions, reconstruire les procédures. Pendant ce temps, l’entreprise ne produit pas.
La prévention, dans l’ordre d’efficacité
Trois mesures couvrent la grande majorité des scénarios du tableau.
Limiter les accès. Chaque personne accède à ce dont elle a besoin, et à rien d’autre. Pas de compte partagé, une revue des droits au moins une fois par an, et une procédure de départ qui révoque tout le dernier jour. Ce sujet est développé dans la gestion des accès.
Chiffrer les appareils. Le chiffrement du disque est intégré à Windows et à macOS, il s’active en quelques minutes. Un portable chiffré et verrouillé qui disparaît reste un problème matériel, pas une fuite de données. Ce point est d’autant plus décisif que les appareils quittent le bureau : les mesures correspondantes sont réunies dans notre article sur le télétravail et les appareils mobiles.
Savoir où sont vos données. Faites la liste de ce que vous détenez, où, et qui y a accès, y compris chez vos prestataires. Sans cet inventaire, vous ne pouvez ni évaluer un risque, ni répondre à la question qui compte le jour d’un incident : qu’est-ce qui est sorti exactement ?
La majorité des fuites par erreur humaine se joue sur un envoi. Avant d'expédier un fichier vers l'extérieur, vérifiez trois choses : le destinataire, la pièce jointe, et les onglets cachés du tableur. Un fichier Excel envoyé pour ses chiffres du mois contient parfois, dans un second onglet, toute la liste du personnel avec les salaires.
Ces mesures se complètent avec vos sauvegardes, qui protègent la disponibilité de vos données, et avec la vigilance sur vos fournisseurs, par lesquels une part croissante des incidents arrive.
Que faut-il faire dès aujourd’hui ?
Une étude de 2025 relevait que 42 % des PME suisses estiment leur protection suffisante, contre 55 % un an plus tôt. La confiance baisse, ce qui est plutôt sain : la lucidité précède l’action.
Commencez par le plus simple. Listez les comptes actifs dans vos outils et comparez cette liste à votre effectif réel. Beaucoup de dirigeants découvrent à cette occasion des accès qui n’auraient jamais dû survivre. Décidez ensuite qui, dans votre entreprise, est prévenu en premier si une fuite est constatée, et ce qu’il fait dans l’heure qui suit. Les étapes de la réaction sont décrites dans vos obligations légales après un incident.
Pour situer votre niveau de protection global, le check-up cyber consacre plusieurs questions aux accès et à la confidentialité des données. Les autres risques auxquels une PME est exposée sont regroupés dans le pilier Menaces.
Pour les situations particulières, notamment un litige avec un ancien employé ou un doute sur le seuil du risque élevé, l’avis d’un juriste spécialisé reste indispensable.