Le jour où votre entreprise est touchée, une question revient très vite, souvent avant même que la situation technique soit stabilisée : est-ce qu’on doit prévenir quelqu’un, et sous quel délai ?
La réponse suisse est moins effrayante que ce qu’on entend habituellement, mais elle est aussi plus subtile. Cet article fait le tour des obligations qui existent réellement, de celles qui n’existent pas, et de celles qui ne figurent dans aucune loi mais dans vos contrats.
Avez-vous vraiment 72 heures pour annoncer ?
C’est l’erreur la plus répandue sur le sujet, et elle circule jusque dans des supports professionnels. Non, vous n’avez pas 72 heures pour annoncer une violation de données en Suisse.
Le délai de 72 heures est une règle du RGPD, le règlement européen sur la protection des données. La loi fédérale suisse sur la protection des données (LPD) emploie une formule différente : l’annonce se fait « dans les meilleurs délais ». Aucun nombre d’heures, aucun nombre de jours.
L'absence de délai chiffré ne vous laisse pas trois semaines. Elle signifie que le temps raisonnable dépend des circonstances : la gravité, la nature des données, la vitesse à laquelle vous pouvez établir les faits. Un retard que vous ne sauriez pas justifier vous serait reproché. La règle pratique est simple : annoncez dès que vous disposez des éléments minimaux, complétez ensuite.
Une réserve importante : si vous traitez des données de personnes situées dans l’Union européenne, par exemple parce que vous avez des clients ou des employés sur place, le RGPD peut s’appliquer en parallèle du droit suisse. Dans ce cas, les 72 heures redeviennent d’actualité. Notre article RGPD ou nLPD, lequel s’applique détaille cette articulation.
Quand faut-il annoncer au PFPDT ?
L’article 24 al. 1 LPD pose une condition unique. Le responsable du traitement annonce au Préposé fédéral à la protection des données et à la transparence (PFPDT) les violations de la sécurité des données qui entraînent vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées.
Pas de risque élevé, pas d’annonce obligatoire. C’est un seuil nettement plus haut que celui du RGPD, qui impose l’annonce dès que le risque n’est pas improbable. En pratique, beaucoup d’incidents qui seraient annonçables en Europe ne le sont pas en Suisse.
Le contenu de l’annonce est également fixé par la loi. L’article 24 al. 2 LPD demande au minimum trois éléments : la nature de la violation, ses conséquences, et les mesures prises ou envisagées. Rien de plus n’est exigé. Si certains éléments vous manquent encore, dites-le et complétez plus tard. L’annonce se dépose en ligne sur le portail du PFPDT.
Beaucoup de dirigeants hésitent par crainte que leur annonce se retourne contre eux. L'article 24 al. 6 LPD répond directement à cette inquiétude : l'annonce ne peut pas être utilisée dans une procédure pénale contre la personne tenue d'annoncer sans son consentement. Le législateur a voulu éviter que la peur de s'auto-incriminer empêche les entreprises de signaler. Cette protection ne couvre en revanche ni les conséquences civiles de l'incident, ni vos engagements contractuels.
Le vrai obstacle : qualifier l’incident
Voilà le point que les guides juridiques passent généralement sous silence. Pour décider s’il y a « risque élevé », il faut savoir précisément quelles données ont été touchées, par qui, pendant combien de temps, et si elles ont été copiées ou seulement consultées.
Or c’est exactement ce qu’une PME ignore au moment où elle doit décider. Trois jours après l’attaque, la question n’est pas « le risque est-il élevé », mais « qu’est-ce qui est sorti, au juste ». Sans journaux d’accès conservés, sans inventaire de ce qui se trouvait sur le serveur touché, sans capacité à distinguer un accès d’une extraction, la réponse honnête est : on ne sait pas.
Cette qualification est une compétence, pas une case à cocher. Elle mobilise de l’analyse technique (que montrent les traces), de la connaissance des données (un fichier de facturation et un dossier de santé n’ont pas le même poids), et du jugement juridique. C’est aussi la raison pour laquelle il vaut mieux préparer le terrain avant l’incident : savoir où sont vos données sensibles et conserver des journaux exploitables change complètement la qualité de la décision que vous prendrez le jour venu.
Dois-je annoncer, à qui, et dans quel délai ?
Le tableau suivant résume les situations les plus fréquentes. Il donne une orientation générale et ne remplace pas l’avis d’un juriste sur votre cas particulier.
| Situation | Annonce due ? | À qui | Délai |
|---|---|---|---|
| Données personnelles exposées, risque élevé probable | Oui | PFPDT, via le portail en ligne | Dans les meilleurs délais, sans délai chiffré |
| Données personnelles exposées, risque faible ou nul | Non en règle générale | Personne, mais documentez la décision | Sans objet |
| Vous êtes sous-traitant d’un client | Oui, toujours | Votre mandant | Rapidement, pour qu’il puisse agir |
| Les personnes doivent se protéger (mot de passe, compte bancaire) | Oui | Les personnes concernées | Aussi vite que possible, l’utilité prime |
| Contrat client imposant une notification | Oui | Votre client | Selon le contrat, souvent 24 à 48 heures |
| Vous exploitez une infrastructure critique | Oui | OFCS, en plus du reste | Selon la réglementation applicable |
Sous-traitant, personnes concernées : deux cas à part
Si vous êtes sous-traitant, la règle change complètement. L’article 24 al. 3 LPD vous impose d’annoncer toute violation à votre mandant, sans condition de seuil de risque. Une agence web qui héberge la base clients d’une entreprise, un fiduciaire qui traite des salaires, un prestataire informatique qui administre un serveur : tous doivent remonter l’incident, même mineur, à celui pour le compte de qui ils travaillent. C’est lui qui décidera ensuite s’il y a matière à annonce au PFPDT.
L’information des personnes concernées est une obligation distincte, qui ne se déclenche pas dans les mêmes cas. Vous devez informer vos clients, vos employés ou vos fournisseurs lorsque c’est nécessaire à leur protection, par exemple pour qu’ils changent un mot de passe réutilisé ailleurs ou surveillent un compte, ou lorsque le PFPDT l’exige. On peut donc devoir annoncer sans informer, ou informer sans annoncer.
Vos contrats sont souvent plus exigeants que la loi
C’est le point le plus souvent ignoré, et pourtant le plus contraignant en pratique.
Beaucoup de contrats clients, en particulier avec des grands comptes, des groupes internationaux ou des entreprises européennes, contiennent une clause de notification d’incident. Ces clauses imposent régulièrement des délais bien plus courts que la loi suisse : 24 heures, parfois moins, avec un interlocuteur désigné et un format imposé. Les mêmes clauses figurent souvent dans les conditions de votre cyberassurance, où un retard d’annonce peut affecter la couverture.
Prenez une heure, à froid, pour extraire de vos principaux contrats clients et de votre police d'assurance les clauses de notification : quel délai, quel destinataire, quel canal. Consignez-les sur une seule page, accessible hors ligne. Le jour de la crise, personne n'aura le temps de relire vingt contrats, et c'est précisément le moment où le compte à rebours contractuel tourne.
Êtes-vous obligé d’annoncer à l’OFCS ?
Depuis le 1er avril 2025, une obligation d’annonce des cyberattaques à l’Office fédéral de la cybersécurité existe en droit suisse, assortie de sanctions depuis le 1er octobre 2025. Elle est régulièrement présentée comme s’appliquant à toutes les entreprises. Ce n’est pas le cas.
Cette obligation vise uniquement les exploitants d’infrastructures critiques : énergie, eau, santé, transports, télécommunications, administrations publiques et quelques autres catégories désignées. Une PME ordinaire, même de bonne taille, n’y est en règle générale pas soumise. Notre article sur les obligations par secteur précise les cas particuliers.
Vous pouvez en revanche annoncer volontairement. L’OFCS a reçu 64 733 déclarations volontaires de cyberincidents en 2025, contre 62 954 en 2024. Ces signalements alimentent la vision nationale de la menace et permettent d’alerter d’autres entreprises. C’est gratuit, rapide, et sans conséquence pour vous.
Ne détruisez pas les preuves
Le réflexe naturel après une attaque est de nettoyer : reformater, réinstaller, repartir sur du propre. Faites-le, mais pas avant d’avoir conservé les traces.
Les journaux de connexion, les images des disques touchés, les en-têtes des messages frauduleux et l’horodatage des événements constituent la seule matière qui vous permettra plus tard de dire ce qui s’est réellement passé. Ces éléments servent à qualifier l’incident, à répondre à un client, à justifier une décision de ne pas annoncer, à appuyer une demande auprès de votre assurance, et le cas échéant à déposer plainte.
Isolez les machines du réseau plutôt que de les éteindre brutalement quand c’est possible, et faites intervenir quelqu’un qui sait prélever avant de reconstruire. Le déroulé pratique des premières heures est détaillé dans les premières heures après une attaque.
Ce que cet article ne remplace pas
Les règles décrites ici valent en règle générale. Votre situation peut en sortir : activité réglementée, données de santé, clients européens, groupe international, sous-traitance en cascade. Dans ces cas, l’analyse mérite un avis juridique dédié, et il coûte toujours moins cher avant l’incident qu’après.
Surtout, retenez que la difficulté n’est presque jamais de connaître la règle. Elle est de savoir, le jour venu, ce qui a été touché. C’est un travail technique, et il se prépare : cartographier vos données, conserver des journaux exploitables, savoir qui appeler. Le check-up cyber vous donne un premier repère sur ce point, et les autres réflexes de crise sont regroupés dans le pilier Réagir. La procédure d’annonce elle-même est détaillée pas à pas dans notre article sur l’annonce d’une violation au PFPDT.