Un collaborateur clique sur un lien piégé, une boîte e-mail est détournée, un fichier client se retrouve dans la mauvaise main. La première question qui tombe en séance de crise est presque toujours la même : est-ce qu’on doit annoncer, et sous quel délai ?
Cet article répond point par point. Il complète vos obligations nLPD en se concentrant sur la seule procédure d’annonce, celle de l’article 24 de la loi sur la protection des données.
Le principe : risque élevé, et rien d’autre
L’article 24 al. 1 LPD est court. Le responsable du traitement annonce au Préposé fédéral à la protection des données et à la transparence, dans les meilleurs délais, les violations de la sécurité des données qui entraînent vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées.
Trois mots portent tout le poids de la règle.
Violation de la sécurité des données couvre large : perte, destruction, modification non autorisée, mais aussi simple accès ou divulgation à des personnes qui n’auraient pas dû voir les données. Une pièce jointe envoyée au mauvais destinataire est une violation, au même titre qu’un rançongiciel.
Vraisemblablement signifie que vous raisonnez sur une probabilité, pas sur une certitude. Vous n’avez pas à attendre la preuve qu’un dommage s’est produit.
Risque élevé est le filtre décisif, et c’est là que la Suisse se distingue nettement de l’Europe.
Le mythe des 72 heures
C’est l’idée fausse la plus répandue sur ce sujet, y compris chez des prestataires informatiques et des conseillers.
Le texte dit « dans les meilleurs délais ». Il ne dit pas 72 heures, ni 24 heures, ni 5 jours. Les 72 heures viennent du RGPD européen, qui ne s'applique à votre PME que si vous visez activement le marché de l'UE. Confondre les deux régimes vous fait soit paniquer inutilement, soit appliquer une règle qui n'est pas la vôtre.
Cette absence de compte à rebours ne veut pas dire que le temps ne compte pas. « Dans les meilleurs délais » reste une exigence sérieuse. Elle s’apprécie au cas par cas : plus le risque pour les personnes est immédiat, plus l’annonce doit être rapide. Un délai de quelques jours consacré à qualifier correctement l’incident se justifie sans peine. Trois semaines de silence, beaucoup moins.
La conséquence pratique est plutôt favorable aux PME. Vous avez le droit de prendre le temps de comprendre ce qui s’est passé avant d’annoncer, ce qui évite les annonces à moitié fausses envoyées dans l’urgence.
Le seuil suisse est plus élevé qu’au RGPD
Deuxième différence majeure, et elle réduit fortement le nombre d’incidents concernés.
Le RGPD impose l’annonce sauf si le risque est improbable. Le principe y est donc d’annoncer, et l’exception de se taire. La loi suisse fait l’inverse : elle n’impose l’annonce que si le risque est élevé. Le principe est donc de ne pas annoncer, et l’exception d’annoncer.
Concrètement, beaucoup moins d’incidents sont annonçables en Suisse. Un ordinateur portable chiffré perdu, sans accès possible aux données, ne déclenche en règle générale aucune obligation d’annonce. Le même appareil non chiffré, contenant des dossiers de santé, la déclenche presque certainement.
Ce point est développé dans notre comparaison RGPD et nLPD.
Dois-je annoncer ? Arbre de décision
Ce tableau reprend la logique de l’article 24 sous forme de questions successives. Il donne une première orientation, pas une réponse juridique définitive.
| Étape | Question | Si oui | Si non |
|---|---|---|---|
| 1 | Des données personnelles sont-elles concernées (perte, accès, divulgation, modification) ? | Passez à l’étape 2 | Pas d’annonce au titre de la LPD |
| 2 | Êtes-vous responsable du traitement, ou sous-traitant pour un mandant ? | Sous-traitant : annoncez à votre mandant, sans condition de seuil (art. 24 al. 3). Responsable : étape 3 | Clarifiez votre rôle avant de continuer |
| 3 | Les données étaient-elles protégées de façon à rester inexploitables (chiffrement robuste, clés non compromises) ? | Le risque élevé est en principe écarté, documentez votre analyse | Passez à l’étape 4 |
| 4 | S’agit-il de données sensibles, de données financières, d’identifiants de connexion, ou d’un volume important de personnes ? | Risque élevé probable, passez à l’étape 5 | Analysez le risque au cas par cas |
| 5 | Les personnes risquent-elles une usurpation d’identité, une fraude, une atteinte à leur réputation, une discrimination ? | Annoncez au PFPDT dans les meilleurs délais | Documentez la décision de ne pas annoncer |
| 6 | L’information est-elle nécessaire à la protection des personnes, ou le PFPDT l’exige-t-il ? | Informez aussi les personnes concernées | Annonce à l’autorité seule |
Notez l’étape 6. Annoncer au PFPDT et informer les personnes concernées sont deux obligations différentes, qui ne se déclenchent pas dans les mêmes conditions. L’une peut exister sans l’autre.
Comment annoncer, et que contient l’annonce ?
L’annonce se fait par le portail en ligne du PFPDT, à l’adresse databreach.edoeb.admin.ch/report. Le formulaire vous guide dans les rubriques attendues. Prévoyez d’avoir sous la main le nom d’une personne de contact chez vous, la chronologie de l’incident et la liste des catégories de données touchées.
L’article 24 al. 2 LPD fixe le contenu minimal :
- la nature de la violation, c’est-à-dire ce qui s’est passé, quand, quelles catégories de données et combien de personnes sont concernées ;
- les conséquences pour les personnes concernées, effectives ou probables ;
- les mesures prises ou envisagées, tant pour corriger la faille que pour limiter les effets de l’incident.
Rien ne vous oblige à disposer d’un dossier complet avant d’annoncer. Si des éléments manquent, dites-le et complétez ensuite. Une annonce rapide et partielle sert mieux les personnes concernées qu’une annonce tardive et exhaustive.
L'article 24 al. 6 LPD est explicite : l'annonce ne peut pas être utilisée dans une procédure pénale contre la personne tenue d'annoncer sans son consentement. Le législateur a délibérément neutralisé le risque d'auto-incrimination, pour que la peur des conséquences ne pousse pas au silence. C'est l'argument à sortir quand quelqu'un, en interne, propose de ne rien dire « au cas où ».
Deux annonces à ne pas confondre. Le PFPDT traite l’aspect protection des données. L’Office fédéral de la cybersécurité, lui, reçoit les annonces d’incidents de cybersécurité, dans un cadre distinct. L’OFCS a reçu 64 733 déclarations volontaires en 2025, contre 62 954 en 2024. Selon la nature de l’incident et votre secteur, les deux démarches peuvent se cumuler.
Faut-il prévenir les personnes concernées ?
C’est la question la plus délicate, parce qu’elle touche à votre relation client.
La règle : vous informez les personnes concernées lorsque cela est nécessaire à leur protection, ou lorsque le PFPDT l’exige.
Le critère est utilitaire. L’information est nécessaire quand elle permet aux personnes d’agir : changer un mot de passe réutilisé ailleurs, surveiller un relevé bancaire, se méfier d’appels frauduleux se réclamant de votre entreprise. Si les personnes ne peuvent rien faire de l’information, l’obligation ne se déclenche pas automatiquement.
Une bonne information est courte, factuelle, et se termine par des actions concrètes. Elle dit ce qui s’est passé, quelles données sont touchées, ce que vous avez fait, et ce que la personne devrait faire maintenant. Elle évite le jargon et les formules défensives.
Après une compromission de boîte e-mail, les attaquants écrivent souvent à vos contacts en votre nom. Vos clients apprendront l'incident d'une manière ou d'une autre. L'apprendre de vous, tôt et clairement, préserve la relation ; l'apprendre par un e-mail frauduleux la détruit. La question n'est presque jamais « faut-il le dire », mais « comment le dire ».
Que se passe-t-il après l’annonce ?
L’inquiétude classique est celle du contrôle qui suivrait automatiquement. Ce n’est pas ainsi que cela fonctionne en règle générale.
Le PFPDT enregistre l’annonce et l’examine. Il peut demander des précisions, recommander des mesures, exiger que vous informiez les personnes concernées, et, dans les situations les plus sérieuses, ouvrir une enquête et rendre des décisions contraignantes. Une annonce faite de bonne foi, accompagnée de mesures correctives crédibles, est traitée comme ce qu’elle est : un signe de sérieux.
De votre côté, l’incident ne se termine pas avec l’annonce. Il reste à documenter la chronologie, conserver les preuves techniques, corriger la cause et vérifier que la correction tient. Ces étapes sont détaillées dans nos guides sur les premières heures après une attaque et sur vos obligations légales après un incident.
Se préparer avant, pas pendant
Une annonce se prépare à froid. Trois éléments suffisent pour une PME.
- Une fiche de décision d’une page. Qui qualifie l’incident, qui décide d’annoncer, qui rédige, qui parle aux clients. Sans noms écrits, tout le monde attend que quelqu’un d’autre tranche.
- Un inventaire de vos données sensibles. Vous ne pouvez pas évaluer un risque élevé si vous ignorez ce que contiennent vos systèmes. C’est le même inventaire que celui décrit dans nos articles sur le vol et la fuite de données.
- Un journal des incidents. Y compris pour ceux que vous décidez de ne pas annoncer. La trace écrite de votre raisonnement est votre meilleure défense si la décision est contestée plus tard.
Chaque situation a ses particularités, et la qualification du risque élevé peut prêter à discussion. Pour un incident touchant des données sensibles ou un grand nombre de personnes, faites-vous accompagner par un juriste spécialisé plutôt que de trancher seul.
Pour situer votre niveau de préparation en trois minutes, le check-up cyber vous donne un score et vos trois priorités. Les autres obligations applicables aux entreprises suisses sont regroupées dans le pilier Réglementations.