Fuite de données : qui prévenir, dans quel ordre, sous quel délai

La question se pose toujours au pire moment, et la mauvaise réponse coûte plus cher que l'incident lui-même. Ce guide décrit la procédure suisse, en la distinguant du RGPD, parce que la confusion entre les deux régimes est la première cause d'erreur dans les entreprises qui opèrent des deux côtés de la frontière.

Toutes les fuites ne s'annoncent pas

Le responsable du traitement annonce dans les meilleurs délais au PFPDT les cas de violation de la sécurité des données entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée.

Art. 24 al. 1 LPD

Le déclencheur n'est donc pas la fuite, c'est le risque élevé qui en découle vraisemblablement. Un ordinateur portable chiffré perdu dans un train ne crée pas ce risque, parce que les données restent inaccessibles. Le même ordinateur non chiffré le crée. C'est pour cette raison que le chiffrement des supports vaut autant comme mesure de conformité que comme mesure technique : il transforme un incident annonçable en incident interne.

L'appréciation se fait sur la nature des données, le nombre de personnes touchées, la facilité d'exploitation et les conséquences prévisibles. Elle doit être écrite, même quand la conclusion est de ne pas annoncer. Une décision de non-annonce non documentée est indéfendable après coup.

Les trois différences avec le RGPD

Le seuil suisse est plus haut : le RGPD impose l'annonce dès qu'il existe un risque, la LPD seulement lorsque ce risque est élevé. Une entreprise franco-suisse annoncera donc à la CNIL des incidents qu'elle n'aura pas à annoncer au PFPDT, et non l'inverse.

Le délai suisse n'est pas chiffré. La loi dit « dans les meilleurs délais », et aucun article ne fixe soixante-douze heures. Vous lirez souvent ce chiffre dans des publications commerciales : il vient du RGPD, pas du droit suisse. En pratique, un délai qui se compte en jours et qui s'explique par le temps de qualifier l'incident est défendable ; un délai qui s'explique par l'absence de procédure ne l'est pas.

La troisième différence est la plus utile à connaître pour un dirigeant. En droit suisse, l'annonce faite au PFPDT ne peut être utilisée dans une procédure pénale contre la personne qui l'a faite qu'avec son consentement. Autrement dit, annoncer ne revient pas à s'auto-incriminer, ce qui retire l'argument le plus courant contre l'annonce.

Ce que doit contenir l'annonce

• La nature de la violation, décrite factuellement.
• Ses conséquences prévisibles pour les personnes concernées.
• Les mesures prises ou envisagées pour y remédier.
• Les coordonnées d'une personne joignable pour la suite.

Si tout n'est pas connu, on annonce ce qui l'est et on complète. Attendre d'avoir un dossier complet est la faute classique, parce que le temps consommé à enquêter devient le retard reproché.

Faut-il prévenir les personnes concernées ?

Vous devez les informer lorsque c'est nécessaire à leur protection, ou lorsque le PFPDT l'exige. Le critère est utile : si la personne peut faire quelque chose, changer un mot de passe, surveiller un compte, opposer une contestation, alors l'information lui est due. Des exceptions existent, notamment lorsque l'information est impossible ou exige des efforts disproportionnés.

L'ordre des opérations, le jour venu

1. Contenir. Isoler ce qui doit l'être avant toute autre chose, et surtout ne rien effacer : les journaux sont la seule matière qui permettra de qualifier l'incident.
2. Qualifier. Quelles données, combien de personnes, quel risque. Écrire l'heure de chaque constat.
3. Décider. Annonce au PFPDT ou non, information des personnes ou non, avec la justification écrite dans les deux cas.
4. Annoncer. Par le formulaire du préposé, sans attendre d'avoir tout compris.
5. Informer. Les personnes concernées si le critère est rempli, en langage clair et sans minimiser.
6. Documenter. Le déroulé complet, les décisions et leurs motifs. C'est cette pièce qui vous protège, un an plus tard, quand plus personne ne se souvient de rien.

Si vous opérez aussi en France, la même procédure doit prévoir la branche RGPD, avec son seuil plus bas et son délai de soixante-douze heures, ainsi que la branche NIS2 le cas échéant, avec son alerte à vingt-quatre heures. Voir le guide sur le périmètre NIS2.