L’article 24 de la nouvelle Loi fédérale sur la protection des données (nLPD) impose la notification au PFPDT (Préposé fédéral à la protection des données et à la transparence) en cas de violation de données présentant un risque élevé pour les personnes concernées. La loi ne fixe pas de délai chiffré de 72 heures : il faut agir dans les meilleurs délais, sans attendre la fin de l’enquête technique.
Cet article détaille la procédure étape par étape : qualification de la violation, critères de risque, contenu de la notification, communication aux personnes concernées, et coordination avec le RGPD pour les violations transfrontalières. Pour le cadre nLPD général, voir nLPD vs RGPD : 7 différences clés.
Points clés
- La nLPD impose la notification au PFPDT dans les meilleurs délais — pas de délai strict de 72h.
- Critère déclencheur : risque élevé pour les personnes concernées. Risque modéré ou faible : pas d’obligation de notifier au PFPDT, mais documentation interne obligatoire.
- Communication aux personnes concernées : obligatoire si nécessaire à leur protection ou si le PFPDT l’exige.
- L’omission de l’annonce de l’article 24 n’est pas, en elle-même, l’infraction pénale de l’article 60. Le PFPDT peut ordonner de réparer l’omission ; la désobéissance à une décision assortie de la menace pénale suit un régime distinct.
- Deux notifications peuvent être nécessaires si les deux lois s’appliquent et si leurs seuils respectifs sont atteints. Examinez séparément chaque obligation.
1. Qu’est-ce qu’une violation de données sous la nLPD ?
L’article 5(h) LPD vise une violation de sécurité entraînant de manière accidentelle ou illicite la perte, l’effacement, la destruction ou la modification de données personnelles, ou leur divulgation ou mise à disposition auprès de personnes non autorisées. Les atteintes à la disponibilité, à l’intégrité et à la confidentialité doivent être examinées.
Trois catégories typiques :
| Type | Exemple |
|---|---|
| Confidentialité | Vol de base de données, e-mail envoyé au mauvais destinataire, accès illicite par un employé |
| Intégrité | Altération non autorisée d’un dossier RH, modification de données par un attaquant |
| Disponibilité | Ransomware bloquant l’accès aux fichiers clients, perte de sauvegarde unique |
Attention : une maintenance planifiée n’est pas automatiquement une violation. Inversement, une perte temporaire de disponibilité peut avoir des conséquences graves, par exemple si elle empêche un soin. Qualifiez les faits et leurs effets ; la durée seule ne décide pas du résultat.
2. Critère déclencheur : le risque élevé
Contrairement au RGPD qui impose la notification dès qu’il existe un risque (sauf exceptions), la nLPD limite l’obligation aux violations présentant un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées (article 24 al. 1 nLPD).
Indicateurs de risque élevé (analyse au cas par cas) :
- Catégories de données : données sensibles (santé, opinions politiques, données pénales) → sensibilité à prendre en compte dans le contexte
- Nature de la violation : exfiltration vers un tiers identifié comme malveillant > simple perte d’un fichier chiffré
- Volume : 50 000 dossiers compromis > 5 dossiers
- Identifiabilité : données nominatives identifiables > données pseudonymisées correctement
- Conséquences possibles : usurpation d’identité, fraude financière, discrimination, atteinte à la réputation
Méthode pratique : décrivez les conséquences possibles et leur vraisemblance. Une seule conséquence grave pour une personne vulnérable peut suffire ; une règle « trois critères élevés sur cinq » n’est pas prévue par la loi. Le guide du PFPDT distingue notamment la gravité et la probabilité. Notez les incertitudes, les faits disponibles et les mesures déjà effectives, sans compter comme acquise une correction seulement envisagée.
3. Procédure interne en 7 étapes
Étape 1 — Détection et alerte (T+0)
Sources de détection :
- Outils de monitoring (SIEM, EDR, alertes cloud)
- Signalement par un employé ou utilisateur
- Notification d’un sous-traitant ou prestataire
- Demande de rançon (ransomware)
- Investigation post-incident
Mettre en place une boîte mail dédiée (incident@... ou security@...) et un canal de signalement interne accessible à tous les collaborateurs.
Étape 2 — Confinement et conservation des preuves
En parallèle de la première analyse :
- Isoler les systèmes compromis
- Révoquer les accès suspects
- Préserver les preuves (logs, captures, copies forensiques)
- Activer la cellule de crise
Étape 3 — Qualification dès les premiers éléments disponibles
Déterminer :
- Y a-t-il violation au sens nLPD ?
- Quelles données sont concernées ? (catégories, volume, nominatif/pseudonymisé)
- Combien de personnes ?
- Cause : externe (attaque), interne (négligence, malveillance), tiers (sous-traitant) ?
- Étendue temporelle : depuis quand ? Encore en cours ?
Étape 4 — Évaluation immédiate et réévaluation du risque
Apprécier la gravité et la vraisemblance des conséquences. Décision :
- Risque élevé → notifier le PFPDT (étape 5)
- Risque non élevé → documenter sans notifier (étape 7)
- Le risque vraisemblablement élevé ne peut pas être écarté dans les délais serrés : ne pas attendre des investigations prolongées pour adresser l’annonce requise, conformément au guide du PFPDT.
Étape 5 — Notification au PFPDT (dans les meilleurs délais)
Le PFPDT met à disposition un formulaire en ligne sur edoeb.admin.ch. Contenu obligatoire :
- Nature de la violation, moment et durée connus
- Catégories et nombre approximatif de personnes concernées
- Catégories et nombre approximatif de jeux de données concernés
- Conséquences probables
- Mesures prises ou envisagées pour remédier à la violation et atténuer ses effets
- Coordonnées du conseiller à la protection des données ou du point de contact
« Dans les meilleurs délais » ne signifie pas « attendre 72 heures ». Envoyez une annonce initiale avec les informations disponibles et complétez les éléments manquants sans tarder (article 15 OPDo). Conservez l’accusé de réception et la version de chaque complément. Le sous-traitant informe le responsable de toute violation dans les meilleurs délais, indépendamment du seuil de risque élevé (article 24(3) LPD).
Étape 6 — Communication aux personnes concernées
Obligatoire si nécessaire à leur protection (article 24 al. 4 LPD) ou si le PFPDT l’exige.
Cas typiques imposant la communication :
- Compromission de mots de passe → recommander la modification
- Exfiltration de données financières ou de santé → permettre vigilance
- Risque d’usurpation d’identité
Choisissez un canal permettant aux personnes de prendre les mesures utiles : courriel, courrier ou autre moyen approprié. Une communication publique ne remplace pas automatiquement les messages individuels parce que le volume est élevé ; l’article 24(5) prévoit des exceptions et des conditions, notamment une information publique assurant une information comparable lorsque l’information individuelle exige des efforts disproportionnés.
Contenu :
- Description claire de la violation
- Conséquences possibles
- Mesures recommandées (changer mot de passe, surveiller comptes bancaires, etc.)
- Coordonnées du point de contact
Étape 7 — Documentation interne
Documentez les violations et l’évaluation justifiant l’annonce ou son absence ; l’article 15(4) OPDo prévoit notamment la conservation de la documentation de la violation pendant au moins deux ans. Le PFPDT peut auditer ce registre. Format minimum :
- Date de détection et de prise de connaissance
- Description factuelle
- Données et personnes concernées
- Évaluation du risque (motivée)
- Décision (notifier / ne pas notifier)
- Mesures correctives prises
- Leçons apprises et améliorations
4. Coordination RGPD + nLPD : la double notification
Vérifiez d’abord l’application territoriale du RGPD au traitement affecté. La nationalité européenne d’un client n’est pas, à elle seule, un critère suffisant.
| Régime applicable | Déclencheur de l’annonce à l’autorité | Échéance |
|---|---|---|
| LPD, article 24 | Risque vraisemblablement élevé pour la personnalité ou les droits fondamentaux | Dans les meilleurs délais |
| RGPD, article 33 | Violation sauf risque improbable pour les droits et libertés | Sans retard injustifié, si possible dans les 72 heures après prise de connaissance |
Une même fiche de faits peut alimenter les deux annonces. Elle doit conserver deux décisions juridiques et les références de chaque envoi. Si le seuil suisse n’est pas atteint, une notification RGPD ne rend pas automatiquement l’annonce suisse obligatoire.
Pour une entreprise sans établissement dans l’EEE, la présence d’un représentant ne crée pas un guichet unique. Vérifiez les autorités compétentes dans les États concernés ; ne désignez pas automatiquement une « autorité chef de file ». Notre guide de l’article 33 explique le circuit européen.
5. Sanctions en cas de défaut de notification
Le guide du PFPDT précise que le défaut d’annonce ou d’information de l’article 24 n’est pas directement assorti d’une sanction pénale. L’article 60 ne doit donc pas être cité comme s’il punissait cette omission d’une amende automatique de 250 000 CHF.
Le PFPDT peut cependant ordonner de remplir les obligations, ouvrir une enquête et prendre des mesures. La violation intentionnelle d’une décision notifiée sous la menace de la peine de l’article 63 constitue une question distincte. D’autres manquements sous-jacents, par exemple à des devoirs de diligence, peuvent aussi relever des infractions prévues par la LPD si leurs conditions sont réunies.
La procédure de notification doit rester centrée sur la protection des personnes : réduire les conséquences, informer utilement et assurer la traçabilité des décisions.
6. Cas pratique : ransomware sur PME suisse
Exemple fictif. Un rançongiciel bloque les dossiers RH d’une PME suisse. Certains dossiers contiennent des informations médicales. Une sauvegarde récente est disponible, mais l’exfiltration ne peut pas être écartée.
Dès l’alerte, l’équipe isole les accès compromis et préserve les journaux. Le responsable demande quels dossiers sont affectés, qui pourrait les consulter, depuis quand et avec quelles conséquences. La restauration améliore la disponibilité ; elle ne prouve pas que les données n’ont pas été copiées.
Si la première analyse fait apparaître un risque vraisemblablement élevé, le responsable adresse l’annonce au PFPDT avec les faits disponibles. Il n’attend pas une étape prédéfinie « T+72 h ». Il distingue les faits confirmés (« dossiers chiffrés ») des inconnues (« exfiltration non exclue ») et fixe la prochaine réévaluation.
L’information des personnes est décidée selon les mesures qu’elles peuvent prendre pour se protéger et les éventuelles instructions du PFPDT. Une date uniforme « J+5 » n’est pas une règle légale. Les compléments d’enquête précisent ensuite le périmètre, les conséquences et les corrections, en conservant la chronologie initiale.
Le dossier final doit permettre de répondre à quatre questions : quand le risque a-t-il été identifié, qui a décidé, quelles informations ont été transmises et pourquoi les mesures étaient-elles adaptées aux personnes concernées ?
Conclusion
La procédure suisse repose sur une évaluation rapide du risque vraisemblablement élevé, une annonce dans les meilleurs délais et une information utile aux personnes. Documentez les faits et les incertitudes ; une procédure européenne peut servir de point de départ, mais ses seuils et délais ne doivent pas être copiés sans adaptation.
Pour aller plus loin : checklist nLPD pour PME, PFPDT — rôle et pouvoirs, nLPD vs RGPD.
FAQ
Quel est le délai de notification au PFPDT en cas de violation de données ?
L’article 24 LPD impose d’annoncer dans les meilleurs délais, sans délai chiffré. Adressez les informations disponibles et complétez sans tarder ; il n’existe pas de délai de grâce général de 72 heures.
Faut-il notifier toutes les violations de données ?
Non. La nLPD impose la notification au PFPDT uniquement pour les violations présentant un risque élevé pour les personnes concernées. Les violations à risque modéré ou faible doivent être documentées en interne mais ne sont pas notifiées.
Comment évaluer si le risque est élevé ?
Appréciez ensemble la gravité et la vraisemblance des conséquences, en tenant compte des données, des personnes, des accès et des mesures effectives. Aucun score de trois critères sur cinq ne remplace cette analyse.
Que risque un dirigeant qui ne notifie pas une violation à risque élevé ?
L’omission de l’article 24 n’est pas directement punie par l’article 60. Le PFPDT peut ordonner d’y remédier ; la désobéissance intentionnelle à une décision assortie de la menace de l’article 63 est distincte.
Une PME suisse vendant en France doit-elle notifier la CNIL en plus du PFPDT ?
Cela dépend du traitement, de l’application du RGPD et de son seuil de notification. Si la France est concernée, examinez la compétence de la CNIL ; sans établissement européen pertinent, ne supposez pas l’existence d’un guichet unique. L’annonce au PFPDT s’évalue séparément.
Sources vérifiées le 26 septembre 2026 : PFPDT, guide relatif à l’article 24, version du 23 avril 2025, LPD et OPDo.