Violation de données : faut-il l'annoncer au PFPDT ?

Prenons un cas inventé, à Bulle. Lundi soir, l’assistant d’un cabinet de physiothérapie colle dans un chatbot, depuis son compte privé, la lettre d’une patiente mécontente : nom, date de naissance, numéro AVS, diagnostic. Mardi matin, la titulaire l’apprend. Doit-elle annoncer l’incident au PFPDT ?

L’art. 24 LPD répond, mais sans heure limite ; pour moi, mercredi, c’est déjà tard. Ce guide va du soupçon à la fiche d’incident, avec la loi, l’OPDo et le guide du Préposé. Le cadre général d’un assistant d’IA au bureau se trouve dans ce qu’exige la nLPD d’une entreprise qui utilise l’IA.

Violation de la sécurité des données : un texte collé dans un chatbot en est-il une ?

La LPD ne parle ni de fuite ni de brèche. Son art. 5, let. h définit la violation de la sécurité des données : perte, modification, effacement, destruction, divulgation ou accès non autorisés, de manière accidentelle ou illicite. Une erreur de bonne foi suffit ; aucun pirate n’est requis.

Avec l’IA, tout tient au canal. L’outil choisi par l’entreprise, sous contrat de sous-traitance, reçoit le texte avec votre autorisation. Un compte privé fait sortir les données vers un tiers que personne n’a autorisé, aux conditions grand public décrites dans notre page sur ChatGPT depuis la Suisse.

Le guide du PFPDT ajoute une nuance que je retiens volontiers : des données chiffrées efficacement comptent comme anonymes pour qui n’a pas de quoi les déchiffrer, alors que des données seulement pseudonymisées restent personnelles.

Risque élevé : les critères du PFPDT pour décider d’annoncer

L’obligation ne vise que les violations qui entraînent « vraisemblablement un risque élevé » pour la personnalité ou les droits fondamentaux. Le guide du Préposé l’évalue en deux temps : la gravité pour la personne la plus touchée, puis la probabilité que le dommage redouté survienne.

Un diagnostic et les autres données que la LPD classe comme sensibles font souvent pencher vers le haut, mais des données ordinaires peuvent suffire. Le nombre de personnes, à lui seul, ne prouve rien.

Pour la patiente de Bulle, je n’hésite pas longtemps : diagnostic, identité complète, destinataire hors contrat. J’annoncerais.

« Dans les meilleurs délais » : le délai d’annonce au PFPDT, sans compte à rebours

Le droit européen compte en heures ; la LPD, non. L’art. 24, al. 1 exige une annonce « dans les meilleurs délais ». Ne prenez pas cela pour de la souplesse : le PFPDT veut l’annonce dès que l’analyse rapide montre un risque élevé, ou ne parvient pas à l’exclure.

Son exemple est le rançongiciel : la première analyse doit souvent supposer un risque élevé. Les mesures décidées après coup ne comptent pas ; seules des mesures d’urgence prises avant l’annonce, à l’effet prouvé, peuvent entrer dans l’évaluation.

Effacer la conversation reste utile, mais OpenAI indique qu’un chat supprimé quitte ses systèmes dans les 30 jours, sauf obligation légale ou de sécurité : le risque initial demeure. La marche à suivre est dans notre guide pour supprimer l’historique ChatGPT.

Votre police cyber fixe souvent son propre délai de déclaration. Ce délai-là, je le cherche dans le contrat avant l’incident, pas un mardi matin ; l’assurance cyber face à une fuite par l’IA montre où regarder.

Contenu de l’annonce au PFPDT et portail DataBreach

Pour une annonce obligatoire, le Préposé ouvre le portail databreach.edoeb.admin.ch. Le formulaire contrôle que les rubriques de l’art. 15, al. 1 OPDo sont remplies, transmet de façon sécurisée et délivre une confirmation du moment de l’annonce. Les annonces spontanées, sans risque élevé, passent en dehors.

Il vous manque des éléments ? L’art. 15, al. 2 permet de les fournir ensuite, dans les meilleurs délais. Entre une annonce partielle mardi et une annonce parfaite la semaine suivante, je prends la première. La personne qui la rédige se désigne d’avance, par exemple dans votre charte IA.

Écrivez sobrement : selon le guide, les annonces sont, sauf exception, des documents officiels au sens de la loi sur la transparence (LTrans). Elles ne servent dans une procédure pénale contre la personne tenue d’annoncer qu’avec son consentement (art. 24, al. 6 LPD).

Informer la personne concernée : la lettre en langage simple

L’art. 24, al. 4 LPD oblige à informer la personne quand sa protection l’exige, ou quand le PFPDT le demande. Le guide insiste : ce devoir se lit indépendamment du risque élevé. Il naît par exemple quand la personne doit se méfier de faux messages ou bloquer une carte.

L’art. 15, al. 3 OPDo fixe le minimum, en langage simple : nature, conséquences et risques, mesures, personne de contact. La forme est libre, l’envoi en principe individuel. Une lettre courte le jour même vaut mieux, à mes yeux, qu’un exposé juridique une semaine plus tard.

L’art. 24, al. 5 LPD permet de la restreindre, de la différer ou d’y renoncer dans des cas étroits : secret légal, effort disproportionné, communication publique équivalente. Pour un cabinet s’ajoute l’art. 321 CP, qui couvre les physiothérapeutes et leurs auxiliaires : voyez le secret professionnel face à l’IA.

Sous-traitant et fournisseur d’IA : qui annonce au responsable du traitement

Quand l’incident se produit chez votre prestataire, la chaîne change : il vous transmet tout, et le tri vous appartient.

Une fiduciaire qui traite votre comptabilité avec un outil d’IA est votre sous-traitante, et le fournisseur de l’outil travaille pour elle. Je mettrais dans chaque contrat le nom de la personne à prévenir et un canal joignable le soir. Une clause IA dans le contrat de mandat peut le prévoir.

Cyberattaque contre une infrastructure critique : signaler à l’OFCS en 24 heures

Depuis le 1er avril 2025, la loi sur la sécurité de l’information (LSI) ouvre un second guichet : les exploitants d’infrastructures critiques signalent certaines cyberattaques à l’Office fédéral de la cybersécurité (OFCS) dans les 24 heures suivant leur détection (art. 74e LSI).

Sont visées les attaques qui menacent le fonctionnement, font fuiter ou manipulent des informations, restent inaperçues plus de nonante jours ou s’accompagnent de chantage (art. 74d LSI, art. 14 OCyS). Le complément suit sous quatorze jours. Depuis le 1er octobre 2025, ignorer une décision de l’OFCS coûte jusqu’à 100 000 francs (art. 74h).

Notre assistant de Bulle n’entre pas dans ce régime, et l’OFCS n’a rien à en connaître : un copier-coller malheureux n’est pas une cyberattaque. Une commune, elle, est assujettie, et sa protection des données relève de la loi cantonale plutôt que du PFPDT, comme l’explique notre guide sur l’IA dans les communes.

Les deux circuits se touchent. Chez un exploitant assujetti, une cyberattaque annoncée au PFPDT compte d’office comme fuite d’informations à signaler (art. 14, al. 2, let. b OCyS). Dans l’autre sens, l’art. 24, al. 5bis LPD, en vigueur depuis le 1er avril 2025, permet au PFPDT de transmettre votre annonce à l’OFCS avec votre accord.

Une banque ajoute à ces deux guichets la FINMA, qui garde sa propre annonce détaillée ; c’est l’un des points de l’IA en banque et en gestion de fortune.

Ne pas annoncer : sanctions de la LPD et fiche d’incident de deux ans

L’omission de l’annonce n’est pas punissable en elle-même selon la LPD : le guide du PFPDT l’écrit en toutes lettres. Le Préposé peut toutefois, s’il apprend l’incident autrement, ordonner l’annonce et l’information des personnes (art. 51, al. 3, let. f).

Ignorer cet ordre est punissable (art. 63), et la cause de l’incident peut l’être aussi. Ces amendes visent d’abord la personne physique ; l’art. 64, al. 2 permet de condamner l’entreprise à sa place si l’amende ne dépasse pas 50 000 francs et que l’enquête serait disproportionnée.

La documentation, elle, ne se discute pas. L’art. 15, al. 4 OPDo exige pour chaque violation les faits, leurs effets et les mesures prises, conservés au moins deux ans dès la date d’annonce. Cette fiche, je la tiens même quand on conclut à ne rien annoncer : c’est elle qui prouve qu’on a réfléchi.

Côté patient, ce qu’une personne peut demander après une fuite figure dans notre page sur l’usage abusif d’un numéro AVS. Côté cabinet, voici la fiche à remplir le jour même.

Fuite de données vers un chatbot : retirer l’identité avant l’envoi

Tout ce qui précède démarre parce que l’identité de la patiente est partie avec le texte. C’est la leçon que je tire du cas de Bulle : pour aider à répondre à une réclamation, le chatbot n’a besoin ni de son nom, ni de son numéro AVS, ni de sa date de naissance.

Nonimo, pensé pour les bureaux romands, fait ce tri sur votre ordinateur : Mathilde Gremaud devient [PERSONNE_1], sa date de naissance et son numéro AVS deviennent des étiquettes, et le brouillon de réponse retrouve ensuite son nom avant que vous l’envoyiez.

La rupture du ligament croisé, elle, reste lisible, et dans une petite ville comme Bulle elle peut suffire à reconnaître la patiente : à vous de décider si elle part. Le dossier complet en Word ou en PDF passe par les outils en ligne, donc par notre serveur.

Sources

• Loi fédérale sur la protection des données (LPD, RS 235.1) : art. 5, let. h, 24 (dont al. 5bis), 51, 61, 63 à 66.
• Ordonnance sur la protection des données (OPDo, RS 235.11) : art. 15, contenu de l’annonce, information et documentation.
• PFPDT, « Guide relatif à l’annonce des violations de la sécurité des données et l’information des personnes concernées en vertu de l’art. 24 LPD », version 1.2 du 23 avril 2025 : risque élevé, sous-traitant, LTrans, sanctions.
• PFPDT, « DataBreach » : portail d’annonce et confirmation téléchargeable.
• OFCS, « Obligation de signaler » : 24 heures depuis le 1er avril 2025, Cyber Security Hub.
• OFCS, « FAQ concernant l’obligation de signaler » : quatorze jours, transmission au PFPDT, entreprises non assujetties.
• OpenAI, « Chat and file retention in ChatGPT » : suppression d’un chat dans les 30 jours.
• État de Vaud, « Protection des données » : LPrD pour les communes, compétence limitée du PFPDT.

Consulté le 9 novembre 2026.