TLDR — Il n’existe pas de délai de 72 heures en droit suisse. L’art. 24 al. 1 LPD impose d’annoncer « dans les meilleurs délais » au PFPDT, et uniquement les violations entraînant vraisemblablement un risque élevé — pas toute violation, contrairement au RGPD. Le contenu de l’annonce est fixé par l’art. 15 al. 1 OPDo, en sept rubriques ; le canal est le portail DataBreach (databreach.edoeb.admin.ch) ; la documentation se conserve deux ans (art. 15 al. 4 OPDo). Sous-traitant, c’est l’al. 3 qui vous vise : annonce au responsable, pour tout cas, sans seuil. Deux pièges : l’omission d’annoncer n’est punie par aucune des dispositions pénales des art. 60 à 63 LPD — mais l’insuffisance de sécurité et le refus d’obtempérer à une décision du PFPDT le sont, jusqu’à 250 000 francs d’amende ; et l’art. 24 al. 6 LPD protège l’annonce contre son usage pénal, ce qui change la façon de la rédiger. Depuis le 1er avril 2025, un même incident peut déclencher un second signalement à l’OFCS, dans les 24 heures (art. 74a ss LSI).
Le titre de cet article est faux. Gardez-le quand même
« Les 72 heures » sont entrées dans le vocabulaire des directions romandes par le RGPD, dont l’art. 33 impose de notifier l’autorité de contrôle dans ce délai. Beaucoup de PME vaudoises ont recopié le chiffre dans leur politique interne. Il n’a aucun fondement en droit suisse.
Le texte applicable est l’art. 24 al. 1 LPD :
« Le responsable du traitement annonce dans les meilleurs délais au PFPDT les cas de violation de la sécurité des données entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. »
Deux écarts, en sens opposés. Le premier vous est favorable : le seuil suisse est plus haut, toutes les violations ne s’annoncent pas. Le second l’est moins : « dans les meilleurs délais » n’est pas un compte à rebours qui vous laisse trois jours de marge, c’est une obligation de célérité appréciée après coup. Une PME qui pouvait qualifier l’incident en huit heures et qui annonce le troisième jour est en retard, même « dans les 72 heures ».
| Question | LPD (art. 24) | RGPD (art. 33-34), pour mémoire |
|---|---|---|
| Quelles violations s’annoncent | Celles entraînant vraisemblablement un risque élevé | Toutes, sauf risque improbable |
| Délai vers l’autorité | Dans les meilleurs délais, sans chiffre | 72 heures |
| Information des personnes | Si nécessaire à leur protection, ou si le PFPDT l’exige (al. 4) | En cas de risque élevé |
| Sanction de l’omission d’annoncer | Aucune aux art. 60 à 63 LPD | Amende administrative |
Gardez néanmoins « 72 heures » comme repère de gestion : c’est la fenêtre dans laquelle une PME de vingt à cent personnes est effectivement capable de détecter, contenir, qualifier, décider et annoncer.
Ce qui doit exister avant, sous peine de perdre le premier jour
Un runbook ne sert à rien si la première heure passe à chercher qui a le droit de décider. Six pièces, à préparer une fois :
- La liste nominative de qui décide : qui déclare, qui qualifie le risque, qui signe l’annonce. Un suppléant chacun, et des numéros privés — la messagerie d’entreprise peut être précisément ce qui est compromis.
- Le registre des activités de traitement, qui vous dira en une heure plutôt qu’en trois jours quelles catégories de données transitaient par le système touché. Sans lui, l’art. 15 al. 1 let. c et d OPDo est irremplissable.
- Les coordonnées de vos clients responsables : agence ou éditeur SaaS, vous êtes sous-traitant sur dix ou deux cents mandats, chacun avec une adresse d’annonce contractuelle.
- Un modèle d’annonce au PFPDT, calqué sur les sept rubriques de l’art. 15 al. 1 OPDo.
- Un modèle de message aux personnes concernées, rédigé à froid, en langage simple.
- La journalisation. Sans journaux d’accès conservés assez longtemps, vous ne pourrez pas établir l’étendue de la fuite : vous annoncerez au pire, donc informerez trop largement.
Le runbook
Les heures courent depuis la détection, pas depuis l’intrusion. Les rôles sont ceux d’une PME : le pilote d’incident (responsable IT ou CTO), la direction, le référent protection des données s’il existe.
| Heure | Étape | Qui décide | Sortie attendue |
|---|---|---|---|
| H+0 | Déclaration de l’incident. N’importe qui peut déclarer ; personne ne peut refuser une déclaration. | Le témoin déclare ; le pilote accepte | Un canal unique, hors du système suspect |
| H+0 à H+1 | Ouverture du journal d’incident, horodaté, tenu par une seule personne. | Pilote d’incident | Le futur dossier de l’art. 15 al. 4 OPDo |
| H+1 à H+4 | Contenir : couper l’accès, révoquer jetons et mots de passe, isoler le segment. Sans rien effacer. | Pilote d’incident, seul | Propagation arrêtée |
| H+2 à H+8 | Préserver : images disque, copies de journaux, en-têtes de messagerie. Restaurer une sauvegarde par-dessus l’original détruit la preuve. | Pilote, avec un prestataire externe si besoin | Copies figées, chaîne de conservation notée |
| H+4 à H+12 | Étendue : quelles données, combien de personnes, sur quelle période, exfiltrées ou seulement exposées. | Pilote + registre des traitements | Chiffres approximatifs, assumés comme tels |
| H+12 à H+24 | Qualification du risque élevé, motivée par écrit — dans les deux sens. | Direction, sur proposition du référent | Une note d’une page, datée et signée |
| H+24 | Décision d’annoncer au PFPDT. En cas de doute persistant, on annonce. | Direction générale | Go / no-go tracé |
| H+24 à H+36 | Rédiger et déposer sur le portail DataBreach. Les rubriques inconnues sont déclarées inconnues, pas laissées vides. | Référent ; signature direction | Confirmation de dépôt archivée |
| H+24 à H+48 | Si vous êtes sous-traitant : annonce à chaque client responsable touché. Indépendant du seuil de risque élevé. | Direction commerciale + pilote | Un envoi tracé par mandat |
| H+36 à H+72 | Information des personnes concernées, si elle s’impose. Message unique, langage simple, un seul canal de réponse. | Direction | Envoi effectué, destinataires conservés |
| H+48 à H+72 | Compléments au PFPDT : ce que vous ignoriez au dépôt (art. 15 al. 2 OPDo). | Référent | Annonce complétée |
| J+10 à J+30 | Retour d’expérience et clôture. Conservation du dossier deux ans. | Direction | Mesures correctives datées et attribuées |
Qualifier le « risque élevé »
La LPD ne le définit pas. C’est une appréciation, et c’est pour cela qu’elle doit être motivée par écrit le jour même : un an plus tard, personne ne se souviendra de ce que vous saviez à H+18. Sept critères tiennent la décision : la nature des données (des données sensibles au sens de l’art. 5 LPD font monter le curseur immédiatement) ; le volume — mille dossiers complets pèsent plus lourd que cent mille adresses seules ; l’identifiabilité, donc le chiffrement au repos et la localisation de la clé ; la réversibilité — un mot de passe se change, un numéro AVS non ; la vulnérabilité des personnes ; les conséquences plausibles — usurpation d’identité, fraude au paiement, hameçonnage ciblé ; le comportement de l’attaquant, une exfiltration revendiquée avec chantage n’étant pas une clé USB perdue dans un train.
Ce que l’annonce doit contenir
L’art. 24 al. 2 LPD est bref : « L’annonce doit indiquer au moins la nature de la violation de la sécurité des données, ses conséquences et les mesures prises ou envisagées. » Le détail est à l’art. 15 al. 1 OPDo, en sept rubriques :
« a. la nature de la violation ; b. dans la mesure du possible, le moment et la durée ; c. dans la mesure du possible, les catégories et le nombre approximatif de données personnelles concernées ; d. dans la mesure du possible, les catégories et le nombre approximatif de personnes concernées ; e. les conséquences, y compris les risques éventuels, pour les personnes concernées ; f. les mesures prises ou prévues pour remédier à cette défaillance et atténuer les conséquences, y compris les risques éventuels ; g. le nom et les coordonnées d’une personne de contact. »
La formule « dans la mesure du possible » aux lettres b, c et d est là pour vous : elle autorise l’annonce incomplète, et interdit d’en faire un prétexte pour attendre. L’al. 2 le confirme : « Si le responsable du traitement n’est pas en mesure d’annoncer simultanément toutes les informations, il fournit les informations manquantes dans les meilleurs délais. » Déposez tôt, complétez ensuite.
Le canal est le portail DataBreach du PFPDT, https://databreach.edoeb.admin.ch/, référencé depuis la page « Portails de notification » de edoeb.admin.ch. Il transmet l’annonce sous forme numérique et sécurisée et délivre une confirmation téléchargeable. Archivez-la : c’est votre preuve de la date d’annonce, celle qui fait courir la conservation de deux ans de l’art. 15 al. 4 OPDo.
Informer les personnes concernées n’est pas automatique
Beaucoup de directions croient que l’annonce au PFPDT entraîne l’information des clients. Non : deux décisions distinctes, la seconde avec son propre seuil (art. 24 al. 4 LPD) :
« Le responsable du traitement informe la personne concernée lorsque cela est nécessaire à sa protection ou lorsque le PFPDT l’exige. »
Le critère est utilitaire : l’information sert-elle à la personne à se protéger ? Si elle peut changer un mot de passe ou surveiller un compte, oui. L’al. 5 autorise à restreindre, différer ou renoncer dans trois cas : un motif au sens de l’art. 26 al. 1 let. b ou al. 2 let. b LPD ou un devoir légal de garder le secret ; une information impossible ou exigeant des efforts disproportionnés ; ou une information « garantie de manière équivalente par une communication publique » — la branche la plus utile quand vous n’avez pas d’adresse fiable pour des dizaines de milliers de personnes.
Le contenu du message est fixé par l’art. 15 al. 3 OPDo : « dans un langage simple et compréhensible, au moins les informations visées à l’al. 1, let. a et e à g » — nature de la violation, conséquences, mesures, personne de contact. Pas vos chiffres internes.
Sous-traitant : c’est l’alinéa 3 qui vous concerne
La majorité des membres de la FVN — agences, hébergeurs, éditeurs SaaS, infogérants — traitent des données pour le compte de clients. Sur ces mandats, vous n’êtes pas responsable du traitement, et l’art. 24 al. 3 LPD est catégorique :
« Le sous-traitant annonce dans les meilleurs délais au responsable du traitement tout cas de violation de la sécurité des données. »
Trois différences décisives. Le destinataire n’est pas le PFPDT mais votre client. Il n’y a aucun seuil de risque élevé : c’est « tout cas ». Et la décision d’annoncer au PFPDT appartient au responsable, qui a besoin de vos éléments pour la prendre : annoncer à sa place n’éteint pas son obligation et le prive de son arbitrage.
Conséquence contractuelle : votre contrat de sous-traitance doit fixer un délai chiffré — quatre, huit ou vingt-quatre heures — et le contenu minimal de votre annonce au client. « Dans les meilleurs délais » est un standard légal, pas une clause exploitable.
Deux annonces, deux autorités, deux délais
Depuis le 1er avril 2025, la loi sur la sécurité de l’information (LSI, RS 128) impose aux organisations énumérées à son art. 74b — administrations, fournisseurs d’énergie, secteur bancaire, hôpitaux de liste, opérateurs télécoms, exploitants de centres de calcul et de services en nuage ayant leur siège en Suisse, hautes écoles — de signaler certaines cyberattaques à l’OFCS. L’art. 74e LSI fixe le délai à 24 heures suivant la détection.
| Annonce au PFPDT | Signalement à l’OFCS | |
|---|---|---|
| Base légale | Art. 24 LPD, art. 15 OPDo | Art. 74a ss LSI |
| Qui | Tout responsable du traitement | Seulement les organisations de l’art. 74b LSI |
| Déclencheur | Violation de sécurité de données personnelles à risque élevé | Cyberattaque menaçant l’infrastructure critique, même sans données personnelles |
| Délai | Dans les meilleurs délais | 24 heures dès la détection |
| Canal | Portail DataBreach | Formulaire d’annonce de l’OFCS |
Les deux obligations sont cumulatives. La LPD prévoit un pont, mais volontaire et à sens unique : l’art. 24 al. 5bis permet au PFPDT, « avec l’accord du responsable du traitement », de transmettre l’annonce à l’OFCS pour analyse. Nous traitons le régime de l’annonce des cyberattaques la semaine prochaine.
Le piège de l’alinéa 6, et celui qu’il ne couvre pas
Beaucoup de directions hésitent à annoncer par crainte de se dénoncer. L’art. 24 al. 6 LPD y répond :
« Une annonce fondée sur le présent article ne peut être utilisée dans le cadre d’une procédure pénale contre la personne tenue d’annoncer qu’avec son consentement. »
La protection porte sur l’annonce comme moyen de preuve, pas sur les faits : si le ministère public établit par ailleurs que vos mesures de sécurité étaient insuffisantes, l’al. 6 n’y change rien. Il neutralise le document, pas la réalité qu’il décrit. Deux conséquences : soyez factuel et complet, rien de ce que vous y écrivez ne vous sera opposé pénalement sans votre accord ; mais ne recopiez pas ce texte tel quel dans une communication publique, un courriel client ou un rapport d’assurance, qui ne bénéficient pas de l’al. 6.
Reste le point que personne n’attend : l’omission d’annoncer au sens de l’art. 24 LPD ne figure dans aucune des dispositions pénales des art. 60 à 63 LPD. Ne pas annoncer n’est pas, en soi, une infraction. Mais deux portes restent ouvertes : l’art. 61 LPD punit d’une amende de 250 000 francs au plus, sur plainte, la violation des devoirs de diligence — dont le non-respect des exigences minimales de sécurité édictées en vertu de l’art. 8 al. 3 LPD ; et l’art. 63 LPD punit du même montant l’insoumission intentionnelle à une décision du PFPDT. Le silence ne se punit pas directement ; la négligence de sécurité et le refus d’obtempérer, si.
Cinq choses à faire ce mois-ci
- Corrigez « 72 heures » dans votre politique interne : écrivez « dans les meilleurs délais, cible interne 24 heures pour la qualification, 48 heures pour l’annonce ». Objectif de gestion, pas norme légale.
- Écrivez les trois noms — qui déclare, qui qualifie, qui signe — avec suppléants et numéros privés.
- Créez les deux modèles : l’annonce aux sept rubriques de l’art. 15 al. 1 OPDo, et le message aux personnes concernées limité aux lettres a et e à g.
- Parcourez le portail
databreach.edoeb.admin.chà blanc. Découvrir un formulaire à H+30 coûte des heures. - Vérifiez vos contrats dans les deux sens : un délai chiffré d’annonce à vos clients, la même obligation imposée à vos prestataires.
Sources primaires
- LPD, RS 235.1, état le 7 juillet 2025 — art. 8, art. 24 al. 1 à 6 (y compris al. 5bis), art. 60 à 65. Fedlex, ELI
cc/2022/491/20250707. - OPDo, RS 235.11, état le 1er septembre 2023 — art. 15 al. 1 à 4. Fedlex, ELI
cc/2022/568/20230901. - LSI, RS 128, état le 1er avril 2025 — art. 74a, 74b, 74d, 74e. Fedlex, ELI
cc/2022/232/20250401. - PFPDT, page « Portails de notification »,
edoeb.admin.ch/fr/portails-notification— portail DataBreach,databreach.edoeb.admin.ch. - Office fédéral de la cybersécurité (OFCS), rubrique « Obligation de signaler »,
ncsc.admin.ch.
Avertissement — La FVN est une fédération professionnelle, pas une étude d’avocats. Cet article reflète l’état des textes au 12 octobre 2026 : LPD au 7 juillet 2025, OPDo au 1er septembre 2023, LSI au 1er avril 2025. N’ont pas pu être vérifiés : (1) le contenu du portail DataBreach, dont l’interface exige JavaScript — seules son existence, son adresse et sa fonction, décrites sur la page « Portails de notification » du PFPDT, sont confirmées ; ni la nécessité d’un compte ni les rubriques du formulaire n’ont pu être constatées ; (2) les pages explicatives de l’OFCS, inaccessibles à la rédaction — les éléments relatifs à la LSI viennent du texte de loi, et les art. 74a à 74e ont été reformulés, non cités verbatim ; (3) toute grille officielle du « risque élevé » : la LPD ne le définit pas, et les sept critères proposés sont un outil de travail, pas une doctrine de l’autorité ; (4) la portée exacte de l’immunité de l’art. 24 al. 6 LPD, sur laquelle nous n’avons pas trouvé de jurisprudence publiée ; (5) les délais chiffrés du runbook, recommandations de gestion et non exigences légales. Pour un incident réel, sollicitez sans attendre un mandataire qualifié et adressez-vous au PFPDT (edoeb.admin.ch).
