Le Préposé fédéral à la protection des données et à la transparence (PFPDT) a ouvert le 23 octobre 2026 une enquête formelle contre PK Softech. Ce fournisseur de logiciels travaille pour plusieurs caisses de pension suisses, dont la Caisse fédérale de pensions Publica. Après la cyberattaque qui a touché son infrastructure informatique, le Préposé veut savoir quelles données les caisses lui avaient confiées et ce qui a été volé.

Ce que le Préposé a annoncé le 24 octobre 2026

L’enquête vise directement l’entreprise, car il existe des indices d’une possible violation des règles de protection des données. C’est ce qu’indique un communiqué du Préposé publié le 24 octobre 2026, relayé par l’agence Keystone-ATS et SWI swissinfo.ch.

PK Softech avait elle-même signalé l’attaque au Préposé le 8 octobre 2026. Elle évoquait alors une attaque contre son infrastructure informatique et de possibles atteintes à la sécurité des données. Le Préposé avait d’abord ouvert, le 14 octobre, une enquête préliminaire informelle auprès de Publica.

DateÉtape
8 octobre 2026PK Softech informe le Préposé de la cyberattaque
14 octobre 2026Enquête préliminaire informelle auprès de Publica
23 octobre 2026Ouverture de l’enquête formelle contre PK Softech
24 octobre 2026Communiqué du Préposé

Quelles caisses de pension sont touchées ?

Lors de la cyberattaque, des données de plusieurs caisses de pension clientes de PK Softech ont été dérobées. Publica figure parmi elles, comme on le sait depuis plusieurs jours, et 2clics avait déjà rendu compte de la fuite de données chez Publica.

Deux institutions bernoises sont aussi concernées : la Caisse de pension bernoise (BPK) et la Caisse d’assurance du corps enseignant bernois (BLVK). Leur cas avait fait l’objet d’un article sur deux caisses de pension bernoises. Selon swissinfo.ch, les caisses touchées ont déposé plainte.

Le 16 octobre 2026, 2clics rapportait qu’une attaque contre un prestataire logiciel externe avait aussi permis de voler des données de la caisse de pension de la Ville de Zurich. La caisse de La Poste se disait également touchée, sans savoir si les données de ses assurés étaient compromises. Les sources consultées ne disent pas si ce prestataire est PK Softech.

Enquête préliminaire ou enquête formelle : quelle différence ?

Le Préposé a procédé en deux temps, avec deux cibles différentes. L’enquête préliminaire du 14 octobre était informelle et portait sur une caisse cliente, Publica. L’enquête formelle du 23 octobre vise le prestataire lui-même, PK Softech.

Selon le communiqué, une enquête formelle est dirigée contre l’entreprise lorsqu’il existe des indices d’une possible violation des règles de protection des données. Le Préposé en attend une vue d’ensemble sur trois points :

  • les données personnelles que les caisses de pension avaient mises à disposition de PK Softech ;
  • le cadre juridique de ces transferts de données et la manière dont il a été appliqué en pratique ;
  • l’étendue des informations volées.

Notre analyse : en remontant de la caisse cliente vers son fournisseur, le Préposé s’intéresse à toute la chaîne de traitement des données. La question n’est pas seulement de savoir qui a été attaqué, mais aussi ce qui avait été transmis, et sur quelle base.

Ce que la cyberattaque change pour les assurés du 2e pilier

Pour l’heure, aucune source ne dit quelles données précises ont été volées chez PK Softech. L’enquête du Préposé doit justement l’établir. Les assurés de Publica, de la BPK et de la BLVK n’ont donc pas encore de réponse claire.

Le cas zurichois donne une idée de ce qu’une caisse peut confier à un prestataire logiciel. Dans le scénario le plus défavorable, la caisse de la Ville de Zurich citait :

  • le nom, l’adresse, le courriel et le numéro de téléphone ;
  • le numéro d’assurance sociale et l’état civil ;
  • des informations sur les partenaires et le numéro IBAN ;
  • des données de prévoyance, comme le revenu assuré et l’avoir.

Les rentes, elles, ne semblaient pas menacées dans les cas rapportés le 16 octobre. La Ville de Zurich indiquait que sa caisse et le versement des rentes restaient fonctionnels. La caisse de La Poste affirmait que la fortune de prévoyance et les prestations de rente n’étaient pas menacées.

Les sources ne détaillent pas de démarches recommandées aux assurés. Il revient aux caisses d’informer les personnes concernées une fois leur analyse terminée. Notre analyse : des coordonnées combinées à un IBAN et à des données de prévoyance peuvent rendre un message frauduleux plus crédible. Une sollicitation inhabituelle qui se réclame d’une caisse de pension mérite donc une attention particulière.

Pour une PME qui confie des données à un prestataire, le dossier rappelle une question posée par le Préposé lui-même : quel cadre juridique encadre ce transfert, et est-il réellement appliqué ?

Ce qu’on ne sait pas encore

  • Le nombre d’assurés touchés et le type exact de données volées chez PK Softech.
  • La liste complète des caisses de pension clientes concernées, au-delà de Publica, de la BPK et de la BLVK.
  • Le lien éventuel entre PK Softech et les attaques signalées par les caisses de la Ville de Zurich et de La Poste.
  • L’auteur de l’attaque : les sources consultées ne l’identifient pas.
  • La durée de l’enquête et ses suites possibles : le communiqué ne les précise pas.

Sources