Le Préposé fédéral à la protection des données et à la transparence (PFPDT), Adrian Lobsiger, a reçu 455 annonces de violation de la sécurité des données depuis le début de 2026. Il l'a indiqué dans un entretien à l'hebdomadaire alémanique SonntagsBlick, relayé le 25 octobre 2026 par l'agence Keystone-ATS et SWI swissinfo.ch. Pour toute l'année 2025, le Préposé en comptait 343. Selon lui, le nombre réel de violations de données en Suisse est sans doute nettement plus élevé.
Ce que le Préposé a annoncé le 25 octobre 2026
Le chiffre de 455 couvre les annonces reçues depuis le 1er janvier 2026, jusqu'à l'entretien publié le 25 octobre. L'année n'est donc pas terminée, et le total dépasse déjà celui de 2025.
Adrian Lobsiger nuance aussitôt ce chiffre. Il estime que de nombreux cas ne lui sont jamais annoncés. Les 455 annonces mesurent donc ce qui arrive sur son bureau, pas l'ensemble des incidents.
L'entretien intervient quelques jours après une affaire très suivie. Le Préposé a ouvert une enquête formelle sur PK Softech, le fournisseur de logiciels de plusieurs caisses de pension suisses. L'enquête vise pour l'instant ce prestataire informatique externe.
Adrian Lobsiger n'exclut pas de l'étendre plus tard à des organes fédéraux et à des caisses de pension. Il n'a pas donné d'autres détails, en raison de la confidentialité de l'enquête.
Comment situer ces 455 annonces ?
La comparaison avec 2025 montre une nette hausse. Les deux chiffres viennent du Préposé, cité par Keystone-ATS.
| Période | Annonces de violation reçues par le PFPDT |
|---|---|
| Année 2025 complète | 343 |
| 2026, jusqu'à l'entretien publié le 25 octobre | 455 |
Notre calcul : avant même la fin de l'année, 2026 compte 112 annonces de plus que toute l'année 2025. La hausse dépasse donc déjà 30 %, et deux mois restent à courir.
Les sources consultées ne donnent pas les chiffres des années antérieures à 2025. Elles ne permettent donc pas de dire si la tendance est plus ancienne.
Ce que le chiffre ne dit pas
Une annonce n'est pas une attaque. Le chiffre compte des signalements reçus, pas des incidents établis ni leur gravité.
Plusieurs explications restent possibles, et nos sources ne tranchent pas entre elles :
- davantage d'incidents réels ;
- des organisations qui annoncent plus souvent leurs incidents ;
- des attaques en série, où un seul prestataire touché entraîne plusieurs annonces.
Notre analyse : ce dernier mécanisme n'a rien de théorique. Fin septembre 2026, l'attaque d'un fournisseur de logiciel a touché la caisse de pension de Zurich, et la caisse de La Poste se disait aussi concernée. Un seul point faible peut ainsi produire plusieurs dossiers chez le Préposé.
Qui annonce une violation de données, et à qui ?
En Suisse, deux guichets fédéraux reçoivent des signalements, avec des rôles différents. Le Préposé s'occupe de la protection des données personnelles. L'Office fédéral de la cybersécurité (OFCS) traite les cyberincidents sous l'angle technique.
Les dossiers récents montrent le premier circuit. PK Softech a elle-même signalé l'attaque au Préposé le 8 octobre 2026. Le magazine en ligne Republik a aussi annoncé au Préposé le vol de données de ses utilisateurs.
Le second circuit passe par l'OFCS. Pour une PME, le signalement à cet office reste volontaire. Depuis le 1er avril 2025, les exploitants d'infrastructures critiques doivent en revanche lui signaler leurs cyberincidents.
Notre analyse : une même attaque peut donc concerner les deux guichets. L'OFCS aide à contenir l'incident, tandis que le Préposé examine ce qui est arrivé aux données personnelles.
Pourquoi les violations se multiplient, selon le Préposé
Adrian Lobsiger désigne d'abord un facteur humain. Selon lui, l'analyse des causes des attaques annoncées montre que le point faible est rarement la technologie. Dans la grande majorité des cas, il s'agit d'une erreur humaine.
Le Préposé qualifie aussi de « réelle » la menace liée à l'intelligence artificielle (IA). Il ne la place toutefois pas au premier rang des causes observées.
Son office souligne enfin un risque d'organisation. L'interconnexion des données et la suppression des silos de données augmentent, selon lui, le risque de violation de la sécurité.
Ce que ça change pour une PME en Suisse
Les recommandations du Préposé se traduisent en gestes concrets. Il demande de ne transmettre que les données strictement nécessaires. Il recommande aussi de travailler de préférence avec des données de test anonymisées.
Notre analyse : ces deux conseils visent directement les échanges avec les prestataires. Une PME qui confie un fichier clients à un fournisseur peut se demander ce qu'elle lui envoie vraiment, et si des données fictives suffiraient.
L'erreur humaine pointée par le Préposé rejoint les mesures de base de sécurité informatique : former l'équipe au hameçonnage, protéger les accès, tenir à jour les contacts d'urgence. Selon l'étude cybersécurité des PME 2026, un tiers environ des PME seulement forment régulièrement leur personnel.
Ce qu'on ne sait pas encore
- La répartition des 455 annonces par secteur, par taille d'organisation ou par type d'incident : l'entretien ne la donne pas.
- Les chiffres des années antérieures à 2025, qui permettraient de situer la hausse sur une plus longue période.
- La part des annonces liées à une même attaque en série, comme celle qui a visé les caisses de pension.
- L'ampleur des cas non annoncés : le Préposé l'estime importante, sans la chiffrer.
- Les critères et le délai exacts prévus par la loi sur la protection des données (nLPD) pour annoncer une violation : les sources consultées pour cet article ne les détaillent pas.
