Recevoir une notification d'incident de sécurité ne veut pas toujours dire que vos données sont publiées sur internet. Cela indique qu'un événement a pu affecter la confidentialité ou l'intégrité de vos données. Il faut réagir avec méthode. Selon la législation suisse sur la protection des données, vous pouvez demander des informations et faire valoir votre droit d'accès. L'entreprise a également des obligations de communication dans certains cas.

1. Comprendre le message d'incident de sécurité

Dans la pratique, ces messages couvrent des situations très différentes. Il peut s'agir d'un incident limité ou d'une exfiltration de données. Le point important est de clarifier rapidement qui est touché et quel est le risque concret pour vous.

Un incident chez un prestataire signifie souvent que l'entreprise que vous connaissez sous-traite une partie du traitement à un fournisseur. Cela peut être neutre sur le plan juridique pour vous, mais important sur le plan pratique car l'information est parfois fragmentée.

2. Vérifier si vos données sont touchées

Les notifications sont parfois vagues au début. Vous pouvez chercher des indices concrets dans le message. Commencez par identifier votre relation avec l'entreprise. Voici des indices utiles à relever tout de suite.

• La période de l'incident ou de l'accès non autorisé, même approximative.
• La nature des données potentiellement concernées, par exemple les coordonnées ou les données de paiement.
• Les actions recommandées, par exemple changer un mot de passe ou surveiller un relevé.
• Un point de contact dédié quand il est mentionné.

Si le message manque de clarté, ce n'est pas perdu. En Suisse, vous pouvez exercer votre droit d'accès pour demander ce qui est traité à votre sujet et obtenir des informations sur les données vous concernant.

3. Sécuriser vos comptes immédiatement

Même si l'entreprise indique qu'aucun abus n'est constaté, prenez des mesures simples pour réduire les risques. Voici les actions prioritaires généralement utiles.

• Changez votre mot de passe sur le service concerné et sur tout autre compte utilisant le même accès.
• Activez une authentification à deux facteurs si le service le propose.
• Vérifiez les appareils connectés et déconnectez les sessions inconnues.
• Surveillez vos emails et appels suspects car les fuites déclenchent souvent du phishing ciblé.

4. Demander des informations utiles à l'entreprise

Pour avancer, il faut poser des questions ciblées et garder une trace écrite. Un expert juridique peut vous aider à formuler une demande structurée selon la LPD. Voici des demandes pertinentes après un incident.

• Confirmation si vos données sont concernées.
• Catégories de données touchées vous concernant.
• Mesures déjà prises et mesures recommandées.
• Indication si des identifiants ont pu être exposés.
• Coordonnées d'un contact interne pour la protection des données.

Si un prestataire est impliqué, votre interlocuteur principal reste généralement l'entreprise avec laquelle vous êtes en relation. L'entreprise doit être capable de vous informer sur ce qui vous touche.

5. Documenter un préjudice potentiel

Documenter la situation ne vous coûte rien et peut vous aider en cas de litige futur. Voici ce qu'il faut conserver dès maintenant.

• Le message de notification avec sa date.
• Des captures d'écran en cas d'activité anormale sur votre compte.
• L'historique des échanges avec l'entreprise.
• Les éventuels frais ou pertes de temps liés aux démarches.

En Suisse, la question d'une indemnisation dépend des preuves et du lien entre l'incident et votre dommage. Un avocat spécialisé peut évaluer vos options de manière réaliste.

6. Quand escalader et à qui s'adresser en Suisse romande

Si l'entreprise ne répond pas de manière satisfaisante ou si les conséquences sont sérieuses, vous pouvez envisager une escalade. Les pratiques peuvent varier selon le contexte cantonal. Voici les voies souvent envisagées.

• Relance écrite structurée avec des questions ciblées.
• Demande formelle liée au droit d'accès.
• Signalement auprès de l'autorité compétente en matière de protection des données.
• Démarches pénales en cas d'escroquerie ou d'accès illicite.

L'autorité de référence en Suisse est le Préposé fédéral à la protection des données et à la transparence. Des interlocuteurs cantonaux existent également dans les cantons de Vaud, Genève, Neuchâtel, Fribourg, Valais et Jura. En cas de doute, une consultation ciblée vous évite souvent des semaines de ping-pong administratif.