Ce que prévoit la nouvelle Loi fédérale sur la protection des données (nLPD)
La révision totale de la Loi fédérale sur la protection des données (nLPD) aligne le cadre juridique helvétique sur les standards européens du RGPD, préservant ainsi la décision d’adéquation de l’Union européenne essentielle aux échanges économiques et scientifiques transfrontaliers. La législation se concentre désormais sur les données personnelles des personnes physiques et élargit expressément la catégorie des données sensibles aux données génétiques ainsi qu’aux données biométriques identifiant un individu de manière unique (empreintes digitales, reconnaissance faciale ou vocale), aux côtés des données médicales, d’opinions politiques ou d’aide sociale.
Toutes les entreprises et administrations opérant en Suisse doivent appliquer les principes de « Privacy by Design » (protection des données dès la conception technique) et de « Privacy by Default » (paramétrages par défaut limités au strict minimum nécessaire). Le devoir d’information lors de la collecte de données est généralisé, y compris sur les transferts vers l’étranger et l’identité des États destinataires.
Sur le terrain répressif, le législateur suisse a retenu une approche pénale singulière : plutôt que d’infliger des amendes administratives proportionnelles au chiffre d’affaires de la société, la nLPD sanctionne les personnes physiques dirigeantes ou responsables d’une amende pénale personnelle pouvant atteindre 250’000 CHF en cas de violation intentionnelle des devoirs d’information, d’accès, de diligence ou de discrétion professionnelle.
Le rôle du PFPDT et l’exercice concret des droits d’accès et de portabilité
La surveillance fédérale est assurée par le Préposé fédéral à la protection des données et à la transparence (PFPDT), autorité indépendante établie à Berne dotée de compétences décisionnelles contraignantes. Le PFPDT reçoit les notifications obligatoires de violations de la sécurité des données présentant un risque élevé pour les personnes concernées, mène des enquêtes formelles et peut ordonner la modification, la suspension ou l’effacement d’un traitement illicite.
Au quotidien, chaque habitant dispose du droit d’accès gratuit garanti par l’article 25 nLPD. Sur simple demande écrite adressée à une banque, un assureur, une régie immobilière, une société de renseignement commercial ou une plateforme en ligne, l’organisme doit confirmer gratuitement dans un délai ordinaire de 30 jours quelles données personnelles sont traitées, dans quel but, pour quelle durée de conservation, quelle en est la source et à quels tiers elles ont été transmises.
S’y ajoutent le droit de faire rectifier des données inexactes, le droit à la remise ou à la transmission des données (portabilité) dans un format électronique structuré couramment utilisé afin de faciliter le changement de prestataire, ainsi qu’une protection explicite face aux décisions individuelles automatisées : lorsqu’un algorithme tranche seul avec un impact significatif (refus automatisé de crédit, de bail ou d’assurance), vous devez en être informé et pouvez exiger l’intervention humaine d’un collaborateur pour réexaminer votre situation.
Alertes de l’OFCS : faux support bancaire, phishing TWINT, QR-factures et spoofing policier
L’Office fédéral de la cybersécurité (OFCS, succédant au Centre national pour la cybersécurité NCSC) recense chaque semaine des campagnes d’escroquerie spécifiquement calibrées pour les usages helvétiques. Le premier fléau est l’arnaque au faux support bancaire : des escrocs appellent en se faisant passer pour le service sécurité d’une grande banque suisse ou de PostFinance, prétextent des débits frauduleux en cours et persuadent la victime d’installer un outil de télémaintenance (AnyDesk, TeamViewer) ou de valider des notifications push sur son application mobile d’authentification.
La deuxième menace majeure vise les utilisateurs de TWINT sur les plateformes romandes de petites annonces (Anibis, Ricardo, Tutti ou Marketplace). De faux acheteurs prétendent régler un article via un lien de livraison ou un code QR « pour recevoir le paiement » : cette page d’hameçonnage capture en réalité les identifiants e-banking du vendeur afin d’activer TWINT sur le smartphone de l’escroc ou déclenche une demande d’argent au lieu d’un virement entrant. Troisième vecteur critique, la manipulation de QR-factures (Quishing) consiste à altérer l’IBAN encodé dans le carré Swiss QR tout en laissant intactes les coordonnées imprimées en clair sur le bulletin.
Enfin, l’usurpation d’identité téléphonique (spoofing) de « faux policiers » demeure redoutable : grâce au trucage technique du numéro affiché, l’écran du téléphone indique le véritable numéro d’une police cantonale ou du 117. Jouant sur l’urgence d’un prétendu cambriolage imminent ou d’une complicité interne à la banque, les malfaiteurs poussent leurs victimes à retirer d’importantes sommes en liquide, des lingots ou leurs cartes bancaires pour les remettre en main propre à un faux inspecteur.
Authentification forte à deux facteurs (2FA), clés Passkey et réflexes d’urgence
Les recommandations conjointes de l’OFCS et des banques suisses soulignent que l’adoption généralisée d’une authentification multifacteur résistante à l’hameçonnage bloque l’immense majorité des intrusions. Sur les messageries électroniques, les portails administratifs fédéraux et cantonaux (AGOV / SwissID) ainsi que les services infonuagiques, il est vivement conseillé de remplacer les codes par SMS par des clés cryptographiques Passkey biométriques, des clés matérielles FIDO2 ou une application d’authentification dédiée, couplées à un gestionnaire de mots de passe.
Dans l’e-banking helvétique, les lecteurs optiques PhotoTAN et CrontoSign intègrent directement l’IBAN du destinataire et le montant exact de la transaction dans la mosaïque cryptée : relire scrupuleusement ces deux informations sur l’écran du dispositif de validation avant d’appuyer sur « Confirmer » permet de déjouer instantanément les chevaux de Troie bancaires comme les QR-factures falsifiées.
En cas de doute après un clic suspect ou la divulgation accidentelle d’un code, la rapidité d’action limite les pertes : appelez immédiatement le numéro officiel de blocage d’urgence figurant au dos de votre carte bancaire, modifiez vos mots de passe depuis un appareil sain, signalez la tentative sur le portail national de l’OFCS (antiphishing.ch / report.ncsc.ch) et déposez plainte pénale sans délai auprès de votre police cantonale.
| Menace ou droit légal | Signal d’alerte caractéristique | Vérification essentielle | Réflexe recommandé |
|---|---|---|---|
| Phishing TWINT / Petites annonces | Lien ou code QR envoyé par un acheteur pour « encaisser » | Seul votre numéro mobile suffit pour recevoir un paiement TWINT | Couper tout échange et ne jamais saisir d’identifiants bancaires |
| QR-facture falsifiée (Quishing) | Facture courriel inhabituelle ou autocollant sur le code QR | Comparer l’IBAN et le nom affichés dans PhotoTAN avec le papier | Annuler l’ordre et appeler l’émetteur via un numéro déjà connu |
| Spoofing (Fausse police / banque) | Demande urgente d’AnyDesk, de codes ou remise d’espèces | Police et banques ne réclament jamais d’accès distant ni d’argent | Raccrocher immédiatement et recomposer soi-même le 117 ou la banque |
| Droit d’accès nLPD (art. 25) | Collecte opaque de données ou refus automatisé | Demande écrite d’accès ou de portabilité au responsable | Réponse gratuite sous 30 jours ; signalement possible au PFPDT |
La sécurité numérique en Suisse combine protection juridique et vigilance technique : exercer gratuitement vos droits garantis par la nLPD tout en activant les clés Passkey, en contrôlant visuellement chaque IBAN sur votre lecteur PhotoTAN et en raccrochant face à tout appel pressant constitue la défense la plus fiable.