Adrian Lobsiger, un vol de données en chasse un autre. Utilisez-vous encore WhatsApp?
Oui, j’utilise WhatsApp à titre privé. Et en tant que préposé à la protection des données, je dois utiliser toutes les applications légales pour pouvoir participer au débat, notamment TikTok. Sinon, je ne pourrais me prononcer que de façon abstraite.
Il y a quelques années, WhatsApp a introduit les messages éphémères. Est-ce utile ou est-ce une illusion de protection des données?
C’est certainement utile. Mais il n’existe aucune garantie que les données soient sécurisées. Un message qui est supprimé après 24 heures peut avoir été copié auparavant.
Une panne mondiale de sécurité informatique s’est produite cette semaine. Des hôpitaux suisses ont dû en partie revenir au stylo et au papier. Que se passe-t-il?
Lorsque l’informatique est constituée d’entreprises monopolistiques, les surfaces d’attaque sont mondiales. C’est comme dans le monde animal: s’il n’existe qu’une seule race et qu’elle attrape un virus, tous les individus peuvent mourir. Il est important que les organisations déconnectent préventivement leur informatique du réseau lorsqu’elles constatent des failles de sécurité.
Autrefois, il fallait pirater les systèmes informatiques pour les pénétrer. Aujourd’hui, l’intelligence artificielle s’en charge. Qu’est-ce que cela signifie?
La menace liée à l’IA est réelle. Mais lorsque nous examinons les causes des attaques qui nous sont signalées, nous constatons que, dans l’immense majorité des cas, ce n’est pas la technologie qui constitue la faille, mais l’erreur humaine.
Il y aura toujours des erreurs humaines...
Il serait faux de sombrer dans le fatalisme et de dire: tout sera piraté, nous sommes perdus, nous devons revenir au papier. Même si je n’exclus pas cette dernière possibilité – il se peut que l’analogique gagne à nouveau en importance. Mais nous n’en sommes pas là. Nous devons tirer les leçons qui s’imposent et appliquer systématiquement les normes de sécurité les plus élevées.
2026 sera-t-elle une année noire pour la protection des données?
Depuis l’entrée en vigueur de la nouvelle loi sur la protection des données, nous avons l’obligation de signaler les fuites de données. Une nette augmentation se dessine effectivement. Bien que l’année 2026 ne soit pas encore terminée, nous avons déjà reçu nettement plus de signalements de violations de la sécurité des données que l’année dernière. En 2025, il y en avait 343; aujourd’hui, nous en avons déjà 455. Bien que ce chiffre soit déjà élevé, les violations de la sécurité des données sont bien plus nombreuses en réalité.
La Suisse est connue dans le monde entier pour sa discrétion. Comment se fait-il que les données de dizaines de caisses de pension soient volées – de la Confédération à la Poste en passant par Migros?
Il s’agit d’une procédure en cours, tant le procureur général de la Confédération que moi-même menons une enquête. Indépendamment de ce cas, on peut affirmer que plus nous relions les données entre elles et plus nous supprimons de silos, plus le risque est élevé.
Les noms d’employés des services de renseignement n’auraient jamais dû se retrouver chez un prestataire externe.
Pour des raisons liées au secret de l'enquête, je ne suis pas en mesure de confirmer si tel est effectivement le cas. Toutefois, je peux préciser que la loi sur la protection des données impose la minimisation des données et le respect du principe de proportionnalité. Il convient de garantir que seules les données strictement nécessaires sont transmises et que l'on utilise des données de test anonymisées plutôt que des données réelles issues de l'environnement de production.
Vous restez diplomate. Pourquoi ne tapez-vous pas du poing sur la table?
Je ne représente ni une organisation de défense des consommateurs ni un syndicat. J'ai une mission légale et je dois examiner ce qui s'est passé sous l'angle de la protection des données. Les enquêtes doivent être menées en toute impartialité, dans le respect du droit d’être entendu.
Jeudi, vous avez ouvert une enquête contre le prestataire informatique externe des caisses de pension, la société PK Softech AG. Pouvez-vous effectuer une perquisition pour garantir la conservation des preuves?
Les parties sont tenues de collaborer. Si quelqu’un refuse de collaborer, je peux, en dernier recours, ordonner des perquisitions par la police et obtenir par la force publique l’accès à des dossiers ou à des locaux.
Pourquoi votre enquête vise-t-elle uniquement le fournisseur informatique externe – et pas aussi les caisses de pension et les autorités qui ont fait preuve de laxisme dans la gestion des données?
Cela n’aurait aucun sens de s’en prendre immédiatement à tout le monde. Je n’exclus toutefois pas d’étendre ultérieurement la procédure aux organes fédéraux, c’est-à-dire aux caisses de pension.
Quelles possibilités de sanction avez-vous lorsqu’une organisation gère les données de manière négligente?
Je ne peux pas infliger d’amendes – le Parlement ne l’a pas souhaité. Et le Parlement n’a pas non plus voulu que la gestion négligente des données puisse être sanctionnée. Ce n’est qu’en cas de soupçon de manquements intentionnels que nous pouvons déposer une plainte pénale. Il ne faut toutefois pas sous-estimer l’effet de la transparence: j’informe le public lorsqu’il existe un intérêt général. Cela incite les entreprises à faire davantage pour la protection des données.
Vous exercez une fonction de surveillance sur les organes de la Confédération. Pourtant, un vol massif de données s’est produit. Avez-vous vous aussi échoué?
Je remets constamment mon travail en question. Les grandes applications informatiques présentent des dizaines de chantiers – je dois donc établir des priorités. Nos ressources sont limitées, nous ne pouvons pas tout surveiller à grande échelle, mais devons souvent procéder par sondages.
Vous avez toutefois remporté cette semaine une victoire: vous avez gagné un litige contre Postfinance. De quoi s’agissait-il?
Postfinance voulait établir des profils vocaux de clients suisses à des fins d’identification au service clientèle – à moins que ceux-ci ne s’y opposent activement. Les clients de l’UE, en revanche, étaient invités à donner leur consentement explicite. Or, selon le droit suisse, un consentement explicite est également nécessaire, car la voix humaine est quelque chose de très personnel – et elle peut être utilisée à des fins d’usurpation d’identité. Je salue le jugement du Tribunal administratif fédéral, qui n’est toutefois pas encore entré en force.
Si même une entreprise publique ne donne pas le bon exemple en matière de protection des données, pourquoi le secteur privé devrait-il le faire?
J’attends de chacun qu’il respecte la protection des données. Là où l’Etat agit selon le droit privé, par exemple à la Poste, aux CFF ou chez Swisscom, notre surveillance se concentre particulièrement sur ces activités.
Quel est votre appel au conseiller fédéral Albert Rösti, responsable de la Poste, des CFF et de Swisscom?
La loi sur la protection des données doit être respectée. Et je me demande pourquoi Postfinance s’est opposée à la publication de ma décision. Une relation plus détendue avec la transparence serait bénéfique.
