Les faits
Le 8 octobre 2026, l’entreprise PK Softech AG a informé le Préposé fédéral à la protection des données et à la transparence (PFPDT) d’une cyberattaque visant son infrastructure informatique et de possibles violations de la sécurité des données. PK Softech fournit des solutions logicielles à plusieurs grandes institutions de prévoyance professionnelle, les caisses de pension du 2e pilier. Lors de l’attaque, des données issues de ces institutions ont été volées, dont celles de la caisse de retraite fédérale Publica.
Les institutions concernées ont elles-mêmes notifié l’incident au PFPDT. Celui-ci a d’abord ouvert, le 14 octobre, une enquête informelle auprès de Publica. Le 22 octobre, il a ouvert une enquête formelle contre PK Softech AG, en raison d’indices de violation des prescriptions de protection des données. L’annonce publique date du 23 octobre.
L’autorité cherche à établir trois points :
quelles données personnelles les caisses de pension avaient mises à disposition du fournisseur ;
quel est le cadre juridique de ces transferts et s’il a été effectivement appliqué ;
jusqu’où les données ont fuité.
À ce stade, le communiqué ne précise ni le nombre de personnes concernées ni la nature exacte des données dérobées. Le PFPDT ne donne aucune autre information sur les procédures en cours.
Les conséquences pour l’entreprise
PK Softech est d’abord victime d’une cyberattaque, et l’enquête n’établit à ce jour aucune violation : elle porte sur des indices. Mais le passage à l’enquête formelle change la nature du dossier.
Le PFPDT peut désormais exiger des informations et des documents. S’il constate une violation, il peut ordonner des mesures : modifier, suspendre ou cesser un traitement, effacer des données. Il peut aussi publier sa décision. Ces pouvoirs ne sont pas théoriques. Dans une autre affaire rendue publique le 22 octobre, le PFPDT a interdit à une société de marketing tout traitement à des fins publicitaires et ordonné la suppression des données. Il avait en outre déposé plainte pénale contre ses dirigeants pour refus de collaborer.
Pour un éditeur de logiciels dont les clients sont des institutions de prévoyance, l’enjeu dépasse le cadre de l’autorité. Il doit rendre des comptes à des clients qui restent responsables des données de leurs assurés, et préserver une confiance qui constitue l’essentiel de son fonds de commerce. L’enquête portera précisément sur la relation entre les caisses et leur prestataire : ce qui lui a été transmis, et sur quelle base.
Les leçons pour votre PME
Ce dossier rappelle une réalité souvent sous-estimée : les données de votre entreprise ne sont pas seulement chez vous. Paie, ressources humaines, relation client, comptabilité : une grande partie circule chez des prestataires. Quand l’un d’eux est attaqué, la question qui se pose n’est pas seulement « comment est-ce arrivé ? », mais aussi « que lui aviez-vous confié, et pourquoi ? ».
Savez-vous précisément quelles données chacun de vos prestataires détient ? Que prévoit votre contrat en cas d’incident ? Seriez-vous en mesure de réagir dans les bonnes heures ? Ces questions sont simples, mais peu d’entreprises peuvent y répondre sans chercher.
Les points de contrôle à vérifier en priorité, et les erreurs les plus souvent relevées dans ce type de situation, font l’objet d’un guide pratique réservé aux abonnés de notre newsletter. Chaque semaine, nos abonnés reçoivent ce type d’analyse, traduite en actions concrètes et sans jargon juridique.
→ Abonnez-vous à la newsletter pour accéder aux conseils complets.
