Fuite de données des caisses de pension : le PFPDT ouvre une enquête

Le 22 octobre 2026, le Préposé fédéral à la protection des données et à la transparence (PFPDT) a ouvert une enquête formelle contre PK Softech AG. Le communiqué est du 23 octobre 2026. Des données de plusieurs caisses de pension du 2e pilier ont été volées lors d'une cyberattaque chez ce fournisseur de logiciel. Publica, la caisse fédérale de pensions, est nommée. L'enquête ne dit pas encore quelles personnes sont concernées.

Ce qui s'est passé

Fin septembre 2026, PK Softech AG a été victime d'une attaque par rançongiciel. Publica indique que l'attaque visait le fournisseur, et non ses propres systèmes.

Le 8 octobre 2026, PK Softech a informé le PFPDT d'une cyberattaque et de possibles violations de la sécurité des données. Les caisses concernées ont aussi annoncé l'incident au PFPDT.

Le 14 octobre 2026, le PFPDT a ouvert une enquête informelle auprès de Publica. Le 22 octobre 2026, il a ouvert une enquête formelle contre PK Softech AG.

Ce que l'enquête vise

Le PFPDT veut trois choses. Voir l'ensemble des données personnelles que les caisses ont remises au fournisseur. Clarifier le cadre juridique de ces transmissions et la manière dont il a été appliqué. Mesurer l'étendue des données qui ont fuité.

Le communiqué dit qu'aucune information supplémentaire ne peut être donnée sur la procédure en cours.

Ce que Publica a indiqué

Publica écrit que ses systèmes ne sont pas touchés. L'avoir de prévoyance est en sécurité. La rente est versée comme d'habitude. L'environnement de test chez le fournisseur est séparé du système qui verse les rentes. Ce système reste sur l'infrastructure de Publica.

Publica ne peut pas encore dire quelles personnes sont concernées, ni combien. Les données susceptibles de l'être sont celles des personnes assurées, des bénéficiaires de rente et des anciennes personnes assurées. Il peut s'agir du nom, de l'adresse, de la date de naissance, du numéro AVS, du téléphone, de l'adresse électronique et de données de prévoyance, comme le salaire, le salaire assuré et l'avoir. Pour les bénéficiaires de rente, le numéro IBAN peut aussi être concerné.

Publica n'a aucun indice que ces données aient été publiées sur le dark web. Elle dit informer directement les personnes dès qu'elle saura qui est concerné. Le 8 octobre 2026, elle a écrit aux assurés dont elle a une adresse électronique. Les autres, et les bénéficiaires de rente, reçoivent un courrier.

Le 15 octobre 2026, Publica a déposé une plainte pénale auprès du Ministère public de la Confédération.

Publica demande de ne pas répondre aux messages qui réclament des données personnelles ou bancaires.

Les autres caisses citées

Le communiqué du PFPDT parle de plusieurs grandes institutions de prévoyance. Il nomme Publica.

Selon l'ATS du 15 octobre 2026, la Caisse de pension de la Ville de Zurich et celle de La Poste ont indiqué que des données personnelles avaient été dérobées chez un prestataire externe. Les avoirs et le versement des rentes n'étaient pas touchés. La caisse zurichoise a aussi déposé une plainte pénale.

La presse a également cité la Caisse de pension bernoise et la Caisse d'assurance du corps enseignant bernois. Le 20 octobre 2026, la Caisse de pension bernoise écrivait qu'elle ne savait toujours pas si les données de ses assurés avaient fui. Elle a déposé plainte le 19 octobre 2026. Elle envoie les documents d'inscription à son portail exclusivement par courrier.

Ce que la loi prévoit

La loi fédérale sur la protection des données (LPD) distingue le responsable du traitement et le sous-traitant. Le sous-traitant traite des données pour le compte du responsable.

L'art. 8 LPD oblige le responsable et le sous-traitant à assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate par rapport au risque.

L'art. 9 LPD permet de confier un traitement à un sous-traitant si un contrat ou la loi le prévoit, et si les données ne sont traitées que comme le responsable peut le faire. Le responsable doit s'assurer que le sous-traitant peut garantir la sécurité des données. Une sous-traitance ultérieure exige l'autorisation préalable du responsable.

L'art. 24, al. 1, LPD oblige le responsable à annoncer au PFPDT, dans les meilleurs délais, une violation de la sécurité des données qui entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. L'annonce indique au moins la nature de la violation, ses conséquences et les mesures prises ou envisagées.

L'art. 24, al. 3, LPD oblige le sous-traitant à annoncer au responsable, dans les meilleurs délais, toute violation de la sécurité des données.

L'art. 24, al. 4, LPD oblige le responsable à informer la personne concernée lorsque cela est nécessaire à sa protection, ou lorsque le PFPDT l'exige. Il peut restreindre cette information, la différer ou y renoncer. C'est notamment le cas si une communication publique assure une information équivalente.

Une annonce fondée sur l'art. 24 ne peut pas être utilisée dans une procédure pénale contre la personne tenue d'annoncer, sauf avec son consentement.

Le PFPDT examine le cadre de ces transmissions. Il ne l'a pas encore qualifié.

Ce que l'enquête ne décide pas

L'enquête formelle n'est pas un jugement. Elle ne constate pas encore une violation. Elle ne fixe aucune amende. Elle ne dit pas quelles personnes sont concernées.

Elle ne vise pas toutes les caisses de pension de Suisse. Elle vise PK Softech AG, pour des données de plusieurs institutions auxquelles cette entreprise fournissait des logiciels.

Publica n'a aucun indice d'une publication sur le dark web. Des articles de presse du 20 octobre 2026 ont évoqué des données d'anciens conseillers fédéraux et un chantage. Le PFPDT ne confirme pas ce récit. La procédure est en cours.

Le numéro AVS, le salaire et l'IBAN sont des données personnelles. L'enquête ne les range pas, à elle seule, parmi les données sensibles de la LPD. Les données sensibles visent notamment la santé, les opinions, la biométrie ou les poursuites pénales.

Les plaintes pénales portent sur la cyberattaque. Elles ne sont pas la décision du PFPDT.

Questions fréquentes

• L'avoir de prévoyance est-il bloqué ? Publica écrit que non. Ses systèmes de production ne sont pas touchés. La rente continue d'être versée. La Caisse de pension de la Ville de Zurich a dit que ses avoirs et le versement des rentes n'étaient pas touchés.
• Peut-on déjà savoir si l'on est concerné ? Publica ne le sait pas encore. Elle informera directement les personnes dès qu'elle pourra les identifier.
• Quelles données ont pu fuir chez Publica ? Le nom, l'adresse, la date de naissance, le numéro AVS, le téléphone, l'adresse électronique et des données de prévoyance peuvent l'être. Pour les rentiers, l'IBAN peut l'être aussi. La liste des personnes n'est pas établie.
• Le PFPDT a-t-il déjà sanctionné PK Softech ? Non. L'enquête du 22 octobre 2026 est ouverte. Elle ne fixe ni violation, ni amende.
• Toutes les caisses suisses sont-elles touchées ? Non. Le PFPDT parle de plusieurs grandes institutions clientes de ce fournisseur, dont Publica.
• Les données sont-elles publiées sur le dark web ? Publica écrit n'en avoir aucun indice.
• Faut-il répondre à un message qui demande un IBAN ou un mot de passe ? Publica demande de ne pas y répondre. La Caisse de pension bernoise envoie les documents de son portail seulement par courrier.
• L'annonce au PFPDT vaut-elle aveu dans une procédure pénale ? Non. Une annonce fondée sur l'art. 24 LPD ne peut pas être utilisée dans une procédure pénale contre la personne tenue d'annoncer, sauf avec son consentement.

Le forfait Basic d'Avocados AI coûte CHF 4.99 par mois, le prix d'un café. Il sert à ordonner les messages de la caisse, les annonces reçues et les questions à poser. Il ne remplace pas l'examen du dossier par un avocat. Le guide LPD suisse reprend le cadre de la sécurité des données et de l'annonce au Préposé.

Sources

Préposé fédéral à la protection des données et à la transparence, communication du 23 octobre 2026. Caisse fédérale de pensions Publica, informations sur la cyberattaque et plainte pénale du 15 octobre 2026. Agence télégraphique suisse, 15 octobre 2026. Caisse de pension bernoise, communiqué du 20 octobre 2026. Loi fédérale sur la protection des données, art. 8, 9 et 24. Seule la publication officielle fait foi.