Sites web non mis à jour : ce que dit la LPD

En images

Un site non mis à jour n'est pas qu'un problème technique

Depuis le 1er septembre 2023, la loi fédérale sur la protection des données (LPD) impose à toute entreprise suisse de protéger les données personnelles qu'elle traite par des mesures techniques appropriées. Un site web qui tourne sur une version de PHP, de WordPress ou d'un autre composant dont les failles sont connues et corrigées ne respecte plus cette exigence.

La plupart des entreprises voient les mises à jour comme un coût d'entretien que l'on peut reporter. En réalité, chaque faille publiée est documentée, lue par les attaquants et exploitée automatiquement dans les heures ou les jours qui suivent. Le site d'une PME n'est pas visé parce qu'il est intéressant, mais parce qu'il est vulnérable et facile à trouver.

Cet article explique, sans jargon, ce que la loi attend de vous, ce que vous risquez quand votre site contient des données de clients, de patients ou d'employés, et pourquoi refuser une mise à jour recommandée change votre situation juridique.

Comment une faille non corrigée devient une fuite de données

Un site web repose sur plusieurs couches : le langage (PHP), le système de gestion de contenu (WordPress, Neos, Drupal), ses extensions et le serveur. Chacune reçoit régulièrement des correctifs de sécurité. Quand une faille est rendue publique, l'éditeur publie en même temps le correctif et une description du problème.

À partir de ce moment, la course est engagée. Les attaquants n'ont pas besoin de connaître votre entreprise : des programmes parcourent le web en permanence à la recherche de sites qui utilisent encore la version vulnérable. Un site non mis à jour est repéré en quelques jours, parfois en quelques heures.

Les failles les plus graves permettent d'exécuter du code sur le serveur sans aucun identifiant. Concrètement, un attaquant peut alors :

• lire tous les fichiers du site, y compris la configuration qui contient les accès à la base de données ;
• copier, modifier ou effacer les données des clients : comptes, commandes, formulaires de contact, adresses, parfois données de santé ou de paiement ;
• installer une porte dérobée pour revenir plus tard, même après une mise à jour ;
• utiliser le site pour envoyer du spam, diffuser des logiciels malveillants aux visiteurs ou attaquer d'autres serveurs.

Le point important sur le plan juridique : la fuite ne résulte pas d'une attaque sophistiquée, mais d'une mesure de sécurité connue, disponible et non appliquée.

Ce que la LPD exige de votre site

La LPD ne parle pas de mises à jour. Elle fixe des obligations de résultat sur la protection des données, et c'est la maintenance qui permet de les tenir. Trois articles concernent directement tout site web qui collecte des informations sur des personnes.

Sécurité des données (art. 8 LPD). Le responsable du traitement et ses sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données par rapport au risque encouru. L'ordonnance d'application (art. 1 à 3 OPDo) précise que ces mesures doivent garantir la confidentialité, la disponibilité, l'intégrité et la traçabilité des données, et qu'elles sont proportionnées au type de données et à l'ampleur du traitement. Faire tourner un composant dont la faille critique est publique et corrigée ne satisfait pas ce standard.

Sous-traitance (art. 9 LPD). Votre agence web ou votre hébergeur est un sous-traitant. Vous restez responsable du traitement : vous devez vous assurer que le sous-traitant est en mesure de garantir la sécurité des données. Inversement, le sous-traitant doit vous informer de toute violation de la sécurité (art. 24 al. 3 LPD).

Annonce des violations (art. 24 LPD). En cas de fuite entraînant vraisemblablement un risque élevé pour les personnes concernées, vous devez l'annoncer dans les meilleurs délais au Préposé fédéral à la protection des données et à la transparence (PFPDT), et informer les personnes touchées lorsque c'est nécessaire à leur protection.

Trois niveaux de risque en cas de fuite

Une fuite de données personnelles expose à trois types de conséquences, qui ne s'excluent pas. Contrairement au RGPD européen, la LPD ne prévoit pas d'amende administrative contre l'entreprise : les amendes pénales visent la personne physique qui a pris la décision fautive.

Le volet pénal ne sanctionne que l'intention. Une négligence ordinaire, par exemple un correctif oublié, n'est pas une infraction. Le délai de prescription est de cinq ans (art. 66 LPD). Les autorités pénales cantonales mènent la procédure ; le PFPDT peut déposer plainte.

Le volet administratif ne demande aucune intention. Dès qu'une violation est connue, le PFPDT doit ouvrir une enquête. Pour un site marchand, une suspension du traitement peut signifier une mise hors ligne jusqu'à correction. Les décisions du PFPDT sont publiques.

Le volet civil est le plus concret pour une PME. Chaque client dont les données ont fui peut réclamer réparation du dommage prouvé (fraude, usurpation d'identité, frais) et, si l'atteinte est grave, une indemnité pour tort moral. La négligence suffit. Multiplié par le nombre de personnes touchées, ce poste dépasse souvent le montant d'une amende.

Refuser une mise à jour recommandée change tout

La différence entre négligence et intention ne tient pas à la volonté de nuire. En droit pénal suisse, le dol éventuel suffit : il y a intention dès que l'on envisage un résultat comme possible et que l'on s'en accommode.

Une entreprise qui n'a jamais été informée d'une faille est dans la négligence. Une entreprise qui a reçu un ou plusieurs avertissements écrits décrivant la faille, ses conséquences et le correctif, et qui a choisi de ne pas agir, connaît le risque et l'accepte. Si une fuite survient, elle ne pourra plus invoquer l'ignorance, et l'amende de l'art. 61 let. c LPD contre la personne qui a pris cette décision redevient envisageable.

Les conséquences dépassent la LPD :

• Assurance cyber : la plupart des polices excluent ou réduisent la couverture quand une vulnérabilité connue n'a pas été corrigée. Les avertissements du prestataire sont la première pièce que l'assureur réclame.
• Responsabilité des organes : un administrateur ou un gérant qui ignore sciemment un risque informatique documenté peut engager sa responsabilité personnelle envers la société et ses créanciers (art. 754 CO pour une SA, art. 827 CO pour une Sàrl).
• RGPD : si le site a des utilisateurs dans l'Union européenne, la négligence y est sanctionnée directement, par des amendes administratives contre l'entreprise, avec un délai de notification de 72 heures.
• Contrats : prestataires de paiement, partenaires et clients professionnels imposent souvent des clauses de sécurité. Un site compromis entraîne résiliations ou pénalités.

À l'inverse, une entreprise qui applique les correctifs dans un délai raisonnable et documente ses mesures remplit son obligation de moyens. Si une attaque réussit malgré cela, la doctrine considère qu'il n'y a pas de violation des exigences minimales et donc pas de sanction.

Que faire si une fuite survient

La loi n'impose pas de délai en heures, mais elle exige d'agir « dans les meilleurs délais ». Chaque jour de retard aggrave le risque pour les personnes concernées et votre responsabilité.

1. Contenir : couper l'accès de l'attaquant, changer les mots de passe et clés d'accès, conserver les journaux du serveur sans les effacer.
2. Comprendre : identifier quelles données ont été exposées, pour combien de personnes, sur quelle période. Votre prestataire doit vous informer de toute violation qu'il constate (art. 24 al. 3 LPD).
3. Évaluer le risque : il est élevé si les données permettent une fraude, une usurpation d'identité, une atteinte à la réputation ou à la santé. Des données chiffrées et inexploitables abaissent le risque.
4. Annoncer au PFPDT si le risque élevé est vraisemblable (art. 24 al. 1 LPD). L'annonce se fait via le portail en ligne du PFPDT et indique la nature de la violation, ses conséquences et les mesures prises. Elle ne peut pas être utilisée contre vous dans une procédure pénale sans votre accord (art. 24 al. 6 LPD).
5. Informer les personnes concernées lorsque c'est nécessaire à leur protection, par exemple pour qu'elles changent un mot de passe ou surveillent un compte (art. 24 al. 4 LPD).
6. Documenter : conserver une trace datée de chaque constat et de chaque décision. Le PFPDT a publié en février 2025 un guide détaillé sur l'annonce des violations.

Ne pas annoncer n'est pas en soi une infraction pénale. Mais une personne qui n'a pas pu se protéger faute d'information disposera d'un argument supplémentaire pour réclamer réparation au civil. Si le site a des utilisateurs européens, le RGPD impose en plus une notification sous 72 heures à l'autorité compétente.

Comment s'en prémunir

La conformité ne demande pas des moyens d'une grande entreprise. Elle demande une routine et des traces.

• Maintenance régulière : appliquer les correctifs de sécurité du langage, du CMS et des extensions dans un délai court après leur publication. Les failles critiques se traitent en jours, pas en mois.
• Hébergement maintenu : s'assurer que l'hébergeur met à jour le serveur et propose des versions de PHP encore supportées. Un composant arrivé en fin de vie ne reçoit plus de correctifs, quelles que soient les bonnes intentions.
• Contrat de maintenance clair : définir qui applique les mises à jour, dans quel délai, et ce qui se passe quand le client refuse une correction recommandée. C'est ce contrat qui répond aux exigences de l'art. 9 LPD sur la sous-traitance.
• Sauvegardes testées : conserver des copies hors du serveur et vérifier qu'elles se restaurent. Une porte dérobée installée avant la sauvegarde la rend inutile.
• Accès maîtrisés : comptes nominatifs, mots de passe forts, double authentification sur l'administration, suppression des comptes inactifs.
• Minimisation : ne collecter que les données nécessaires et effacer celles qui ne servent plus. Moins de données exposées, moins de risque et moins de personnes à informer.
• Documentation : garder la trace des mises à jour effectuées, des recommandations reçues et des décisions prises. En cas d'incident, c'est ce dossier qui démontre la diligence.

Un site maintenu est un site qui respecte l'art. 8 LPD par construction. Le coût d'un abonnement de maintenance se compare au coût d'une seule fuite : remise en état, notification, perte de confiance, procédures.

Questions fréquentes

La LPD oblige-t-elle à mettre son site web à jour ? Pas en ces termes. Elle oblige à assurer une sécurité des données adéquate par rapport au risque (art. 8 LPD). Un site dont les failles connues ne sont pas corrigées ne remplit pas cette obligation. La mise à jour est le moyen, la sécurité est l'obligation.

Quelle amende en cas de fuite de données en Suisse ? Jusqu'à CHF 250 000 contre la personne physique responsable, uniquement si le non-respect des exigences minimales de sécurité est intentionnel, dol éventuel compris (art. 61 let. c LPD). La négligence simple n'est pas punie pénalement, mais elle engage la responsabilité civile de l'entreprise.

Qui est puni : l'entreprise ou le dirigeant ? En principe la personne physique qui a pris la décision. L'entreprise peut être condamnée à sa place jusqu'à CHF 50 000 si identifier l'auteur demanderait une enquête disproportionnée (art. 64 LPD).

Dois-je annoncer toute fuite au PFPDT ? Seulement celles qui entraînent vraisemblablement un risque élevé pour les personnes concernées (art. 24 LPD). Les autres doivent être documentées en interne. Votre prestataire doit vous signaler toute violation, sans seuil.

Mon agence est-elle responsable à ma place ? Non. L'agence ou l'hébergeur est sous-traitant et répond de ce qui lui est confié. Vous restez responsable du traitement et du choix de suivre ou non ses recommandations (art. 9 LPD).

Références légales et sources

Cet article présente le cadre légal à titre d'information générale. Il ne constitue pas un avis juridique ; pour une situation concrète, consultez un avocat spécialisé en protection des données.

Textes de loi

• Loi fédérale sur la protection des données (LPD, RS 235.1) : art. 8 (sécurité), art. 9 (sous-traitance), art. 24 (annonce des violations), art. 30 à 32 (prétentions civiles), art. 49 à 51 (enquête et mesures du PFPDT), art. 60 à 66 (dispositions pénales)
• Ordonnance sur la protection des données (OPDo, RS 235.11) : art. 1 à 6 (exigences minimales de sécurité)
• Code civil, art. 28 ss (protection de la personnalité) ; Code des obligations, art. 41 (responsabilité pour faute), art. 49 (tort moral), art. 754 et 827 (responsabilité des organes)

Autorité et guides officiels

• PFPDT, Dispositions pénales de la LPD
• PFPDT, La nouvelle LPD du point de vue du PFPDT
• PFPDT, Guide relatif à l'annonce des violations de la sécurité des données (art. 24 LPD), février 2025

Doctrine

• Pahud / Pittet, Les infractions pénales de la loi sur la protection des données, Jusletter 2023
• Rosenthal / Studer / Lombard, La nouvelle loi sur la protection des données
• Métille, Le traitement de données personnelles sous l'angle de la nouvelle LPD, SJ 2021 II 1
• swissprivacy.law, Le PFPDT guide les responsables du traitement quant à leur devoir d'informer

En savoir plus

Prenez contact avec nous