Le maillon humainLes RH détiennent les données les plus convoitées de l'entreprise : identités, salaires, comptes bancaires, santé. Et ce sont souvent elles qui reçoivent le CV piégé ou la fausse demande de changement de compte. Bonne nouvelle : la plupart des attaques se déjouent avec quelques réflexes et une organisation claire.
L'essentiel
- La loi oblige toute entreprise qui traite des données personnelles à assurer une sécurité adéquate, par des mesures techniques et organisationnelles proportionnées au risque.
- Les attaques visent d'abord les personnes : hameçonnage, faux CV piégé, faux changement de compte de salaire, faux patron qui ordonne un virement.
- Les RH ont un rôle clé : accès ouverts et fermés au bon moment, formation de chacun, directive informatique, contrat avec le prestataire de paie.
- Une fuite de données qui crée un risque élevé s'annonce au Préposé fédéral dans les meilleurs délais ; les infrastructures critiques signalent les cyberattaques à l'OFCS en 24 heures.
- Le collaborateur qui clique par erreur n'est en principe pas responsable du dommage s'il n'a commis qu'une faute légère : former et encourager à signaler protège mieux que punir.
Sur cette page
Les attaques qui visent les RH et la paieCe que dit la loiUne demande de changement de compte est-elle suspecte ?Les accès, du premier au dernier jourLe check-up cybersécurité de la PMESurveiller pour protéger, sans espionnerEn cas d'attaque : les premiers gestesCybersécurité : vos questionsLes attaques qui visent les RH et la paie
Un « collaborateur » écrit depuis une adresse ressemblante : nouveau compte pour le salaire, à changer avant la paie. Le salaire part chez l'escroc.
parade : rappel au numéro connuUne candidature spontanée contient un fichier ou un lien qui installe un logiciel malveillant, parfois un rançongiciel qui chiffre tout le réseau.
parade : portail de candidature, pas de macro, pas d'archiveLa « direction » demande un virement urgent et confidentiel, ou la liste des salaires et des certificats de salaire.
parade : double validation, jamais d'exceptionFaux message du logiciel de paie, de la banque ou d'une caisse sociale qui demande de « confirmer » un identifiant.
parade : double authentification, ne jamais saisir depuis un lien reçuGrâce à l'IA, un appel peut imiter la voix d'un dirigeant ou d'un collaborateur pour faire valider un paiement.
parade : question de contrôle, rappelUn ancien collaborateur, un stagiaire ou un prestataire garde son compte des mois après son départ.
parade : liste de départ, revue des accèsUne affiche, un courrier ou un PDF invite à scanner un code pour « mettre à jour » son compte ou ses données de salaire : le téléphone échappe aux filtres de l'entreprise.
parade : ne jamais scanner un code inattenduUne demande de connexion arrive sur le téléphone sans qu'on l'ait lancée, ou une page demande de copier une « commande de réparation » dans l'ordinateur.
parade : refuser ce qu'on n'a pas demandé, le signalerLe message vient de l'adresse réelle d'un collègue, d'une fiduciaire ou d'une caisse sociale dont la messagerie a été piratée : les filtres le laissent passer.
parade : le contexte compte plus que l'adresse ; rappelLe paiement du salaire sur le compte d'un escroc ne libère en principe pas l'employeur : il a payé à une personne qui n'avait pas le droit de recevoir. Le collaborateur garde donc son droit au salaire, et l'employeur supporte la perte, sauf faute du collaborateur lui-même. D'où l'importance du contrôle avant chaque changement de compte. Voir aussi la fraude à la paie.
art. 68 ss et 323 CO ; art. 146 et 147 CPCe que dit la loi
| Règle | Ce qu'elle impose | Base |
|---|---|---|
| Sécurité adéquate | Mesures organisationnelles et techniques appropriées au risque, pour éviter toute violation de la sécurité des données. Une PME n'a pas à tout faire, mais ce qui est proportionné à ses données. | art. 8 LPD |
| Quatre objectifs | Les données ne sont accessibles qu'aux personnes autorisées (confidentialité), disponibles en cas de besoin (disponibilité), non modifiables sans droit (intégrité) et traitées de façon traçable ; restauration rapide après un incident. | art. 1 à 3 OPDo |
| Journalisation | Obligatoire pour les traitements automatisés de données sensibles à grande échelle ou les profilages à risque élevé, quand les autres mesures ne suffisent pas. | art. 4 OPDo |
| Prestataire | L'entreprise reste responsable : elle s'assure que le prestataire (paie, logiciel RH, informatique) garantit la sécurité ; il ne peut pas sous-traiter plus loin sans autorisation. | art. 9 LPD |
| Données du personnel | Seulement ce qui porte sur l'aptitude au poste ou l'exécution du contrat ; l'employeur protège la personnalité de ses collaborateurs, données comprises. | art. 328 et 328b CO |
| Devoirs du collaborateur | Diligence et respect des directives de l'employeur, par exemple une directive informatique. | art. 321a et 321d CO |
| Sanctions LPD | Amende jusqu'à 250 000 francs, sur plainte, contre la personne responsable qui ne respecte pas intentionnellement les exigences minimales de sécurité ou confie les données à un prestataire sans les garanties. | art. 61 let. b et c LPD |
| Infractions | S'introduire sans droit dans un système protégé, ou modifier, effacer, rendre inutilisables des données : jusqu'à 3 ans de peine privative de liberté (5 ans en cas de dommage considérable). | art. 143bis et 144bis CP |
Une demande de changement de compte est-elle suspecte ?
Cochez ce que vous observez dans la demande. Rien n'est envoyé.
Le contrôle avant de changer un compte de salaire
Les accès, du premier au dernier jour
Dès le recrutement, ne collecter que les données utiles et effacer les dossiers des candidats non retenus. Compte créé à la date d'entrée, avec les seuls droits du poste ; double authentification activée ; directive informatique remise et signée ; formation de base dans la première semaine.
Droits revus à chaque changement de poste (on retire les anciens) ; revue annuelle des accès à la paie et aux dossiers ; rappel de formation chaque année.
Accès coupés le dernier jour, ou dès la libération de l'obligation de travailler ; appareils, badges et clés repris ; messagerie redirigée avec un message d'absence ; mots de passe partagés changés.
Un licenciement immédiat ou un départ conflictuel : couper les accès au moment de l'annonce, pas le lendemain. Les données privées du collaborateur sur son poste lui sont rendues ou effacées avec lui. La liste se retrouve dans le dossier de départ.
art. 8 LPD ; art. 3 OPDo ; art. 321a, 328b et 339a COLe check-up cybersécurité de la PME
Seize points, du plus simple au plus organisé. Cochez ce qui est en place ; le plan se télécharge en Word. Rien n'est envoyé, les cases restent sur cet appareil.
Notre niveau de protection
Surveiller pour protéger, sans espionner
- Les outils de sécurité (antivirus, filtrage des courriels, journaux techniques) sont admis : ils protègent le système, pas le comportement des personnes.
- Un système destiné à surveiller le comportement des collaborateurs à leur poste est interdit ; une mesure de sécurité ne doit pas devenir une surveillance permanente d'une personne.
- Annoncer les règles à l'avance dans la directive informatique : ce qui est enregistré, combien de temps, qui peut y accéder et dans quels cas.
- En cas de soupçon précis (fuite, abus), un contrôle ciblé et proportionné, de préférence en présence d'une deuxième personne ; pas de lecture des messages manifestement privés.
Les limites de la surveillance et la valeur des preuves sont détaillées dans la fraude à la paie et l'IA en RH.
art. 26 OLT 3 ; art. 328 et 328b CO ; art. 6 LPDEn cas d'attaque : les premiers gestes
- Isoler : débrancher du réseau l'appareil touché, sans l'éteindre ni rien effacer (les traces servent à l'analyse).
- Prévenir l'informaticien ou le prestataire, puis la direction ; activer le plan d'urgence.
- Changer les mots de passe des comptes touchés, depuis un appareil sain ; bloquer les paiements en cours si la paie est concernée.
- Évaluer les données en jeu : salaires, comptes bancaires, données de santé, pièces d'identité ? Combien de personnes ?
- Annoncer au Préposé fédéral (PFPDT) dans les meilleurs délais si le risque est élevé pour les personnes ; le prestataire doit vous avertir lui-même sans délai.
- Informer les collaborateurs touchés quand c'est nécessaire à leur protection : quoi, quels risques, que faire (surveiller leur compte, se méfier des appels).
- Débriefer sans chercher un coupable : comprendre comment l'attaque est passée et corriger la procédure ; responsabiliser sans culpabiliser, sinon les prochaines erreurs seront cachées.
- Porter plainte à la police : plusieurs infractions informatiques ne se poursuivent que sur plainte, dans les 3 mois.
- Payer les salaires à l'échéance malgré tout : l'attaque ne suspend pas l'obligation de l'employeur. Prévoir une solution de secours (montants du mois précédent, ordre manuel à la banque).
Les délais et destinataires des annonces (LPD et infrastructures critiques) sont résumés dans la page protection des données ; l'assurance cyber, dans les assurances.
art. 24 LPD ; art. 74a à 74e LSI ; art. 31, 143bis et 144bis CP ; art. 323 COCybersécurité : vos questions
Une PME de 10 personnes doit-elle vraiment s'en occuper ?
Oui. La loi impose une sécurité adéquate à toute entreprise qui traite des données personnelles, et les données du personnel en font partie. Pour une petite entreprise, les mesures restent simples : double authentification, mises à jour, sauvegarde séparée, accès limités, formation.
art. 8 LPD ; art. 1 à 3 OPDoUn collaborateur a cliqué sur un lien piégé : peut-on lui faire payer le dommage ?
Rarement. Le travailleur répond du dommage qu'il cause par sa faute, mais le juge tient compte du risque professionnel, de sa formation et des directives reçues ; une faute légère n'entraîne en général pas de responsabilité. Aucune retenue sur le salaire sans accord ni décision.
art. 321e et 323b COPeut-on licencier un collaborateur qui a provoqué une cyberattaque ?
Une erreur isolée justifie surtout une formation. Le congé ordinaire reste possible s'il n'est pas abusif ; un renvoi immédiat suppose une faute grave, par exemple la violation délibérée et répétée d'une directive claire.
art. 336 et 337 COFaut-il annoncer chaque incident au Préposé ?
Non, seulement les violations de la sécurité des données qui entraînent vraisemblablement un risque élevé pour les personnes. Documenter pourtant chaque incident et la raison pour laquelle il n'a pas été annoncé.
art. 24 LPDLe prestataire de paie a été piraté : qui est responsable ?
L'entreprise reste responsable du traitement envers ses collaborateurs ; le prestataire doit l'avertir sans délai et garantir la sécurité prévue au contrat. Les annonces au Préposé et aux collaborateurs restent à la charge de l'entreprise.
art. 9 et 24 LPDPeut-on lire la messagerie d'un collaborateur après une fuite ?
Seulement de façon ciblée et proportionnée, pour les messages professionnels, avec un motif précis ; les messages manifestement privés ne se lisent pas. Une surveillance générale du comportement est interdite.
art. 328b CO ; art. 26 OLT 3Testez vos réflexes
6 affirmations tirées au hasard parmi 6, et rien n'est enregistré ni envoyé
Bases légales
Loi sur la protection des données (LPD), art. 6, 8, 9, 24 et 61 ; ordonnance sur la protection des données (OPDo), art. 1 à 4 ; Code des obligations, art. 68 ss, 321a, 321d, 321e, 323, 323b, 328, 328b, 336, 337 et 339a ; ordonnance 3 relative à la loi sur le travail (OLT 3), art. 26 ; Code pénal, art. 31, 143bis, 144bis, 146 et 147 ; loi sur la sécurité de l'information (LSI), art. 74a à 74e.
