eAutoIndex: Données de détenteurs consultées dans cinq cantons
Faille de sécurité du service en ligne – Les autorités enquêtent dans cinq cantons
Sur le portail en ligne «eAutoIndex», de grandes quantités de données de détenteurs de véhicules de cinq cantons ont été consultées de manière automatisée à la mi-août. Les cantons d'Argovie, Lucerne, Schaffhouse, Vaud et Zoug sont concernés. Les cantons alertent contre de possibles tentatives de fraude et ont déposé plainte ou annoncé des démarches similaires.
Les informations consultées sont des données qui sont en principe accessibles au public : le numéro de plaque de contrôle ainsi que le nom et l'adresse des détenteurs de véhicules. Les personnes qui avaient bloqué la publication de leurs données ne sont, selon les connaissances actuelles, pas concernées.
Des mécanismes de protection ont été contournés
Ce n'est pas seulement la quantité de données consultées qui est particulièrement sensible, mais aussi le mode d'accès. Selon les informations disponibles à ce jour, la consultation s'est faite via une interface technique. Des mécanismes de protection, qui limitent le nombre de requêtes via eAutoIndex, ont été contournés.
L'entreprise responsable de l'exploitation a introduit des restrictions techniques d'accès supplémentaires après la découverte de l'incident et examine d'autres mesures. L'identité des responsables des consultations automatisées et l'objectif de la collecte de ces données font l'objet d'investigations complémentaires.
Les cantons n'ont pas encore chiffré publiquement l'ampleur des données consultées. Il est cependant clair qu'il ne s'agissait pas de consultations isolées, mais d'une compilation automatisée de données de détenteurs provenant de cinq cantons.
Tentatives d'extorsion suite à la consultation des données
L'incident a déjà pris une autre dimension. Des tentatives d'extorsion ont eu lieu auprès de l'opérateur d'eAutoIndex et du canton de Vaud. Les cinq cantons concernés ont donc déjà déposé plainte ou comptent le faire.
Les cantons mettent notamment en garde contre l'utilisation des informations collectées pour des tentatives de fraude. Il serait par exemple concevable de recevoir des demandes de paiement d'apparence très réelle pour de prétendues amendes, taxes, contrôles de véhicules automobiles ou péages étrangers.
Les autorités recommandent donc d'examiner avec une attention particulière les lettres, e-mails ou SMS inattendus. La prudence est de mise surtout lorsqu'un paiement est exigé sous pression de temps ou qu'il est demandé de saisir des données personnelles ou financières via un lien.
Les données étaient en principe publiques
Le cas est d'autant plus particulier qu'aucune donnée de registre secrète n'a été dérobée. Les informations concernées peuvent, selon le droit en vigueur, être en principe accessibles au public. La loi sur la circulation routière autorise les cantons à communiquer le nom et l'adresse des détenteurs de véhicules, à moins qu'un blocage de la communication de données ne soit en place.
Cela ne signifie toutefois pas qu'une collecte automatisée massive de ces informations soit sans problème. Une consultation individuelle de détenteur et la compilation systématique de grandes quantités de données sont des opérations différentes. C'est précisément là que les cantons voient un risque d'abus potentiel.
Les registres de véhicules sont organisés au niveau cantonal
En Suisse, la responsabilité des registres de véhicules incombe aux cantons. La consultation en ligne s'effectue via des systèmes différents selon les cantons. L'eAutoIndex sert de plateforme pour l'information électronique des détenteurs; par exemple, le canton de Berne renvoie directement à l'eAutoIndex pour sa consultation en ligne.
L'incident actuel révèle ainsi une particularité du système suisse : les données et les conditions légales de leur publication sont organisées au niveau cantonal, tandis que les plateformes numériques peuvent relier plusieurs cantons entre eux.
Ce que les personnes concernées peuvent faire
Ceux qui ne souhaitent pas que leur nom et adresse puissent être consultés publiquement via l'index automobile peuvent en principe faire bloquer gratuitement la publication des données de détenteur auprès de l'office de la circulation routière compétent. Les cinq cantons concernés signalent expressément cette possibilité.
Un blocage déjà effectué protège les données contre une consultation publique. Dans l'incident actuel, selon les cantons, les informations qui avaient déjà été bloquées pour la publication publique n'étaient pas concernées.
Pour tous les autres, une vigilance accrue est actuellement de mise. Quiconque reçoit une facture ou une demande de paiement inattendue ne doit pas réagir via le lien qu'elle contient. Il est plus sûr de contacter l'autorité compétente via son site web officiel ou son numéro de téléphone.
Les autorités de protection des données suivent le dossier
L'incident soulève également des questions en matière de protection des données. La loi suisse sur la protection des données oblige les responsables, sous certaines conditions, à signaler les violations de la sécurité des données au Préposé fédéral à la protection des données et à la transparence (PFPDT). Un tel signalement est notamment obligatoire lorsqu'une violation est susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées.
Il n'est pas possible de déterminer de manière concluante, à partir des informations publiées jusqu'à présent, si et dans quelle mesure un tel signalement a été effectué en relation avec l'eAutoIndex.
La question cruciale est celle de l'abus
Le cas actuel révèle un problème fondamental des registres numériques : les données peuvent être légalement accessibles au public et être néanmoins collectées en grande quantité à une fin que les personnes concernées attendent difficilement.
On ignore encore qui se cache derrière les consultations automatisées et ce qu'il est advenu des données collectées. Cependant, les tentatives d'extorsion montrent déjà qu'il existe un risque d'abus.
Pour les cantons, il ne s'agira donc pas seulement de savoir qui a consulté les données. Ils devront également clarifier si les mécanismes de protection techniques étaient suffisants et comment des accès de masse automatisés comparables pourront être empêchés à l'avenir.
L'affaire est donc plus qu'un incident technique. Elle pose la question de savoir jusqu'où les données publiques devraient réellement rester publiques, lorsque les systèmes modernes permettent d'en créer rapidement de vastes collections.
Sources
- SRF: «eAutoIndex» – Consultation de données : détenteurs de véhicules concernés dans cinq cantons, 28 août 2026
- Canton de Zoug / communiqué commun des cinq cantons : Fuite de données de détenteurs de véhicules, 28 août 2026
- PFPDT: Guide sur la violation de données
- PFPDT: Annonce de violations de la sécurité des données
- Canton de Berne: Informations sur les détenteurs de véhicules
- Canton d'Argovie: Données de détenteurs et blocage de communication
