Cloud d'entreprise en Suisse : modèles, sécurité et conformité

Cloud d'entreprise en Suisse : pourquoi le contexte compte

Pour une entreprise suisse, le cloud n'est pas seulement un choix technique ou financier. La flexibilité opérationnelle, la protection des données personnelles et la responsabilité juridique sont déterminantes. Quiconque traite des données de clients, de collaborateurs ou de partenaires doit démontrer avoir choisi et instruit son fournisseur de manière conforme et avoir évalué les risques.

Le cadre de référence est la Loi fédérale sur la protection des données (LPD) révisée. Selon Swissmedic, la révision totale est entrée en vigueur le 1er septembre 2023. Elle vise à améliorer la protection des données, à accroître la transparence lors de la collecte et du traitement, et à renforcer l'autodétermination informationnelle des citoyens. L'IFPDT observe que la loi suisse actualisée en 2023 s'aligne largement sur le Règlement général sur la protection des données (RGPD) de l'Union européenne et impose des règles strictes en matière de transparence, de sécurité et de responsabilité.

La souveraineté numérique pèse lourdement dans le débat. L'IFPDT souligne que, compte tenu des relations tendues et complexes entre la Suisse et les États-Unis, les doutes quant à la sécurité des services cloud étrangers se multiplient. On s'interroge sur la possibilité pour le gouvernement américain d'exiger l'accès aux données suisses. Toutes les solutions étrangères ne sont pas inacceptables, mais le siège du fournisseur, l'accès gouvernemental et la conformité à la LPD doivent être évalués avec attention.

Événements clés dans la protection des données en Suisse (2023–2025)

Modèles cloud pour l'entreprise : public, privé, hybride et multi-cloud

Selon l'IFPDT, le cloud computing permet d'acquérir à la demande, via un réseau (par exemple Internet), des applications et logiciels, des capacités de stockage, des outils de développement, des capacités réseau ou de la puissance de calcul auprès d'un fournisseur de services cloud. Les exemples de l'IFPDT incluent les outils Office 365 pour les collaborateurs. Ils comprennent également des outils pour gérer les adresses e-mail pour les newsletters ou le service clientèle. Autres exemples : systèmes CRM en ligne, téléchargement de vidéos sur des plateformes de streaming et chargement de données sur un serveur distant accessible via Internet.

Le cloud public utilise des infrastructures partagées accessibles via le réseau. En Suisse, le projet « Cloud public de la Confédération » offre à l'Administration fédérale des services cloud publics au niveau central. Il prévoit une gouvernance cloud et un Courtier en services cloud (CSB) comme intermédiaire. La stratégie fédérale est hybride multi-cloud : elle met à disposition plusieurs services cloud et les combine avec les infrastructures existantes.

Le cloud privé est conçu pour des ressources dédiées. Swisscom présente l'Enterprise Service Cloud comme une solution de cloud privé avec conservation des données en Suisse. Il offre une utilisation exclusive de la bande passante et des capacités de stockage, un fonctionnement isolé en Suisse et une intégration avec le réseau d'entreprise, l'infrastructure et les processus de l'entreprise. Il fournit l'infrastructure en tant que service (IaaS) et les plateformes en tant que service (PaaS) et s'interface avec les environnements sur site (on-premise) et l'infrastructure cloud public.

Le cloud hybride combine les environnements sur site, le cloud privé et le cloud public. La stratégie multi-cloud utilise plusieurs fournisseurs ou plusieurs plateformes cloud, comme dans le modèle fédéral. Pour identifier le modèle adapté, trois questions sont essentielles : quelles données sont traitées, quel est leur degré de sensibilité et quelles charges de travail doivent rester sous contrôle direct. S'y ajoutent les objectifs commerciaux, l'intégration avec les systèmes existants, l'évolutivité requise et la possibilité de changer de fournisseur dans le temps.

Comparaison des modèles cloud pour l'entreprise suisse

Cloud privé en Suisse : contrôle, isolation et données dans le pays

Le cloud privé est souvent évalué par les entreprises disposant de données sensibles ou soumises à des exigences strictes. L'IFPDT souligne qu'il peut être fourni soit pour plusieurs clients, soit pour des entreprises individuelles, toujours dans le respect des normes suisses rigoureuses en matière de protection des données. Il n'est pas automatiquement conforme. Il indique toutefois une direction utile lorsque des ressources dédiées et un meilleur contrôle du périmètre sont nécessaires.

Parmi les avantages cités figurent des ressources dédiées, l'isolation, la conservation des données en Suisse, la réduction de la complexité et l'intégration avec les infrastructures existantes. Swisscom évoque une utilisation exclusive de la bande passante et des capacités de stockage, une disponibilité maximale et un niveau élevé de sécurité des données grâce au fonctionnement isolé en Suisse. Elle ajoute une réduction de la complexité de l'environnement IT et une intégration avec les structures sur site et l'infrastructure cloud public. Pour les entreprises aux environnements IT complexes et aux données sensibles, ces éléments peuvent simplifier les opérations et la conformité.

Le choix doit reposer sur des critères vérifiables. Ceux-ci incluent l'emplacement des données et des sauvegardes, le niveau d'isolation, la gestion des accès, la séparation entre clients, la continuité des activités, la possibilité d'exporter les données et l'intégration avec les processus existants. Il convient de clarifier contractuellement les rôles, les instructions, les sous-traitants et les mesures de sécurité. Le cloud privé en Suisse est une option à évaluer, non une garantie automatique : la conformité dépend de la configuration, de la contractualisation et du contrôle du service.

Avantages et risques du cloud privé en Suisse

Sécurité dans le cloud : objectifs de protection et mesures concrètes

Swissmedic résume les objectifs de protection en quatre piliers : confidentialité, intégrité, disponibilité et traçabilité. Dans le cloud, ils doivent se traduire par des mesures techniques et organisationnelles adaptées au risque. L'IFPDT met à disposition un guide sur les mesures techniques et organisationnelles (MTO) en matière de protection des données, qui illustre les risques et les solutions et aborde le chiffrement, l'anonymisation et l'authentification. Ce guide aide à mettre en œuvre des mesures appropriées et à garantir une protection optimale des données personnelles conformément aux réglementations et normes en vigueur.

Au chiffrement et à l'authentification s'ajoutent des mesures organisationnelles : gestion des rôles et des droits d'accès, séparation des tâches, sauvegardes, contrôle des environnements, instructions au personnel et vérification des fournisseurs. L'article 4 de l'OPD prévoit la tenue d'un journal. Lors du traitement automatisé de données personnelles, le responsable privé du traitement et son sous-traitant privé doivent enregistrer les opérations telles que l'enregistrement, la modification, la lecture, la communication, l'effacement et la destruction des données. L'IFPDT a publié des recommandations techniques pour la tenue du journal conformément à l'article 4 de l'OPD.

Une autre obligation opérationnelle concerne les violations de la sécurité des données : l'IFPDT a publié un guide sur la notification des violations. Il traite des exigences légales pour la notification à l'IFPDT et, en particulier, du concept de « risque vraisemblablement élevé » au sens de l'article 24 alinéa 1 de la LPD. Il définit également les exigences pour informer les personnes concernées en cas de violation conformément à l'article 24 alinéa 4 de la LPD. Dans un environnement cloud, il faut savoir qui détecte l'incident, qui décide de notifier, dans quels délais et avec quelles informations.

Enfin, il y a le facteur humain. Swissmedic cite Helga Horisberger, responsable du secteur juridique et membre de la direction. Selon elle, la principale menace pour la protection des données ne réside pas dans la numérisation, mais dans les individus : « Le comportement et les décisions individuelles minimisent les risques en matière de protection des données – ou les augmentent ». Pour cette raison, la sensibilisation et la formation de tous les collaborateurs font partie intégrante de la sécurité dans le cloud, et non un ajout facultatif.

Principaux objectifs de protection des données dans le cloud

Qui fait quoi : responsable du traitement, sous-traitant et sous-sous-traitant dans le cloud

Selon l'IFPDT, l'entreprise fournissant des services cloud agit généralement en tant que sous-traitant – ou sous-sous-traitant – du traitement des données du client, au sens de l'article 9 de la LPD. Le client peut être responsable du traitement ou responsable du traitement au sens large. La distinction détermine des obligations différentes et doit être clarifiée avant de confier des données à un fournisseur.

Si le client est le responsable du traitement, il doit garantir que les traitements effectués sur mandat par des fournisseurs cloud soient conformes à la protection des données. Il doit également éviter que les droits des personnes concernées ne soient compromis par la délocalisation. Si le client est un sous-traitant, il doit satisfaire aux exigences établies par le responsable du traitement concernant ses propres traitements de données.

L'IFPDT rappelle que l'utilisateur du cloud, en tant que responsable du traitement, doit s'assurer et garantir par contrat le respect des exigences de traitement par un sous-traitant visé à l'article 9 de la LPD. Des accords contractuels clairs, des instructions documentées, la définition des sous-traitants et le contrôle de la chaîne des sous-sous-traitants sont nécessaires. Le fournisseur cloud doit pouvoir démontrer qu'il a reçu des instructions licites et qu'il les a mises en œuvre.

La chaîne peut être longue : un fournisseur peut faire appel à des sous-sous-traitants pour l'hébergement, les sauvegardes, l'assistance ou les services réseau. Il est prudent de demander la liste mise à jour des sous-sous-traitants, les conditions pour les autoriser, les lieux de traitement et les modalités de contrôle. Les rôles et responsabilités doivent être décrits de manière compréhensible même pour les non-spécialistes du droit ou de la cybersécurité.

Données à l'étranger : transferts, pays tiers et risque CLOUD Act

L'IFPDT indique parmi les aspects à évaluer lors de l'utilisation de services cloud le recours à des sous-traitants et sous-sous-traitants. Il considère également la sécurité du traitement et la transmission de données personnelles vers des pays tiers. Dans la terminologie de la LPD, on parle de communication à l'étranger. Si des données personnelles sont communiquées à l'étranger dans le cadre du cloud, il convient de vérifier les conditions légales et les garanties applicables.

Le cas le plus discuté est celui des fournisseurs soumis au droit américain. L'IFPDT explique que le CLOUD Act permet aux autorités américaines de contraindre les entreprises américaines à divulguer des données, même si elles sont stockées à l'étranger. Un entrepreneur suisse utilisant un fournisseur cloud basé aux États-Unis risque donc que ses données sensibles soient consultées par les autorités américaines sans préavis ni recours. L'IFPDT ajoute que, même sans les tensions actuelles entre la Suisse et les États-Unis, ce risque juridique ne doit pas être sous-estimé.

L'IFPDT signale également que l'administration Trump crée une incertitude supplémentaire dans la sécurité mondiale des données. Les mesures récentes, telles que le licenciement de certains membres du Privacy and Civil Liberties Oversight Board en janvier 2025, ont affaibli des mécanismes de contrôle cruciaux pour le cadre de protection des données UE-USA, soulevant des doutes sur sa viabilité à long terme. Les mesures américaines ont accru les inquiétudes parmi les sociétés suisses. Elles craignent de devoir remettre des données stockées chez des fournisseurs cloud américains sur demande des autorités américaines, en possible contradiction avec les lois suisses sur la protection des données.

Pour une entreprise suisse, il est nécessaire d'évaluer le siège du fournisseur, la possibilité d'accès gouvernemental, les pays où les données sont traitées et les garanties contractuelles. Il ne suffit pas de vérifier où se trouvent physiquement les serveurs. Comptent également la nationalité du fournisseur, les lois auxquelles il est soumis, les sous-traitants impliqués et les pouvoirs des autorités étrangères. L'évaluation doit être documentée et revue lorsque les fournisseurs, les configurations ou le contexte juridique changent.

Conformité opérationnelle : documentation, transparence et contrôle continu

La conformité dans le cloud se traduit par des actions pratiques. L'IFPDT propose des guides et des instructions sur diverses obligations : mesures techniques et organisationnelles, notification des violations, tenue d'un journal conformément à l'article 4 de l'OPD et règlement pour les traitements automatisés. Ce dernier doit être établi par le responsable privé du traitement et son sous-traitant privé, selon l'article 5 de l'OPD, s'ils traitent à grande échelle des données personnelles particulièrement sensibles ou effectuent un profilage à haut risque.

Une démarche raisonnable part de l'analyse du besoin de protection : quelles données sont traitées, quel est leur degré de sensibilité, quelles sont les menaces et quelles seraient les conséquences d'une violation. Suivent une politique et un plan de protection des données, la définition des rôles internes et externes, les procédures de tenue du journal, la gestion des violations et la formation du personnel. Si les conditions légales sont remplies, le règlement pour les traitements automatisés doit également être préparé.

L'exemple de Swissmedic montre une approche pragmatique mais vérifiable : l'autorité a examiné et affiné ses propres pratiques de protection des données, en élaborant une politique et un plan. Ces documents clarifient les aspects organisationnels et techniques, décrivent les procédures et les processus et définissent les droits et obligations de tous les collaborateurs internes et externes en relation avec le traitement des données personnelles. Swissmedic a également nommé un interlocuteur interne pour toutes les questions relatives à la protection des données et comme personne de contact pour l'IFPDT. Elle organise régulièrement des réunions entre les responsables de la protection des données des différentes divisions et des cours de formation pour les collaborateurs.

Swissmedic souligne qu'en tant qu'autorité fédérale, elle est soumise à des exigences plus strictes que, par exemple, les entreprises privées, ce qui rend tout plus complexe. Une entreprise privée peut néanmoins tirer un principe utile : la mise en œuvre technique de mesures appropriées est aussi importante que la sensibilisation de tous les collaborateurs. Ainsi, seules les données réellement nécessaires sont collectées et stockées – ni plus, ni moins. La conformité n'est pas un projet ponctuel, mais un contrôle continu des fournisseurs, des accès, des incidents et de la documentation.

Procédure pour la conformité opérationnelle dans le cloud

Choisir le bon cloud : critères, intégration et gouvernance

Pour orienter le choix, une liste de contrôle décisionnelle est utile. Premier point : emplacement et isolation, c'est-à-dire où les données sont traitées et conservées, s'il existe des ressources dédiées et comment les environnements sont séparés. Deuxième point : sécurité et certifications, en demandant quelles mesures techniques et organisationnelles le fournisseur adopte et quelles attestations il possède.

Troisième point : gestion des sous-traitants, avec liste, lieux de traitement et conditions contractuelles. Quatrième point : transferts à l'étranger et accès gouvernemental, avec une attention particulière aux fournisseurs soumis à des lois étrangères comme le CLOUD Act.

D'autres critères concernent l'intégration avec l'environnement local, l'évolutivité, le support et la sortie du service. Swisscom décrit un cloud privé intégré au réseau d'entreprise, à l'infrastructure, aux processus, aux centres de données sur site et à l'infrastructure cloud public. Il comprend des services réseau, de sécurité et des services gérés. Ces éléments aident à comprendre si le modèle choisi est compatible avec l'environnement existant et les objectifs commerciaux.

Un aspect souvent négligé est la gouvernance. Le projet « Cloud public de la Confédération » montre un modèle organisationnel basé sur une gouvernance cloud et sur un Courtier en services cloud (CSB) intermédiaire entre les unités administratives et les hyperscalers. Le CSB soutient les unités dans l'utilisation des services cloud publics et privés, offre des conseils et accompagne les clients pour satisfaire aux exigences de sécurité de l'information et de protection des données, ainsi qu'aux obligations de confidentialité. La sélection du fournisseur le plus approprié se fait via un processus de demande défini ; dans le cas fédéral, les services disponibles sont ceux attribués dans l'appel d'offres OMC-20007, dont Amazon Web Services, Microsoft Azure, Alibaba, IBM et Oracle.

Même une entreprise privée peut adopter un rôle d'intermédiation interne ou externe : un référent qui connaît les exigences, les contrats et l'architecture, qui évalue le besoin de protection et qui maintient une relation continue avec les fournisseurs. La décision finale devrait reposer sur le risque, la responsabilité et la capacité de contrôle, et non seulement sur le prix ou la facilité d'utilisation. Documenter les critères, les évaluations et les choix facilite la démonstration, en cas de contrôle ou d'incident, que l'entreprise a agi avec diligence.

Critères pour choisir un fournisseur cloud conforme en Suisse