Fournisseur cloud en Suisse : critères de sécurité et résidence des données

Pourquoi le choix du fournisseur cloud est une décision de sécurité et de souveraineté

Par cloud computing, on entend la possibilité d'acquérir selon les besoins des applications et logiciels, de l'espace de stockage, des outils de développement, de la capacité réseau ou de la puissance de calcul via un réseau, par exemple Internet, auprès d'un prestataire de services cloud. Entrent dans cette définition les outils Office 365 pour les collaborateurs, un système CRM en ligne, des outils pour gérer les adresses e-mail pour les newsletters ou le service clientèle, des plateformes de streaming vidéo ou le simple chargement de données sur un serveur distant accessible via Internet. Si des données personnelles sont transmises, le droit sur la protection des données s'applique (edoeb.admin.ch, « Traitement de données dans le cloud »).

L'Autorité fédérale de contrôle indique trois aspects critiques à examiner lors de l'utilisation d'un service cloud : le recours à des responsables et sous-traitants, la sécurité du traitement des données et la transmission de données personnelles vers des pays tiers (edoeb.admin.ch).

À cela s'ajoute la souveraineté numérique. La dépendance croissante envers les fournisseurs mondiaux de services cloud et des exigences réglementaires toujours plus strictes poussent les autorités, les organisations et les entreprises à se demander où sont stockées les données sensibles. Beaucoup optent pour une localisation en Europe, mais la seule localisation ne suffit pas à garantir une conservation sécurisée des données (swisspost-digital.ch).

Le choix du fournisseur doit donc être abordé sur plusieurs niveaux : où résident les données, quelle juridiction s'applique au fournisseur, qui contrôle techniquement les clés, quels rôles et traces sont disponibles et ce que prévoit le contrat. Les sections suivantes traitent chaque niveau séparément.

Responsable du traitement, sous-traitant et données personnelles : qui répond de quoi dans le cloud

L'entreprise fournissant des services cloud agit généralement en tant que sous-traitant – ou sous-sous-traitant – du traitement des données du client (utilisateur cloud) au sens de l'article 9 LPD. Le client peut être lui-même responsable du traitement ou responsable du traitement. En tant que responsable du traitement, le client est lui-même tenu de veiller à ce que les traitements effectués sur mandat par des fournisseurs de services cloud soient conformes à la protection des données.

Il doit en outre garantir que les droits des personnes concernées ne soient pas compromis par la délocalisation. Il doit s'assurer et garantir contractuellement le respect des exigences relatives au traitement des données par le sous-traitant conformément à l'article 9 LPD (edoeb.admin.ch).

Un fournisseur cloud peut occuper simultanément les deux rôles. Un prestataire suisse décrit ainsi sa double responsabilité : lorsqu'il traite des données personnelles liées à sa propre activité (facturation, service clientèle), il est responsable du traitement ; lorsqu'il stocke les données qui lui sont confiées, il est sous-traitant (Infomaniak). Lors de l'évaluation, il convient donc de distinguer les deux relations. Les données de l'utilisateur fournies pour la facturation suivent des règles différentes de celles des clients finaux conservées dans l'infrastructure.

Résidence des données et juridiction : deux critères à ne pas confondre

Le lieu de stockage et la juridiction à laquelle le fournisseur est soumis ne coïncident pas nécessairement. Même si les données sont stockées en Suisse ou dans un autre pays européen, un fournisseur actif au niveau international peut être soumis à un ordre juridique différent. Cet ordre juridique reconnaît aux autorités le droit d'accéder aux données ou d'en exiger la remise (swisspost-digital.ch).

Dans le débat sur la souveraineté des données, le CLOUD Act américain est souvent cité. Il permet aux autorités répressives des États-Unis d'exiger la transmission des données des fournisseurs de services cloud et de communication soumis à la juridiction des États-Unis. La demande se fait sur la base de dispositions émises par un tribunal. Cela vaut même lorsque les données sont stockées hors du pays (swisspost-digital.ch).

Une entreprise suisse utilisant un fournisseur cloud basé aux États-Unis risque donc que ses données sensibles puissent être consultées par les autorités américaines sans préavis ni recours possible (umb.ch).

Au CLOUD Act s'ajoute le Foreign Intelligence Surveillance Act (FISA). Bien qu'il vise principalement la collecte de renseignements étrangers, il permet aux agences de renseignement américaines d'accéder aux données relatives aux citoyens étrangers à des fins de sécurité nationale. Il n'y a aucune obligation d'informer les personnes concernées ni de leur offrir un recours juridique. La section 702 a été largement critiquée pour permettre des programmes de surveillance de masse (deepcloud.swiss).

Aux États-Unis, il manque par ailleurs une loi fédérale unique et complète sur les données personnelles. Il existe une mosaïque de réglementations sectorielles : HIPAA pour la santé, GLBA pour la finance et COPPA pour la vie privée des mineurs. À cela s'ajoutent les pouvoirs d'intervention de la Federal Trade Commission (deepcloud.swiss).

Des mesures organisationnelles et contractuelles peuvent limiter ce risque. Elles ne peuvent cependant pas exclure une obligation légale de remise (swisspost-digital.ch).

En revanche, la Suisse a codifié la protection des données dans sa législation nationale. La LPD a été entièrement révisée en 2023 pour refléter le Règlement général sur la protection des données (RGPD) de l'Union européenne. La Suisse applique des règles strictes concernant les transferts transfrontaliers de données (deepcloud.swiss).

Une illustration pratique de la différence entre localisation et juridiction concerne un fournisseur suisse de services de facturation. Il stocke les données en Suisse chez deux hébergeurs : Tinext SA, basée à Morbio Inferiore, et Google Cloud Platform, région Zurich (fatturadigitale.ch). La région de stockage est donc suisse. La plateforme sous-jacente relève toutefois d'un groupe international.

Transferts vers l'étranger et garanties : quand un fournisseur étranger est compatible

La transmission de données personnelles vers des pays tiers est, selon l'Autorité fédérale de contrôle, l'un des trois domaines auxquels il faut prêter attention lors de l'utilisation de services cloud. Les deux autres sont le recours à des responsables et sous-traitants et la sécurité du traitement (edoeb.admin.ch). Si le fournisseur est étranger, la vérification du transfert fait partie intégrante de l'évaluation. Ce n'est pas une annexe bureaucratique.

Pour le contexte américain, les fournisseurs certifiés DPF sont traités différemment des autres. Selon l'analyse d'un fournisseur suisse de services cloud, pour les entreprises suisses, le transfert de données personnelles vers des fournisseurs américains sans certification DPF ou d'autres garanties doit être considéré comme illégal (deepcloud.swiss).

Le Data Privacy Framework (DPF) a été mis en place en 2023. L'objectif était de répondre à certaines critiques soulevées contre son prédécesseur, le Privacy Shield, invalidé par la Cour de justice de l'Union européenne. Le DPF lui-même fait toutefois actuellement l'objet d'un examen approfondi (deepcloud.swiss).

En janvier 2025, le licenciement de certains membres du Privacy and Civil Liberties Oversight Board a affaibli des mécanismes de contrôle jugés cruciaux pour le cadre de protection des données UE-USA. Des doutes subsistent quant à sa viabilité à long terme (umb.ch).

Sur le plan documentaire, l'alignement entre la LPD et le RGPD permet d'utiliser un seul dispositif contractuel pour les deux régimes. Un accord sur le traitement des données conçu selon la LPD aide les parties à respecter le RGPD si les données personnelles concernent des clients de l'UE (pass-securium.ch).

Un fournisseur suisse peut de même garantir la conformité à la loi fédérale pour les données des clients suisses et au RGPD pour celles de la zone UE (fatturadigitale.ch).

Le point d'attention reste le risque résiduel. Les garanties contractuelles ne neutralisent pas une éventuelle obligation légale de remise pesant sur un fournisseur soumis à une juridiction étrangère. L'évaluation doit donc se faire en combinant plusieurs éléments. Parmi ceux-ci : le pays de stockage, le siège et la juridiction du fournisseur, les instruments de transfert applicables et la possibilité technique concrète pour le fournisseur d'accéder aux données en clair.

Ce que doit contenir le contrat avec le fournisseur cloud

Le responsable du traitement doit s'assurer et garantir contractuellement le respect des exigences relatives au traitement des données par le sous-traitant conformément à l'article 9 LPD (edoeb.admin.ch). Dans le cas des études d'avocats, le traitement sur mandat repose sur une convention, le contrat cloud, conclue entre l'avocate ou l'étude et le fournisseur de services (digital.sav-fsa.ch).

Un accord sur le traitement des données bien structuré contient au moins l'objet et le lien avec le contrat principal et les conditions générales. Il doit décrire le traitement avec sa nature, son but, sa durée et son contenu. Il doit indiquer les modalités de passation des mandats : les mandats verbaux doivent être confirmés immédiatement par écrit ou enregistrés dans le portail client.

Le fournisseur s'engage à s'organiser en interne pour respecter la réglementation et à adopter des mesures techniques et organisationnelles appropriées, décrites dans une annexe dédiée. Il doit en outre soutenir le responsable du traitement dans l'accomplissement de ses obligations conformément à la LPD et au RGPD (pass-securium.ch). La gestion des sous-traitants est un élément explicite à réglementer : l'Autorité fédérale l'indique parmi les aspects centraux du cloud (edoeb.admin.ch).

Le cycle de vie des données comprend la collecte, le stockage (y compris la durée de conservation), l'utilisation, le transfert et l'effacement. Les clauses sur la restitution et l'effacement doivent donc être lues à la lumière de toutes ces étapes. Elles ne doivent pas être considérées uniquement à la fin de la relation (Infomaniak).

Un aspect souvent négligé est la loi applicable au contrat lui-même et la langue de référence. Dans un accord examiné, en cas de divergences entre la version allemande et la version anglaise, c'est toujours la version allemande qui fait foi. La langue contractuelle est l'allemand (pass-securium.ch). Avant la signature, il convient de vérifier quelle version linguistique prévaut en cas de conflit d'interprétation et quel for est compétent.

Sécurité technique et contrôle des clés : au-delà de la simple localisation

Pour atteindre une réelle souveraineté des données, la localisation ne suffit pas. Il faut savoir si les contenus sont lisibles techniquement, qui contrôle les clés et quelles fonctions sont disponibles pour gérer les rôles, les autorisations et la traçabilité (swisspost-digital.ch). Ces quatre éléments – lisibilité technique, contrôle des clés, gestion des rôles et autorisations, traçabilité – doivent être vérifiés individuellement. Un fournisseur peut satisfaire à l'un et échouer sur les autres.

La distinction entre les modèles de service est déterminante également sur le plan juridique. Dans le modèle IaaS, les données sont simplement sauvegardées chez le fournisseur. Si l'avocate ou l'avocat les chiffre avant de les transmettre au prestataire, empêchant ce dernier d'accéder aux données en clair, le prestataire n'effectue aucun traitement de données personnelles. Les prescriptions de la LPD ne s'appliquent pas à ce traitement.

La situation est différente avec le modèle SaaS, où l'utilisateur effectue le traitement des données sur l'infrastructure du fournisseur. Dans ce cas, le prestataire peut accéder directement aux données. Étant donné que dans un contexte SaaS, on ne peut exclure que celui qui traite les données puisse les utiliser pour identifier une personne spécifique, l'utilisation de tels services est qualifiée de traitement de données soumis à la LPD (digital.sav-fsa.ch).

Il en découle une conséquence opérationnelle. La question décisive n'est pas seulement « où sont les sauvegardes », mais « le fournisseur peut-il techniquement lire mes données en clair ». Si la réponse est oui, le fournisseur est un sous-traitant et toutes les obligations correspondantes doivent être activées. Si la réponse est non, parce que le chiffrement a lieu avant la transmission avec des clés détenues par le client, le périmètre du traitement se réduit considérablement.

Sur le versant de la sécurité contractuelle, le fournisseur doit garantir un niveau suffisant de protection des données traitées en tenant compte de l'état de la technique, y compris la confidentialité (pass-securium.ch). Les mesures techniques et organisationnelles concrètes – chiffrement, gestion des clés, contrôle des accès, journalisation des activités, sauvegarde et restauration – doivent être demandées par écrit et jointes au contrat. Ainsi, elles peuvent être vérifiées et mises à jour au fil du temps.

Checklist pratique pour évaluer un fournisseur cloud en Suisse

Où résident les données et où se trouvent les sauvegardes. La localisation est le premier critère logique d'évaluation. Dans l'exemple d'une autorité cantonale avec des informations sensibles, les données doivent être stockées en Suisse ou dans un autre pays européen, selon le besoin de protection et les dispositions en vigueur pour les autorités (swisspost-digital.ch). À clarifier : siège des centres de données primaires et secondaires, pays de conservation des sauvegardes et des journaux.

Quelle juridiction s'applique au fournisseur et à son groupe. Étant donné que la localisation et la juridiction peuvent diverger, il faut demander si le fournisseur ou sa société mère sont soumis à des ordres juridiques qui reconnaissent aux autorités le droit d'accéder aux données ou d'en exiger la remise (swisspost-digital.ch). Il convient de vérifier en particulier s'ils relèvent du champ d'application du CLOUD Act (swisspost-digital.ch; umb.ch). Si le fournisseur est américain, il faut vérifier l'éventuelle certification DPF ou autre garantie (deepcloud.swiss).

Qui sont les sous-traitants. L'Autorité fédérale indique le recours à des responsables et sous-traitants comme l'un des aspects centraux du traitement dans le cloud (edoeb.admin.ch). Il faut demander la liste, la localisation, la juridiction et le rôle de chaque sous-traitant, ainsi que la procédure de notification en cas de changements.

Quelles mesures techniques et organisationnelles sont adoptées. Demander l'annexe sur les mesures techniques et organisationnelles et vérifier le niveau de sécurité garanti, en tenant compte de l'état de la technique et de la confidentialité (pass-securium.ch). Questions utiles : qui détient les clés de chiffrement, les données sont-elles lisibles par le fournisseur en clair, comment sont gérés les rôles, les autorisations et la traçabilité (swisspost-digital.ch).

Le modèle de service et l'accès en clair. Déterminer s'il s'agit d'IaaS, où les données sont simplement sauvegardées et peuvent être chiffrées par le client avant la transmission. Ou de SaaS, où le fournisseur peut accéder directement aux données et le traitement est donc soumis à la LPD (digital.sav-fsa.ch).

Comment le fournisseur gère les demandes des autorités étrangères. Des mesures organisationnelles et contractuelles peuvent limiter mais non exclure une obligation légale de remise (swisspost-digital.ch). Il faut demander quelles procédures internes existent et quel engagement de notification au client le fournisseur est prêt à souscrire.

Portabilité et effacement. Le cycle de vie des données comprend également le transfert et l'effacement (Infomaniak). Il faut définir les modalités, les formats et les délais pour exporter les données en cas de changement de fournisseur et pour l'effacement ou la restitution à la fin de la relation.

Rôles et responsabilités. Vérifier par écrit qui est responsable du traitement et qui est sous-traitant pour chaque ensemble de données. Le fournisseur est généralement sous-traitant ou sous-sous-traitant pour les données confiées. Il peut cependant être responsable du traitement pour les traitements liés à sa propre activité, comme la facturation et le service clientèle (edoeb.admin.ch; Infomaniak).

Conclusion : la souveraineté des données comme combinaison de localisation, de droit et de contrôle technique

La résidence des données en Suisse ou en Europe est une base importante. Elle transmet un sentiment de sécurité et contribue à satisfaire aux exigences réglementaires et aux directives internes. Elle ne suffit cependant pas à garantir une conservation sécurisée : la seule localisation ne garantit pas en soi le contrôle (swisspost-digital.ch).

Une évaluation solide combine au moins six vérifications. Première : localisation des données et des sauvegardes. Deuxième : juridiction du fournisseur et de son groupe, y compris le CLOUD Act et le FISA pour les sujets américains. Troisième : instruments de transfert et certifications applicables.

Quatrième : contrôle technique des clés et lisibilité des contenus. Cinquième : rôles, autorisations et traçabilité. Sixième : clauses contractuelles sur les sous-traitants, les mesures techniques et organisationnelles, le soutien au responsable du traitement, la portabilité, l'effacement, la langue et le for.

Le cadre normatif de référence reste la LPD, révisée en 2023 en alignement avec le RGPD (deepcloud.swiss). L'article 9 régit les rôles de sous-traitant et de sous-sous-traitant. L'article 10a fixe les limites au traitement sur mandat, y compris l'interdiction lorsque le traitement entraîne le non-respect d'obligations de secret légales ou contractuelles (edoeb.admin.ch; digital.sav-fsa.ch).

Indicateurs clés pour la sécurité du cloud en Suisse