Évaluer les services cloud pour la Suisse : hébergement, droit et audit des fournisseurs

Ce qui définit les services cloud suisses : hébergement des données, espace juridique et obligations de contrôle

Ce guide répond à trois questions : comment les données sont hébergées en Suisse, quel droit s’applique au fournisseur et comment auditer un prestataire. Ces trois questions correspondent aux axes prioritaires du PFPDT en matière de protection des données : le traitement par des sous-traitants et sous-sous-traitants, la sécurité du traitement des données et la transmission de données personnelles vers des États tiers.

Le guide est structuré en trois parties : l’hébergement des données, le droit et l’audit des fournisseurs. La partie juridique couvre le cadre légal, le transfert vers l’étranger et la pratique de surveillance. La section sur l’audit des fournisseurs présente la grille d’analyse et la matrice de décision.

Le PFPDT décrit le cloud computing comme la fourniture d’applications, de logiciels, de capacités de stockage, d’outils de développement ainsi que de puissance de calcul et de réseau. Cette prestation est fournie via un réseau tel qu’Internet, à la demande, par un fournisseur de cloud. Lorsque des données personnelles sont transférées dans le cloud, le droit de la protection des données s’applique.

Selon le PFPDT, les cas d’utilisation typiques incluent les outils Office 365 pour la collaboration, les systèmes CRM en ligne, la gestion des adresses e-mail pour les newsletters ou le service client, le téléchargement de vidéos sur des plateformes de streaming ainsi que le stockage de fichiers sur un serveur accessible via Internet.

En Suisse, les services cloud internationaux mentionnés sont notamment Amazon Web Services (AWS), Google, Microsoft 365 et Mailchimp. Ils appartiennent à des entreprises américaines et ne sont donc pas soumis au droit suisse.

Le PFPDT cite trois axes prioritaires en matière de protection des données : le recours à des sous-traitants et sous-sous-traitants, la sécurité du traitement des données et la transmission de données personnelles vers des États tiers. Ces points structurent chaque audit de fournisseur.

L’espace juridique du fournisseur constitue un point de contrôle distinct. Le U.S. CLOUD Act de 2018 permet aux autorités américaines, sous certaines conditions légales, d’accéder aux données des entreprises américaines – même si celles-ci sont stockées à l’étranger. Un emplacement de serveur en Suisse ne suffit donc pas si le fournisseur est soumis au droit américain.

Un centre de données en Suisse ne fait pas automatiquement d’un service un service suisse. Ce qui compte, c’est le siège social et la structure du groupe du fournisseur, et non l’adresse de l’infrastructure. Quiconque cherche un service cloud suisse doit donc d’abord clarifier à quel droit le fournisseur est soumis.

Du côté suisse, deux instances fixent le cadre : le PFPDT en tant qu’autorité fédérale indépendante et Privatim, la Conférence des délégués à la protection des données en Suisse. Toutes deux sont déterminantes pour l’audit des fournisseurs et la pratique de surveillance.

Un service cloud suisse ne peut être évalué de manière définitive que si le fournisseur divulgue son siège social et sa structure de groupe. Si ces informations font défaut, l’audit reste incomplet.

Hébergement des données en Suisse : lieu de stockage, traitement et chiffrement

Pour le simple stockage (« data at rest »), un chiffrement de bout en bout protège contre les accès non autorisés. Si les données doivent être traitées dans le cloud, elles se trouvent en clair et sont consultables. Pour de nombreux cas d’utilisation, un chiffrement continu est donc peu pratique.

Un critère central est l’accès aux clés. La résolution de Privatim exige, pour les organes publics, que le fournisseur de cloud ne puisse pas voir les clés. Selon l’avis des autorités de surveillance, il n’est toutefois pas possible d’exclure un tel accès pour de nombreux services cloud, même si une protection de bout en bout serait techniquement possible.

Un cloud public est une infrastructure potentiellement accessible à tous les utilisateurs d’Internet. Il permet une attribution dynamique de la puissance de calcul et de stockage selon les besoins des clients. Cet effet d’échelle est d’autant plus important que l’infrastructure du fournisseur est étendue et internationale.

Un cloud privé offre une infrastructure contrôlée et dédiée, souvent dans un centre de données local ou national. Il permet le stockage et le traitement en Suisse ou dans l’UE et évite les droits d’accès extraterritoriaux tels que ceux prévus par le CLOUD Act. Des exigences de sécurité adaptables individuellement le distinguent des clouds publics.

La mention d’un centre de données en Suisse ne répond qu’à une partie de la question. Elle n’indique rien sur le siège juridique du fournisseur ni sur qui peut consulter les clés. Ces deux points font partie de la même clarification.

Un cloud privé avec stockage et traitement en Suisse évite la communication de données à l’étranger. C’est donc la voie la plus simple pour les données particulièrement sensibles.

Pour l’hébergement des données en Suisse, le lieu de stockage et de traitement ainsi que l’accès aux clés doivent être attestés séparément. Ces deux points doivent figurer dans le contrat de sous-traitance et dans un protocole d’audit écrit.

Les meilleurs prestataires informatiques à Lucerne

Dernière mise à jour : 2026-10-09. Source : Google Maps.

Rôles en matière de protection des données : responsable du traitement, sous-traitant et PFPDT

La partie juridique répond à la question de savoir quel droit s’applique au fournisseur et quelles obligations en découlent. Elle couvre les rôles selon la LPD, le transfert vers l’étranger et la pratique de surveillance.

En matière de protection des données, le fournisseur de cloud agit généralement en tant que sous-traitant du client au sens de l’art. 9 LPD. Le client peut être lui-même responsable du traitement ou agir en tant que sous-traitant vis-à-vis de ses propres clients.

En tant que responsable du traitement, le client assume la responsabilité que les traitements effectués par le fournisseur de cloud soient conformes à la protection des données. Les droits des personnes concernées ne doivent pas être réduits par l’externalisation. Il doit s’assurer et garantir contractuellement que les exigences relatives à un sous-traitance selon l’art. 9 LPD sont respectées.

La loi fédérale révisée sur la protection des données (LPD) est entrée en vigueur en 2023 et s’oriente largement sur le Règlement général sur la protection des données (RGPD) de l’UE. Le respect de la loi est surveillé par une autorité fédérale indépendante, le PFPDT.

Le PFPDT est le Préposé fédéral à la protection des données et à la transparence. Il surveille le respect des dispositions légales sur la protection des données, établit des rapports et conseille les personnes privées, les sociétés et les organes fédéraux. Depuis le 1er septembre 2023, il peut ordonner des mesures de sa propre initiative en cas de violations constatées ; auparavant, il ne pouvait que formuler des recommandations et les soumettre au Tribunal administratif fédéral pour décision.

Adrian Lobsiger est le Préposé fédéral à la protection des données depuis 2016. Le PFPDT est organisé comme un département indépendant de l’administration fédérale ; des unités d’état-major et des équipes lui sont subordonnées.

Si les entreprises traitent des données personnelles de citoyens de l’UE, le RGPD s’applique également. Il exige un contrat de sous-traitance avec le fournisseur de cloud et la preuve de mesures techniques et organisationnelles.

Selon l’art. 4 ch. 1 RGPD, les données à caractère personnel sont toutes les informations se rapportant à une personne physique identifiée ou identifiable. Cela inclut les noms, les coordonnées et les informations d’utilisation. Le RGPD exige également une information transparente des utilisateurs sur la nature, l’étendue et la finalité du traitement dans le cloud.

Les personnes concernées ont à tout moment le droit d’accès, de rectification et d’effacement de leurs données. En cas de violation de la protection des données, une obligation de notification à l’autorité de surveillance existe.

Des discussions animées ont lieu concernant les services cloud américains, notamment ceux de Microsoft, utilisés par les autorités suisses et les gouvernements cantonaux. Le cadre juridique est donc également l’objet de la pratique de surveillance en cours.

Pour l’audit des fournisseurs, trois bases légales sont centrales : l’art. 9 LPD pour la sous-traitance, l’art. 16 al. 1 LPD et l’art. 8 OPD pour le transfert vers l’étranger ainsi que l’art. 10 al. 2 OPD pour les clauses types de protection des données.

Chiffres et faits sur la protection des données dans le cloud suisse

Communication de données à l’étranger : adéquation, garanties et risques d’accès US

Le transfert vers l’étranger fait partie de la section juridique et constitue simultanément un point de contrôle de l’audit des fournisseurs. Il doit être clarifié avant chaque transfert.

Les données personnelles ne peuvent fondamentalement être transmises à l’étranger que si le pays destinataire offre un niveau de protection des données adéquat (art. 16 al. 1 LPD). Le Conseil fédéral détermine quels États remplissent cette condition et publie la liste à l’annexe 1 de l’Ordonnance sur la protection des données (OPD). L’OPD précise également quels critères le Conseil fédéral évalue (art. 8 OPD).

En l’absence de décision d’adéquation, des garanties contractuelles sont possibles. Des clauses spécifiques de protection des données dans un contrat individuel doivent être communiquées au PFPDT avant le transfert ; la responsabilité de la preuve des mesures prises reste à la charge du responsable du traitement.

Les clauses types de protection des données doivent être approuvées au préalable par le PFPDT, qui statue dans un délai de 90 jours (art. 10 al. 2 OPD). Aucune donnée ne peut être communiquée avant la décision, sauf si le transfert repose sur une autre base légale. Les clauses émises ou reconnues par le PFPDT lui-même n’ont pas besoin d’être notifiées.

Les clauses spécifiques de protection des données dans un contrat individuel ne valent que pour la communication prévue dans ce contrat. Les clauses types de protection des données émises ou reconnues par le PFPDT sont regroupées dans son infothèque.

Pour les transferts vers une entreprise étrangère du même groupe, des règles contraignantes d’entreprise en matière de protection des données peuvent servir de garantie.

Les États-Unis ne disposent pas d’une loi uniforme sur la protection des données. Un patchwork de règles sectorielles s’applique, comme HIPAA pour les données de santé, GLBA pour les données financières ou COPPA pour les données des enfants, complété par des pouvoirs d’exécution limités de la Federal Trade Commission. Pour les transmissions vers les USA, la Suisse exige donc une certification DPF du prestataire de services, des garanties supplémentaires ou le consentement exprès de la personne concernée.

Le U.S. CLOUD Act permet aux autorités américaines d’accéder aux données des entreprises américaines indépendamment du lieu de stockage. Le Foreign Intelligence Surveillance Act (FISA) permet aux services de renseignement américains d’accéder aux données de ressortissants étrangers à des fins de sécurité nationale – sans leur connaissance et sans possibilité de recours juridique ; la section 702 est particulièrement critiquée.

Des exemples provenant des États-Unis montrent que les lois de surveillance peuvent aussi être utilisées à des fins politiques. Par le passé, des données de journalistes et d’opposants politiques y ont été consultées. Cela renforce le scepticisme des protecteurs européens des données envers les fournisseurs américains.

La Cour de justice européenne a déclaré invalide l’accord transatlantique sur la protection des données Privacy Shield. En 2023, le EU-U.S. Data Privacy Framework (DPF) a été introduit, qui est lui-même sous observation.

La Cour de justice européenne a statué avec l’arrêt Schrems II : les États-Unis n’offrent pas un niveau de protection des données adéquat. En Suisse, la situation juridique n’est pas encore définitivement clarifiée ; le PFPDT recommande une analyse des risques approfondie.

La liste des États à l’annexe 1 de l’OPD est le premier point de contact avant même d’auditer un fournisseur. Si un pays n’y figure pas, seules des garanties ou le consentement exprès de la personne concernée sont possibles.

Le PFPDT tient la liste des États (annexe 1 OPD) dans une rubrique propre. Quels États sont considérés comme adéquats peut être lu dans cette liste ; l’OPD cite à l’art. 8 les critères du Conseil fédéral.

Avantages et risques des fournisseurs de cloud américains (par ex. Microsoft, AWS, Google)

Pratique de surveillance pour les autorités : la résolution Privatim et ses conséquences

La pratique de surveillance fait partie de la section juridique. Elle montre comment le PFPDT et Privatim font respecter leurs exigences.

Privatim, la Conférence des délégués à la protection des données en Suisse, a adopté le 18 novembre 2025 une résolution sur l’externalisation des traitements de données dans le cloud. Elle a été publiée le 24 novembre 2025. La résolution stipule : l’utilisation de solutions SaaS de fournisseurs internationaux n’est admissible pour les organes publics que si les données personnelles particulièrement sensibles ou soumises à une obligation légale de secret sont chiffrées par l’organe lui-même et que le fournisseur de cloud reste exclu de l’accès aux clés.

La fiche d’information révisée de Privatim « Risques et mesures spécifiques au cloud » date de 2022. Elle consigne les risques spécifiques au cloud et les mesures qui en découlent.

La plupart des données des autorités sont soumises au secret de fonction et donc à une obligation légale de confidentialité. Parallèlement, pour la plupart des services cloud, une utilisation sensée avec un chiffrement continu n’est pas possible ; là où elle serait possible, l’accès du fournisseur aux clés ne peut souvent pas être exclu.

Pour les services internationaux comme Amazon Web Services, Google ou Microsoft 365, il ne reste essentiellement aux autorités que l’utilisation en tant que simple stockage en ligne. Si l’on prend la résolution au mot, les autorités de surveillance suisses interdisent de facto aux autorités l’utilisation des services cloud internationaux.

La résolution qualifie ces fournisseurs internationaux d’hyperscalers, notamment Microsoft, Google et Amazon. Elle constate également que les fournisseurs tentent de plus en plus de pousser leurs clients vers le cloud.

La résolution s’adresse aux organes publics, qui portent une responsabilité particulière envers les données de leurs citoyennes et citoyens. Les entreprises privées sont soumises aux obligations générales de la LPD ; elles peuvent utiliser les exigences de la résolution comme orientation pour leurs propres décisions en matière de risques.

Le PFPDT peut ouvrir une procédure d’office ou sur dénonciation. Dans un rapport, il a recommandé l’arrêt provisoire du registre national des dons d’organes ; la fondation Swisstransplant, chargée du projet, a cessé ses activités. Il a ordonné au canton de Berne de supprimer des données sur la plateforme meineimpfungen.ch après avoir constaté de graves lacunes dans l’intégrité des données.

Audit des fournisseurs : les points de contrôle décisifs avant la sélection

La troisième partie du guide est l’audit des fournisseurs. Il assemble les parties sur l’hébergement des données et le droit et les intègre dans une grille d’analyse.

Les organes publics sont soumis à l’obligation de contrôle indépendamment de la sensibilité des données. Ils portent une responsabilité particulière envers les données de leurs citoyennes et citoyens.

Il faut d’abord clarifier à quel système juridique le fournisseur est soumis et où se trouve le for judiciaire. Un fournisseur soumis au droit américain peut être soumis au CLOUD Act, même si les données se trouvent en Suisse. Le siège, la structure du groupe et les relations de propriété font donc partie de l’audit.

L’audit peut être effectué dans un ordre fixe : siège juridique et structure du groupe, catégorie de données, stockage ou traitement, accès aux clés, contrat de sous-traitance et transfert vers l’étranger. Chaque étape a sa propre base légale.

L’art. 9 LPD réglemente la sous-traitance, l’art. 16 al. 1 LPD et l’art. 8 OPD le transfert vers l’étranger, l’art. 10 al. 2 OPD les clauses types de protection des données. Avec cette grille, chaque fournisseur peut être audité, qu’il ait son siège en Suisse ou à l’étranger.

Pour l’emplacement des données, il faut distinguer entre stockage et traitement. Pour le simple stockage, un chiffrement continu agit ; pour les données traitées, il faut clarifier qui peut déchiffrer quand et si le fournisseur a accès aux clés.

Les exigences relatives à une sous-traitance selon l’art. 9 LPD doivent être garanties contractuellement. Cela inclut un contrat de sous-traitance, des règlements concernant les sous-sous-traitants et les mesures de sécurité techniques et organisationnelles ainsi que des indications sur la suppression des données et la procédure en cas de changement de fournisseur.

Si une communication de données à l’étranger a lieu, il faut vérifier avant le transfert s’il existe une décision d’adéquation ou des garanties appropriées. Sont possibles des clauses spécifiques de protection des données avec notification au PFPDT, des clauses types de protection des données approuvées ou des règles contraignantes d’entreprise en matière de protection des données. Pour un fournisseur américain, il faut également clarifier s’il existe une certification DPF.

Un protocole d’audit écrit consigne pour chaque point ce qui est rempli et ce qui ne l’est pas. Si l’accès aux clés reste ouvert ou si une base pour le transfert vers l’étranger fait défaut, cela plaide en faveur d’un cloud suisse ou privé.

Selon le PFPDT, les services cloud sont fournis en tant que solutions standardisées. L’audit concerne donc un produit standard et son cadre contractuel, et non une solution individuelle.

Un cloud privé contrôlé avec une infrastructure dédiée et un stockage en Suisse ou dans l’UE réduit le nombre de points de contrôle : pas de droits d’accès extraterritoriaux, contrôle total des données et exigences de sécurité adaptables.

La grille d’analyse peut être appliquée à chaque fournisseur, qu’il ait son siège en Suisse ou à l’étranger. Pour un fournisseur suisse, le siège juridique et la structure du groupe en Suisse, l’hébergement des données en Suisse et un contrat de sous-traitance selon l’art. 9 LPD doivent être attestés.

Un fournisseur montre quelles informations la grille retient. Swisscom indique pour myCloud un hébergement des données en Suisse (Swisscom). Ainsi, une indication sur le lieu de stockage existe ; des déclarations sur l’accès aux clés et sur le contrat de sous-traitance manquent et doivent être vérifiées avant la décision.

Quand choisir un cloud suisse, quand un cloud international avec conditions ?

La matrice de décision résume les trois parties : hébergement des données, droit et audit des fournisseurs. Elle montre quand un cloud suisse est indiqué et quand un cloud international avec conditions est acceptable.

Le premier critère est la sensibilité des données. Pour les organes publics, la règle est la suivante : les données personnelles particulièrement sensibles ou soumises à une obligation légale de secret ne peuvent être utilisées que si l’organe chiffre lui-même et que le fournisseur ne peut pas voir les clés.

Là où le secret de fonction s’applique, la marge de manœuvre est faible : la plupart des services cloud ne peuvent pas être utilisés de manière sensée avec un chiffrement continu. Avec AWS, Google ou Microsoft 365, il ne reste alors essentiellement que l’utilisation en tant que simple stockage en ligne.

Si les entreprises traitent des données personnelles de citoyens de l’UE, le RGPD s’applique également. Selon une estimation de 2021, environ 20 % des données personnelles traitées en Suisse proviennent de citoyens de l’UE. La Cour de justice européenne a décidé que les États-Unis n’offraient pas un niveau de protection des données adéquat ; les protecteurs européens des données ont interdit l’utilisation de certains services américains, comme Mailchimp, lorsque des données personnelles sont traitées aux États-Unis.

Quiconque utilise un cloud international doit pouvoir assumer les risques restants. Le PFPDT recommande une analyse des risques approfondie. Un cloud suisse ou privé est indiqué lorsque les données sont particulièrement sensibles ou qu’il n’existe pas de garanties efficaces ; un cloud international est acceptable avec des garanties supplémentaires et une analyse claire des risques, lorsque les données sont moins sensibles et que la base légale est clarifiée.

Pour les transferts vers les États-Unis, il faut soit une certification DPF du fournisseur, soit des garanties supplémentaires, soit le consentement exprès de la personne concernée.

Les États-Unis ne font partie des pays offrant une protection adéquate que si le prestataire de services américain est certifié DPF. Sans certification DPF ou garanties supplémentaires resp. le consentement exprès de la personne concernée, une transmission n’est pas admissible.

Pour les transferts vers les USA, trois voies doivent être examinées séparément : certification DPF, garanties supplémentaires ou consentement exprès de la personne concernée. Si tout manque, une transmission n’est pas admissible.

Cloud suisse vs Cloud international : critères de décision