Stockage des données en Suisse : centres de données, consommation d’électricité et protection des données

Les données ont besoin d’un lieu physique

Ce qui se passe sur les smartphones et les ordinateurs portables semble immatériel. En réalité, chaque message et chaque vidéo repose sur des processus physiques : tensions électriques, états magnétiques et ondes radio. Ces processus nécessitent un lieu. Les téléphones mobiles et les ordinateurs portables n’ayant pas assez d’espace de stockage, d’autonomie ou de puissance de calcul, ils externalisent ces tâches.

Lorsqu’on consulte un site web, on le récupère depuis un serveur ; lorsqu’on effectue une recherche, celle-ci est traitée par de tels ordinateurs ; lorsqu’on stocke des données dans le cloud, on les charge sur un serveur situé dans un centre de données. Le centre de données Wankdorf de Swisscom à Berne permet la fonction de replay sur sept jours de Swisscom TV et héberge l’e-banking de dizaines de banques.

Depuis la diffusion des outils d’intelligence artificielle comme ChatGPT, la demande en puissance de calcul a encore augmenté : l’IA nécessite plusieurs fois plus de ressources, et les entreprises l’utilisent pour l’analyse de données, les prévisions de tendances, les recommandations personnalisées ou la publicité.

Les entreprises peuvent louer de l’espace dans des centres de données et utiliser une partie des serveurs ; en Suisse, Google, Amazon et Microsoft le font de plus en plus. Microsoft a annoncé investir 400 millions de dollars américains dans des centres de données suisses pour le cloud et l’IA.

Pourquoi la Suisse est considérée comme un site de stockage de données

Le concept d’exploitation du centre technologique de Laufenburg, qui devrait abriter le premier centre de données IA de Suisse, cite trois facteurs : la neutralité, la stabilité politique et la loi sur la protection des données. Dans la même direction pointent la réputation de la Suisse en matière de protection stricte des données, la stabilité politique, la disponibilité d’énergie verte, un faible risque sismique et Zurich en tant que hub IA émergent.

Avec plus de 13 centres de données par million d’habitants, la Suisse compte parmi les pays ayant la densité la plus élevée. On recense environ 120 centres de données dans le pays, dont une vingtaine sont actuellement en construction. Cette densité témoigne de l’attractivité du site, mais ne constitue pas un classement : elle n’indique pas si un prestataire individuel répond aux exigences d’un stockage de données concret.

Régions : réseau électrique, superficie et limites spatiales

Les réseaux électriques sont particulièrement bien développés dans les zones urbaines. Dans les régions éloignées, la situation peut être plus difficile, car l’infrastructure réseau n’y est pas encore développée au même niveau. Adrian Altenburger, de la Haute école spécialisée de Lucerne, constate : « Malgré la densité régionale de centres de données à forte intensité énergétique, la Suisse n’est pas encore à un point où la construction de nouveaux centres de données devrait être restreinte. » Une surcharge du réseau ne menace pas actuellement.

Parmi les centres de données concrets en Suisse figurent le centre de données Wankdorf de Swisscom à Berne et le centre technologique de Laufenburg, qui devrait abriter le premier centre de données IA de Suisse. Hosttech exploite des centres de données en Suisse sans préciser de site spécifique.

Adrian Altenburger ne peut exclure un moratoire à l’avenir, comme celui imposé dans la région de Dublin, où un gel a été décrété jusqu’en 2028 pour les nouveaux centres de données. L’Irlande part toutefois d’un niveau différent : les centres de données irlandais ont consommé près de 21 % de l’électricité totale du pays en 2023. De tels chiffres décrivent un scénario futur possible, non une prévision pour la Suisse.

L’axe régional suisse se matérialise concrètement à trois endroits : Berne avec le centre de données Wankdorf de Swisscom, Laufenburg avec le centre technologique qui devrait abriter le premier centre de données IA de Suisse, et Zurich en tant que hub IA émergent. Quiconque a besoin de l’une de ces régions doit interroger directement le prestataire sur l’emplacement.

Au sein de la Suisse, l’espace juridique n’est pas divisé : la LPD s’applique sur tout le territoire, que les serveurs soient situés à Berne, Laufenburg ou Zurich. L’emplacement détermine le raccordement au réseau et l’accessibilité, non l’ordre juridique applicable.

La consommation d’électricité augmente avec la demande

En 2019, les centres de données en Suisse ont consommé environ 2,1 térawattheures d’électricité, soit environ 3,6 % de la consommation nationale. Adrian Altenburger, de la Haute école spécialisée de Lucerne, estime que leur part se situe aujourd’hui déjà entre six et huit pour cent et pourrait atteindre jusqu’à 15 % d’ici 2030 si la consommation électrique nationale reste constante. Cela représenterait plus que la consommation totale du canton de Zurich en 2023.

Ce qui compte, ce n’est pas la quantité nationale, mais l’endroit où la charge se produit et si le raccordement local est suffisant.

Consommation d’électricité des centres de données en Suisse

Ce qu’un centre de données protège physiquement et techniquement

Selon Fabasoft, les centres de données de la région DACH (Allemagne, Autriche, Suisse) figurent parmi les plus sûrs au monde. L’entreprise cite comme mesures de protection des systèmes de surveillance, des contrôles d’accès, l’authentification à deux facteurs, des pare-feu ainsi que des technologies de protection incendie de pointe. Une conception technique redondante et des sites géographiquement dispersés assurent une haute disponibilité et une restauration rapide en cas de panne.

Un chiffrement de pointe protège les données lors du transfert et du stockage. Des contrôles d’accès stricts n’autorisent que les personnes habilitées et réduisent le risque de perte de données et d’accès non autorisé.

Qui peut accéder aux données en dehors de l’entreprise

En mars 2018, les États-Unis ont adopté le US CLOUD Act (Clarifying Lawful Overseas Use of Data). Il autorise les autorités américaines à accéder aux données des entreprises américaines, indépendamment de l’endroit où elles sont effectivement stockées. Dans un monde interconnecté, cela facilite la poursuite pénale mondiale, mais entre en forte contradiction avec les réglementations européennes et suisses en matière de protection des données.

Pour le choix des prestataires, il en découle que les organisations traitant des données particulièrement sensibles, telles que des données personnelles ou des secrets d’entreprise confidentiels, doivent en tenir compte soigneusement lors de la sélection des fournisseurs de logiciels, selon Fabasoft. Un emplacement de serveur en Suisse ne suffit pas si le prestataire est soumis au droit américain.

Avant l’attribution du mandat, il convient donc de clarifier qui est propriétaire de l’infrastructure, quelle société conclut le contrat, sous quel ordre juridique une société mère peut être atteinte et quels engagements le prestataire prend concernant la remise de données.

Le CLOUD Act n’est pas isolé : la Cour de justice de l’Union européenne a invalidé le bouclier de protection des données UE-États-Unis dans l’arrêt Schrems II en raison des pouvoirs de surveillance américains. L’instrument qui soutenait auparavant le transfert de données vers les États-Unis a ainsi disparu.

Des exigences plus strictes s’appliquent aux données souveraines : hébergement par une entreprise ayant son siège dans l’Union européenne, séparation stricte des mandants, journaux d’audit complets et rôles granulaires. Ces points font partie de l’examen préalable à l’attribution.

Avantages et risques de l’emplacement des serveurs en Suisse

Les certificats comme guide d’orientation

Les entreprises et les organisations publiques exigent transparence et conformité pour les informations et documents confidentiels. Les normes de protection des données de la Suisse et de l’Union européenne font de la région un site idéal pour le stockage et le traitement de données sensibles. Les certifications rendent cette confiance vérifiable.

Une norme établie pour les systèmes de management de la sécurité de l’information est l’ISO 27001. La certification atteste qu’un prestataire exploite un système de management documenté pour la sécurité et le fait vérifier régulièrement.

Elle ne couvre cependant pas tous les points importants pour une mission concrète : l’endroit où se trouvent les données, quels sous-traitants sont impliqués, quels délais de conservation et de suppression s’appliquent et quels droits d’accès ont les collaborateurs individuels. Ces indications doivent figurer dans le contrat et dans la déclaration de protection des données du prestataire – un certificat ne remplace pas cet examen du stockage concret des données.

Outre l’ISO 27001, il existe la protection de base IT : l’OFIS (BSI) certifie les centres de données selon l’ISO 27001 sur la base de la protection de base IT. Les deux preuves attestent d’un système de management de la sécurité, non du stockage des données dans un cas particulier.

Certificats pour la sécurité des données et de l’information

Stockage des données dans le cadre d’un mandat : un exemple pratique

Avec le service de réservation API de funky-web-box, le prestataire traite les données pour le compte de ses clients, par exemple des restaurants. Juridiquement, les clients restent responsables des données de leurs hôtes ; le prestataire agit en tant que sous-traitant au sens de l’art. 9 de la loi fédérale sur la protection des données (LPD). Le traitement a lieu exclusivement aux fins de l’exécution du contrat entre l’hôte et le restaurant ; le prestataire cite l’art. 6 LPD comme base légale.

Lors d’une réservation, trois types de données sont générés : les données de réservation avec le nom et l’adresse e-mail et/ou le numéro de téléphone de l’hôte, les métadonnées comme le moment de la réservation et le nombre de personnes, ainsi que les journaux techniques.

Les journaux ne sont enregistrés temporairement qu’en cas d’erreur technique et peuvent contenir, pendant la durée de l’analyse, l’adresse IP complète, le moment précis et les détails techniques de l’erreur ; ils sont automatiquement supprimés après 7 jours au plus tard. Les données de réservation sont automatiquement supprimées après 6 mois, un délai qui sert à la traçabilité en cas de demandes de support et à la sécurité du système.

Les données de réservation sont transmises au restaurateur concerné pour le traitement. Pour l’exploitation technique, le prestataire utilise le fournisseur d’hébergement Hosttech ; les données sont traitées exclusivement dans ses centres de données en Suisse.

Aucun transfert à d’autres tiers tels que les réseaux sociaux ou les réseaux publicitaires n’a lieu, et tous les transferts de données, en particulier les appels API, sont chiffrés.

Quiconque examine un tel mandat peut voir à travers cet exemple quelles indications un prestataire doit fournir : rôle et base légale, catégories de données, délais de conservation et de suppression, sous-traitants et emplacement des serveurs.

Critères pour l’examen d’un mandat en matière de protection des données