Logiciels d’entreprise en Suisse: exigences, licences et coûts d’exploitation

Ce que la loi révisée sur la protection des données exige des logiciels d’entreprise

La loi fédérale sur la protection des données (LPD) révisée, la nouvelle ordonnance sur la protection des données (OPD) et la nouvelle ordonnance sur les certifications en matière de protection des données (OCPD) sont applicables depuis le 1er septembre 2023. Il n’existe aucun délai transitoire. Toute entreprise qui exploite ou introduit un logiciel d’entreprise doit être conforme immédiatement.

La loi protège la personnalité et les droits fondamentaux des personnes physiques résidant en Suisse dont les données sont traitées par des acteurs privés ou par l’État. Les données des personnes morales ne bénéficient plus de cette protection. L’accent est mis sur une plus grande transparence à l’égard des personnes concernées et sur le renforcement de leurs droits sur leurs propres données (autodétermination informationnelle).

La prévention et la responsabilité propre des responsables du traitement sont encouragées, accompagnées d’un contrôle accru de la protection des données et d’un élargissement des dispositions pénales. De nouvelles obligations incombent aux entreprises, notamment lors de la collecte, de la perte ou de l’utilisation abusive de données personnelles.

Dans la pratique logicielle, le rôle de la personne responsable est déterminant : selon l’art. 5 let. j LPD, une organisation privée ou étatique décide de la finalité et des moyens du traitement des données. La personne responsable se distingue du délégué à la protection des données.

Les tâches centrales incluent la collecte et le traitement des données, la gestion de ces processus ainsi qu’une manipulation correcte et conforme à la protection des données des informations collectées et traitées. La LPD accorde plusieurs droits aux personnes concernées ; l’art. 19 LPD régit l’obligation d’informer : les responsables doivent informer activement les personnes concernées du traitement de leurs données personnelles.

Les instruments clés comprennent le registre des traitements et l’analyse d’impact relative à la protection des données. Le logiciel d’entreprise doit être choisi et configuré de manière à permettre de respecter l’obligation d’information selon l’art. 19 LPD ainsi que de documenter les activités de traitement – cela constitue une exigence envers la solution, et non une réflexion après coup.

L’ordonnance sur les certifications en matière de protection des données (OCPD) fait partie de ce paquet législatif. Les certifications peuvent donc être intégrées comme point de contrôle dans la liste des exigences, conjointement avec l’obligation d’information selon l’art. 19 LPD.

Les actes juridiques pertinents sont donc la LPD, l’OPD et l’OCPD. Les instruments applicables sont l’art. 19 LPD, le registre des traitements, l’analyse d’impact relative à la protection des données et les certifications selon l’OCPD.

Les entreprises suisses devraient dès à présent se pencher sur la nouvelle loi et procéder aux adaptations nécessaires en matière de protection des données, en particulier concernant les déclarations de confidentialité et les contrats. Lors de l’introduction d’un logiciel, il convient d’examiner les documents contractuels et les déclarations conjointement avec le fournisseur. L’obligation d’information selon l’art. 19 LPD, la tenue du registre des traitements, l’analyse d’impact relative à la protection des données et les certifications selon l’OCPD doivent figurer dans la liste des exigences avant la signature du contrat.

Évolution du droit suisse de la protection des données dès 2023

Sécurité des données, surveillance et office de signalement : l’exploitation après l’entrée en vigueur

Pour garantir la sécurité des données, les art. 1–4 et 6 de l’ordonnance sur la protection des données du 31 août 2022 ainsi que l’ordonnance sur les risques cybernétiques s’appliquent. Le logiciel d’entreprise n’est donc pas seulement une application métier, mais fait partie du champ d’application des prescriptions de sécurité contraignantes. Lors de l’acquisition, ces prescriptions doivent figurer comme points de contrôle dans la liste des exigences.

L’office central pour les questions de cybersécurité en Suisse est l’Office fédéral de la cybersécurité (OFCS). Il collecte et diffuse des informations sur les menaces cybernétiques actuelles et publie régulièrement des alertes concernant les logiciels malveillants et les attaques par hameçonnage. Son site web présente la situation actuelle des menaces et des recommandations d’action pour les entreprises et les particuliers.

L’OFCS gère l’office de signalement des incidents cybernétiques. Les organisations et les citoyens peuvent y signaler des activités suspectes. Ses autres missions incluent les avertissements et la prévention via des consignes de sécurité et des mesures de protection, l’analyse des cyberattaques avec détection des schémas d’attaque et élaboration de contre-stratégies, ainsi que le conseil aux entreprises et aux autorités. L’OFCS sert d’interface entre les autorités, les entreprises et le public.

Pour l’exploitation opérationnelle, les voies de signalement et les responsabilités doivent être clarifiées avant tout incident. Savoir quelle instance au sein de l’entreprise prend en charge un soupçon et comment un signalement est transmis à l’autorité compétente permet de ne pas perdre de temps en cas d’urgence. Le logiciel d’entreprise devrait soutenir ces processus – grâce à la journalisation, à des rôles clairs et à une documentation structurée des incidents.

Deux actes juridiques sont donc pertinents : les art. 1–4 et 6 de l’ordonnance sur la protection des données du 31 août 2022 ainsi que l’ordonnance sur les risques cybernétiques. L’instance compétente pour les avertissements et les signalements est l’OFCS avec son office de signalement des incidents cybernétiques.

L’OFCS publie régulièrement des alertes concernant les logiciels malveillants et le hameçonnage. Dans l’exploitation, il est donc nécessaire de disposer d’un processus pour prendre en compte ces alertes, les évaluer et documenter les mesures prises. Ce point doit également figurer dans la liste des exigences avant l’acquisition.

Parallèlement, les droits des personnes concernés selon la LPD doivent être reflétés dans le système. Les lettres d’information et les processus de droit d’accès doivent pouvoir être représentés dans le logiciel – et non dans une solution tabulaire séparée en dehors du système.

Il en résulte des fonctions nommées que la solution doit apporter : journalisation, concept de rôles et de responsabilités, processus d’information et de droit d’accès représentables, ainsi que voies de signalement documentables vers l’OFCS. Si l’une de ces fonctions manque, l’exigence n’est pas remplie.

Points de contrôle pour l’acquisition : respect des art. 1–4 et 6 OPD, prise en compte de l’ordonnance sur les risques cybernétiques, voies de signalement définies vers l’OFCS, journalisation ainsi que rôles et responsabilités clairs. Ces points doivent figurer dans la liste des exigences avant l’acquisition.

Contrats de licence : liberté de forme ne signifie pas absence de réglementation

Au lieu de céder les droits patrimoniaux d’auteur sur un logiciel, l’auteur peut accorder contractuellement à des tiers des licences pour certaines actions. Le contrat de licence n’est pas réglementé par la loi et est considéré comme un contrat innommé. Le concédant de licence accorde au licencié le droit d’utiliser le logiciel ; le licencié verse en contrepartie les redevances de licence.

Les contrats de licence pour les logiciels peuvent être conclus sans forme particulière. Étant donné que le contrat de licence est un contrat innommé non réglementé par la loi, les droits et obligations contractuels devraient être réglés de manière précise et exhaustive. Ce qui ne figure pas dans le contrat ne peut pas être déduit ultérieurement de la loi.

L’étendue de l’utilisation doit être expressément réglementée. Les conditions d’utilisation devraient préciser si le logiciel peut être utilisé uniquement à des fins professionnelles ou aussi à titre privé.

Les redevances de licence constituent la contreprestation du licencié et donc le premier facteur de coût. La question de savoir si le logiciel peut être utilisé uniquement à des fins professionnelles ou aussi à titre privé doit figurer expressément dans les conditions d’utilisation.

Des lacunes typiques apparaissent lors de la transmission, du nombre d’utilisateurs, des modèles serveur et mandant, ainsi que sur la question du sort des données à la fin du contrat. Clarifier ces points avant la signature permet d’éviter des conflits qui ne peuvent pas être résolus par la seule liberté de forme.

Lors de l’acquisition, le contrat de licence est le document central : comme ce type de contrat n’est pas réglementé par la loi, il supporte toute la charge réglementaire. Il convient de clarifier l’étendue de l’utilisation, la transmission, le nombre d’utilisateurs, les modèles serveur et mandant, la gestion des données à la fin du contrat ainsi que le montant des redevances de licence. Ce qui reste ouvert ici ne peut pas être déduit ultérieurement de la loi.

Open Source : libertés, obligations et copyleft

Les logiciels open source sont des programmes informatiques distribués sous une licence open source. L’open source ne signifie pas seulement un accès libre au code source, mais définit aussi les critères selon lesquels le logiciel peut être redistribué.

Seuls les programmes ou leurs licences qui satisfont aux critères de la définition open source de l’Open Source Initiative (OSI) sont repris par l’OSI dans sa vue d’ensemble, confirmant ainsi leur conformité. À ce jour, l’OSI a accepté environ 60 licences comme conformes à la définition.

En principe, ces licences autorisent la redistribution et la reproduction libres du logiciel, l’accès libre au code source ainsi que la modification et l’adaptation libres (œuvres dérivées). L’accès libre au code source est techniquement nécessaire pour permettre le développement ultérieur du logiciel. Les libertés de redistribution, de reproduction, de modification et d’adaptation sont les conditions légales du droit d’auteur permettant ce développement ultérieur.

Dans la pratique, une distinction s’est imposée entre copyleft et non-copyleft, ainsi qu’entre compatible et incompatible avec la GPL. La GPL sert de référence pour la compatibilité. Pour les entreprises, ces catégories sont particulièrement pertinentes lors de la combinaison de différents modules dans un produit.

Deux paires de catégories sont donc nommées : copyleft ou non-copyleft, et compatible ou incompatible avec la GPL. La GPL est la référence à laquelle se mesure la compatibilité.

Selon la licence, des obligations peuvent surgir qui influencent la gestion de son propre code source et la distribution du logiciel. Quiconque utilise des composants open source devrait clarifier, avant l’intégration, sous quelle licence ils se trouvent et quelles obligations en découlent pour son propre produit.

Avant l’intégration, un examen en trois étapes est recommandé : déterminer la licence du composant, le classer selon le critère copyleft/non-copyleft et la compatibilité GPL, et en déduire les obligations pour son propre code source et sa distribution. La GPL sert ici de référence.

L’OSI décrit précisément ses critères d’admission et ne reprend une licence dans sa vue d’ensemble que si elle satisfait à la définition open source. L’indication de la licence d’un composant n’est donc pas une formalité, mais une indication vérifiable. Pour chaque composant, trois indications doivent figurer dans le dossier des exigences : le nom de la licence, la classification copyleft/non-copyleft et la compatibilité avec la GPL. Grâce à la confirmation par l’OSI, les parts open source deviennent vérifiables et les offres comparables.

Procédure d’intégration des logiciels open source

Coûts d’exploitation et acquisition : facteurs de coûts, hébergement et fournisseurs suisses

Les coûts des logiciels d’entreprise ne résultent pas d’un seul chiffre, mais de l’interaction de plusieurs facteurs. Premièrement, les redevances de licence, dont le paiement est obligé par le contrat de licence. Deuxièmement, les efforts liés aux contrats conformes à la protection des données et aux déclarations de confidentialité ; compte tenu de l’absence de délais transitoires, cela ne peut pas être reporté.

Troisièmement, les critères d’acquisition tels que les certifications : dans l’environnement de swiss made software, il est expressément fait référence aux certifications ISO 9001 et ISO 27001 en tant que normes internationalement reconnues. Ces preuves ne constituent pas un facteur de coût au sens strict, mais un critère qui rend les offres comparables.

Sur la plateforme de swiss made software, les utilisatrices et utilisateurs trouvent des logiciels et des services de plus de 1300 entreprises suisses et titulaires du label. Depuis 2007, plus de 1500 entreprises ont rejoint le label, distinguées par les prédicats « swiss made software », « swiss digital services » et/ou « swiss hosting » ; cela correspond à plus de 40 000 employés TIC dans le secteur principal.

Les chiffres se rapportent à différentes grandeurs : la plateforme répertorie plus de 1300 entreprises et titulaires du label, tandis que plus de 1500 entreprises ont rejoint le label depuis 2007. En 2025, swiss made software a enregistré une croissance de près de 200 entreprises, portant le nombre de titulaires du label à plus de 1500.

Actuellement, plus de 1000 produits et services figurent sur la plateforme. Un répertoire des entreprises remplissant les conditions du label est à la disposition des entreprises intéressées.

La question de l’hébergement est un critère de sélection à part entière. swiss made software s’engage pour une Suisse numériquement souveraine : une nation numériquement souveraine peut exercer à tout moment le contrôle sur les technologies et infrastructures numériques utilisées à l’intérieur de ses frontières.

Selon l’avis de swiss made software, la Suisse n’est pas aujourd’hui numériquement souveraine. Particulièrement dans les domaines critiques, la Suisse devrait donc pouvoir s’approvisionner numériquement elle-même et garantir aux acteurs la souveraineté sur leurs propres données. Dans les domaines critiques, la question de savoir où sont situés le stockage des données, l’exploitation et la maintenance est stratégique et ne doit pas être décidée uniquement sur la base du prix.

Le label connaît trois prédicats : « swiss made software », « swiss digital services » et « swiss hosting ». Pour la question de savoir où sont situés le stockage des données, l’exploitation et la maintenance, « swiss hosting » est la désignation pertinente. Cette indication peut être vérifiée conjointement avec les certifications ISO 9001 et ISO 27001.

Il convient d’examiner les coûts sur l’ensemble du cycle de vie. Les redevances de licence, l’introduction et l’adaptation sont des coûts uniques ; l’exploitation, le support ainsi que les efforts liés à la protection des données et à la sécurité sont des coûts récurrents. Cette séparation permet de comparer les offres sur l’ensemble du cycle de vie.

Chaque offre doit donc présenter séparément quatre blocs de coûts : redevances de licence, introduction et adaptation, exploitation et support, ainsi que efforts liés à la protection des données et à la sécurité.

Des groupes internationaux comme Google et IBM exploitent des centres de recherche et de développement en Suisse. L’industrie logicielle suisse croît continuellement et propose des solutions innovantes pour une multitude de secteurs. Selon Swiss IT Magazine, les éditeurs de logiciels standard réussissent nettement mieux à proposer leurs produits et services sur le marché international.

swiss made software constate qu’il existe rarement un besoin numérique pour lequel on ne trouve pas de solution suisse. Une carte web interactive de swiss made software permet de rechercher par nom d’entreprise, produits et services et sert d’outil visuel pratique pour trouver le partenaire approprié dans l’environnement swiss made software.

Une entreprise connue nommément dans l’environnement du label est Adobe Research (Suisse) SA, anciennement Day Software AG. Les entreprises porteuses adhèrent au site logiciel suisse. Ainsi, outre la catégorie, un nom concret est disponible pour examen.

Les coûts d’exploitation courants incluent également les efforts découlant de la LPD : adaptation des déclarations de confidentialité et des contrats, tenue du registre des traitements, analyse d’impact relative à la protection des données, ainsi que l’exploitation des voies de signalement. Ces postes surviennent de manière récurrente, non unique.

Quatre blocs de coûts doivent être présentés séparément dans chaque offre : redevances de licence, introduction et adaptation, exploitation et support, ainsi que efforts liés à la protection des données et à la sécurité. Seule cette répartition montre quels coûts sont uniques et quels coûts sont récurrents. S’y ajoutent les indications des labels « swiss made software », « swiss digital services » et « swiss hosting » ainsi que les certifications ISO 9001 et ISO 27001. Cela permet de confronter les offres selon des critères nommés.

Chiffres et faits sur le paysage logiciel suisse

Fournisseurs suisses vs internationaux : critères de sélection