Vérifier la localisation des données chez les fournisseurs de cloud

Localisation des données en Suisse : ce que cela englobe

Le PFPDT cite trois domaines d'examen en matière de protection des données pour les services cloud : les sous-traitants et sous-sous-traitants, la sécurité du traitement des données ainsi que la transmission de données personnelles vers des pays tiers. Par conséquent, plusieurs niveaux sont déterminants pour la localisation : le stockage, le traitement, l'accès – y compris pour la maintenance et le support – et les sous-sous-traitants impliqués. Celui qui ne mentionne qu'un seul emplacement de serveur ne répond ainsi qu'à une seule de ces questions.

Du point de vue des rôles, le fournisseur de cloud agit généralement en tant que sous-traitant du client au sens de l'art. 9 LPD. Le client est le responsable du traitement ou lui-même sous-traitant ; en tant que sous-traitant, il doit respecter les prescriptions du responsable du traitement pour ses propres traitements de données. En tant que responsable du traitement, il assume la responsabilité que le traitement externalisé soit conforme à la protection des données et que les droits des personnes concernées ne soient pas amoindris par cette externalisation.

L'utilisateur du cloud doit, en sa qualité de responsable du traitement, s'assurer et garantir contractuellement qu'il respecte les exigences relatives au sous-traitement selon l'art. 9 LPD. Les indications de localisation du fournisseur constituent donc le point de départ de l'examen, et non son résultat.

Pourquoi un serveur en Suisse n'offre pas encore une protection suffisante

Un centre de données en Suisse ou dans l'UE n'empêche pas les accès des autorités si le fournisseur est soumis au droit étranger. Le US CLOUD Act permet aux autorités américaines de contraindre les entreprises américaines à remettre des données – même si elles sont stockées à l'étranger. Selon l'UMB, une entreprise suisse utilisant un fournisseur américain risque que des données confidentielles soient consultées sans avertissement préalable ni recours juridique. Un centre de données européen n'y change rien, car l'accès dépend de l'appartenance du fournisseur, et non de la localisation des données.

Aux États-Unis, il n'existe pas de loi uniforme sur la protection des données ; un système fragmenté de réglementations sectorielles s'applique. L'UMB souligne que la révocation de certains membres du Privacy and Civil Liberties Oversight Board en janvier 2025 a affaibli les mécanismes de surveillance du cadre de protection des données UE-États-Unis et accru les doutes quant à sa viabilité à long terme. Un accord ou un certificat seul ne constitue donc pas une garantie durable.

Dans le secteur public, la question est tranchée : la résolution publiée en novembre 2025 par privatim, la Conférence suisse des délégués à la protection des données, peut être interprétée, selon Bär & Karrer, comme une interdiction de facto de l'utilisation des hyperscalers dans l'administration publique. L'appel d'offres de l'OFSP pour l'infrastructure SwissHDS (février 2026) exige que toutes les composantes de l'infrastructure ne présentent aucune dépendance technique ou juridique vis-à-vis de juridictions externes telles que le US CLOUD Act.

Faits sur la souveraineté des données en Suisse

Questions concrètes à poser au fournisseur

Partenaire contractuel et droit : Qui est le partenaire contractuel – pas seulement la marque –, où a-t-il son siège et à quel droit est-il soumis ? Appartient-il à un groupe dont le siège est situé hors de Suisse ? Le droit applicable est celui du partenaire contractuel, et non la localisation du centre de données.

Données et traitement : À quels emplacements concrets se trouvent les données de production, les sauvegardes et d'éventuelles copies à des fins d'analyse ou de test, et où sont-elles traitées ? Ces emplacements divergent-ils selon le modèle de service ? La fiche d'information de privatim « Risques spécifiques au cloud et mesures » (2022) indique que les lieux de traitement des données en Suisse sont à privilégier, notamment pour des raisons de sécurité des infrastructures et de disponibilité.

Accès : Qui peut accéder aux données – y compris pour la maintenance, la résolution d'erreurs et le support ? Dans quel pays ces personnes sont-elles basées ? L'accès est-il journalisé et accordé uniquement sur instruction ? Le fournisseur peut-il lire les données en clair, ou le chiffrement et la gestion des clés sont-ils organisés de manière à l'en empêcher ?

Sous-sous-traitants : Quels sous-sous-traitants sont utilisés pour l'hébergement, le support, la surveillance, les sauvegardes ou les services additionnels, et où sont-ils domiciliés ? Comment et dans quel délai les nouveaux sous-sous-traitants ou les changements de localisation sont-ils signalés, et le client peut-il s'y opposer ? Complémentairement : quels rapports d'audit et certifications sont disponibles, et comment le fournisseur traite-t-il les demandes de renseignements des autorités ?

Sécurisation contractuelle et transmission à l'étranger

Les points suivants doivent au minimum être réglés contractuellement : le sous-traitement avec obligation de suivre les instructions, la confidentialité du personnel engagé, les mesures techniques et organisationnelles, les sous-sous-traitants autorisés avec délai de notification en cas de changement, les droits d'accès et d'audit du client, la notification des incidents de sécurité, la procédure en cas de demandes de renseignements des autorités ainsi que la restitution ou la suppression des données à la fin du contrat.

Si une communication de données à l'étranger a lieu dans le cadre de services cloud, le PFPDT stipule qu'il faut vérifier avant la communication si elle satisfait aux exigences légales. Le guide sur l'utilisation de services cloud externes exige que les droits fondamentaux des personnes concernées restent protégés de manière équivalente. Si cette protection équivalente ne peut pas être démontrée, la communication sous cette forme n'est pas envisageable.

Les indications de localisation, la liste des sous-sous-traitants et les règles d'accès doivent donc figurer dans le contrat, et pas seulement dans les documents marketing. Si ces indications changent, l'examen doit être effectué à nouveau avant toute transmission supplémentaire de données.

Peser la souveraineté contre la fonctionnalité et l'effort

Selon l'analyse de Bär & Karrer, il n'existe pas de solutions entièrement exemptes de risques. Chaque variante – un service cloud américain, un fournisseur suisse ou européen, une solution sur site (on-premises) ou open source – nécessite des pondérations au cas par cas entre fonctionnalité, sécurité, souveraineté et charges d'exploitation.

Les compromis varient : les hyperscalers américains offrent une large gamme de fonctions et une grande évolutivité, mais sont soumis au CLOUD Act. Les fournisseurs suisses ou européens déplacent le risque juridictionnel, mais ne sont pas équivalents en termes de prestations et de prix. Les solutions sur site et open source rendent le contrôle des données et des clés, mais exigent leur propre personnel d'exploitation ainsi que la gestion des correctifs, des sauvegardes et des pannes.

Les fournisseurs distinguent désormais entre le lieu de stockage et la souveraineté opérationnelle, qui se mesure à l'endroit où siègent les employés chargés du support. NorthC cite cela comme une caractéristique de son « Swiss Sovereign Cloud ».

En cas de besoins de protection accrus – par exemple pour les autorités fédérales, cantonales et communales – d'autres exigences s'ajoutent : la protection des données, les obligations de secret telles que le secret de fonction et les prescriptions en matière de sécurité de l'information doivent être respectées, et la capacité d'action à long terme doit être assurée. Dans ce contexte, la souveraineté numérique ne signifie ni autarcie ni isolement, mais la capacité de diriger et de contrôler de manière responsable l'utilisation de prestations numériques externes.

Comparaison des fournisseurs de cloud selon la localisation des données et la souveraineté juridique

Répéter et documenter la vérification

Les déclencheurs d'une nouvelle vérification sont le changement de fournisseur, de nouveaux sous-sous-traitants, des modifications des indications de localisation, des services supplémentaires souscrits dans le même contrat ainsi que des changements concernant le partenaire contractuel ou la structure du groupe. Comme la communication à l'étranger doit être examinée avant la transmission, la vérification est liée à ces événements et n'est pas effectuée une seule fois.

Pour la preuve, on consigne pour chaque vérification : la date, le partenaire contractuel et le droit applicable, les emplacements des données et des sauvegardes, la liste des sous-sous-traitants, les règles d'accès, les rapports d'audit utilisés ainsi que les résultats des vérifications précédentes. La nLPD prescrit des règles en matière de transparence, de sécurité et de responsabilité ; la vérification documentée constitue la base pour satisfaire à cette obligation de rendre compte et pour prouver, lors d'une demande de l'autorité de surveillance, quelles informations ont été vérifiées et quand.