Hébergement des données en Suisse : ce que ça change

« Nos données sont-elles en Suisse ? » La question revient de plus en plus souvent, posée par un client, un partenaire ou un questionnaire d'assurance. L'hébergement des données en Suisse a un sens réel pour une PME : un cadre légal connu, des contrats plus simples et une réponse claire aux attentes de certains secteurs.

Il ne règle pas tout pour autant. Un serveur à Genève mal protégé reste mal protégé. Ce guide fait la part des choses : ce que la localisation change, ce qu'elle ne garantit pas seule, et les questions à poser avant de choisir un hébergeur.

Héberger ses données en Suisse : qu'est-ce que ça change ?

Des données stockées en Suisse, chez un prestataire suisse, relèvent du droit suisse, en particulier de la loi fédérale sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023. Le contrat, un éventuel litige et les demandes d'accès des autorités suivent les règles suisses.

La nLPD n'impose pas d'héberger les données en Suisse. Elle encadre en revanche leur communication à l'étranger : vers un pays dont la législation assure une protection adéquate, selon la liste établie par le Conseil fédéral, ou avec des garanties contractuelles. Garder les données en Suisse limite les transferts à documenter, à condition que les sauvegardes, le support et les outils d'administration restent eux aussi en Suisse.

Quels secteurs y attachent le plus d'importance ?

Dans plusieurs métiers, la localisation suisse est une attente du client avant d'être une obligation légale.

• Les cabinets médicaux, les thérapeutes et les EMS, qui traitent des données de santé.
• Les avocats, les notaires et les fiduciaires, tenus à la confidentialité envers leurs clients.
• Les communes et les entreprises qui travaillent pour des collectivités publiques, dont les appels d'offres peuvent exiger une localisation en Suisse.
• Les sous-traitants de grandes entreprises, qui reçoivent des questionnaires de sécurité détaillés.
• Les ressources humaines de toute entreprise : salaires, certificats médicaux, évaluations.

Ce que la localisation ne garantit pas seule

La localisation répond à la question « où ? », pas à la question « comment ? ». Les causes les plus fréquentes de perte ou de fuite de données sont les mêmes partout : un compte sans double authentification, un correctif oublié, une sauvegarde jamais testée, un accès resté ouvert après un départ.

• La sécurité des accès : double authentification, droits limités, comptes fermés au départ des collaborateurs.
• Les sauvegardes : des copies sur plusieurs sites, dont une immuable, et des restaurations testées.
• La disponibilité : redondance, connexion de secours et engagement de service écrit.
• La surveillance : quelqu'un doit voir les alertes et les traiter.

Données en Suisse : de quel niveau parle-t-on ?

« En Suisse » peut désigner des situations différentes. Un fournisseur international peut proposer une région suisse : les données y sont stockées, mais l'entreprise reste soumise au droit de son pays d'origine, qui peut dans certains cas l'obliger à remettre des données (c'est l'objet du CLOUD Act américain). Ce n'est pas un défaut en soi, c'est un paramètre à connaître et à documenter.

Quelles questions poser à un hébergeur ?

Au sens de la nLPD, l'hébergeur est un sous-traitant : vous restez responsable de son choix et devez pouvoir montrer qu'il offre des garanties suffisantes. Demandez des réponses écrites : dans le contrat, ses annexes ou une fiche d'information datée remise avant la signature.

• Où se trouvent les serveurs, dans quels centres de données, et sont-ils certifiés (par exemple ISO 27001) ?
• Où se trouvent les sauvegardes ? Elles sont parfois répliquées dans un autre pays sans que ce soit précisé.
• Quels sous-traitants interviennent, et depuis quel pays ?
• Qui, au support, peut accéder à vos données, et depuis où ?
• Les données sont-elles chiffrées, et qui détient les clés ?
• Comment récupérer vos données en fin de contrat, dans quel format et dans quel délai ?

Comment SysPros procède

Chez SysPros, le cloud et les sauvegardes que nous exploitons sont hébergés en Suisse. Nos sauvegardes peuvent être réparties sur trois sites certifiés ISO 27001 à Genève, Gland et Lucerne, avec une copie immuable ; l'offre précise la localisation, le nombre et le type de copies. Certains outils de supervision, de support ou de sécurité peuvent impliquer un accès depuis l'étranger : nous l'indiquons avant le démarrage. La localisation est un point de départ : les accès, la surveillance et les éventuels tests de restauration se définissent avec vous.