Un argument commercial revient dans presque tous les appels d’offres : « hébergement en Suisse ». Il rassure, il se vend bien, et il ne dit presque rien. Un centre de données situé à Zurich mais exploité par une filiale d’un groupe américain n’offre pas la protection que le dirigeant croit acheter.
Ce n’est pas une subtilité de juriste. C’est la différence entre une garantie géographique et une garantie juridique. La première se voit sur une carte, la seconde dépend du droit auquel l’exploitant est soumis — et ces deux choses ne coïncident pas toujours.
Cet article reformule la question dans le bon ordre, décrit les trois régimes de transfert applicables depuis la nLPD, explique ce que la reconnaissance du Swiss‑US Data Privacy Framework a changé en septembre 2024, et propose une façon de trancher selon la nature des données plutôt que selon le discours du fournisseur.
1. La question est mal posée
La localisation physique répond à une question de latence et de continuité de service. Elle ne répond pas à la question de l’accès. Ce qui détermine qui peut exiger la communication de vos données, c’est le droit applicable à l’entreprise qui les exploite, pas la longitude du bâtiment.
L’exemple le plus documenté est le CLOUD Act américain, adopté en 2018 : il permet aux autorités des États‑Unis d’exiger d’un fournisseur soumis à leur juridiction la production de données qu’il détient, y compris lorsqu’elles sont stockées à l’étranger. Un hébergement suisse opéré par une société de droit américain reste donc dans le champ. Ce n’est ni un scandale ni une fatalité : c’est un paramètre à connaître avant de signer.
Figure 1. Deux questions qu’on confond
La première se vérifie sur une facture. La seconde demande de lire le contrat et de savoir qui contrôle l’exploitant.
Réponse géographique. Utile pour la latence, la continuité et parfois pour une exigence sectorielle.
Réponse juridique. Dépend du droit applicable à l’exploitant, de sa maison mère, et de ses sous‑traitants.
2. Les trois régimes de transfert
Dès que des données personnelles quittent la Suisse, la LPD impose de justifier le transfert par l’un de trois mécanismes. Ce n’est pas une formalité : c’est ce qui rend le transfert licite, et c’est la première chose qu’on vous demandera en cas de contrôle.
Figure 2. Les trois voies, de la plus simple à la plus lourde
Une seule suffit, mais il en faut une. L’absence de justification n’est pas une option.
État à protection adéquate
Aucune démarcheLe pays de destination figure à l’annexe 1 de l’ordonnance. Les États membres de l’Espace économique européen en font partie. Le transfert se fait sans formalité supplémentaire.
Swiss‑US Data Privacy Framework
Vérifier la certificationPour les États‑Unis uniquement, et seulement vers une entreprise effectivement certifiée. Ni clauses contractuelles types, ni analyse d’impact du transfert. La vérification au registre officiel reste indispensable.
Clauses contractuelles types + analyse d’impact
Travail documentéLa voie par défaut pour tout le reste. Il faut conclure les clauses et évaluer si le droit du pays de destination ne les vide pas de leur substance. C’est là que la plupart des dossiers s’enlisent.
Sources : art. 16 ss LPD ; annexe 1 OPDo ; décision du Conseil fédéral du 14 août 2024
3. Ce que septembre 2024 a changé
Avant cette date, tout transfert vers les États‑Unis relevait de la troisième voie : clauses contractuelles types et analyse d’impact, pour chaque fournisseur. Beaucoup de PME ont renoncé à des outils utiles pour cette seule raison, ou — plus souvent — les ont utilisés sans faire le travail.
La reconnaissance du Swiss‑US Data Privacy Framework, annoncée le 14 août 2024 et effective au 15 septembre 2024, fait basculer les fournisseurs certifiés dans la première catégorie. La charge administrative disparaît pour eux. Elle reste entière pour les autres, et c’est un point que les argumentaires commerciaux entretiennent volontiers dans le flou.
La vérification qui prend deux minutes
Une mention « conforme au Data Privacy Framework » sur une page marketing ne vaut pas certification. Le programme tient un registre public des entreprises certifiées, avec le statut en cours de validité. Cherchez le nom exact de l’entité contractante — pas celui du produit, pas celui du groupe. Une certification échue ou détenue par une autre filiale ne vous couvre pas.
Le Conseil fédéral a par ailleurs indiqué qu’il réexaminerait régulièrement cette reconnaissance. Un cadre d’adéquation n’est pas un acquis définitif : l’histoire des accords transatlantiques précédents invite à garder une voie de repli documentée plutôt qu’à construire toute son architecture sur une seule décision administrative.
4. Comment trancher, concrètement
La réponse n’est pas « tout en Suisse » — ce serait coûteux et souvent disproportionné. Elle consiste à classer les données par sensibilité, puis à n’appliquer la contrainte forte que là où elle se justifie. Voici la grille que nous utilisons au cadrage.
Figure 3. Quelle exigence pour quelles données
Proposition de classement, à ajuster selon le secteur et les engagements contractuels déjà pris.
Ou traitement local, sans sortie du périmètre.
États‑Unis acceptable si l’entité est certifiée au Framework.
Vérifier tout de même l’usage pour l’entraînement.
La LPD ne s’applique pas en l’absence de données personnelles.
Les questions à poser au fournisseur
- Quelle entité juridique signe le contrat, et de quel droit relève‑t‑elle ? Le nom du produit ne suffit pas.
- Mes contenus sont‑ils utilisés pour entraîner des modèles ? Si oui, est‑ce désactivable par contrat, et non par une case dans les réglages ?
- Quels sous‑traitants ultérieurs interviennent, et où ? La chaîne s’arrête rarement au premier fournisseur.
- Quelle est la durée de conservation, et quelle procédure de suppression puis‑je déclencher — avec quelle preuve ?
- En cas de violation de sécurité, sous quel délai serai‑je informé ? La nLPD m’impose d’annoncer au PFPDT dans les meilleurs délais.
Note méthodologique
Cet article décrit le cadre issu de la loi fédérale sur la protection des données et de son ordonnance, tel qu’applicable au 18 septembre 2026. Le classement de la figure 3 est une proposition de travail, pas une norme : la sensibilité réelle d’une catégorie de données dépend du secteur, des engagements contractuels déjà pris et, pour certaines activités, de réglementations spécifiques qui priment. La mention du CLOUD Act décrit un mécanisme d’accès documenté et non une pratique systématique. Rien de ceci ne constitue un avis juridique ; pour une décision engageante, faites valider votre cas par un conseil qualifié.
Conclusion
La souveraineté des données est devenue un argument de vente, ce qui l’a rendue confuse. Ramenée à l’essentiel, elle tient en une phrase : vous devez savoir quelle entité juridique détient vos données et à quel droit elle répond. Tout le reste en découle.
Poser cette question fait un tri immédiat parmi les fournisseurs. Ceux qui ont fait le travail répondent en une phrase et vous envoient le document. Les autres renvoient vers une page marketing. Cette réaction est, en pratique, l’information la plus utile de tout l’appel d’offres.
Et le bon réflexe n’est pas de tout rapatrier en Suisse. C’est de décider, catégorie par catégorie, ce qui mérite cette contrainte — puis de l’écrire, pour que la décision survive au départ de celui qui l’a prise.
Sources
- Loi fédérale sur la protection des données (LPD), en vigueur depuis le 1er septembre 2023 — art. 16 ss sur la communication de données personnelles à l’étranger ; art. 24 sur l’annonce des violations de la sécurité des données.
- Ordonnance sur la protection des données (OPDo), annexe 1 — liste des États dont la législation assure une protection adéquate.
- Conseil fédéral, reconnaissance du Swiss‑US Data Privacy Framework : décision annoncée le 14 août 2024, modification de l’annexe 1 OPDo en vigueur depuis le 15 septembre 2024, avec réexamen périodique annoncé.
- Préposé fédéral à la protection des données et à la transparence (PFPDT), communication du 15 août 2024 sur le nouveau cadre Suisse‑États‑Unis.
- Clarifying Lawful Overseas Use of Data Act (CLOUD Act), États‑Unis, 2018 — production de données détenues par un fournisseur soumis à la juridiction américaine, y compris stockées hors du territoire.
Quelle entité détient réellement vos données ?
Nous classons vos données par sensibilité, vérifions le régime de transfert de chaque outil déjà en place, et posons le cadre qui manque. Le résultat tient en une page, lisible par votre direction.
Faire le point sur nos données