Où sont hébergées les données de votre PME, et pourquoi la question se pose

Messagerie, documents partagés, comptabilité, fichier clients : les données de votre PME vivent rarement dans vos murs. Le lieu où elles sont hébergées détermine le droit qui s’y applique. Trois textes encadrent la question pour une entreprise romande : la nLPD suisse, le RGPD européen et le CLOUD Act américain.

Faites d’abord l’inventaire : ce que « vos données » recouvrent vraiment

Beaucoup de dirigeants pensent « données » et visualisent un dossier client. La réalité est plus large. Quatre familles composent le patrimoine informationnel d’une PME :

• La messagerie : courriels, pièces jointes, contrats négociés par écrit, échanges avec la fiduciaire. Souvent dix ans d’historique de l’entreprise, accessibles depuis une seule boîte.
• Les documents de travail : devis, plans, procédures internes, présentations commerciales, stockés dans un drive partagé ou sur un serveur de fichiers.
• La comptabilité et les RH : écritures, fiches de salaire, contrats de travail, données médicales éventuelles en cas d’absence. Des informations sensibles au sens de la loi.
• Le fichier clients : coordonnées, historique d’achat, notes commerciales, parfois données bancaires. La matière première de votre chiffre d’affaires.

Chacune de ces familles vit aujourd’hui, en tout ou partie, chez un prestataire cloud. La transformation numérique des PME a déplacé le centre de gravité : le serveur au sous-sol a cédé la place à des abonnements dont peu de dirigeants connaissent la localisation exacte.

Faire cet inventaire seul est possible, mais l’exercice révèle vite des angles morts : outils gratuits ouverts par un collaborateur pour dépanner, sauvegardes dont personne ne sait où elles partent, anciens comptes jamais fermés après un départ. Chaque abonnement souscrit en trois clics ajoute un lieu de stockage que la direction ne voit pas. Des prestataires informatiques établis à Genève, comme avepto.ch, accompagnent les PME romandes sur cette gestion de leurs données et de leur informatique au quotidien.

Une fois la carte dressée, une question simple s’applique à chaque ligne : dans quel pays ces informations dorment-elles, et sous quel droit ? La suite de cet inventaire se joue sur trois textes de loi.

Suisse ou étranger : ce que la nLPD change concrètement

Première clarification, car le raccourci circule beaucoup : la nouvelle loi fédérale sur la protection des données, entrée en vigueur le 1er septembre 2023, n’impose pas d’héberger vos données en Suisse.

Ce qu’elle impose est plus subtil. Un transfert de données personnelles vers l’étranger n’est licite que si l’État de destination garantit une protection adéquate. Le Conseil fédéral tient la liste de ces pays à l’annexe 1 de l’ordonnance sur la protection des données ; les membres de l’Union européenne y figurent. Vers un pays hors liste, l’exportateur doit mettre en place des garanties reconnues, typiquement des clauses contractuelles types, et vérifier périodiquement que le niveau de protection tient toujours (swissprivacy.law, analyse de la nLPD).

Le point qui réveille les conseils d’administration : la sanction. L’amende prévue par la nLPD monte jusqu’à 250 000 francs et vise la personne physique responsable du traitement. Pas la société : le dirigeant. Le RGPD punit l’entreprise, le droit suisse punit la personne.

Concrètement, pour une PME romande, la question « où sont mes données ? » se décompose donc en deux vérifications :

1. Dans quel pays mes prestataires stockent-ils réellement les données, sauvegardes comprises ?
2. Si c’est hors de Suisse, ce pays figure-t-il sur la liste des États adéquats, ou un contrat solide couvre-t-il le transfert ?

La loi ajoute des obligations de fond, indépendantes du lieu d’hébergement : informer les personnes concernées lors de la collecte, annoncer au Préposé fédéral (PFPDT) les violations de la sécurité des données qui présentent un risque élevé, et pouvoir documenter ses traitements en cas de contrôle. Votre hébergeur exécute, mais la responsabilité de ces obligations reste chez vous.

Un hébergement en France ou en Allemagne reste donc parfaitement défendable au regard de la nLPD. La vraie ligne de fracture est ailleurs.

Le CLOUD Act rattache vos données à la nationalité du fournisseur

L’histoire commence par un bras de fer. Le gouvernement américain réclame à Microsoft des courriels stockés dans son datacenter irlandais ; Microsoft refuse, arguant que les serveurs sont hors du territoire américain. Le Congrès tranche le débat en promulguant le CLOUD Act le 23 mars 2018 : un fournisseur soumis au droit américain doit remettre les données réclamées par les autorités, quel que soit le pays où elles sont physiquement stockées.

La conséquence pratique est contre-intuitive : la protection de vos données ne dépend pas seulement du lieu du serveur, mais de la nationalité du fournisseur. Des données hébergées à Zurich par une société américaine restent atteignables par une réquisition américaine. Des données hébergées à Francfort par un fournisseur suisse ne le sont pas par ce canal.

Gardez la mesure : le CLOUD Act encadre des demandes judiciaires, il n’ouvre pas un accès libre aux services de renseignement, et les PME romandes ne constituent pas sa cible prioritaire. Trois situations justifient pourtant d’en tenir compte sérieusement :

• Vous traitez des données couvertes par un secret professionnel : fiduciaire, santé, notariat, avocats.
• Vos clients institutionnels ou publics exigent contractuellement un hébergement hors de portée de droits étrangers.
• Votre secteur manipule des informations à valeur concurrentielle élevée, brevets ou R&D.

Dans ces trois cas, la nationalité du fournisseur devient un critère de sélection à part entière, au même rang que le prix ou les fonctionnalités.

Le RGPD s’invite dès que vos clients sont européens

Une PME de Lausanne qui vend en ligne à des clients français tombe sous le RGPD, sans établissement dans l’UE. Le règlement s’applique dès que vous offrez des biens ou des services à des personnes situées dans l’Union, ou que vous suivez leur comportement en ligne. Les amendes montent à 20 millions d’euros ou 4 % du chiffre d’affaires mondial.

Bonne nouvelle dans l’autre sens : la Commission européenne a confirmé le 15 janvier 2024 que la Suisse offre un niveau de protection adéquat. Les données peuvent donc circuler entre l’UE et la Suisse sans formalité supplémentaire, dans les deux directions. Un hébergeur suisse ne pose aucun problème à vos clients européens, et inversement.

Pour une entreprise romande exportatrice, la conformité se joue donc sur deux tableaux à la fois : nLPD côté suisse, RGPD côté clients européens. Le sujet mérite d’être posé dès la structuration de la société, au même titre que les questions traitées dans notre guide pour créer son entreprise en Suisse.

Microsoft 365 et Infomaniak kSuite : comparer sur les faits

Deux solutions collaboratives dominent les discussions des PME romandes. Les comparer sérieusement demande de séparer ce qui relève du lieu, du droit et de l’usage.

Microsoft opère deux régions cloud en Suisse depuis fin 2019, à Zurich et à Genève. Plus de 50 000 entreprises y consomment ses services cloud (Microsoft, 2024). Lors de la création d’un tenant Microsoft 365, la Suisse peut être choisie comme région de résidence des données pour Exchange Online, Teams, OneDrive et SharePoint. Le lieu est donc suisse ; le fournisseur reste une société de droit américain, soumise au CLOUD Act.

Infomaniak, société genevoise indépendante, héberge l’intégralité de ses services dans ses propres datacenters en Suisse, certifiés ISO 27001. Sa suite kSuite regroupe messagerie (kMail), stockage collaboratif (kDrive), messagerie instantanée (kChat) et visioconférence (kMeet). Lieu suisse, droit suisse.

Aucune des deux options n’est un mauvais choix en soi. Une PME dont les processus reposent sur Excel avancé, Teams et des logiciels métiers intégrés à l’écosystème Microsoft acceptera le compromis juridique en connaissance de cause. Une structure qui privilégie la souveraineté, ou dont les clients l’exigent, trouvera dans l’offre suisse un périmètre fonctionnel désormais crédible pour la bureautique courante. L’erreur classique : choisir par défaut, sans avoir posé la question du droit applicable.

Sept vérifications avant de signer avec un hébergeur

Le contrat d’un prestataire cloud se lit avec une grille. Sept points concentrent l’essentiel du risque :

1. Localisation exacte des serveurs, sauvegardes et réplicas compris. « Cloud européen » ne suffit pas : exigez le pays, idéalement le datacenter.
2. Le droit applicable au fournisseur : siège social, nationalité de la maison mère, exposition à des législations extraterritoriales.
3. Sous-traitants : qui d’autre intervient sur vos données, et où. La chaîne compte autant que le premier maillon.
4. Réversibilité : pouvez-vous exporter la totalité de vos données, dans des formats ouverts, en combien de temps et à quel coût.
5. Sauvegarde et restauration : fréquence, durée de rétention, et surtout tests de restauration réels. Ce volet rejoint directement votre stratégie de cybersécurité.
6. Le contrat de sous-traitance au sens de la nLPD et du RGPD : le document qui encadre juridiquement le traitement de vos données par le prestataire.
7. Le coût total sur trois ans : abonnements, migration, formation, sortie éventuelle. Un tarif d’appel bas se paie parfois cher à la sortie, un point à intégrer dans votre gestion de trésorerie.

Un prestataire sérieux répond à ces sept questions par écrit, sans détour. Une réponse floue sur la localisation ou la réversibilité est en soi une information.

Prochaine étape : demandez cette semaine à votre prestataire actuel dans quel pays vos données et leurs sauvegardes sont stockées, et sous quel droit opère sa maison mère. Deux questions, dix minutes de rédaction, et les réponses cadreront vos décisions cloud pour les cinq prochaines années.