Accueil › Sécurité › Souveraineté des données
Souveraineté des données
Savoir où sont stockées vos données ne suffit pas à savoir qui peut y accéder. La localisation désigne un lieu physique. La juridiction désigne le droit qui s'applique à celui qui détient les données. Les deux se recoupent souvent, mais pas toujours, et c'est précisément dans l'écart que se logent les mauvaises surprises.
Un exemple rend la distinction concrète. Une entreprise choisit une région suisse chez un grand fournisseur international. Les disques sont bien en Suisse. Mais l'entité qui exploite le service appartient à un groupe soumis au droit d'un autre pays, lequel peut lui adresser des injonctions portant sur des données qu'elle contrôle, où qu'elles se trouvent.
Ce dossier démêle ces notions, présente les textes qui structurent le sujet en Suisse et en Europe, puis propose une méthode de vérification en quatre questions. Il s'agit d'information générale et non d'un avis juridique : pour un cas précis, consultez un professionnel.
Au sommaire
Trois notions à ne pas confondre
La localisation
C'est l'emplacement physique des disques, déterminé par la région que vous choisissez. Elle est vérifiable et se contractualise facilement. Elle influence la latence et l'empreinte carbone, comme l'expliquent nos guides sur la circulation de l'information et sur l'impact environnemental.
La juridiction
C'est le droit qui s'applique à l'entreprise détentrice des données. Il découle de sa nationalité, de son implantation et de sa structure capitalistique. Une filiale suisse d'un groupe étranger reste liée à ce groupe, qui peut recevoir des injonctions dans son propre pays.
Le contrôle opérationnel
C'est la question, souvent oubliée, de savoir qui administre techniquement le système. Une infrastructure hébergée et détenue localement mais administrée depuis un autre continent laisse un accès technique réel à des personnes soumises à un autre droit.
La formule à retenir. La localisation dit où sont les données. La juridiction dit qui peut être contraint de les livrer. Le contrôle opérationnel dit qui peut techniquement les atteindre. Un montage n'est solide que si les trois pointent dans la même direction.
Les textes qui structurent le sujet
Le Cloud Act américain
Adopté en 2018, ce texte permet aux autorités des États-Unis d'exiger, par voie judiciaire, la communication de données détenues ou contrôlées par un fournisseur soumis au droit américain, y compris lorsque ces données sont stockées à l'étranger. C'est lui qui a fait basculer le débat : le critère déterminant devient le contrôle exercé par l'entreprise, non l'endroit du serveur.
Le RGPD et l'arrêt Schrems II
Le règlement européen encadre les transferts de données personnelles hors de l'Union. Le 16 juillet 2020, la Cour de justice de l'Union européenne a invalidé le cadre alors utilisé pour les transferts vers les États-Unis. Elle a maintenu les clauses contractuelles types, mais en exigeant d'examiner concrètement si le droit du pays destinataire permet de tenir les garanties promises. Une nouvelle décision d'adéquation a été adoptée en juillet 2023.
La nLPD suisse
La loi fédérale révisée sur la protection des données est entrée en vigueur le 1er septembre 2023. Elle n'interdit pas l'hébergement à l'étranger. Elle autorise la communication de données personnelles vers un pays reconnu comme offrant une protection adéquate, ou assortie de garanties appropriées. La charge de documenter cette analyse pèse sur le responsable du traitement, c'est-à-dire sur vous, pas sur votre hébergeur. La Suisse a reconnu en 2024 un cadre spécifique pour les transferts vers les États-Unis.
Ce que veut dire « cloud souverain »
L'expression n'a pas de définition légale unique, ce qui explique qu'elle recouvre des réalités très inégales. Dans son acception exigeante, elle désigne une infrastructure exploitée par une entité soumise au seul droit d'un pays, sans société mère susceptible de recevoir une injonction étrangère, et administrée par des équipes établies dans ce pays.
Dans son acception commerciale, elle désigne parfois de simples serveurs situés localement, exploités par une filiale d'un groupe étranger. La différence est considérable et n'apparaît jamais sur la page produit. Elle apparaît dans le registre du commerce et dans les annexes contractuelles.
| Ce qui est annoncé | Ce qu'il faut vérifier |
|---|---|
| Données hébergées en Suisse | Les sauvegardes et les journaux le sont-ils aussi ? |
| Entreprise suisse | Qui détient le capital, et quelle entité signe le contrat ? |
| Conforme à la nLPD | La conformité porte sur quel périmètre exact ? |
| Support local | Le support de niveau 2 et 3 est-il aussi local ? |
Le chiffrement comme réponse partielle
Si vous seul détenez la clé, l'hébergeur ne détient que des données illisibles. Une injonction qui lui serait adressée porterait alors sur des fichiers chiffrés qu'il ne peut pas ouvrir. C'est la réponse technique la plus solide à un problème juridique.
Elle a deux limites. La première est fonctionnelle : plus de recherche dans le contenu, plus d'aperçu, plus de récupération en cas de perte de clé, comme le détaille notre guide sur le chiffrement et la confidentialité. La seconde est que les métadonnées restent souvent lisibles : qui échange avec qui, quand, à quelle fréquence, pour quel volume.
Quatre questions à poser par écrit
- Quelle est la raison sociale exacte de l'entité avec laquelle je contracte, et dans quel pays est-elle enregistrée ?
- Qui détient son capital, et existe-t-il une société mère soumise à un droit étranger ?
- Quelle est la liste complète des sous-traitants, avec leur pays d'établissement ?
- Depuis quels pays des collaborateurs peuvent-ils accéder techniquement à mes données ?
Ces quatre réponses, obtenues par écrit, valent mieux que n'importe quel label. Un fournisseur qui les fournit sans difficulté démontre déjà quelque chose de sa gouvernance. Un fournisseur qui les élude vient de vous renseigner autrement.
Questions fréquentes
Stocker ses données en Suisse suffit-il à les protéger ?
Non. La localisation fixe l'endroit physique, pas le droit applicable à celui qui détient les données. Si l'hébergeur est la filiale d'un groupe étranger, la société mère peut être soumise à des obligations de son propre pays. Deux questions comptent donc autant que la première : qui exploite le service, et sous quelle nationalité.
Qu'est-ce que le Cloud Act américain ?
Adopté en 2018, le Cloud Act permet aux autorités américaines d'exiger, par une procédure judiciaire, la communication de données détenues ou contrôlées par un fournisseur soumis au droit des États-Unis, y compris lorsque ces données sont stockées à l'étranger. C'est ce texte qui rend la localisation seule insuffisante pour raisonner sur l'accès aux données.
Que dit la nLPD sur l'hébergement à l'étranger ?
La loi fédérale révisée sur la protection des données, en vigueur depuis le 1er septembre 2023, n'interdit pas l'hébergement hors de Suisse. Elle autorise la communication de données personnelles vers un pays offrant une protection adéquate, ou moyennant des garanties appropriées comme des clauses contractuelles reconnues. La démarche doit être documentée par le responsable du traitement.
Qu'a changé l'arrêt Schrems II ?
Rendu le 16 juillet 2020, cet arrêt de la Cour de justice de l'Union européenne a invalidé le cadre alors en vigueur pour les transferts vers les États-Unis. Il a maintenu les clauses contractuelles types, mais en imposant d'examiner au cas par cas si le droit du pays destinataire permet réellement de respecter les garanties promises. Un nouveau cadre d'adéquation a été adopté en juillet 2023.
Le chiffrement suffit-il à régler la question de la souveraineté ?
Seulement si la clé échappe au fournisseur. Un hébergeur qui détient la clé peut être contraint de déchiffrer. Un chiffrement dont vous seul possédez la clé change la nature du problème, puisque l'opérateur ne détient alors que des données illisibles. Cette solution a un coût fonctionnel réel et ne convient pas à tous les usages.
Comment vérifier concrètement la souveraineté d'un service ?
Demandez par écrit quatre éléments : la raison sociale exacte de l'entité contractante et son pays, la structure de détention du capital, la liste des sous-traitants avec leur pays, et les pays depuis lesquels le support peut accéder aux données. Ces quatre réponses en disent plus qu'un label commercial, qui n'a pas de définition légale unique.
Nicolas Poirier
Passionné d'informatique et de réseaux. J'écris ici les explications que j'aurais aimé trouver en débutant : sans jargon inutile, et en ramenant le cloud à ce qu'il est réellement, des machines, des câbles et des contrats.
Poursuivre la lecture
La souveraineté pèse souvent dans le choix du modèle de déploiement, entre une infrastructure partagée chez un grand acteur et des machines réservées chez un opérateur local. Les critères de cet arbitrage sont détaillés dans cloud public, privé ou hybride.
Et si vous découvrez le sujet, notre guide qu'est-ce que le cloud pose les bases en neuf minutes.