Où héberger les données d'un logiciel métier en Suisse pour respecter la LPD ?
« Nos données sont en Suisse » est souvent la première chose qu'on demande à un prestataire. C'est une bonne question, mais elle ne suffit pas. Un logiciel métier envoie ses données à plus d'endroits qu'on ne l'imagine. Cet article fait le tour de ces endroits, et de ce que la loi en dit.
Dans cet article
- 01Une question plus large qu'un serveur
- 02Ce que la LPD demande vraiment
- 03Héberger à l'étranger : à quelles conditions
- 04Pourquoi la Suisse simplifie tout
- 05Faire la carte de vos flux de données
- 06L'IA, le flux qu'on oublie
- 07Les questions à poser à votre prestataire
- 08Où Futurdigital héberge vos données
Une question plus large qu'un serveur.
Quand on parle d'hébergement, on pense à un serveur dans un centre de données. C'est là que vit la base de données, et c'est souvent le seul endroit dont on vérifie la localisation.
Mais un logiciel métier ne reste pas enfermé dans son serveur. Il fait des copies de sécurité, envoie des e-mails, se connecte à d'autres outils, et parfois confie des documents à une intelligence artificielle. Chacun de ces gestes est un flux de données, et chacun peut partir ailleurs.
Le serveur principal
La base de données et les fichiers du logiciel. Le plus visible.
Les sauvegardes
Des copies complètes, parfois stockées chez un autre prestataire.
Les e-mails envoyés
Une facture ou une notification passe par un service d'envoi.
Le support à distance
Les personnes qui peuvent se connecter pour corriger un problème.
Les outils connectés
Comptabilité, agenda, signature électronique, mesure d'audience.
L'intelligence artificielle
Un document envoyé à un modèle d'IA pour être lu ou résumé.
Ce que la LPD demande vraiment.
La loi fédérale sur la protection des données, révisée et en vigueur depuis le 1er septembre 2023, ne parle pas de serveurs. Elle parle de responsabilités : c'est l'entreprise qui traite les données qui doit s'assurer qu'elles sont protégées, y compris quand elle confie ce traitement à un prestataire.
La LPD n'impose pas d'héberger les données en Suisse. Elle demande de les protéger de façon adaptée au risque, d'encadrer le recours à des prestataires, et de ne communiquer des données personnelles à l'étranger, en principe, que vers des pays reconnus par le Conseil fédéral ou avec des garanties appropriées.
Cet article donne des repères généraux. Il ne remplace pas l'avis d'un juriste pour votre situation.
| Ce que dit la loi | Ce que ça veut dire pour un logiciel métier | Article |
|---|---|---|
| Protection dès la conception | Le logiciel doit être pensé pour protéger les données dès le départ et, par défaut, ne traiter que ce qui est nécessaire à son but. | LPD, art. 7 |
| Sécurité adaptée au risque | Accès, chiffrement, sauvegardes : les mesures dépendent de la sensibilité des données traitées. | LPD, art. 8 |
| Sous-traitance | Confier un traitement à un prestataire est permis, notamment si un contrat le prévoit. L'entreprise doit s'assurer que le prestataire est en mesure de garantir la sécurité des données. | LPD, art. 9 |
| Communication à l'étranger | Possible vers les pays reconnus par le Conseil fédéral, ou avec des garanties appropriées, par exemple des clauses contractuelles. | LPD, art. 16 et 17 |
| Annonce des violations | Une violation de la sécurité des données qui entraîne vraisemblablement un risque élevé pour les personnes concernées doit être annoncée dans les meilleurs délais au Préposé fédéral à la protection des données et à la transparence (PFPDT). | LPD, art. 24 |
| Registre des traitements | Obligatoire en principe. Les entreprises de moins de 250 collaborateurs en sont dispensées, sauf si elles traitent des données sensibles à grande échelle ou font du profilage à risque élevé. | LPD, art. 12 OPDo, art. 24 |
Héberger à l'étranger : à quelles conditions.
Envoyer des données hors de Suisse n'est pas interdit. Tout dépend du pays de destination, et des garanties prévues. On peut résumer la situation en quatre cas.
En Suisse
Aucune communication à l'étranger. Les règles de sécurité et de sous-traitance s'appliquent, mais il n'y a rien de plus à vérifier sur le pays.
Dans un pays reconnu
Le Conseil fédéral fixe la liste des États qui offrent un niveau de protection adéquat, dans l'annexe 1 de l'ordonnance sur la protection des données (OPDo). Les pays de l'Union européenne et de l'EEE en font partie, tout comme le Royaume-Uni.
Aux États-Unis
Depuis le 15 septembre 2024, les entreprises américaines certifiées selon le Swiss-US Data Privacy Framework sont considérées comme offrant une protection adéquate. Pour les autres, il faut des garanties.
Ailleurs
La communication reste possible avec des garanties appropriées, par exemple des clauses contractuelles types approuvées, établies ou reconnues par le PFPDT. La loi prévoit aussi quelques dérogations, à examiner au cas par cas.
La loi prévoit aussi des sanctions. Sur plainte, une amende pouvant aller jusqu'à CHF 250'000 peut frapper les personnes privées qui violent intentionnellement certaines obligations, dont celles qui concernent la communication à l'étranger, la sous-traitance et la sécurité des données (LPD, art. 61).
Pourquoi la Suisse simplifie tout.
Puisque la loi n'oblige pas à rester en Suisse, pourquoi le faire ? Parce que chaque flux qui part à l'étranger ajoute une vérification, un document, une question à laquelle il faudra répondre un jour. Héberger en Suisse en supprime une bonne partie.
Rien à démontrer sur le pays.
Pas de liste à consulter, pas de clauses à négocier, pas de garanties à documenter.
Un cadre plus simple.
Avec un prestataire suisse et des données en Suisse, il n'y a pas de communication à l'étranger à justifier.
Une réponse simple à vos clients.
Fiduciaires, courtiers, régies : vos propres clients peuvent vous poser la question. « En Suisse » se comprend sans explication.
Moins de surprises à long terme.
Les règles sur les transferts internationaux évoluent. Ce qui reste en Suisse n'en dépend pas.
Le lieu du serveur n'est pas la seule question. Demandez aussi à votre prestataire de quel pays il relève, qui peut accéder aux données chez lui, et à quels sous-traitants il fait appel. Ces réponses comptent autant que l'adresse du centre de données.
Pour un métier où la confidentialité est au cœur du travail, comme la fiduciaire, nous détaillons ces questions dans Comment un logiciel de fiduciaire protège-t-il les données des clients ?
Faire la carte de vos flux de données.
Le plus difficile n'est pas de choisir un pays, c'est de savoir où vont déjà vos données. Prenez votre logiciel métier actuel, ou celui que vous envisagez, et indiquez pour chaque flux où il se trouve. « Je ne sais pas » est une réponse utile : c'est la liste des questions à poser.
0 flux sur 6 renseigné.
Indiquez où se trouve chaque flux pour obtenir votre bilan.
Ce sont les questions à poser en premier à votre prestataire. Tant qu'un flux est inconnu, il est impossible de dire s'il respecte la loi.
Pour chacun, contrôlez que le pays figure sur la liste du Conseil fédéral, ou que des garanties sont prévues et documentées.
C'est la situation la plus simple. Gardez une trace écrite de ces réponses : elle vous servira si un client ou un auditeur pose la question.
L'IA, le flux qu'on oublie.
Un logiciel qui lit des factures, classe des documents ou résume des e-mails envoie souvent ces contenus à un modèle d'IA. Si ce modèle tourne chez un fournisseur étranger et que le document contient des données personnelles, son envoi est une communication de données à l'étranger, avec les règles qui s'y appliquent.
Le risque est d'autant plus grand que ce flux est invisible pour l'utilisateur. Il clique sur « lire la facture », et rien ne lui dit où le document est parti. C'est pour cela qu'il faut poser la question explicitement, pour chaque fonction qui utilise l'IA.
Chez Futurdigital, nous utilisons par défaut des modèles d'IA open source hébergés en Suisse. Si vous préférez un autre service, c'est votre choix, et nous vous disons ce qu'il implique.
Les questions à poser à votre prestataire.
Que vous fassiez développer un logiciel ou que vous en choisissiez un, ces questions méritent une réponse écrite. Un prestataire sérieux y répond sans difficulté.
- Où sont le serveur et les sauvegardes ?Le pays, et le prestataire qui les héberge.
- Qui peut accéder aux données ?Les personnes, leur pays, et dans quelles conditions.
- Quels sous-traitants interviennent ?La liste complète, y compris pour les e-mails et l'IA.
- Où tournent les fonctions d'IA ?Et ce qui est envoyé au modèle, exactement.
- Que se passe-t-il en cas de fuite ?Qui vous prévient, en combien de temps, et comment.
- Que deviennent les données à la fin ?Restitution, suppression, et dans quel délai.
- À qui appartient le code ?Pour pouvoir changer de prestataire sans perdre l'outil.
- Un accord de confidentialité est-il prévu ?Avant même l'envoi des premiers documents.
Où Futurdigital héberge vos données.
Vos données restent en Suisse, et vous savez à tout moment où elles se trouvent.
Nous ne sommes pas juristes, et nous ne donnons pas d'avis juridique. Notre rôle est de construire des logiciels qui rendent la conformité simple, en gardant les données en Suisse et en documentant chaque flux.
- Hébergement en Suisse chez Infomaniak, dans des centres de données situés en Suisse.
- IA open source hébergée en Suisse par défaut, pour les fonctions qui lisent ou classent des documents.
- Une équipe interne, sans sous-traitance du développement.
- Un accord de confidentialité sur la plupart des projets, signé avant l'envoi des documents.
- Conformité LPD et RGPD prise en compte dès la conception du logiciel.
- En fin de collaboration, le code source et la documentation vous sont remis, et nous ne gardons aucune donnée.
L'hébergement est compris dans notre contrat de maintenance. Pour voir ce que représente un projet dans son ensemble, lisez Combien coûte un logiciel sur-mesure pour une PME en Suisse ?
Sources : loi fédérale sur la protection des données (LPD, RS 235.1, art. 7, 8, 9, 12, 16, 17, 24 et 61) et ordonnance sur la protection des données (OPDo, RS 235.11, art. 24 et annexe 1) ; Office fédéral de la justice, liste des États reconnus ; communiqué du Conseil fédéral du 14 août 2024 sur le Swiss-US Data Privacy Framework.
Vos données doivent rester en Suisse ?
Futurdigital développe des logiciels sur-mesure pour les PME de Suisse romande, hébergés en Suisse. Parlons de votre projet : nous vous montrons où iront vos données, flux par flux.
30 minutes, sans engagement.Questions fréquentes.
La LPD oblige-t-elle à héberger les données en Suisse ?
Non. La LPD demande de protéger les données de façon adaptée au risque et encadre leur communication à l'étranger. Héberger en Suisse n'est pas obligatoire, mais cela évite d'avoir à vérifier le pays de destination et à prévoir des garanties.
Peut-on héberger les données d'un logiciel dans l'Union européenne ?
Oui. Les États de l'Union européenne et de l'EEE figurent sur la liste des pays offrant un niveau de protection adéquat, fixée par le Conseil fédéral dans l'annexe 1 de l'ordonnance sur la protection des données (OPDo).
Peut-on utiliser un prestataire américain ?
Depuis le 15 septembre 2024, les entreprises américaines certifiées selon le Swiss-US Data Privacy Framework sont considérées comme offrant une protection adéquate. Pour un prestataire non certifié, des garanties comme des clauses contractuelles types sont nécessaires.
Que risque-t-on en cas de non-respect de la LPD ?
Sur plainte, la LPD prévoit une amende pouvant aller jusqu'à CHF 250'000 pour les personnes privées qui violent intentionnellement certaines obligations, par exemple sur la communication à l'étranger, la sous-traitance ou la sécurité des données.
Où Futurdigital héberge-t-elle les données de ses logiciels ?
En Suisse, chez Infomaniak. Les fonctions d'IA utilisent par défaut des modèles open source hébergés en Suisse, et aucune donnée n'est gardée en fin de collaboration.
Pour aller plus loin.
Fiduciaire et données des clients
Où restent les pièces, et qui peut les voir.
Lire →Hébergement et maintenance
Ce que couvre notre contrat, hébergement compris.
Découvrir →Quels processus automatiser
Les signes qui ne trompent pas, et une grille pour choisir.
Lire →Le prix d'un logiciel sur-mesure
Ce qui compose le budget, et nos fourchettes.
Lire →Le logiciel GED
Des documents classés et hébergés en Suisse.
Découvrir →Le portail client
Échanger des documents avec vos clients, en Suisse.
Découvrir →Automatiser les factures fournisseurs
Les quatre niveaux, le rôle de l'IA et un cas réel.
Lire →L'IA qui lit et classe les documents
Les étapes, la validation humaine et le journal de bord.
Lire →