Vos données sont-elles vraiment en Suisse ? Comment le vérifier

Réponse courte : probablement pas toutes. Votre site tourne peut-être sur un serveur suisse ; en revanche, vos e-mails, votre newsletter, vos sauvegardes ou votre outil de facturation transitent souvent par des serveurs à l’étranger, sans que vous le sachiez. Voici donc comment faire le point, en quatre étapes et sans compétence technique particulière.

Ce que la nLPD exige vraiment

Précisons d’abord un point que beaucoup de prestataires laissent volontairement flou : la nLPD n’oblige pas les entreprises suisses à héberger leurs données en Suisse. En revanche, elle exige la protection des données personnelles et elle encadre strictement leur transfert à l’étranger.

Concrètement, trois situations existent. Le Conseil fédéral reconnaît certains pays, notamment ceux de l’UE, comme offrant une protection adéquate : vers ceux-là, le transfert ne demande aucune garantie supplémentaire. Pour les États-Unis, la loi admet le transfert vers les entreprises certifiées Swiss-U.S. Data Privacy Framework, en vigueur depuis septembre 2024. Pour le reste du monde, il faut des garanties contractuelles spécifiques.

Le vrai risque : ne pas savoir

Or, la plupart des PME ignorent tout simplement où se trouvent leurs données. Elles ne peuvent donc ni répondre à un client qui pose la question, ni remplir leurs obligations en cas de contrôle ou de fuite. Par ailleurs, la responsabilité vous incombe même quand un prestataire traite les données pour vous ; c’est le cœur de la conformité nLPD.

Héberger en Suisse reste donc, pour beaucoup de PME, la solution la plus simple : moins de questions de transfert à gérer, un argument de confiance concret face aux clients, et des prestataires soumis au droit suisse.

Étape 1 : posez trois questions à votre prestataire web

Commencez par un e-mail à l’agence ou au prestataire qui gère votre site :

1. Où se trouve physiquement notre site (pays et prestataire d’hébergement) ?
2. Où vont les sauvegardes ?
3. Quels sous-traitants ont accès à nos données, et où sont-ils établis ?

Un prestataire sérieux répond précisément en quelques jours. À l’inverse, une réponse vague (« sur le cloud », « chez un grand fournisseur ») constitue un signal d’alerte : soit il ne sait pas, soit il préfère ne pas dire.

Étape 2 : vérifiez les indices vous-même

Ensuite, quelques contrôles rapides, à la portée de tous :

• Vos factures d’hébergement mentionnent le prestataire ; recherchez son siège et ses centres de données. Les hébergeurs suisses (Infomaniak, Hostpoint, cyon, etc.) l’affichent clairement.
• Les outils gratuits de localisation d’IP indiquent où répond le serveur de votre site. Attention toutefois à une subtilité : si votre site passe par un CDN (un réseau de diffusion comme Cloudflare), l’outil montre le point d’entrée du réseau, pas forcément l’emplacement réel du serveur. C’est une raison de plus de poser la question par écrit.
• Le contrat compte davantage que la technique : cherchez la clause sur le lieu de traitement des données et la liste des sous-traitants. Si elle n’existe pas, demandez-la.

Étape 3 : pensez au-delà du site web

C’est ici que la plupart des PME découvrent des surprises. En effet, votre site peut être irréprochable pendant que vos données clients partent ailleurs par d’autres canaux :

• La messagerie et les documents (Microsoft 365, Google Workspace) : ces services permettent souvent de choisir une région de stockage ; encore faut-il l’avoir configurée.
• La newsletter : beaucoup de solutions populaires stockent vos listes d’abonnés aux États-Unis.
• Le CRM et la facturation : chaque outil constitue un traitement de données, avec sa propre localisation.
• Les formulaires de contact et les sauvegardes automatiques : souvent oubliés, ils suivent pourtant les mêmes règles.

L’exercice utile : listez les cinq outils qui contiennent des données de vos clients, puis notez le pays pour chacun. Ce simple inventaire constitue la première pièce d’un registre de traitements ; il vous place déjà loin devant la moyenne.

Étape 4 : cadrez ce qui doit l’être

Une fois l’inventaire terminé, trois cas de figure se présentent :

• Les données se trouvent en Suisse ou dans l’UE : vous êtes dans un cadre simple ; documentez-le.
• Les données se trouvent aux États-Unis : vérifiez que le fournisseur figure sur la liste publique du Swiss-U.S. Data Privacy Framework ; sinon, exigez des clauses contractuelles types.
• Les données se trouvent ailleurs, ou vous ne savez pas : c’est le chantier prioritaire ; changez d’outil ou obtenez des garanties écrites.

Enfin, si un prestataire ne peut pas vous dire où sont vos données, la question dépasse le juridique ; elle relève de la sécurité de vos données tout court.

Ce que nous faisons chez SOLVTK

Nous appliquons ce que nous recommandons. Pour les données qui doivent rester en Suisse, nous hébergeons les sites et applications de nos clients chez Infomaniak, sauvegardes comprises. Quand un projet exige une infrastructure internationale, nous documentons les transferts proprement au lieu de fermer les yeux.

Vous voulez savoir où en est votre entreprise ? Notre audit (dès CHF 1’500.–) couvre l’inventaire de vos traitements, la localisation de vos données et les écarts nLPD à corriger, avec un plan d’action priorisé. Parlons-en.

SOLVTK Agency Sàrl, Bulle (FR) ; ingénieurs, pas intégrateurs.