TL;DR : L’essentiel
- L’administration publique helvétique conserve la responsabilité légale intégrale des fichiers confiés et doit faire valider par écrit tout risque résiduel.
- L’hébergement de données sensibles chez des fournisseurs soumis au CLOUD Act américain reste considéré comme une communication illicite en droit suisse.
- Le chiffrement strict des données exige que l’organisme public garde la maîtrise exclusive des clés de déchiffrement sans intermédiaire technique.
- L’organe public doit prévoir un scénario de sortie clair et faire valider la prise en compte des risques résiduels auprès du contrôle des finances.
La Conférence des préposé(e)s suisses à la protection des données, désignée sous le nom de privatim, réunit les autorités de surveillance cantonales et fédérales pour coordonner l’application des règles légales au sein des services publics du pays. Face au recours croissant aux serveurs distants, l’association a formalisé le 2 octobre 2026 la version révisée 3.02 de son aide-mémoire sur les risques et les mesures spécifiques à la technologie du Cloud, qui remplace le texte antérieur datant du 3 février 2022.
Les obligations juridiques et la responsabilité des organes publics suisses
L’externalisation de traitements informatiques vers des plateformes hébergées ne décharge aucunement les collectivités suisses de leurs obligations réglementaires. Les services administratifs restent légalement responsables de l’intégrité et de la confidentialité des fichiers confiés aux sous-traitants. Selon le cadre posé par privatim, un organisme public ne peut déléguer une opération que si le prestataire applique un niveau de protection identique à celui imposé par la législation helvétique, notamment pour préserver le secret de fonction prévu par l’article 320 du Code pénal suisse.
Les contrats de service exigent une rédaction stricte interdisant toute modification unilatérale des conditions générales par les prestataires. L’organe public doit soumettre les conventions au droit suisse avec un for juridique en Suisse, afin de pouvoir faire valoir ses droits devant des tribunaux directement accessibles. Toute modification relative à l’intervention de sous-traitants ou au déplacement des infrastructures requiert une annonce préalable, assortie d’une faculté de résiliation pour l’administration cliente.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
L’exposition aux lois étrangères et le verrouillage des clés
L’emplacement physique des serveurs d’hébergement détermine le degré d’exposition aux ingérences judiciaires étrangères. Les traitements réalisés sur le territoire suisse doivent systématiquement être privilégiés pour maintenir l’application directe des garanties constitutionnelles. Les entreprises technologiques soumises au CLOUD Act américain ont l’obligation légale de fournir des accès aux autorités judiciaires de leur pays d’origine, y compris lorsque les centres de données sont implantés en Suisse ou dans l’Union européenne, ce qui constitue une communication illicite en droit helvétique faute de base légale reconnue.
La protection des informations sensibles requiert des barrières techniques éprouvées, le chiffrement lors de la transmission s’avérant insuffisant lorsque les fichiers sont traités en cours d’exécution. Privatim précise que la garde des clés de déchiffrement doit demeurer sous le contrôle exclusif de l’administration publique utilisatrice. Le recours aux offres logicielles standards de grands fournisseurs internationaux comme Microsoft, Google, AWS ou SAP demeure inadmissible dans la plupart des cas dès lors qu’il s’agit de données sensibles ou soumises à une obligation légale de garder le secret.
Les 5 piliers du Cloud dans l’administration suisse
Exigences impératives et gestion des risques fixées par la Conférence des préposés suisses à la protection des données.
Cadre contractuel strict
Application du droit suisse et for judiciaire en Suisse exigés. Interdiction formelle des modifications unilatérales des conditions par le fournisseur.
Localisation et juridiction
Priorité aux centres de calcul en Suisse. Risque critique face au CLOUD Act américain imposant un accès extraterritorial sans base légale suisse reconnue.
Maîtrise cryptographique
Chiffrement de bout en bout et détention exclusive des clés par l’administration. Le chiffrement au repos reste insuffisant lors du traitement actif en mémoire.
Données d’utilisation et logs
Les données de télémétrie et métadonnées doivent respecter les mêmes exigences que les contenus : finalités limitées, transparence et suppression programmée.
Chaîne de sous-traitance
Déclaration préalable et vérification obligatoire de chaque sous-traitant (société-mère, filiales, tiers). Faculté de résiliation en cas d’évolution de la chaîne.
Le recours aux offres SaaS standards de grands fournisseurs internationaux (Microsoft, Google, AWS, SAP) demeure inadmissible dans la plupart des cas pour les données sensibles ou soumises au secret de fonction (art. 320 CP). Tout risque résiduel doit être formellement consigné par écrit au plus haut niveau exécutif.
Analyse
La Conférence des préposés suisses à la protection des données (privatim) publie plusieurs aide-mémoires de référence en matière de protection des données et voici donc sa dernière publication qui se focalisent sur les risques et les mesures spécifiques à la technologie du Cloud.
La gestion des données d’utilisation et la gouvernance des risques
La collecte numérique exercée par les plateformes dépasse les seuls contenus déposés par les administrations. Les fournisseurs recueillent également des données secondaires, des journaux d’activité et des flux de télémétrie liés au personnel administratif. Privatim impose d’encadrer ces informations avec la même exigence juridique que les données métier, en interdisant toute utilisation pour d’autres finalités sans anonymisation préalable ou pseudonymisation efficace par le prestataire.
L’évaluation préalable commande une démarche documentaire rigoureuse avant tout déploiement technique. La direction au plus haut niveau de la collectivité helvétique doit confirmer par écrit qu’elle a compris les risques et qu’elle assume expressément les risques résiduels. Ce choix doit faire l’objet d’un examen dans les comptes vérifiés par le contrôle des finances, tout en prévoyant des scénarios de sortie au cas où les conditions contractuelles viendraient à changer.
Privatim rappelle ainsi que le recours à des infrastructures distantes ne dispense jamais les autorités de leurs devoirs constitutionnels. L’adoption d’un service distant n’est recevable que si l’organisme public démontre des avantages incontournables par rapport à une exploitation locale sur site ou face à des prestataires présentant un risque plus faible.
Questions fréquentes sur l’aide-mémoire Cloud de privatim
Quel est le rôle de privatim pour les administrations publiques suisses ?
Privatim réunit les préposées et préposés cantonaux et fédéraux chargés de surveiller l’application de la protection des données en Suisse. L’association émet des recommandations communes afin d’harmoniser les pratiques des collectivités et des services publics.
Pourquoi le CLOUD Act américain pose-t-il un problème de droit en Suisse ?
Cette loi américaine oblige les prestataires qui y sont soumis à accorder un accès aux données enregistrées à leurs autorités judiciaires, y compris sur des serveurs situés en Suisse ou en Europe. En droit suisse, une telle transmission est considérée comme une communication illicite à des tiers car elle intervient sans base légale helvétique reconnue.
À quelles conditions une collectivité suisse peut-elle chiffrer ses données sensibles dans le Cloud ?
Le chiffrement doit être réalisé par l’organe public lui-même, qui conserve la garde exclusive des clés. Si le prestataire détient les clés, il doit s’engager par écrit à ne les manipuler qu’avec l’accord formel de l’administration et consigner chaque accès dans un procès-verbal vérifiable.
Comment les flux de télémétrie et données secondaires doivent-ils être traités ?
Ces données générées par l’usage des services doivent respecter le même niveau de protection que les données de contenu. Elles ne peuvent servir qu’à la maintenance technique, à la sécurité ou à la facturation, et toute exploitation pour d’autres buts requiert une anonymisation préalable.
Pour approfondir le sujet
Cloud en Europe : les lois américaines gardent l’accès aux données
Un rapport juridique allemand révèle que l'hébergement local dans le Cloud ne protège pas des lois extraterritoriales américaines. Lire la suite
Zéro paywall. Zéro pub.
DCOD reste en accès libre grâce à vos contributions.
