Cloud souverain en Suisse : critères pour choisir un hébergeur

« Hébergé en Suisse » n'est pas synonyme de souveraineté

L'illusion la plus répandue est géographique. Aux Swiss Cyber Security Days 2026, Léopold Jacquot, Principal Engineer chez Infomaniak, l'a résumée par une image. Un coffre-fort est physiquement à Zurich, en acier suisse et muni d'une serrure suisse. Mais la clé appartient à une entreprise de San Francisco : le coffre est suisse, son contenu ne l'est plus.

En vigueur depuis 2018, le CLOUD Act oblige les entreprises technologiques américaines à fournir des données aux autorités, y compris si elles sont stockées à l'étranger. Que le centre de données se trouve à Berne, Francfort ou Paris n'y change rien. Si l'exploitant est américain ou détenu par un groupe américain, les données restent juridiquement accessibles depuis les États-Unis.

Deux notions sont à tenir séparées : la conformité réglementaire et la souveraineté sont deux sujets distincts. La souveraineté ne se résume pas à la localisation des données. Il n'existe d'ailleurs pas de définition unique du cloud souverain, mais différents degrés de souveraineté.

Un label « hébergé en Suisse » ne dit ni qui contrôle l'exploitant, ni qui détient les clés. Il ne dit pas non plus d'où proviennent les licences logicielles, quel droit s'applique au contrat, ni ce qui se passe le jour où vous voulez partir. C'est cette liste de critères vérifiables, et non un label, que déroule l'article.

Qui contrôle l'opérateur : le critère juridictionnel avant tout

Le CLOUD Act de 2018 permet aux autorités américaines de contraindre des entreprises américaines à divulguer des données stockées à l'étranger. Cela vaut aussi pour des données appartenant à des citoyens européens et hébergées dans des centres de données de l'UE ou de Suisse. Le scénario n'a rien de théorique.

La première question à poser à un hébergeur n'est donc pas « où sont vos serveurs ? ». Elle est : « quelle est la nationalité de votre société et quelle est sa structure de contrôle ? ». Précisez société mère, holding, actionnariat, identité des sous-traitants ultérieurs. Une filiale suisse d'un groupe étranger reste, sur ce point, dans le périmètre de décision de sa maison mère.

Le cadre suisse est connu : loi révisée sur la protection des données (LPD), article 10a LPD sur la sous-traitance, exigences du Swiss Government Cloud, prescriptions sectorielles. Celles-ci incluent notamment les circulaires de l'Autorité fédérale de surveillance des marchés financiers (FINMA) et la loi fédérale sur la surveillance de la correspondance par poste et télécommunication (LSCPT). Pour une organisation qui traite des données personnelles sensibles ou des informations réglementées, la souveraineté numérique relève de la nécessité stratégique, pas du supplément de confort.

L'article 10a LPD encadre le rôle du prestataire. Celui-ci ne peut traiter des données personnelles que de la manière dont le mandant lui-même serait autorisé à le faire. Tout traitement à ses propres fins est inadmissible. Le mandant — vous — demeure responsable du respect des exigences de la LPD, y compris lorsque le traitement est confié à un fournisseur cloud.

Qui détient les clés de chiffrement ?

Le chiffrement ne protège que si la gestion des clés échappe au fournisseur. Comme le résume Léopold Jacquot (Infomaniak), vos données peuvent être chiffrées en AES-256 et hébergées dans un centre de données européen, avec un SLA solide. Si les clés sont gérées par un service opéré par AWS, Azure ou Google Cloud, c'est comme chiffrer vos données puis envoyer la clé par la poste aux États-Unis.

La distinction a aussi une conséquence juridique documentée par la Fédération suisse des avocats. En IaaS, si le client chiffre ses données avant de les transférer, le fournisseur ne fait que les stocker sans pouvoir les lire. En SaaS, en revanche, il peut les lire : il s'agit alors d'un traitement de données personnelles par un tiers. Ce traitement est soumis à l'article 10a LPD, avec contrat de sous-traitance et annexe décrivant la nature du traitement.

En pratique, la question porte sur le cycle de vie complet de la clé. Où la clé est-elle générée et stockée, et qui peut l'utiliser ? Le fournisseur peut-il accéder au texte en clair via le support, les sauvegardes ou la réplication ? Un hébergeur incapable de répondre précisément à ces quatre points ne peut pas démontrer que vos données lui sont illisibles.

Dépendances logicielles et capacité de sortie

La souveraineté est un problème de chaîne de valeur, pas seulement de salle machine. Une application développée par une entreprise européenne et vendue comme « 100 % locale » peut tourner sur un système dont la licence appartient à un éditeur étranger, avec des serveurs de licences aux États-Unis. Tout fonctionne jusqu'au jour où l'éditeur modifie ses conditions, augmente ses tarifs de 300 % ou coupe l'accès. Certaines offres « cloud souverain » reposent ainsi entièrement sur des technologies étrangères : l'acteur local est en façade, mais la couche qui touche à vos données est contrôlée depuis l'étranger.

Aucune organisation n'est totalement indépendante. Chacune peut toutefois piloter ses dépendances plutôt que les subir. Il s'agit de déterminer quels systèmes doivent soutenir l'innovation et où le contrôle est indispensable pour garantir coûts, conformité et flexibilité. Il faut aussi tenir à jour une cartographie des données indiquant où elles sont stockées, traitées et répliquées, et garantir la capacité de sortie lorsque les exigences externes évoluent.

S'y ajoute un principe contractuel simple : aucun contrat ne doit empêcher de partir en cas d'urgence.

Le cadre européen fournit un point de repère, sans constituer une obligation suisse. Le règlement européen sur les données (« Data Act ») est en vigueur depuis le 12 septembre 2025. À partir du 12 janvier 2027, les coûts liés à un changement de fournisseur cloud seront entièrement supprimés.

Le Data Act ne s'applique pas automatiquement en Suisse, qui n'est pas membre de l'Union européenne. Des entreprises suisses peuvent toutefois être concernées si elles sont actives sur le marché européen ou y proposent des services ou des produits. Pour ces clients, la réversibilité sans frais devient un élément contractuel de référence ; pour les autres, elle reste un critère de comparaison utile.

Calibrer le niveau de souveraineté selon ses données et son secteur

Il n'existe pas de réponse unique : le niveau de souveraineté nécessaire dépend des risques, des données et du secteur. Un hyperscaler peut offrir des garanties de souveraineté, tout comme un fournisseur européen ou suisse peut présenter certaines dépendances. Le bon choix consiste avant tout à conserver suffisamment de maîtrise sur ses données, ses technologies et ses fournisseurs.

La définition de travail retenue dans une étude mandatée par la Conférence latine des directrices et directeurs cantonaux du numérique le confirme. La souveraineté numérique est « la capacité d'autodétermination d'une entité (légale) en ce qui concerne tout le cycle de vie d'un système numérique, de la conception à l'utilisation au décommissionnement de systèmes numériques et des données qui sont traitées et stockées ainsi que des processus qu'ils représentent ». Une organisation est donc souveraine lorsqu'elle garde suffisamment de maîtrise de ses systèmes et de ses données du début à la fin de leur utilisation — le curseur restant à fixer cas par cas.

Cette gradation se lit sur trois axes. Le premier est la sensibilité des données : données personnelles sensibles, informations réglementées, données commerciales ordinaires. Le deuxième est la criticité métier, soit ce que coûte une interruption ou une perte. Le troisième porte sur les exigences sectorielles.

Pour le secteur public — cantons, offices fédéraux, entreprises parapubliques — le Swiss Government Cloud est une obligation. Pour les organisations traitant des données personnelles sensibles ou des informations réglementées, la souveraineté numérique relève de la nécessité stratégique. Ailleurs, elle reste un choix proportionné à ces trois axes, et non un maximum appliqué par principe.

Ce que l'exploitation doit garantir sur le terrain

Côté infrastructure, les éléments sont vérifiables et de nature différente des questions juridiques. L'opérateur suisse Protocol SA exploite des centres de données à Bussigny et Genève. Il documente une surveillance humaine et vidéo 24/7, avec capteurs, sondes d'alarmes et extinction automatique d'incendie. Il mentionne aussi une homologation TIER III et la norme anti-effraction WK3.

Protocol SA annonce un SLA de disponibilité de 99,9 % et un temps d'intervention inférieur à 15 minutes. L'alimentation électrique est doublée et secourue par UPS et génératrice auxiliaire ; les équipements essentiels sont doublés.

Les données sont répliquées sur deux sites distincts. Les sauvegardes sont externalisées sur un second site sécurisé, stockées sur NAS chiffrés et effectuées quotidiennement. Les firewalls sont en cluster, sans environnement mutualisé.

Ces garanties mesurent la résilience d'exploitation, pas la souveraineté. Un centre de données TIER III situé en Suisse, avec redondance électrique et sauvegardes hors site, peut être exploité par une société soumise au CLOUD Act. Il reste alors juridiquement accessible depuis l'étranger. Inversement, un hébergeur souverain peut conserver des dépendances logicielles étrangères. Les deux séries de critères se vérifient séparément, sur des documents différents : rapports d'exploitation et engagements de service d'un côté, structure de contrôle et droit applicable de l'autre.

Indicateurs d'exploitation des centres de données suisses

Contrats, transparence et preuves à exiger

La sous-traitance de données doit reposer sur une convention entre le client et le prestataire, soit le contrat de services cloud. Selon l'analyse de la Fédération suisse des avocats, le fournisseur ne peut traiter les données personnelles transmises que de la manière dont le mandant lui-même serait autorisé à le faire. Un traitement à ses propres fins est inadmissible.

La nature du traitement doit donc être décrite dans le contrat ou dans une annexe. C'est le mandant qui demeure responsable du respect des exigences de la LPD.

En matière de transparence, une cartographie des données à jour est la pièce maîtresse : où les données sont-elles stockées, traitées et répliquées ? Côté sortie s'y ajoutent la garantie explicite de pouvoir changer de fournisseur et un droit d'audit et de contrôle. Ce droit permet de vérifier les engagements plutôt que de les croire sur parole. Les contrats privant le client de la possibilité de quitter le service en situation d'urgence sont à écarter.

Conformité réglementaire et souveraineté se documentent séparément : un dossier de conformité LPD ou sectoriel ne prouve rien sur la juridiction de l'exploitant. Un engagement de droit applicable suisse ne dispense pas de l'annexe de sous-traitance. Attendez donc deux jeux de preuves distincts, chacun avec ses pièces. Vérifiez que le droit applicable annoncé figure dans le contrat signé, et pas seulement sur la page marketing.

Points de vérification pour une souveraineté numérique effective

Grille de décision : les questions à poser à votre hébergeur

Pour comparer concrètement plusieurs offres, posez des questions fermées et exigez des réponses écrites. Juridiction : quelle est la nationalité de la société mère, quelle est sa structure de contrôle, et cette structure figure-t-elle noir sur blanc ? Clés : où sont générées et stockées les clés, qui peut les utiliser, le fournisseur peut-il lire le texte en clair via le support, les sauvegardes ou la réplication ?

Dépendances : quelles briques logicielles reposent sur des licences ou des serveurs d'activation tiers, et où sont-ils hébergés ? Sortie : quelles sont les conditions de réversibilité, les données et formats restitués, et le client peut-il résilier en situation d'urgence ? Contrats : quels documents sont fournis — contrat de sous-traitance conforme à l'article 10a LPD, annexe décrivant la nature et la finalité du traitement, engagement de droit applicable, droit d'audit ?

Exploitation, enfin : sites d'hébergement, redondance électrique, sauvegardes répliquées sur un second site distinct, SLA de disponibilité et délai d'intervention contractuel. Six blocs de questions — juridiction, clés, dépendances, sortie, contrats, exploitation — suffisent à départager des offres qui se disent toutes « souveraines ». Ils aident à choisir un niveau proportionné à vos données et à votre secteur.

Critères clés pour évaluer la souveraineté du cloud en Suisse