Héberger données entreprise en Suisse : critères de choix

Héberger en Suisse : ce que la localisation change vraiment

La nouvelle loi sur la protection des données (nLPD) s'applique depuis le 1er septembre 2023. Elle n'oblige pas à héberger vos données en Suisse : elle encadre leur transfert à l'étranger. Le critère décisif devient la juridiction de l'opérateur et la sensibilité de ce que vous lui confiez.

Le Patriot Act de 2001, puis le Cloud Act de 2018, autorisent les autorités américaines à exiger l'accès à des données détenues par des entreprises américaines, même stockées en Europe ou en Suisse. Un document confidentiel confié à un service opéré par une société américaine reste donc, en droit, accessible à un juge américain, quel que soit le pays du datacentre.

Un hébergeur suisse opère sous droit suisse et répond aux autorités suisses. Cet effet de juridiction intéresse surtout les entreprises bancaires, médicales ou industrielles.

Toutes les données n'ont pas le même poids. La LPD protège plus strictement certaines données personnelles, dont la violation peut avoir de graves conséquences. À côté, les secrets de fabrication et les plans stratégiques constituent un enjeu distinct.

La question à poser n'est donc pas « où se trouve le serveur ? », mais « qui peut contraindre l'opérateur, et sur quel fondement ? ». Localisation du datacentre, capital et plateforme se jugent séparément.

Avantages et inconvénients de l'hébergement dans un datacentre suisse

Sur site, cloud privé, cloud mutualisé, IaaS/PaaS/SaaS : quelles options pour quels besoins ?

Les options d'hébergement de données d'entreprise en Suisse vont du sur site au cloud, en passant par le cloud privé ou mutualisé. Chacune implique un niveau différent de responsabilité et d'externalisation.

Acheter ses propres serveurs et les exploiter dans ses locaux a perdu du terrain : l'option est jugée coûteuse, chronophage et risquée en cas de panne. La détection du problème, sa résolution et la coordination entre partenaires informatiques incombent alors à l'entreprise. L'externalisation s'est accélérée avec l'explosion des données numériques, l'évolution technologique, l'émergence du cloud, puis la pandémie de Covid-19.

Le cloud privé héberge votre infrastructure dans un espace isolé à votre usage exclusif ; le cloud mutualisé répartit les ressources entre plusieurs clients. Dans les deux cas, vous pouvez externaliser tout ou partie de votre infrastructure, y compris la sauvegarde de vos données.

En IaaS, le prestataire fournit les serveurs physiques, le réseau et le stockage sous forme de machines virtuelles, mais ni le système d'exploitation ni les applications. Le PaaS ajoute l'infrastructure applicative, bases de données et balanceurs de charges, généralement sous forme de conteneur. Le SaaS donne accès à un logiciel complet, sur des ressources mutualisées entre plusieurs clients. Le cloud computing correspond au stockage et à l'accès à des services informatiques via Internet.

Passer à un hébergeur suisse n'oblige pas à tout refaire. ERP, CRM, fichiers collaboratifs et GED peuvent être intégrés chez le prestataire, avec un guichet unique pour la maintenance, la sécurité et le support. La proximité réduit aussi la latence, ce qui compte pour les applications métier et collaboratives.

Fair IT distingue le cloud suisse, l'IaaS, le PaaS et le SaaS parmi les possibilités offertes aux sociétés suisses. Meanquest affiche notamment l'IaaS, Cohesity as a service, le Managed Engine as a Service et le Monitoring as a Service. groupe.iD met en avant l'intégration applicative et le guichet unique.

Maijin met en avant l'auto-hébergement d'un assistant IA sur un serveur loué. Les modèles ouverts mentionnés sont Ollama et Apertus, le modèle ouvert suisse disponible depuis septembre 2025.

Une IA souveraine tourne sur une infrastructure dont vous contrôlez la localisation, l'accès et les conditions d'utilisation. Vos données ne transitent alors par aucun acteur soumis à une juridiction étrangère sans votre accord. L'auto-hébergement d'un modèle ouvert sur votre serveur ou votre machine fait que rien ne sort. Il vise les données très sensibles, les équipes techniques et un besoin de contrôle total.

Comparaison des modèles d'hébergement : sur site, cloud privé, mutualisé, IaaS, PaaS, SaaS

LPD et lois cantonales : responsabilités pour l'hébergement des données

La protection des données a pour but de protéger les droits de la personnalité et la vie privée. Qui traite des données personnelles doit agir dans le respect du droit et du principe de proportionnalité. La notion de traitement recouvre tous les usages des données, notamment le fait de se les procurer et de les conserver.

La LPD révisée en 2023 est présentée comme la version suisse du RGPD, avec quelques nuances. Elle régit également le profilage, soit le traitement automatisé de données.

Les personnes concernées disposent de droits : savoir quelles données les concernant sont traitées et, dans certaines conditions, exiger leur rectification, leur blocage ou leur suppression. Elles peuvent faire usage du droit d'accès et consulter leur dossier. Un traitement illicite peut être contesté.

Le régime n'est pas seulement fédéral : chaque canton a sa propre législation en la matière. Les organes publics des cantons et des communes y sont soumis, tout comme les organismes privés chargés d'une mission d'intérêt public, par exemple les organisations d'aide et de soins à domicile ou les homes pour personnes âgées.

Les organes de la Confédération et les personnes privées relèvent de la LPD fédérale. Dans l'assurance-maladie et accidents obligatoire, les assureurs agissent comme organes exécutifs et tombent également sous cette loi ; en assurance complémentaire, ils sont traités comme des personnes privées. Les offices cantonaux AI comptent parmi les organes publics cantonaux soumis aux lois cantonales.

L'autorité de surveillance est le Préposé fédéral à la protection des données et à la transparence (PFPDT). Autorité indépendante, il veille à ce que les organes fédéraux et les entreprises privées ne procèdent pas à des traitements illicites de données personnelles. En cas de violation, il peut être alerté.

Sécurité physique et logique : les critères à vérifier dans un datacentre suisse

Deux repères reviennent dans les cahiers des charges : la certification ISO 27001 pour le management de la sécurité de l'information, et la classification Tier III ou IV du datacentre, soit une disponibilité annoncée de 99,982 % à 99,995 %.

Côté physique : contrôle d'accès biométrique, surveillance 24/7 par caméras et gardes, systèmes anti-incendie, climatisation de précision. À vérifier également, la limitation de l'empreinte carbone et le recours à l'énergie renouvelable.

Côté logique comptent le pare-feu de nouvelle génération, la détection et la prévention d'intrusion, ainsi que les plans de reprise après sinistre et de continuité d'activité. La redondance du réseau conditionne la stabilité de la connexion.

groupe.iD met en avant une solution d'hébergement suisse, notamment pour les activités bancaires, de santé et industrielles. Meanquest range parmi ses prestations de sécurité les Managed Security Services et deux solutions maison, Meanquest phishing et Meanquest isms.

Indicateurs clés de sécurité et performance d’un datacentre suisse

Transferts hors de Suisse et sous-traitants : les points de vigilance

La nLPD n'interdit pas l'exportation de données : elle l'encadre. Un pays offrant un niveau de protection adéquat, comme les membres de l'UE et de l'EEE, peut recevoir des données personnelles sans garantie supplémentaire.

La liste des États qui répondent à cette exigence figure à l'annexe 1 de l'ordonnance sur la protection des données (OPDo), établie par le Conseil fédéral. Y figurent par exemple l'Allemagne, l'Argentine et le Royaume-Uni. Depuis le 14 août 2024, le Conseil fédéral admet aussi les transferts vers des entreprises américaines certifiées dans le cadre du Swiss-U.S. Data Privacy Framework.

Sans décision d'adéquation, des garanties appropriées peuvent suffire. Les clauses types de protection des données (Standard Contractual Clauses, SCC) doivent être approuvées au préalable par le PFPDT, qui rend sa décision dans un délai de 90 jours. Des clauses spécifiques de protection des données peuvent aussi être prévues dans un contrat, mais le PFPDT doit en être informé avant le transfert.

La personne concernée doit être informée de toute communication de ses données à l'étranger (art. 19, al. 4, LPD). Les données ne peuvent être transmises que si le pays destinataire assure un niveau de protection adéquat (art. 16, al. 1, LPD).

Héberger en Suisse ne suffit pas si l'opérateur reste soumis à une juridiction étrangère. Chaque sous-traitant ajoute par ailleurs un maillon : demandez la liste des prestataires qui interviennent sur vos données, leur localisation et la juridiction dont ils relèvent, y compris pour le support, la supervision et la sauvegarde.

L'auto-hébergement d'un modèle ouvert comme Ollama ou Apertus évite tout transfert de données pour certains traitements. Le choix d'un fournisseur d'IA est un choix de dépendance juridique, pas seulement technique.

Coûts d'hébergement en Suisse : postes à vérifier et repères chiffrés

Le coût d'un hébergement de données d'entreprise en Suisse varie selon le modèle retenu (sur site, cloud privé, mutualisé, IaaS, PaaS ou SaaS), les ressources allouées (processeurs, stockage, bande passante), la redondance, les certifications exigées et le support. Comparez les offres à périmètre équivalent plutôt qu'un prix isolé.

L'hébergement sur site exige d'investir dans l'équipement et les ressources nécessaires pour exploiter les serveurs. L'option est jugée coûteuse, chronophage et risquée en cas de panne, tandis que l'externalisation transfère une partie de cette gestion au prestataire.

Une application web modeste hébergée chez Infomaniak revient à environ 10 euros par mois. Le trafic sortant, facturé environ 83 dollars par mois par téraoctet chez AWS, est gratuit chez Infomaniak, Hetzner et OVHcloud. Pour l'auto-hébergement d'un assistant IA, Maijin indique un serveur loué à moins de 20 francs par mois.

Dans le devis, demandez une ventilation séparée : ressources, stockage, sauvegardes, sécurité, support, certifications et classification du datacentre. Indiquez le modèle, la redondance et le niveau de support attendus, afin de recevoir des offres comparables.

Un montant isolé ne permet pas de comparer des modèles où les responsabilités prises en charge diffèrent. Faites préciser les tâches que le prestataire assume et celles qui restent à votre charge.

Questions à poser à un prestataire avant de signer

Localisation : où sont hébergées les données, dans quels datacentres, et l'opérateur relève-t-il d'une juridiction étrangère ? Demandez la liste des sous-traitants intervenant sur les données, y compris pour le support et la supervision, avec leur pays et la loi applicable.

Conditions d'accès : qui peut consulter les données, selon quelles procédures, et comment les accès sont-ils tracés ? Faites préciser la marche à suivre si une autorité étrangère adresse une demande au prestataire.

Garanties techniques : certifications (ISO 27001), classification du datacentre (Tier III ou IV), mesures de sécurité physique, plans de reprise après sinistre et de continuité d'activité, redondance du réseau. Vérifiez la disponibilité annoncée, de 99,982 % à 99,995 % pour un datacentre Tier III ou IV, et demandez une disponibilité garantie par contrat.

Sortie : comment récupérer vos données, dans quels formats, selon quelles modalités et à quel coût ? Demandez aussi qui assure la maintenance, la sécurité et le support, et si un guichet unique est prévu. Pour un cloud privé, faites confirmer que votre espace est isolé et à usage exclusif, et prévoyez un contrat de réversibilité.

Énergie : l'hébergeur recourt-il à de l'énergie renouvelable et à quelle limitation de son empreinte carbone s'engage-t-il ?

Demandez si le prestataire propose un audit ISO 27001, une conformité LPD ou un DPO as-a-service, et faites figurer ces prestations comme postes distincts dans l'offre. groupe.iD met en avant un guichet unique pour la maintenance, la sécurité et le support technique.

Juridique : le prestataire relève-t-il de la LPD fédérale ou d'une loi cantonale ? Comment traite-t-il les demandes d'accès, de rectification, de blocage et de suppression, ainsi que le profilage ? L'autorité de surveillance est le PFPDT.

Transferts : si des données partent hors de Suisse, le pays figure-t-il à l'annexe 1 OPDo ? Sinon, des clauses types approuvées par le PFPDT ou des clauses spécifiques notifiées au PFPDT sont-elles prévues ?

Budget : demandez une offre détaillée pour le modèle envisagé (cloud privé, mutualisé, IaaS, PaaS ou SaaS), en précisant le stockage, la sauvegarde et le support. Comparez-la au coût total du sur site, en tenant compte de l'équipement et des ressources nécessaires à l'exploitation.

Checklist : questions essentielles à poser à un prestataire d'hébergement suisse

Secteurs aux exigences renforcées : finance, santé, industrie et R&D

Banque et finance : protection des informations clients, conformité FINMA et sécurisation des transactions pèsent dans le choix d'un hébergement local.

Santé et soins : l'hébergement des données patients doit respecter la LPD. Les organisations d'aide et de soins à domicile et les homes pour personnes âgées relèvent en outre du droit cantonal de protection des données, en tant qu'organismes chargés d'une mission d'intérêt public.

Industrie et R&D : l'enjeu n'est pas la donnée personnelle, mais la préservation des secrets de fabrication et des plans stratégiques. La juridiction de l'hébergeur protège ici l'actif industriel autant que la conformité.

Pour ces trois profils, la proximité d'un datacentre suisse réduit la latence et accélère le traitement des ERP, CRM et applications collaboratives.

Pour les données très sensibles, l'auto-hébergement d'un modèle ouvert sur un serveur ou une machine locale ne fait rien sortir. Il convient aux équipes techniques qui veulent un contrôle total.

Top 3 des secteurs avec exigences renforcées en matière d'hébergement en Suisse