Site d'entreprise suisse : ce que la nLPD exige de l'hébergement
Ou : la loi suisse ne demande pas où est le serveur, elle demande que vous le disiez.
La réponse courte : la loi fédérale sur la protection des données (nLPD, RS 235.1), en vigueur depuis le 1er septembre 2023 et lue dans son état du 7 juillet 2025, n’oblige pas une entreprise suisse à héberger son site en Suisse. Elle lui impose de choisir un sous-traitant capable de garantir la sécurité des données (article 9), d’informer les visiteurs de l’identité du responsable, de la finalité et des destinataires (article 19), et, si les données partent à l’étranger, de nommer le pays concerné et les garanties prévues. Les données peuvent circuler librement vers les États que le Conseil fédéral juge adéquats : tous ceux de l’Union et de l’Espace économique européen (EEE), le Royaume-Uni, et, depuis le 15 septembre 2024, les entreprises américaines certifiées au cadre suisse du Data Privacy Framework. La loi vise aussi un site belge ou français dès qu’il produit des effets en Suisse (article 3). C’est le versant suisse de l’hébergement européen d’un site.
Concrètement, un site d’entreprise zurichoise hébergé à Francfort reste conforme, à condition que sa déclaration de confidentialité le dise. La loi définit en effet la communication comme le fait de transmettre des données ou de les rendre accessibles (article 5) : un hébergement hors de Suisse en est une.
Pour qui : une entreprise ou une association suisse qui veut un site et ses mails hébergés dans des centres de données en Suisse, chez un hébergeur genevois.
À partir de : 5,75 € HT par mois pour l’hébergement web Infomaniak, facturé à l’année par défaut (relevé du 12 novembre 2026, affichage pour un client belge ; le tarif en francs proposé aux clients établis en Suisse n’a pas été relevé).
Pour démarrer : commander l’hébergement web Infomaniak, lire l’accord de traitement des données, qui vise à la fois l’article 9 de la LPD et l’article 28 du RGPD, puis rédiger la déclaration de confidentialité.
nLPD et site internet : les obligations qui touchent l’hébergement
| Obligation | Article | Ce que cela change pour l’hébergement |
|---|---|---|
| Informer lors de la collecte | 19 LPD | nommer l’hébergeur parmi les destinataires, et le pays s’il est hors de Suisse |
| Encadrer la sous-traitance | 9 LPD | contrat, sécurité vérifiée, sous-traitance ultérieure soumise à votre autorisation préalable |
| Communiquer à l’étranger | 16 et 17 LPD, annexe 1 OPDo | libre vers un État de la liste ; sinon clauses types ou autres garanties |
| Annoncer les violations | 24 LPD | annonce au PFPDT, dans les meilleurs délais, des violations entraînant vraisemblablement un risque élevé |
| Tenir un registre | 12 LPD, 24 OPDo | dispense sous 250 collaborateurs, sauf données sensibles à grande échelle ou profilage à risque élevé |
| Désigner un représentant en Suisse | 14 LPD | pour un responsable étranger seulement si le traitement est à la fois à grande échelle, régulier et à risque élevé |
Textes lus le 12 novembre 2026 sur Fedlex : loi dans son état du 7 juillet 2025, ordonnance sur la protection des données (OPDo, RS 235.11) dans son état du 1er décembre 2025. Le PFPDT est le Préposé fédéral à la protection des données et à la transparence.
Trois différences avec le RGPD comptent pour un site qui vise à la fois l’Union et la Suisse. La première tient au pays : la nLPD veut le nom de l’État destinataire dans la déclaration, là où le RGPD demande de signaler le transfert et son cadre juridique. La deuxième tient au délai : le RGPD fixe 72 heures pour notifier une fuite, la nLPD demande « dans les meilleurs délais », et seulement en cas de risque élevé. La troisième tient aux sanctions : la nLPD punit d’une amende de 250 000 francs au plus la personne qui, intentionnellement et sur plainte, omet d’informer ou confie des données à un sous-traitant sans respecter l’article 9. C’est le dirigeant ou l’employé fautif qui est visé, pas d’abord l’entreprise.
Pour le cas américain, l’annexe 1 de l’ordonnance range les États-Unis parmi les pays adéquats depuis l’ordonnance du 14 août 2024, mais seulement pour les organisations certifiées au cadre entre la Suisse et les États-Unis. Un service américain non certifié, ou certifié pour la seule Union, demande encore des garanties, comme des clauses contractuelles types. La certification se vérifie sur la liste officielle tenue par le département américain du Commerce, entreprise par entreprise.
Le site d’une PME suisse hébergé en Suisse, sans police ni vidéo chargée à l’étranger, n’a donc qu’une déclaration de confidentialité à rédiger et un contrat à lire. Hébergé en Allemagne ou en France, il ajoute un pays à la déclaration. Hébergé chez un prestataire américain non certifié, il ajoute des clauses et une évaluation.
Héberger en Suisse, ou ailleurs
Infomaniak et Hostpoint hébergent en Suisse, PlanetHoster propose Lausanne parmi ses régions. Leurs prix en euros et en francs, leurs sauvegardes et leurs propriétaires sont comparés dans les offres d’hébergement suisses.
Le contrat, version suisse
L’article 9 de la nLPD et l’article 28 du RGPD demandent tous deux un contrat avec l’hébergeur, et plusieurs accords les visent ensemble. Leurs clauses sur les sous-traitants ultérieurs et la fin du service sont comparées dans le contrat de sous-traitance avec l’hébergeur.
Les tiers que la déclaration doit nommer
Une police chargée chez Google ou une vidéo intégrée communique l’adresse IP du visiteur à l’étranger, et devrait donc figurer dans la déclaration avec son pays. Le contrôle par le navigateur et les solutions sont expliqués dans les ressources tierces de vos pages.