Hébergement Suisse vs UE : deux Europes, deux cadres juridiques
La Suisse est en Europe sans être dans l’Europe. C’est une phrase que les Suisses entendent depuis 1992 (l’année du non à l’EEE) et qui résume parfaitement l’ambiguïté juridique qui nous intéresse ici. Quand vous choisissez un hébergeur cloud suisse (Infomaniak, par exemple), vous n’êtes pas protégé par le RGPD. Vous êtes protégé par la nLPD (la nouvelle loi fédérale suisse sur la protection des données), qui est un texte différent, avec ses propres mécanismes. Si vous venez du guide sur la souveraineté et le RGPD dans le cloud européen, cette distinction peut sembler technique. Elle ne l’est pas. Elle peut déterminer si vos données sont juridiquement accessibles ou non dans des situations très concrètes. Le Préposé fédéral de la protection des données applique la nLPD avec des moyens et des réflexes différents de ceux de la CNIL ou de l’APD belge.
La réponse courte : pour une entreprise européenne qui traite des données personnelles de citoyens UE, les deux cadres offrent un niveau de protection comparable. La Commission européenne a reconnu l’adéquation de la Suisse dès 2000, et cette décision a été confirmée après l’entrée en vigueur de la nLPD en septembre 2023. Mais « comparable » ne veut pas dire « identique », et les différences méritent qu’on s’y arrête.
Le RGPD et la nLPD : proches mais pas jumeaux
Le RGPD est un règlement européen directement applicable dans les 27 États membres. La nLPD est une loi fédérale suisse qui s’applique aux traitements de données effectués en Suisse ou ayant des effets en Suisse. Les deux textes partagent les mêmes principes fondamentaux : consentement, minimisation des données, droit d’accès, droit à l’effacement, obligation de notifier les violations. La nLPD a été volontairement alignée sur le RGPD lors de sa révision en 2020-2023, précisément pour maintenir la décision d’adéquation de la Commission européenne.
Les différences sont dans les détails. Le RGPD prévoit des amendes administratives allant jusqu’à 4% du chiffre d’affaires mondial ou 20 millions d’euros. La nLPD plafonne les amendes à 250 000 francs suisses, mais (et c’est un gros mais) ces amendes visent les personnes physiques responsables, pas l’entreprise. Un DPO suisse peut personnellement recevoir une amende. C’est un mécanisme dissuasif différent, qui cible la responsabilité individuelle plutôt que le chiffre d’affaires.
Autre différence notable : la nLPD n’exige pas de DPO (Data Protection Officer) obligatoire, là où le RGPD l’impose pour certaines organisations. La Suisse n’a pas non plus d’équivalent exact du Comité européen de la protection des données (EDPB) : c’est le Préposé fédéral (PFPDT) qui joue un rôle comparable avec des pouvoirs différents.
Les certifications qui font la différence entre Suisse et UE
La certification ISO 27001 est internationale et s’applique des deux côtés de la frontière. Mais la France a SecNumCloud (délivrée par l’ANSSI), l’Allemagne a C5 (délivrée par le BSI), et la Suisse n’a pas d’équivalent national spécifique au cloud. En revanche, la Suisse bénéficie de la norme ISO 27018 (protection des données personnelles dans le cloud public) et de sa tradition bancaire en matière de confidentialité, une culture du secret qui imprègne le cadre réglementaire au-delà de la lettre de la loi.
Le point crucial est l’extraterritorialité. La Suisse n’est pas partie au Cloud Act, n’est pas membre de l’UE (donc pas soumise aux accords de transfert UE-US comme le Data Privacy Framework), et n’a pas d’accord d’entraide judiciaire automatique avec les États-Unis dans le domaine civil. Une injonction américaine ne peut pas être exécutée directement en Suisse : elle doit passer par les canaux diplomatiques, un processus lent et incertain qui offre de facto une protection supplémentaire.
Où sont les serveurs, et sous quelle loi
La localisation des datacenters est un facteur complémentaire à la juridiction. Un hébergeur suisse avec des serveurs en Suisse cumule les deux protections : le cadre légal suisse ET la localisation physique hors UE et hors États-Unis. Un hébergeur UE avec des serveurs dans l’UE offre le cadre RGPD et la protection contre le Cloud Act. Les deux options sont valables pour une entreprise européenne ; la différence se joue sur la stabilité juridique à long terme.
Le Data Privacy Framework (DPF) entre l’UE et les États-Unis repose sur un executive order présidentiel. La décision d’adéquation de la Suisse repose sur une loi fédérale adoptée par le Parlement suisse. En termes de pérennité juridique, la différence est substantielle. Un executive order peut être révoqué en un jour. Une loi fédérale suisse nécessite une procédure parlementaire. Pour une entreprise qui planifie son infrastructure cloud sur cinq ou dix ans, cette stabilité compte.
En résumé : la Suisse et l’UE offrent toutes les deux un cadre légal solide pour le cloud, nettement supérieur aux États-Unis. La Suisse a l’avantage de la stabilité juridique et de l’indépendance vis-à-vis des accords EU-US. L’UE a l’avantage de l’application directe du RGPD et d’un écosystème réglementaire plus développé (EDPB, autorités nationales, jurisprudence). Le meilleur choix dépend de votre situation, mais les deux sont infiniment préférables à un cloud américain.