Obligations nLPD pour l'hébergement et le cloud en Suisse

Ce que signifie la nLPD pour un prestataire d’hébergement ou de cloud en Suisse

La nLPD désigne la loi fédérale sur la protection des données, révisée intégralement, entrée en vigueur le 1er septembre 2023 conjointement avec la nouvelle ordonnance sur la protection des données (OPDa). Pour un prestataire d’hébergement ou de cloud, les principales obligations sont la protection des données dès la conception, le registre des activités, l’analyse d’impact, la notification des violations et les règles régissant les transferts à l’étranger.

La LPD définit les données personnelles comme toutes les informations se rapportant à une personne physique identifiée ou identifiable. Elle entend par traitement toute utilisation qui en est faite, indépendamment des moyens et des procédures employés. Le traitement comprend : la consultation, la comparaison, l’adaptation, l’archivage, la conservation, la lecture, la divulgation, l’acquisition, l’enregistrement, la collecte, l’effacement, la publication, la structuration, l’organisation, la sauvegarde, la modification, la diffusion, l’interconnexion, la destruction et l’utilisation.

C’est cette définition que les entreprises actives en Suisse reprennent dans leurs déclarations de confidentialité, affirmant se conformer à la Loi fédérale sur la protection des données (LPD) et à l’Ordonnance sur la protection des données (OPDa).

Pour un fournisseur d’hébergement ou de cloud, la conséquence est claire : il n’existe pas de traitement « purement technique ». La réplication d’un volume, la sauvegarde nocturne, la lecture d’un journal (log), la suppression d’un locataire (tenant) sont des opérations juridiquement pertinentes au même titre que le remplissage d’un formulaire par l’utilisateur final.

Les catégories de données qu’un fournisseur d’infrastructure voit transiter sont généralement les suivantes : données du navigateur et des appareils, données de contenu, données de communication, métadonnées, données d’utilisation. Puis : données d’état civil, y compris les données d’inventaire et de contact, données de localisation, données relatives aux transactions, données contractuelles et données de paiement.

Dans l’hébergement et le cloud, cela inclut les adresses IP et les métadonnées de connexion, les journaux d’authentification, les données de facturation et de contact des interlocuteurs du client. Dans de nombreux cas, cela inclut également les contenus proprement dits : fichiers, bases de données, boîtes mail.

Une partie de ces données mérite une protection particulière : opinions et activités syndicales, politiques, religieuses ou philosophiques ; données relatives à la santé, à la sphère intime, à l’appartenance ethnique ou raciale ; données génétiques ; données biométriques identifiant clairement une personne ; données relatives à des sanctions ou à des procédures pénales ou administratives ; données relatives à des mesures d’aide sociale.

Ces catégories élèvent le niveau requis en matière de mesures techniques et organisationnelles, de consignation et, dans les cas prévus, de règlement de traitement.

Responsable du traitement, sous-traitant ou responsabilité conjointe : qui répond de quoi

La qualification n’est pas une propriété de l’entreprise, mais de chaque opération de traitement distincte. Les déclarations de confidentialité suisses le disent explicitement : dans un cas concret, le traitement des données personnelles peut être géré par des tiers ou il peut exister une responsabilité conjointe avec des tiers.

Dans l’hébergement et le cloud, le même fournisseur peut donc être sous-traitant pour l’infrastructure confiée par le client. Il peut être responsable du traitement indépendant pour ses propres traitements et co-responsable pour des opérations partagées, par exemple lorsqu’il participe à la définition des finalités d’un service géré.

Un cas documenté montre comment les rôles coexistent au sein d’un écosystème. La plateforme ePlix comprend divers fournisseurs — sociétés d’assistance, banques, compagnies d’assurance et entreprises — qui fournissent des données et des services. Ces fournisseurs peuvent à leur tour utiliser la plateforme pour leurs propres fins.

Selon la déclaration de confidentialité de la plateforme, « ces fournisseurs agissent en tant que responsables du traitement indépendants en ce qui concerne le traitement des données personnelles et sont eux-mêmes responsables du respect des normes sur la protection des données et du respect des exigences pour le transfert autorisé des données personnelles » reçues des personnes concernées.

Le gestionnaire de la plateforme déclare ne pas être responsable de la protection des données ni des pratiques de sécurité de ces fournisseurs.

Pour le fournisseur, la conséquence est opérationnelle avant d’être juridique. Celui qui traite pour le compte du client conclut et applique le contrat, suit les instructions reçues, met à disposition les mesures techniques et organisationnelles et soutient le responsable du traitement dans l’accomplissement de ses obligations.

Celui qui traite pour ses propres finalités — sécurité du réseau, prévention des abus, facturation, analyse du produit, marketing — fournit sa propre déclaration de confidentialité et répond directement. Déplacer des données clients vers des finalités non couvertes par les instructions signifie changer de rôle, avec les obligations d’information qui en découlent.

Contrat de traitement des données : obligations minimales entre fournisseur et client

Un contrat de traitement des données utilisé en Suisse commence par déclarer l’objectif de l’instrument. Il doit réglementer les obligations en matière de protection des données dans la relation entre fournisseur et client et garantir une protection adéquate lors de la transmission des données personnelles.

La clause terminologique ancre les concepts à la LPD et précise que l’accord aide les parties à respecter le Règlement général sur la protection des données (RGPD) lorsque les données concernent des clients de l’UE. C’est le double ancrage à reproduire : des définitions conformes à la LPD et, si nécessaire, une couverture RGPD.

Les éléments à réglementer sont récurrents. Premièrement, la description du traitement : le contenu et la durée de la relation contractuelle, la nature et le but du traitement résultent des conditions générales et d’une annexe dédiée.

Deuxièmement, les modalités du mandat : le client mandate formellement le fournisseur en remplissant le bon de commande et en créant le compte.

Troisièmement, modification et révocation : les clients peuvent ajouter, modifier ou révoquer les mandats via le portail client ou en notifiant le fournisseur. Les demandes qui modifient le service et ne sont pas prévues dans les conditions générales sont traitées comme des demandes spéciales. Les mandats verbaux doivent être confirmés immédiatement par écrit ou enregistrés dans le portail.

Quatrièmement, les obligations du fournisseur : organiser en interne les activités pour respecter la réglementation. Il doit également adopter des mesures techniques et organisationnelles adéquates, énumérées dans une annexe, pour soutenir le client dans l’accomplissement de ses obligations conformément à la LPD et au RGPD.

Deux points doivent être soignés avant la signature. La langue et la version de référence : dans le même contrat suisse examiné, en cas de divergence entre la version allemande et anglaise, c’est l’allemand qui fait foi.

La cohérence entre révocation et technique : si le client révoque un mandat via le portail, le fournisseur doit disposer d’un processus qui traduise la révocation en une action vérifiable.

Mesures techniques et organisationnelles (MTO) pour l’infrastructure cloud

La référence pratique est le guide du PFPDT sur les mesures techniques et organisationnelles concernant la protection des données, publié en PDF le 23 janvier 2024.

Il illustre les risques et les solutions des systèmes d’information actuels. Il expose les principaux thèmes de la protection des données sous l’angle des mesures possibles — par exemple chiffrement, anonymisation, authentification — et veut être une aide à la mise en œuvre de mesures appropriées.

Les destinataires déclarés sont les personnes responsables des systèmes d’information, techniques ou non, directement appelées à gérer les données personnelles. Il est donc utilisable aussi par ceux qui ne sont pas spécialistes de la sécurité.

Traduite en contrôles pour l’infrastructure, la guide amène à considérer, entre autres, des mesures telles que le chiffrement, l’anonymisation et l’authentification. Pour chaque contrôle, il faut indiquer qui l’exécute et comment on prouve qu’il est actif.

Dans le cloud, la répartition des mesures doit être écrite, non supposée. Typiquement, le fournisseur est compétent pour la structure, le réseau, l’hyperviseur et le chiffrement du stockage.

Il reste au client la configuration des permissions, la gestion des identités, le chiffrement des données avant l’envoi et le choix des lieux de stockage.

Documenter en annexe quelles mesures sont actives, avec version et date, sert au client pour sa propre documentation de conformité et au fournisseur lorsqu’il doit répondre à un questionnaire de sécurité ou à une vérification contractuelle.

Ces mesures mettent également en œuvre l’article 7 LPD, qui introduit la protection des données dès la conception et par défaut. Pour un service cloud, cela signifie décider déjà en phase de conception les mesures techniques et organisationnelles qui rendent applicables les principes de la LPD.

L’article 12 LPD oblige les responsables du traitement et les sous-traitants, donc aussi le fournisseur, à tenir un registre de toutes les activités de traitement, toujours à jour. L’ordonnance prévoit des exceptions pour les entreprises de moins de 250 collaborateurs dont les traitements ne comportent qu’un risque faible pour la personnalité des personnes concernées.

Consignation et journaux : art. 4 OPDa pour les traitements automatisés

L’obligation est formulée de manière large et concerne directement le fournisseur. Selon l’article 4 OPDa, en cas de traitement automatique des données personnelles, le responsable privé du traitement et son sous-traitant privé doivent consigner certaines opérations.

Il s’agit de l’enregistrement, de la modification, de la lecture, de la communication, de l’effacement et de la destruction des données. Ce n’est donc pas une obligation du seul client. Le sous-traitant privé — c’est-à-dire le fournisseur qui traite pour le compte de tiers — est destinataire de l’obligation conjointement avec le responsable du traitement.

Les recommandations techniques du PFPDT pour la consignation selon l’article 4 OPDa sont publiées en PDF le 20 décembre 2023. Elles visent à fournir une vue d’ensemble de ce que comprend la consignation et des mesures techniques nécessaires pour satisfaire à l’article.

Si les traces sont conservées pour le compte du client, le contrat doit dire comment le client y accède et pendant combien de temps elles restent disponibles.

Règlement de traitement : quand le cloud doit le formaliser

La condition est indiquée par le PFPDT. Le responsable privé du traitement et son sous-traitant privé (cf. art. 5 OPDa) établissent un règlement pour les traitements automatisés s’ils traitent à grande échelle des données personnelles méritant une protection particulière.

Il en va de même s’ils effectuent un profilage à haut risque. Ce sont deux voies alternatives : qualité et volume des données d’un côté, profilage à haut risque de l’autre.

Pour l’hébergement et le cloud, le premier critère s’applique plus souvent, car le traitement est par définition automatisé et la variable décisive devient l’échelle combinée à la sensibilité.

Un fournisseur qui héberge pour de nombreux clients des données sur la santé, des données biométriques ou génétiques, des informations sur des procédures pénales ou administratives se rapproche du seuil de « grande échelle ». Il en va de même s’il gère des plateformes de ressources humaines pour plusieurs organisations.

Le second critère concerne les traitements propres au fournisseur, par exemple des profilages effectués à des fins de sécurité ou pour des produits internes.

L’outil existe : le PFPDT publie les instructions pour établir un règlement de traitement des données pour les privés, avec un modèle au format Word (version du 5 décembre 2023), et des instructions séparées pour les organes fédéraux.

Étant donné que la disposition mentionne conjointement le responsable du traitement et le sous-traitant, le règlement doit être construit avec le client. Le responsable du traitement y décrit également le traitement confié au fournisseur et les mesures qui l’accompagnent. Le fournisseur qui a des traitements propres relevant des critères établit son propre règlement.

Les mêmes traitements requièrent souvent une analyse d’impact relative à la protection des données : les responsables privés du traitement doivent la réaliser lorsqu’un traitement peut comporter un risque élevé pour la personnalité ou les droits fondamentaux, par exemple avec un traitement étendu de données méritant une protection particulière. En cas de risques résiduels élevés, l’analyse doit être soumise pour avis au PFPDT.

Le fournisseur devrait préparer un paquet d’informations standard — systèmes, catégories de données, mesures, sous-traitants — à remettre aux clients qui doivent rédiger ou mettre à jour le règlement.

Violations de la sécurité : notification au PFPDT et information aux personnes concernées

La référence est le guide du PFPDT sur la notification des violations de la sécurité des données, publié en PDF le 6 février 2025.

Il traite des exigences légales pour la notification au PFPDT, en particulier le concept de « risque vraisemblablement élevé » au sens de l’article 24 alinéa 1 LPD. Il définit également les exigences pour l’information des personnes concernées en cas de violation de la sécurité des données au sens de l’article 24 alinéa 4 LPD.

La norme est temporelle : la notification doit parvenir au PFPDT dès que possible, après que le responsable du traitement a envisagé les conséquences possibles, évalué les risques et décidé si et comment informer la personne concernée.

L’évaluation des risques incombe au responsable du traitement, mais les données pour l’évaluer sont détenues par le fournisseur. Sont nécessaires : quels systèmes sont impliqués, quelles catégories de données, combien de personnes concernées, quand l’événement a eu lieu, quand il a été détecté, quelles mesures de confinement ont été adoptées, quel impact résiduel.

Le contrat devrait fixer un canal de contact utilisable à tout moment, un délai de communication au client et l’interdiction de communications publiques sur l’incident non coordonnées avec le responsable du traitement. Sans ces éléments, le client n’est pas en mesure de respecter son propre délai de notification.

Il incombe également au fournisseur de conserver la trace documentaire de l’événement : chronologie, analyse, mesures, communications. Cela sert pour la notification et pour l’information des personnes concernées, mais aussi pour la consignation requise par l’article 4 OPDa et pour les contestations ultérieures du client ou d’une autorité.

Un registre des incidents, tenu pour tous les cas et pas seulement pour ceux notifiés, permet de reconnaître les signaux récurrents et de corriger les configurations avant que l’événement ne prenne des dimensions significatives.

Transferts à l’étranger, sous-traitants et souveraineté des données

Le transfert vers des États tiers est une décision à documenter. Une déclaration de confidentialité suisse le formule ainsi : « Nous pouvons transmettre les données personnelles à des États dont la législation ne garantit pas une protection adéquate des données, à condition que… », subordonnant ainsi l’opération au respect de conditions.

La base juridique est l’article 16 LPD : les données peuvent être communiquées à l’étranger si le Conseil fédéral a constaté que l’État destinataire garantit une protection adéquate. À défaut, des garanties sont nécessaires, comme les clauses types de la Commission européenne, reconnues par le PFPDT.

Dans la géographie pertinente, il faut tenir compte du fait que l’Espace économique européen comprend les États membres de l’UE et la Principauté du Liechtenstein. La Commission européenne reconnaît à la législation suisse sur la protection des données le caractère de protection adéquate.

Cela fait de la Suisse une destination compatible pour les clients soumis au RGPD, mais n’élimine pas l’analyse des flux sortants.

La question de la souveraineté est posée avec netteté par certains fournisseurs. InvestGlass, qui propose une plateforme CRM hébergée en Suisse ou installable sur site (on-premise), présente son offre comme une garantie que les données sensibles restent protégées par les lois suisses.

Il veut les « à l’abri de juridictions étrangères comme le CLOUD Act américain », et indique parmi les risques les fournisseurs de cloud américains.

C’est une déclaration commerciale d’un seul fournisseur, pas une évaluation de conformité. Le point utile est que la résidence des données n’est pas le seul critère : comptent aussi la juridiction du fournisseur et de ses sous-traitants et qui peut recevoir des demandes d’accès.

À faire, concrètement : inventaire des sous-traitants avec siège, rôle et catégories de données traitées. Puis clauses d’autorisation préalable et d’information en cas de changement ; vérification des garanties appliquées aux transferts vers des États sans protection adéquate ; cohérence entre les flux réels et ce qui est déclaré dans la déclaration de confidentialité fournie au client final.

Documenter les juridictions est ce qui permet de répondre dans les délais utiles aux questions des clients réglementés, qui demandent de plus en plus souvent où résident les données et qui peut y accéder.

Checklist pour le fournisseur : de la cartographie à la réponse aux incidents

Cartographier avant tout. Liste des traitements avec catégories de données, finalités, systèmes impliqués, rôle assumé (responsable du traitement, sous-traitant, co-responsable) et sous-traitants avec leur juridiction respective.

De cette carte découlent les contrats à renégocier, les déclarations de confidentialité à mettre à jour et les seuils à vérifier.

Contrats et déclarations de confidentialité. Comparer les contrats de traitement de données existants avec les éléments minimaux : description du contenu, durée, nature et but du traitement ; modalités de mandat, modification et révocation.

Puis annexe avec les mesures techniques et organisationnelles ; soutien au responsable du traitement ; régime des sous-traitants ; langue et version de référence. Mettre à jour sa propre déclaration de confidentialité pour les traitements effectués en tant que responsable indépendant.

Mesures techniques et organisationnelles. Appliquer le guide PFPDT : chiffrement, anonymisation, authentification et les autres mesures énumérées.

Une répartition écrite entre fournisseur et client est nécessaire, avec indication des mesures actives et depuis quand.

Consignation. Activer les journaux sur l’enregistrement, la modification, la lecture, la communication, l’effacement et la destruction des données selon l’article 4 OPDa.

Suivre les recommandations techniques PFPDT du 20 décembre 2023 pour la consignation selon l’article 4 OPDa.

Règlement. Vérifier si les conditions sont remplies : grande échelle de données méritant une protection particulière ou profilage à haut risque.

Si oui, utiliser les instructions PFPDT pour les privés, en construisant le document conjointement avec les clients responsables du traitement.

Incidents. Préparer une procédure basée sur les lignes directrices PFPDT du 6 février 2025.

Elle doit prévoir : canal de signalement toujours actif, délai contractuel de communication au client, collecte immédiate des données nécessaires à l’évaluation du risque vraisemblablement élevé (article 24 alinéas 1 et 4 LPD), registre des incidents et conservation de la documentation.

Priorités opérationnelles. Cartographie et rôles en premier, car ils déterminent tout le reste.

Puis contrats de traitement de données et mesures techniques ; ensuite consignation et procédure d’incident. Enfin la gouvernance des transferts et des sous-traitants, qui doit néanmoins être lancée avec l’inventaire des juridictions.