nLPD : où héberger les données de vos clients en Suisse

La nLPD en quelques repères

La loi fédérale révisée sur la protection des données (nLPD) est entrée en vigueur le 1er septembre 2023, avec son ordonnance d'application (OPDo). Elle s'applique à toute entreprise qui traite des données personnelles, quelle que soit sa taille. Pour une PME, cela concerne en premier lieu les données de ses clients, prospects, fournisseurs et collaborateurs.

Précision importante : cet article présente le cadre général et ne constitue pas un avis juridique. Pour une situation précise, adressez-vous à un juriste spécialisé ou consultez les publications du PFPDT.

Les obligations qui touchent directement vos données clients

Parmi les règles de la nLPD, plusieurs concernent directement l'outil dans lequel vous gérez vos clients :

• Protection des données dès la conception et par défaut : selon le PFPDT, ces principes sont désormais inscrits dans la loi. Un logiciel doit être pensé dès le départ pour limiter l'accès et la collecte au nécessaire.
• Sécurité des données : des mesures techniques et organisationnelles appropriées au risque sont exigées, par exemple accès par rôle, double authentification, journalisation et sauvegardes.
• Devoir d'informer : les personnes concernées doivent être informées de l'identité du responsable, de la finalité du traitement et, le cas échéant, des destinataires. Si des données partent à l'étranger, l'État de destination doit aussi être indiqué.
• Annonce des violations : une violation de la sécurité des données qui entraîne vraisemblablement un risque élevé doit être annoncée au PFPDT dans les meilleurs délais.
• Registre des activités de traitement : obligatoire en principe, avec une exception prévue par l'ordonnance pour les entreprises de moins de 250 collaborateurs, sauf traitements à risque élevé.

Côté sanctions, le PFPDT indique que les violations intentionnelles de certaines obligations peuvent être punies d'une amende allant jusqu'à CHF 250'000, prononcée en principe contre les personnes physiques responsables.

La nLPD impose-t-elle d'héberger les données en Suisse ?

Non, et il est important de le dire clairement. La nLPD n'interdit pas d'héberger des données à l'étranger. Elle encadre en revanche la communication de données à l'étranger (art. 16 LPD) :

• les transferts sont possibles sans précaution supplémentaire vers les États dont le Conseil fédéral a reconnu le niveau de protection adéquat. La liste figure à l'annexe 1 de l'OPDo ;
• vers les autres États, une protection adéquate doit être garantie autrement, par exemple par des clauses contractuelles de protection des données ou des règles d'entreprise contraignantes ;
• pour les États-Unis, le Conseil fédéral a reconnu depuis le 15 septembre 2024 un niveau de protection adéquat uniquement pour les entreprises certifiées selon le Swiss-U.S. Data Privacy Framework.

Autrement dit, un hébergement hors de Suisse est légalement possible, mais il ajoute des vérifications : pays concerné, certification du prestataire, clauses contractuelles, information des clients, et suivi de l'évolution de ces cadres dans le temps.

Sous-traitants : vous restez responsable

Votre éditeur de logiciel, votre hébergeur cloud ou votre service d'e-mailing sont des sous-traitants au sens de la nLPD. Le PFPDT est clair : vous demeurez responsable de la protection des données même si vous en confiez le traitement à un sous-traitant. L'article 9 LPD prévoit notamment que :

• la sous-traitance repose sur un contrat ou sur la loi ;
• le sous-traitant ne traite les données que comme vous seriez en droit de le faire vous-même ;
• vous vous assurez qu'il est en mesure de garantir la sécurité des données ;
• il ne peut pas confier à son tour le traitement à un tiers sans votre autorisation préalable.

Le PFPDT rappelle aussi que le stockage dans le cloud est une forme de sous-traitance, avec une attention particulière aux sous-traitants en cascade et aux transferts vers des pays tiers. C'est souvent là que la chaîne se complique : un outil suisse peut lui-même s'appuyer sur un hébergeur ou des services situés à l'étranger.

Comparer les options d'hébergement

Pour la plupart des PME suisses qui gèrent des données clients ordinaires, l'hébergement en Suisse reste l'option la plus simple à documenter : moins de vérifications, une déclaration de confidentialité plus claire, et une réponse directe quand un client demande « où sont mes données ? ».

Le choix de Bingle : Infomaniak, en Suisse

Bingle est partenaire d'Infomaniak. Concrètement, les CRM, ERP et outils sur mesure que nous construisons, ainsi que les données de nos clients, sont hébergés chez Infomaniak, dans ses centres de données en Suisse.

Selon les informations publiées par Infomaniak :

• Infomaniak est une entreprise technologique indépendante basée en Suisse, fondée en 1994 à Genève ;
• elle conçoit, développe et gère elle-même son infrastructure, y compris ses centres de données en Suisse ;
• les données qui lui sont confiées sont hébergées et traitées exclusivement en Suisse ;
• elle indique disposer notamment de la certification ISO 27001:2022 et du label Swiss Hosting.

À cette base s'ajoutent les mesures intégrées dans chaque outil Bingle : accès par rôle, double authentification, journal des modifications et sauvegardes. L'hébergement ne fait pas tout : la conformité dépend aussi de la façon dont l'outil est conçu et utilisé. C'est pourquoi ces éléments sont définis dès le prototype.

Si vous envisagez d'utiliser des agents IA sur vos données clients, la question de l'hébergement se pose de la même manière. Notre article Agents IA en entreprise détaille les bonnes pratiques.

Checklist : vos données clients sont-elles bien hébergées ?

1. Savez-vous dans quel pays sont stockées les données de chacun de vos outils (CRM, facturation, e-mailing, sauvegardes) ?
2. Disposez-vous d'un contrat de sous-traitance avec chaque prestataire ?
3. Connaissez-vous les sous-traitants de vos sous-traitants ?
4. Votre déclaration de confidentialité mentionne-t-elle les éventuels pays de destination ?
5. Les accès sont-ils limités par rôle et protégés par une double authentification ?
6. Existe-t-il une procédure en cas de violation de la sécurité des données ?
7. Pouvez-vous exporter et supprimer les données d'un client sur demande ?

Si plusieurs réponses sont « non » ou « je ne sais pas », c'est souvent le signe que vos données sont dispersées entre trop d'outils. Notre article CRM sur mesure ou logiciel standard vous aide à choisir une base plus maîtrisée, et notre guide de migration explique comment regrouper vos données sans rien perdre.