Souveraineté des données
Une PME suisse confie à des prestataires des contrats de travail, des dossiers de licenciement, des extraits de poursuites, des données de locataires. La nLPD lui laisse la responsabilité de ces données. Voici ce que dit la loi, pourquoi le lieu d'hébergement compte, et les questions à poser avant de signer. Information générale, pas un conseil juridique personnalisé.
Ce que dit la nLPD
Texte de référence : la loi fédérale sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023. Numéros d'articles relus sur Fedlex le 29 septembre 2026.
Les données personnelles concernent toute personne physique identifiable. Certaines sont dites sensibles : santé, aide sociale, poursuites ou sanctions pénales et administratives, données biométriques, entre autres. Elles appellent plus de prudence, et un dossier RH ou de bail peut en contenir.
Vous pouvez confier un traitement à un prestataire si un contrat le prévoit, s'il ne fait que ce que vous auriez le droit de faire vous-même et si aucun devoir de secret ne l'interdit. Vous devez vous assurer qu'il garantit la sécurité des données, et il ne peut sous-traiter à son tour qu'avec votre autorisation préalable.
Des données ne peuvent être communiquées à l'étranger que si le Conseil fédéral reconnaît un niveau de protection adéquat, ou si des garanties appropriées existent (clauses contractuelles, par exemple). L'art. 17 prévoit des dérogations limitées, comme le consentement exprès.
Vos dossiers
Lecture indicative : la qualification exacte dépend des faits de chaque dossier.
Nom, adresse, salaire, coordonnées bancaires : ce sont des données personnelles. Le prestataire qui les stocke ou les rédige est votre sous-traitant au sens de l'art. 9, et le contrat doit le prévoir.
Ils peuvent contenir des certificats médicaux ou des motifs de santé : des données sensibles au sens de l'art. 5, let. c, ch. 2. Le risque en cas de fuite est plus élevé, et la sécurité attendue l'est aussi (art. 8).
Ils renseignent sur la situation financière d'une personne, ce qui rejoint la notion de profilage de l'art. 5, let. f. La liste des données sensibles vise les poursuites ou sanctions pénales et administratives : la qualification d'un extrait est à examiner au cas par cas, mais la prudence s'impose dans tous les cas.
Pièces d'identité, revenus, extraits, et parfois mesures d'aide sociale, qui sont des données sensibles (art. 5, let. c, ch. 6). Le bailleur reste responsable, même si un outil ou une régie traite les dossiers pour lui.
La nLPD ne dit pas que les données doivent rester en Suisse. Elle dit que vous restez responsable de leur sécurité, et que toute communication à l'étranger doit être encadrée. Or la définition de la communication inclut le fait de rendre des données accessibles (art. 5, let. e) : un accès à distance depuis l'étranger, par exemple pour du support technique, mérite d'être examiné, pas seulement l'emplacement des serveurs.
Héberger en Suisse simplifie donc l'analyse : pas de transfert à justifier au titre des art. 16 et 17 pour le stockage lui-même, et un droit applicable connu. Cela ne supprime pas toute exposition juridique. Un hébergeur suisse reste soumis au droit suisse, y compris à l'entraide judiciaire internationale, par laquelle une autorité étrangère peut demander des données selon les conditions de la loi et des traités applicables. Un prestataire qui appartient à un groupe étranger, ou qui recourt à un sous-traitant étranger, peut en outre relever d'un autre droit.
Le lieu est donc un critère parmi d'autres, à lire avec le contrat, la liste des sous-traitants et les mesures de sécurité. Pour une question précise, le Préposé fédéral à la protection des données et à la transparence publie des explications, et un avocat ou votre conseiller à la protection des données peut trancher votre cas.
Avant de signer
Serveurs, sauvegardes, journaux : pays et centre de données pour chacun. Demandez-le par écrit.
Société contractante, pays, groupe auquel elle appartient, droit applicable au contrat.
Liste à jour, et engagement de ne pas en ajouter sans votre accord préalable (art. 9, al. 3).
Il doit cadrer ce que le prestataire peut faire des données et garantir leur sécurité (art. 9).
Chiffrement, contrôle des accès, journalisation. Si une norme est citée, ISO 27001 par exemple, demandez le certificat et son périmètre (art. 8).
Le sous-traitant doit annoncer toute violation dans les meilleurs délais au responsable du traitement, qui peut devoir aviser le PFPDT (art. 24).
Support, maintenance, filiales : y a-t-il des accès hors de Suisse, et sous quelles garanties (art. 16 et 17) ?
Export dans un format ouvert, suppression effective, durée de conservation des sauvegardes.
Exemple d'hébergeur suisse
Votre site (formulaire de contact, page carrière, demande de location) collecte lui aussi des données personnelles : son hébergeur en est le sous-traitant. Infomaniak est un exemple de prestataire suisse, cité parce que son offre d'hébergement web est publique et détaillée. Ce n'est ni un classement ni une recommandation exclusive. Le détail figure sur la page d'hébergement web d'Infomaniak(lien commercial).
Ce texte est une information générale sur le droit suisse de la protection des données, à la date indiquée. Il ne remplace pas un conseil juridique adapté à votre situation. Pour un traitement à risque, des données sensibles en volume ou un transfert à l'étranger, faites relire vos contrats par un avocat ou votre conseiller à la protection des données. La page Données et sécurité décrit ce que Clairdex fait de vos données.
FAQ
Non, la nLPD n'impose pas de lieu. Elle impose que vous restiez responsable, que le sous-traitant garantisse la sécurité et que toute communication à l'étranger respecte les art. 16 et 17. Rester en Suisse évite la question du transfert pour le stockage, mais pas celle des accès à distance ni de l'entraide judiciaire.
Pas entièrement. Il reste soumis au droit suisse, entraide judiciaire internationale comprise, et peut dépendre d'un autre droit s'il appartient à un groupe étranger. Demandez au prestataire sa position et sa procédure en cas de demande d'une autorité.
La liste de l'art. 5, let. c vise les poursuites ou sanctions pénales et administratives. Un extrait du registre des poursuites (dettes) n'y figure pas expressément : la qualification se discute, et la prudence reste de mise puisqu'il révèle une situation financière.
C'est un lien d'affiliation, signalé comme tel : une commission peut être versée à Clairdex si vous souscrivez, sans surcoût. Les critères de cette page valent pour n'importe quel hébergeur, et nous ne prétendons pas que celui-ci convienne à tous les cas.
Une question avant de commander ?
Une politique de confidentialité à mettre à jour, un contrat de sous-traitance à préparer, un doute sur vos dossiers RH : décrivez votre situation ici. Réponse personnelle sous deux jours ouvrés.
