# Cloud, nLPD et souveraineté des données Informatique de gestion · Master 1 > Héberger des données personnelles dans le cloud en Suisse : nLPD, sous-traitance, localisation. ## Introduction Recourir à un fournisseur cloud revient, juridiquement, à confier le traitement de données à un tiers. En Suisse, la loi fédérale sur la protection des données (nLPD, en vigueur depuis le 1er septembre 2023) permet cette sous-traitance à condition que le responsable du traitement reste maître du traitement, que le contrat encadre le sous-traitant et que la sécurité des données soit assurée. La question centrale du cloud est la localisation et l'accès. Si des données sont hébergées ou accessibles depuis l'étranger, il s'agit d'une communication de données à l'étranger : elle est admise si le pays offre un niveau de protection adéquat (liste établie par le Conseil fédéral) ou, à défaut, moyennant des garanties telles que des clauses contractuelles types. Un risque additionnel tient à la législation extraterritoriale de certains États, qui peut permettre à des autorités étrangères d'exiger l'accès à des données gérées par un fournisseur relevant de leur droit, même si les serveurs se trouvent en Suisse. Les organisations soumises à un secret particulier (secret professionnel des avocats ou des médecins, secret bancaire, secret de fonction pour le secteur public) doivent en outre vérifier que le recours au cloud reste compatible avec ces obligations. Le chiffrement, avec maîtrise des clés par le client, est la mesure technique principale. ## Objectifs d'apprentissage - Qualifier juridiquement le recours à un fournisseur cloud (sous-traitance) - Expliquer les conditions d'une communication de données à l'étranger - Évaluer les risques liés à l'accès par des autorités étrangères - Choisir des mesures techniques et contractuelles adaptées (chiffrement, contrat, localisation) ## Concepts clés - **Sous-traitance de traitement** : Le responsable du traitement peut confier le traitement à un sous-traitant par contrat ou par la loi, s'il n'effectue que les traitements qu'il aurait lui-même le droit d'effectuer et si aucune obligation de secret ne l'interdit. Il doit s'assurer que le sous-traitant garantit la sécurité des données. - **Communication à l'étranger** : Possible sans autre formalité vers un État reconnu comme adéquat par le Conseil fédéral ; sinon, des garanties appropriées (clauses contractuelles types, règles d'entreprise contraignantes) ou une exception légale sont nécessaires. - **Maîtrise des clés de chiffrement** : Si le client conserve ses clés de chiffrement hors de portée du fournisseur, l'accès en clair par le fournisseur ou une autorité étrangère devient techniquement beaucoup plus difficile. ## Conclusion Le cloud n'est pas interdit pour des données personnelles : il est encadré. Le responsable du traitement doit contractualiser, vérifier la sécurité, maîtriser les transferts à l'étranger et mesurer le risque d'accès par des autorités étrangères. La combinaison d'un bon contrat, d'un choix éclairé de localisation et d'un chiffrement maîtrisé constitue la réponse standard pour concilier agilité du cloud et souveraineté. ## Cartes ### Quelle loi suisse régit la protection des données personnelles privées ? La loi fédérale sur la protection des données (LPD), révisée (nLPD) et en vigueur depuis le 1er septembre 2023. ### Qui est le responsable du traitement ? La personne ou l'organisme qui décide des finalités et des moyens du traitement ; il répond du respect de la loi même s'il recourt à un sous-traitant. ### Qu'est-ce qu'un sous-traitant au sens de la LPD ? Une personne privée ou un organe fédéral qui traite des données pour le compte du responsable du traitement. ### Que doit prévoir le contrat avec un fournisseur cloud ? Les finalités, les instructions, la sécurité, la confidentialité, le recours à des sous-sous-traitants, la localisation, l'effacement et la restitution des données. ### Quand une communication à l'étranger est-elle admise sans garanties supplémentaires ? Lorsque le Conseil fédéral a constaté que la législation de l'État destinataire assure un niveau de protection adéquat. ### Que sont les clauses contractuelles types ? Des clauses modèles reconnues, intégrées au contrat pour fournir des garanties de protection lorsque le pays n'est pas adéquat. ### Quel risque pose une législation extraterritoriale étrangère ? Un fournisseur soumis à ce droit peut être contraint de livrer des données à une autorité étrangère, quelle que soit la localisation des serveurs. ### Pourquoi héberger en Suisse ne suffit-il pas toujours ? Parce que la localisation physique n'exclut ni l'accès à distance depuis l'étranger ni l'application d'un droit étranger au fournisseur. ### Quelle mesure technique réduit le risque d'accès en clair ? Le chiffrement avec des clés gérées par le client, hors de l'environnement du fournisseur. ## Glossaire - **nLPD** : Loi fédérale sur la protection des données révisée, en vigueur depuis le 1er septembre 2023. - **Sous-traitant** : Entité traitant des données personnelles pour le compte du responsable du traitement. - **Niveau de protection adéquat** : Constat selon lequel la législation d'un État garantit une protection suffisante des données. - **Clauses contractuelles types** : Clauses standard fournissant des garanties pour un transfert vers un État non adéquat. - **Souveraineté des données** : Capacité d'une organisation à garder le contrôle juridique et technique de ses données. - **PFPDT** : Préposé fédéral à la protection des données et à la transparence, autorité de surveillance. https://ruvy.ch/decks/-P5CqxPED9ftG5-62u5u