L’externalisation par les organes publics de données sensibles dans des solutions internationales n’est dans la plupart des cas pas admissible, comme le constate privatim, la Conférence des préposés suisses à la protection des données dans une résolution publiée aujourd’hui.
L’intérêt d’utiliser des infrastructures déjà disponibles, qu’on appelle « Software-as-a-Service » (SaaS) augmente aussi auprès des organes publics. Les organes publics portent une responsabilité particulière en ce qui concerne les données des citoyennes et citoyens. Si des traitements de données sont externalisés à des tiers, la protection des données et la sécurité de l’information doivent rester respectés. Les données sensibles ainsi que les données soumises à une obligation légale de garder le secret méritent une attention particulière.
Dans le cas d’entreprises actives sur le plan international, il est difficile pour les autorités suisses de contrôler le respect des obligations ancrées contractuellement en matière de protection des données et de mise en œuvre des mesures techniques. L’utilisation de solutions SaaS entraine une perte de contrôle considérable. Si les données sont soumises à une obligation légale de garder le secret, il n’est pas possible de faire appel à tout tiers comme auxiliaire. Le CLOUD Act, en vigueur depuis 2018, peut contraindre les fournisseurs américains à fournir les données de leurs clients aux autorités américaines, sans respecter les règles correspondantes de l’entraide judiciaire internationale. Cela vaut également pour les données qui sont stockées dans les centres de calculs suisses.
Privatim constate que l’utilisation de solutions SaaS internationales pour les organes publics est possible uniquement si les données sensibles ainsi que les données personnelles soumises à une obligation légale de garder le secret sont cryptées par l’organe responsable lui-même. Le fournisseur de services de cloud computing ne doit pas avoir accès à la clé.
Berne, le 24 novembre 2025
En cas de questions :
Martine Stoffel, membre du bureau de privatim, préposée cantonale à la transparence et à la protection des données du canton Fribourg, martine.stoffel@fr.ch, 079 123 58 95
Dr. iur. Dominika Blonski, Vizepräsidentin von privatim, Datenschutzbeauftragte des Kantons Zürich, datenschutz@dsb.zh.ch, 044 360 99 22