Résolution sur l’externalisation du traitement des données dans le cloud

Les logiciels basés sur le cloud n’ont jamais été aussi attractifs. Les infrastructures potentiellement accessibles à tous les utilisateurs d’Internet (appelées « clouds publics ») permettent une allocation dynamique des capacités de calcul et de stockage en fonction des besoins des clients. Cet effet d’échelle est d’autant plus important que l’infrastructure du fournisseur de cloud est étendue – et généralement internationale (par exemple les « hyperscalers » comme Microsoft, Google ou Amazon).
Outre les particuliers et les entreprises privées, de plus en plus d’organes publics font recours à des applications « Software-as-a-Service » (SaaS) de ces fournisseurs. On observe également que les fournisseurs cherchent de plus en plus à pousser leurs clients vers le cloud.

Cependant, les organes publics ont une responsabilité particulière vis-à-vis des données de leurs citoyens. Ils peuvent certes externaliser le traitement de ces données, mais ils doivent s’assurer que la protection des données et la sécurité des informations soient respectées. Avant d’externaliser des données personnelles vers des services de cloud computing, les autorités doivent donc analyser les risques particuliers dans chaque cas, indépendamment de la sensibilité des données, et les réduire à un niveau acceptable par des mesures appropriées (voir l’aide-mémoire cloud de privatim).

Pour les raisons suivantes, privatim considère que l’externalisation par les organes publics de données personnelles sensibles ou soumises à une obligation légale de garder le secret dans des solutions SaaS de grands fournisseurs internationaux n’est pas admissible dans la plupart des cas (comme notamment M365) :

  1. La plupart des solutions SaaS n’offre pas encore de véritable chiffrement de bout en bout, ce qui empêcherait le fournisseur d’accéder aux données en clair.
  2. Les entreprises opérant à l’échelle mondiale offrent trop peu de transparence pour que les autorités suisses puissent vérifier le respect des obligations contractuelles en matière de protection et de sécurité des données. Cela vaut aussi bien pour la mise en oeuvre de mesures techniques et la gestion des changements et des versions que pour l’engagement et le contrôle des collaborateurs et des sous-traitants, qui forment parfois de longues chaînes de fournisseurs de services externes. En outre, les fournisseurs de logiciels peuvent adapter périodiquement et unilatéralement les conditions contractuelles.
  3. L’utilisation d’applications SaaS s’accompagne donc d’une perte de contrôle considérable. L’organe public ne peut pas influencer la probabilité d’une atteinte aux droits fondamentaux. Il peut uniquement réduire la gravité des violations potentielles en ne divulguant pas les données sensibles hors de son domaine de contrôle.
  4. En ce qui concerne les données soumises à une obligation légale de garder le secret, il existe parfois une grande insécurité juridique quant à la mesure dans laquelle elles peuvent être transférées vers des services de cloud computing. Il n’est pas possible de faire appel à tout tiers en tant qu’auxiliaire, seulement parce que les dispositions du droit pénal relatives au secret professionnel et au secret de fonction obligent également les auxiliaires des détenteurs de secrets à garder le silence.
  5. Les fournisseurs américains peuvent être contraints, en vertu de l’acte législatif CLOUD Act adopté en 2018, à fournir des données de leurs clients aux autorités américaines sans respecter les règles de l’entraide judiciaire internationale, même si ces données sont stockées dans des centres de données suisses.

Conclusion : l’utilisation de solutions SaaS internationales pour des données personnelles sensibles ou soumises à une obligation légale de garder le secret par des organes publics est possible uniquement si les données sont cryptées par l’organe responsable lui-même et que le fournisseur de services de cloud computing n’a pas accès à la clé.

Lire en version PDF

 

Berne, le 18 novembre 2025
Le canton de Glaris a fait usage de la possibilité de l’« option de sortie » prévue à l’article 18.2 des statuts.

Articles similaires

L’application «bon... Le préposé fédéral à la protection des données se plaignait que l’assureur Helsana et son programme de bonus enfreignaient la loi. Le Tribunal administratif fédéral lui a
Protection des données: ... Les PME suisses jugent la protection des données importantes. Mais dans la pratique, très peu sont en mesure de gérer les exigences qui découlent des lois et
La protection des donnée... Le gouvernement américain exige d’obtenir des données stockées en Irlande sans recourir à la coopération juridique internationale. Une affaire qui devrait, pour le juriste Théodore Christakis dans
Nouvelle loi sur le dossi... La cybersanté représente un enjeu national et une coordination est nécessaire afin que n’émergent pas des projets isolés qui s’avéreraient incompatibles entre eux. Des normes et des
Pincé et condamné grâc... Un automobiliste a écopé d’une peine pécuniaire pour avoir trop collé un véhicule et pour avoir traversé une double ligne blanche. Le Tribunal fédéral s’est basé sur
SwissDRG: Protection des ... Le système de la facturation des prestations des hôpitaux par le biais de forfaits par cas (SwissDRG), qui sera introduit en 2012, a pour conséquence que les
Zuckerberg fait amende ho... Le patron de Facebook, Mark Zuckerberg, a présenté mardi ses excuses devant le Parlement européen, comme il l’avait fait devant les parlementaires américains, pour les lacunes du
État des révisions de l... En raison des révisions de la protection des données en Europe – notamment la modernisation de la Convention 108+ du Conseil de l’Europe et l’adoption de la
Services d‘identificati... Loi sur les services d‘identification électronique (objet no 18.049) Prise de position de privatim du 4 octobre 2018 Compte tenu des effets étendus de l’e-ID, privatim prend position
Modification de la loi fÃ... privatim salue la création d’une base légale au sens formel pour l’exploitation d’ISAS. Le document n’existe pas en français. Télécharger le document en allemand.