Souveraineté des données en Suisse : nLPD, outsourcing FINMA, CLOUD Act américain, et pourquoi les clés de chiffrement du client décident qui lit vos données.
La souveraineté des données en Suisse signifie que les données détenues par une organisation suisse restent soumises au droit suisse et sous le contrôle de cette organisation, de sorte qu'aucun fournisseur ni aucune autorité étrangère ne peut les lire sans passer par l'organisation elle-même. Stocker les données dans un centre de données suisse ne suffit pas : si le fournisseur cloud détient les clés de chiffrement et relève d'un droit étranger, il peut être contraint de remettre les données. En pratique, la souveraineté se résume à une question : qui détient les clés ?
La question est devenue concrète en novembre 2025. privatim, la conférence des préposé(e)s suisses à la protection des données, a déclaré que le CLOUD Act américain peut obliger les fournisseurs américains à remettre des données de clients, y compris des données stockées dans des centres de données suisses, et que les organes publics ne peuvent, dans la plupart des cas, externaliser des données personnelles sensibles auprès de fournisseurs cloud internationaux que s'ils les chiffrent eux-mêmes et que le fournisseur n'a pas accès à la clé. Deux jours plus tard, le Conseil fédéral adoptait un rapport sur la souveraineté numérique de la Suisse.
Ce guide couvre les définitions, le cadre juridique suisse (nouvelle loi fédérale sur la protection des données, règles sur la communication à l'étranger, outsourcing FINMA, secret bancaire), ce que dit réellement le CLOUD Act, et pourquoi des clés de chiffrement détenues par le client sont le contrôle qui rend la souveraineté réelle, avec une comparaison d'architectures et une checklist. Il ne constitue pas un avis juridique : utilisez-le pour briefer vos juristes et vos architectes.
Ces trois termes sont souvent employés indifféremment. Ils ne sont pas équivalents, et les décisions d'achat dérapent lorsqu'on les confond.
| Terme | Question à laquelle il répond | Ce qu'il garantit | Ce qu'il ne garantit pas |
|---|---|---|---|
| Résidence des données | Où les données sont-elles physiquement stockées et traitées ? | Les données se trouvent dans un pays ou une région désignés (p. ex. des centres de données suisses) | Que seul le droit suisse s'applique, ou que l'exploitant ne peut pas les lire |
| Souveraineté des données | Quel droit régit les données, et qui peut être contraint de les divulguer ? | Les données relèvent de la juridiction que vous avez choisie, et l'accès suit les procédures de cette juridiction | Rien, si un fournisseur relevant d'une autre juridiction peut techniquement déchiffrer les données |
| Souveraineté des clés | Qui génère, détient et utilise les clés de chiffrement ? | Sans vos clés, les données stockées sont un texte chiffré, quel que soit leur détenteur et quel que soit l'ordre qu'il reçoit | La protection des données pendant que vous avez choisi de laisser un service les déchiffrer pour les utiliser |
La résidence est une propriété de l'infrastructure, la souveraineté un objectif juridique, et la souveraineté des clés le contrôle technique qui rend cet objectif démontrable : si un fournisseur n'a jamais vos clés, un ordre qui lui est adressé ne peut produire que des données chiffrées. Pour une introduction plus générale, voir ce que signifie la souveraineté des données pour le SaaS d'entreprise.
La Suisse n'a pas de « loi sur la souveraineté » unique. Les obligations découlent du droit de la protection des données, de la surveillance sectorielle et des secrets professionnels.
La loi fédérale du 25 septembre 2020 sur la protection des données (LPD, RS 235.1), souvent appelée nLPD, est entrée en vigueur le 1er septembre 2023. Trois dispositions pèsent le plus sur les décisions relatives au cloud et aux clés :
Les violations intentionnelles des règles sur la communication à l'étranger, des règles sur la sous-traitance ou des exigences minimales en matière de sécurité des données peuvent entraîner des amendes allant jusqu'à 250 000 francs à l'encontre des personnes responsables (art. 61).
Selon l'art. 16 LPD, des données personnelles peuvent être communiquées à l'étranger si le Conseil fédéral a constaté que l'État de destination garantit un niveau de protection adéquat. À défaut, la communication requiert d'autres garanties : un traité, des clauses contractuelles communiquées au PFPDT, des clauses types approuvées par le PFPDT ou des règles d'entreprise contraignantes approuvées. L'art. 17 prévoit des exceptions étroites, comme le consentement explicite.
Le 14 août 2024, le Conseil fédéral a ajouté les États-Unis à la liste des États adéquats dans la mesure du Swiss-US Data Privacy Framework, avec effet au 15 septembre 2024. Cela ne couvre que les transferts vers des entreprises américaines certifiées.
Cette décision d'adéquation rend certains transferts licites au regard du droit suisse de la protection des données. Elle ne change rien à ce que le droit américain peut exiger d'un fournisseur américain, et elle ne dit rien sur qui détient vos clés.
Pour les banques, les assurances et les autres établissements surveillés, la circulaire FINMA 2018/3 « Outsourcing » (en vigueur depuis le 1er avril 2018, modifiée en dernier lieu le 4 novembre 2020) s'applique lorsqu'un prestataire exécute une fonction significative pour l'activité. Trois exigences touchent la garde des clés :
Des clés que vous contrôlez servent les deux côtés : le prestataire ne peut pas lire les données, et vous pouvez toujours les déchiffrer depuis la Suisse si la relation prend fin. Les orientations de la FINMA de 2026 sur le quantique ajoutent la crypto-agilité aux attentes en matière d'outsourcing ; voir la réglementation suisse sur la PQC et la communication FINMA 05/2026.
L'art. 47 de la loi sur les banques (LB, RS 952.0) punit d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire celui qui, intentionnellement, révèle un secret qui lui a été confié ou dont il a eu connaissance en sa qualité d'organe, d'employé, de mandataire ou de liquidateur d'une banque. La question de savoir si des données de clients peuvent être traitées par un fournisseur cloud étranger relève de vos équipes juridique et compliance. Sur le plan de l'architecture, des données identifiant les clients que le fournisseur ne peut pas déchiffrer sont bien plus faciles à défendre que des données qu'il peut lire.
La Confédération recourt elle aussi au cloud des hyperscalers ; elle décide niveau par niveau, selon la sensibilité des données, du degré de contrôle dont elle a besoin.
Le Clarifying Lawful Overseas Use of Data (CLOUD) Act a été adopté en mars 2018. Sa deuxième partie a ajouté la phrase suivante au Stored Communications Act américain (18 U.S.C. § 2713) :
"A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider's possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States."
(Un fournisseur de services de communication électronique ou de services informatiques à distance doit se conformer aux obligations de ce chapitre visant à conserver, sauvegarder ou divulguer le contenu d'une communication et tout enregistrement ou autre information relatifs à un client ou abonné en sa possession, sous sa garde ou sous son contrôle, que cette communication, cet enregistrement ou cette information se trouve à l'intérieur ou à l'extérieur des États-Unis.)
Les mots déterminants sont « possession, custody, or control » et « regardless of whether … located within or outside of the United States ». Pour un fournisseur soumis à la juridiction américaine, l'emplacement du centre de données ne tranche pas la question. Une région suisse d'un hyperscaler américain améliore la résidence, pas, à elle seule, la souveraineté.
Le livre blanc du Département de la Justice américain (DOJ) de 2019 précise :
C'est la faille que le chiffrement comble. Un fournisseur américain peut être contraint de produire ce qu'il possède ou contrôle. S'il ne détient que du texte chiffré, sans accès à la clé, c'est du texte chiffré qu'il peut produire. Une demande de données lisibles doit alors être adressée à l'organisation qui détient les clés, par les voies légales qui s'appliquent à elle, ce qui, pour une entreprise suisse, signifie les procédures suisses.
La page du DOJ consacrée au CLOUD Act mentionne des accords exécutifs avec le Royaume-Uni et l'Australie ; elle ne mentionne aucun accord avec la Suisse.
Tous les grands clouds chiffrent par défaut les données au repos. La question n'est pas de savoir si les données sont chiffrées, mais avec quelles clés et qui peut les utiliser.
Si le fournisseur détient la clé ou peut l'utiliser, le chiffrement protège contre le vol de disques, pas contre le fournisseur ni contre un ordre qui lui est adressé. Les clauses contractuelles décrivent comment le fournisseur entend se comporter ; elles ne lui retirent pas sa capacité technique.
Si vous détenez la clé hors du contrôle du fournisseur, trois choses changent :
Prévoyez le compromis : une séparation forte des clés supprime les fonctionnalités qui exigent que le fournisseur voie le texte en clair. La documentation de Microsoft indique que le contenu protégé par Double Key Encryption (DKE) ne peut pas être traité par la recherche SharePoint et OneDrive, l'eDiscovery ou la co-édition, n'est pas accessible à Copilot, et positionne DKE pour la petite part des données les plus sensibles. La souveraineté des données est donc une décision de classification : la séparation des clés de chiffrement la plus forte là où elle est nécessaire, des modèles plus légers ailleurs.
Pour approfondir ce modèle, voir notre guide Hold Your Own Key (HYOK).
Le tableau ci-dessous compare les modèles courants selon la question qui compte pour la souveraineté : qui peut être contraint de divulguer des données lisibles ?
| Modèle | Où se trouve la clé | Le fournisseur peut-il déchiffrer seul ? | Qui peut être contraint de divulguer des données lisibles | Exemples typiques | Compromis |
|---|---|---|---|---|---|
| Clés gérées par le fournisseur | KMS du fournisseur | Oui | Le fournisseur, sans vous impliquer | Chiffrement au repos par défaut | Aucune souveraineté ; le plus simple |
| BYOK (Bring Your Own Key) | Générée par vous, importée dans le KMS du fournisseur | Oui, tant que la clé est dans son KMS | Le fournisseur, techniquement | Clés importées dans un KMS cloud | Contrôle du cycle de vie, mais le fournisseur détient la clé |
| HYOK / gestion externe des clés | Votre gestionnaire de clés externe ; le fournisseur l'appelle pour chaque opération | Non, pas sans un appel en direct à votre service de clés | Principalement vous ; le fournisseur ne peut agir que tant que vous lui accordez l'accès, et vous voyez chaque demande | AWS KMS External Key Store (XKS) | Vous assumez la disponibilité du service de clés ; les services peuvent brièvement mettre en cache des clés de données |
| Chiffrement côté client | Votre environnement ; les données sont chiffrées avant l'envoi | Non | Vous seul ; le fournisseur stocke du texte chiffré | Microsoft Purview DKE | La recherche, la co-édition et les fonctions d'IA ne fonctionnent plus sur ces données |
| Clés fractionnées par MPC | Fragments sur des nœuds distincts ; la clé complète n'existe jamais en un seul endroit | Non | Aucune partie seule, y compris l'exploitant du service de clés | Gestion des clés MPC derrière HYOK ou le chiffrement côté client | Nécessite une conception de la garde des fragments |
Le MPC n'est pas une alternative à HYOK ou au chiffrement côté client ; c'est la manière de détenir la clé derrière eux. Il répond à la question suivante de l'auditeur, « qui peut être contraint de remettre votre clé ? » : avec le calcul multipartite (multi-party computation), aucun hôte, exploitant ou administrateur ne détient à lui seul une clé complète.
Chaque étape produit un élément que vous pouvez présenter à votre conseil d'administration, à votre conseiller à la protection des données ou aux auditeurs de la FINMA.
DuoKey SA est une entreprise suisse basée à Lausanne. DuoKey KMS fractionne les clés grâce au calcul multipartite (MPC), de sorte qu'aucun fournisseur cloud, exploitant ou hôte compromis ne détient une clé complète. Les intégrations comprennent :
Pour vos propres applications, voir le client DuoKey KMS. DuoKey est certifiée ISO/IEC 27001:2022. Pour le programme dans son ensemble, voir le cas d'usage cloud souverain, ou contactez DuoKey au sujet des options de déploiement.
Q: Qu'est-ce que la souveraineté des données en Suisse ?
Cela signifie que les données détenues par une organisation suisse sont régies par le droit suisse et restent sous le contrôle de cette organisation, de sorte que des fournisseurs ou des autorités étrangers ne peuvent pas y accéder sans passer par elle. Les règles pertinentes comprennent la nouvelle LPD, les exigences de la FINMA en matière d'outsourcing et les secrets professionnels comme l'art. 47 de la loi sur les banques. Techniquement, elle dépend de qui détient les clés de chiffrement, et pas seulement de l'endroit où les données sont stockées.
Q: Le CLOUD Act américain s'applique-t-il aux données stockées en Suisse ?
C'est possible. Le CLOUD Act oblige les fournisseurs soumis à la juridiction américaine à divulguer les données en leur « possession, custody, or control, regardless of whether » elles se trouvent à l'intérieur ou à l'extérieur des États-Unis. Le centre de données suisse d'un fournisseur américain n'est pas hors d'atteinte du seul fait de sa localisation. Le texte ne crée aucun nouveau pouvoir de contraindre au déchiffrement : des données que le fournisseur ne peut pas déchiffrer ne peuvent être produites que sous forme chiffrée.
Q: Qu'est-ce que la souveraineté des clés ?
La souveraineté des clés signifie que votre organisation génère, détient et contrôle les clés de chiffrement qui protègent ses données, hors du contrôle du fournisseur cloud ou SaaS qui stocke ces données. Sans les clés, le fournisseur peut stocker et déplacer les données, mais pas les lire. C'est le contrôle technique qui rend la souveraineté des données applicable.
Q: La résidence des données suffit-elle pour la souveraineté ?
Non. La résidence fixe l'endroit où les données sont stockées, mais un fournisseur soumis à un droit étranger peut être contraint de divulguer les données qu'il contrôle, où qu'elles se trouvent. La résidence reste utile, mais elle a besoin de la souveraineté des clés pour que les données restent illisibles pour le fournisseur.
Q: La nLPD exige-t-elle le chiffrement ?
Pas nommément. L'art. 8 exige une sécurité des données adéquate par rapport au risque, au moyen de mesures techniques et organisationnelles appropriées, et l'art. 7 exige des mesures appropriées au regard de l'état de la technique. Pour des données sensibles dans un cloud exploité depuis l'étranger, le chiffrement avec des clés que vous contrôlez est la mesure la plus susceptible de satisfaire à cette exigence ; faites-le confirmer par votre conseiller à la protection des données.
Q: Le Swiss-US Data Privacy Framework règle-t-il la question du CLOUD Act ?
Non. Depuis le 15 septembre 2024, les transferts vers des entreprises américaines certifiées dans le cadre de ce dispositif sont reconnus comme adéquats au regard du droit suisse de la protection des données. Cela ne change ni les obligations de divulgation américaines ni l'identité de celui qui détient vos clés.
Q: Quelle est la différence entre BYOK et HYOK ?
Avec BYOK, vous importez votre clé dans le service de gestion des clés du fournisseur, qui la détient et l'utilise ensuite. Avec HYOK, la clé reste dans votre propre gestionnaire de clés externe et le fournisseur doit l'appeler pour chaque opération, ce qui vous permet de voir et de refuser chaque demande.
Q: Que disent les règles d'outsourcing de la FINMA sur le cloud ?
La circulaire FINMA 2018/3 exige des exigences de sécurité convenues pour l'informatique externalisée, des droits d'audit pour l'établissement, sa société d'audit et la FINMA, et, en cas d'externalisation à l'étranger, que les informations nécessaires à un assainissement ou à une liquidation restent accessibles en Suisse en tout temps.
Le droit suisse, la surveillance de la FINMA et la stratégie cloud de la Confédération vont dans le même sens : utiliser le cloud, mais garder le contrôle des données sensibles. La localisation seule ne peut pas assurer ce contrôle ; ce sont les clés qui décident qui peut lire les données.
Écrit par
DuoKey Team
Ressources associées
Dites-nous où le contrôle est difficile aujourd’hui. Nous vous aiderons à définir une prochaine étape concrète.
