Hébergement web en Suisse et protection des données : ce que la nLPD et le RGPD changent pour votre site, vos e-mails et vos sauvegardes

Depuis le 1er septembre 2023, la loi fédérale révisée sur la protection des données s’applique en Suisse : la nLPD (revDSG ou nDSG en allemand, nFADP ou revFADP en anglais). Pour une petite ou moyenne entreprise, une question pratique revient sans cesse : où notre site, nos boîtes e-mail et nos sauvegardes peuvent-ils être hébergés, et de quoi avons-nous besoin de la part de notre hébergeur ? La réponse courte : le droit suisse n’impose pas de centre de données en Suisse, mais vous devez savoir où se trouvent vos données, qui les traite pour vous et comment elles sont protégées, et l’indiquer dans votre déclaration de protection des données. Ce guide explique les règles qui comptent pour l’hébergement, les compare avec le RGPD européen et se termine par une checklist à suivre point par point.

nLPD, RGPD ou les deux ?#

La nLPD s’applique aux entreprises et aux particuliers qui traitent en Suisse des données personnelles, c’est-à-dire toute information concernant une personne physique identifiée ou identifiable : noms, adresses e-mail, adresses IP, historiques de commandes. Depuis la révision, les données des personnes morales ne sont plus protégées par la loi. Elle s’applique aussi aux traitements effectués à l’étranger lorsqu’ils produisent des effets en Suisse.

Le RGPD peut lui aussi concerner une entreprise suisse, même sans établissement dans l’UE : lorsqu’elle propose des biens ou des services à des personnes dans l’UE ou qu’elle suit leur comportement, par exemple avec un outil de tracking sur son site. Une boutique qui livre en France ou un hôtel qui cible une clientèle italienne se retrouve vite dans ce cas. Les deux lois s’appliquent alors en parallèle, et une entreprise sans établissement dans l’UE peut devoir désigner un représentant dans l’UE.

Mon site doit-il être hébergé en Suisse ?#

Non. Ni la nLPD ni le RGPD n’imposent d’héberger un site d’entreprise ordinaire dans un pays précis. Ce que la loi encadre, c’est la communication de données personnelles à l’étranger. Le Conseil fédéral tient une liste des États offrant un niveau de protection adéquat, et tous les États de l’UE et de l’EEE y figurent : un hébergement dans l’UE ne nécessite donc aucune garantie supplémentaire pour le transfert (le contrat de sous-traitance reste nécessaire). Vers les États-Unis, les données peuvent être transmises depuis le 15 septembre 2024 aux entreprises certifiées selon le Swiss-US Data Privacy Framework ; pour les autres pays, il faut des garanties comme les clauses contractuelles types. Dans l’autre sens, l’UE reconnaît la Suisse comme pays offrant une protection adéquate, ce que la Commission européenne a confirmé en janvier 2024 : les données de vos clients européens peuvent donc être hébergées en Suisse.

Pourquoi tant de PME suisses préfèrent-elles malgré tout un hébergement en Suisse ? Parce que tout devient plus simple : un seul pays dans votre déclaration de protection des données au lieu d’une liste, moins de mécanismes de transfert à vérifier, un prestataire soumis au droit suisse et joignable dans votre langue. Certains secteurs soumis au secret professionnel, et certains contrats avec vos clients, fixent en outre des règles plus strictes sur le lieu de stockage : vérifiez les vôtres avant de choisir.

Votre hébergeur est votre sous-traitant#

Lorsque votre hébergeur stocke votre site, les messages de votre formulaire de contact, les commandes de votre boutique et vos e-mails, il traite des données personnelles pour votre compte : juridiquement, c’est un sous-traitant, et vous restez le responsable du traitement. Selon la nLPD, vous pouvez confier un traitement à un sous-traitant par contrat, sans exigence de forme, s’il ne fait que ce que vous seriez vous-même en droit de faire et si vous vous assurez qu’il garantit la sécurité des données ; il ne peut faire appel à un autre sous-traitant qu’avec votre autorisation préalable. Selon le RGPD, un contrat écrit est obligatoire, souvent appelé contrat de sous-traitance ou DPA. Un bon contrat précise :

• l’objet, la durée, la nature et la finalité du traitement ainsi que les types de données ;
• un traitement uniquement sur vos instructions documentées et la confidentialité du personnel concerné ;
• les mesures de sécurité techniques et organisationnelles ;
• les sous-traitants ultérieurs, leur localisation et la manière dont vous êtes informé des changements ;
• l’assistance lorsque des personnes exercent leurs droits ou en cas de violation de la sécurité des données ;
• la suppression ou la restitution des données en fin de contrat, et les informations qui vous permettent de vérifier tout cela.

Chez ThunderHosting, les clients professionnels qui traitent des données personnelles de tiers au moyen de nos services reçoivent sur demande un contrat de sous-traitance, comme le prévoient nos conditions générales. Notre déclaration de protection des données indique où nous stockons les données et avec quels types de prestataires nous travaillons.

Où se trouvent vraiment votre site, vos e-mails et vos sauvegardes#

« Hébergé en Suisse » désigne rarement un seul endroit. Passez en revue chaque copie de vos données :

• Site et bases de données. Le serveur qui fait tourner votre CMS, et la base de données avec les formulaires reçus, les comptes clients et les commandes.
• E-mail. Les boîtes e-mail contiennent souvent plus de données personnelles que le site : noms, adresses, contrats, parfois des informations salariales ou médicales. Le lieu d’hébergement de vos boîtes compte autant que celui du site. Si vous utilisez un service e-mail séparé, c’est un autre sous-traitant, avec sa propre localisation.
• Sauvegardes. Une sauvegarde est une copie complète de vos données, souvent conservée dans un second centre de données. Demandez dans quel pays elle se trouve et combien de temps elle est gardée : les données supprimées restent dans les sauvegardes jusqu’à leur rotation.
• DNS et CDN. Les enregistrements DNS sont par nature servis depuis de nombreux sites, et un réseau de diffusion de contenu (CDN) copie vos pages sur des serveurs du monde entier. Il s’agit en général de contenus publics, mais notez-les quand même.
• Scripts tiers. Outils de statistiques, polices web, cartes, widgets de chat et vidéos intégrées transmettent au moins l’adresse IP du visiteur à leur fournisseur, souvent aux États-Unis.

Avec l’hébergement web ThunderHosting, votre site, vos boîtes e-mail et vos bases de données tournent sur notre plateforme Plesk, dans notre centre de données de Lugano, au Tessin. Des sauvegardes quotidiennes sont incluses dans chaque offre. Comme l’explique notre déclaration de protection des données, les données des clients sont stockées sur des serveurs en Suisse et dans l’Union européenne : pour la redondance et les sauvegardes, nous utilisons aussi des centres de données partenaires en Allemagne et en Finlande, des pays dont la Suisse reconnaît le niveau de protection comme adéquat.

Cookies et statistiques#

Le droit suisse ne connaît pas d’obligation générale de consentement aux cookies. Selon la loi sur les télécommunications, vous pouvez enregistrer et lire des données sur l’appareil d’un visiteur si vous l’en informez et lui indiquez comment s’y opposer ; votre déclaration de protection des données doit décrire ce que vous collectez. Pour les visiteurs situés dans l’UE, le RGPD et les règles européennes ePrivacy exigent un consentement préalable pour les cookies qui ne sont pas strictement nécessaires, comme ceux de statistiques ou de marketing. Si votre site s’adresse à des personnes dans l’UE, une bannière qui ne charge ces scripts qu’après consentement est le choix le plus sûr.

Chaque outil ajouté est un destinataire de plus, et souvent une communication à l’étranger, à mentionner dans votre déclaration. Moins d’outils, c’est une déclaration plus courte et un site plus rapide : hébergez vos polices web sur votre propre serveur au lieu de les charger chez un tiers, et demandez-vous si vous consultez vraiment les statistiques que vous collectez.

Sécurité des données : SSL et les bases#

Les deux lois exigent des mesures techniques et organisationnelles adaptées au risque. Pour un site de PME typique, cela signifie :

• HTTPS partout. Chaque formulaire, chaque connexion et chaque page de boutique doit être chiffré. Toutes nos offres d’hébergement web incluent des certificats Let’s Encrypt gratuits (certificats SSL).
• Mises à jour. La plupart des attaques contre des sites exploitent des versions de CMS et des plugins obsolètes. Le WordPress Toolkit du panneau de contrôle garde WordPress à jour.
• Comptes séparés. Donnez à chaque personne son propre compte FTP ou e-mail avec un mot de passe fort, au lieu de partager un identifiant.
• Sauvegardes et restauration. Sachez à quelle fréquence les sauvegardes sont faites, combien de temps elles sont conservées et comment les restaurer.
• Minimisation des données. Supprimez les anciens formulaires reçus, les boîtes e-mail inutilisées et les copies de test du site dont vous n’avez plus besoin.

Les attaques contre la disponibilité relèvent aussi de la sécurité : lisez notre article sur la protection DDoS (en anglais).

Checklist pour les PME suisses#

1. Recensez les données personnelles traitées par votre site et vos e-mails : formulaires, boutique, newsletter, boîtes e-mail, journaux du serveur.
2. Demandez à votre hébergeur dans quel pays se trouvent le site, les bases de données, les boîtes e-mail et les sauvegardes.
3. Concluez un contrat de sous-traitance avec votre hébergeur et avec chaque autre service qui traite des données personnelles pour vous.
4. Vérifiez chaque communication à l’étranger : un État figurant sur la liste du Conseil fédéral, ou des garanties comme les clauses contractuelles types ou le Data Privacy Framework.
5. Utilisez HTTPS sur chaque domaine et sous-domaine, webmail compris.
6. Passez en revue les cookies et les scripts tiers, et utilisez une bannière de consentement si vous vous adressez à des visiteurs dans l’UE.
7. Mettez à jour votre déclaration de protection des données : qui vous êtes, ce que vous collectez et pourquoi, les destinataires et les pays vers lesquels les données partent.
8. Définissez vos sauvegardes : fréquence, emplacement, durée de conservation et test de restauration.
9. Préparez-vous à une violation de la sécurité des données : qui décide, et qui l’annonce dans les délais au PFPDT (et à une autorité européenne si le RGPD s’applique).
10. Supprimez régulièrement les données dont vous n’avez plus besoin.

Cet article est une information générale et ne constitue pas un conseil juridique. Les règles applicables à votre entreprise dépendent de votre activité, de vos clients et de vos contrats ; faites relire votre déclaration de protection des données et vos contrats par un spécialiste. Le PFPDT publie sur son site des guides destinés aux entreprises.

Héberger à Lugano avec ThunderHosting#

Notre hébergement web commence à CHF 5 par mois avec Solo Spark ; Smart Space coûte CHF 9 et Business Pack CHF 20 par mois. Chaque offre comprend des boîtes e-mail sur votre propre domaine (comptes e-mail et webmail), le SSL gratuit, des sauvegardes quotidiennes et le panneau de contrôle Plesk, et ThunderHosting GmbH est une entreprise suisse qui vous répond en français, en allemand, en italien et en anglais. Si vous avez besoin de votre propre système d’exploitation et d’un accès root, un VPS à Lugano vous donne le contrôle complet, et avec lui l’entière responsabilité de la sécurité du serveur. Vous venez d’un autre hébergeur ? Nous migrons votre site gratuitement. Pour comparer les hébergeurs au-delà de la protection des données, utilisez notre checklist pour choisir un hébergement web en Suisse.

Questions fréquentes#

L’hébergement dans l’UE est-il autorisé par la nLPD ?#

Oui. Tous les États de l’UE et de l’EEE figurent sur la liste du Conseil fédéral des États offrant un niveau de protection adéquat. Mentionnez ces pays dans votre déclaration de protection des données.

Ai-je besoin d’un contrat de sous-traitance avec mon hébergeur ?#

Là où le RGPD s’applique, oui : il est obligatoire. Selon la nLPD aussi, le traitement doit être confié par contrat, sans exigence de forme ; vous devez vous assurer que votre hébergeur ne traite les données que comme vous le feriez vous-même et qu’il les protège ; un contrat écrit est le moyen le plus simple de le prouver. ThunderHosting en met un à disposition des clients professionnels sur demande.

Le RGPD s’applique-t-il à mon site suisse ?#

C’est possible : si vous proposez des biens ou des services à des personnes dans l’UE ou si vous suivez leur comportement, par exemple avec du tracking. Un site destiné à une clientèle locale en Suisse relève en général de la seule nLPD.

Ai-je besoin d’une bannière cookies en Suisse ?#

Pour les visiteurs en Suisse, il suffit de les informer et d’expliquer comment refuser les cookies. Pour les visiteurs dans l’UE, les cookies qui ne sont pas strictement nécessaires requièrent un consentement préalable.

Où sont hébergés mes e-mails chez ThunderHosting ?#

Les boîtes e-mail de nos offres d’hébergement web tournent sur notre plateforme Plesk à Lugano, avec votre site et vos bases de données. Les sauvegardes sont conservées comme le décrit notre déclaration de protection des données, y compris dans des centres de données partenaires en Allemagne et en Finlande.