Hébergement des données en Suisse ou en France : que choisir pour votre application ?

Héberger les données de votre application en Suisse ou en France ? Ce que disent la nLPD et le RGPD, le CLOUD Act, SecNumCloud et les cas où le choix compte.

Pour une PME de Genève ou d'Annecy, héberger les données de son application en Suisse ou en France est, dans la grande majorité des cas, aussi sûr d'un point de vue juridique. La Suisse reconnaît la France comme un pays qui protège correctement les données, et l'Union européenne reconnaît la Suisse de la même façon. Le vrai sujet n'est donc pas la frontière entre les deux pays. C'est la nationalité de votre hébergeur, la sensibilité des données que vous traitez et ce que vos clients attendent de vous.

Voici comment raisonner, avec les règles qui s'appliquent de chaque côté et les questions à poser avant de signer avec un prestataire.

Que dit la loi suisse sur l'hébergement des données à l'étranger ?

La nouvelle loi fédérale sur la protection des données, souvent appelée nLPD, est entrée en vigueur le 1er septembre 2023 avec son ordonnance, l'OPDo. Elle n'impose pas d'héberger les données en Suisse. Elle encadre en revanche leur communication à l'étranger : une entreprise peut envoyer des données personnelles dans un autre pays si le Conseil fédéral estime que ce pays offre une protection adéquate.

La liste de ces pays figure en annexe de l'OPDo. La France y apparaît, comme les autres États de l'Union européenne. Le Préposé fédéral à la protection des données le rappelle dans sa page sur la communication de données à l'étranger : vers un pays de la liste, aucune garantie supplémentaire n'est nécessaire. Vers un pays absent de la liste, il faut des clauses contractuelles, par exemple les clauses types reconnues par le Préposé.

Concrètement, une fiduciaire genevoise peut confier ses données à un hébergeur installé à Strasbourg ou à Roubaix sans démarche particulière au titre de la nLPD. Elle reste responsable de ce que fait son prestataire, mais le pays de stockage ne pose pas de problème en soi.

Et côté français, le RGPD autorise-t-il un hébergement en Suisse ?

Oui. La Suisse bénéficie d'une décision d'adéquation de l'Union européenne depuis 2000. La Commission européenne l'a confirmée le 15 janvier 2024 dans son rapport sur les décisions d'adéquation existantes. Les données peuvent donc circuler de la France vers la Suisse sans clauses particulières, comme entre deux pays de l'Union.

Une PME d'Annecy qui travaille avec des clients des deux côtés de la frontière peut ainsi choisir un centre de données à Genève ou à Lyon selon d'autres critères que le droit de la protection des données.

Pourquoi la nationalité de l'hébergeur compte plus que le pays ?

Parce qu'un serveur situé en Europe n'échappe pas forcément aux lois étrangères. Le CLOUD Act américain, adopté en 2018, permet aux autorités des États-Unis d'exiger d'un fournisseur soumis au droit américain les données qu'il contrôle, y compris quand elles sont stockées hors des États-Unis. Une société européenne qui loue des serveurs à Francfort chez un géant américain du cloud reste donc exposée à ce type de demande.

La CNIL a pris position sur ce point dans un article consacré aux risques d'accès des autorités étrangères aux données hébergées dans le cloud. Elle estime ce risque généralement limité pour les données non sensibles, puisque les États-Unis sont considérés comme adéquats depuis le 10 juillet 2023 pour les entreprises adhérant au Data Privacy Framework. Pour les données les plus sensibles, comme les grandes bases de données de santé, les données relatives aux infractions ou celles concernant des mineurs, elle recommande un prestataire soumis exclusivement au droit européen, par exemple qualifié SecNumCloud.

La Suisse applique une logique proche : depuis le 15 septembre 2024, les États-Unis ne figurent sur sa liste que pour les organisations certifiées dans le cadre du Swiss-US Data Privacy Framework.

Photo : Geoffrey Moffett sur Unsplash

Quels hébergeurs choisir en Suisse et en France ?

Infomaniak et Exoscale : que proposent les hébergeurs suisses ?

Infomaniak est une société fondée à Genève en 1994. Elle s'engage à stocker les données de ses clients uniquement dans ses propres centres de données en Suisse, dont celui de Plan-les-Ouates, qui récupère sa chaleur pour le réseau de chauffage genevois. Pour une PME qui veut un interlocuteur local et une offre complète, de l'hébergement web aux serveurs cloud, c'est souvent la première option étudiée.

Exoscale vise plutôt les équipes techniques. Son cloud dispose de deux zones en Suisse, à Genève et à Zurich, et d'autres zones en Europe, notamment à Vienne, Francfort et Munich. Il permet de garder une application en Suisse tout en ajoutant une copie de secours dans un autre pays européen si besoin.

SecNumCloud : à quoi sert cette qualification française ?

SecNumCloud est une qualification délivrée par l'ANSSI, l'agence française de cybersécurité. Elle vise des offres de cloud de confiance, capables de protéger des données sensibles contre les cyberattaques et contre l'application de lois extraterritoriales. Elle impose notamment un siège dans l'Union européenne et limite la part des actionnaires non européens.

Deux points évitent les malentendus. La qualification porte sur une offre précise, pas sur un hébergeur entier : chez OVHcloud, par exemple, seules certaines offres sont qualifiées. Que vous regardiez OVHcloud, Scaleway ou un autre acteur, vérifiez que l'offre exacte figure dans le catalogue de l'ANSSI. Ensuite, comme le précise l'ANSSI, la qualification ne garantit pas la sécurité du service que vous installez dessus. Une application mal protégée reste vulnérable sur une infrastructure qualifiée.

Pour la plupart des PME, SecNumCloud n'est pas obligatoire. Elle devient un vrai critère si vous traitez des données très sensibles ou si un client public l'exige dans son cahier des charges.

La latence et le coût changent-ils vraiment le choix ?

Pour une application utilisée dans le bassin genevois, la différence de latence entre un serveur à Genève et un serveur dans l'est de la France reste en général trop faible pour être remarquée par un utilisateur qui consulte une fiche ou remplit un formulaire. Elle peut compter pour des usages très interactifs, comme la synchronisation en temps réel entre plusieurs postes. Dans ce cas, un test depuis les locaux de vos utilisateurs vaut mieux qu'un chiffre théorique.

Sur le coût, comparez des offres équivalentes plutôt que des pays. Les prix suisses sont facturés en CHF, les prix français en euros, et l'écart dépend surtout du niveau de service : sauvegardes, support, engagement de disponibilité. Le poste le plus lourd reste souvent le temps passé à installer et maintenir le serveur, pas la location de la machine.

Quand le choix Suisse ou France compte-t-il pour une PME de Genève ou d'Annecy ?

Dans la plupart des projets, les deux options conviennent. Le choix devient décisif dans quelques situations que nous rencontrons régulièrement.

• Vos clients ou partenaires l'exigent par contrat. Il arrive souvent que des organisations internationales ou des ONG genevoises demandent un hébergement en Suisse, quelle que soit la loi applicable.
• Vous traitez des données sensibles : santé, données sur des mineurs, dossiers juridiques ou financiers. L'hébergeur doit alors relever exclusivement du droit suisse ou européen, et le contrat doit préciser où sont stockées les sauvegardes.
• Vous répondez à un appel d'offres public en France qui impose une offre qualifiée SecNumCloud.

Bonne nouvelle pour les petites structures : l'OPDo dispense les entreprises de moins de 250 collaborateurs de tenir un registre des activités de traitement, sauf si elles traitent des données sensibles à grande échelle ou font du profilage à risque élevé. La protection des données reste due, mais la paperasse est allégée.

Comment METEORA héberge les applications de ses clients ?

Nous hébergeons les projets de nos clients sur nos propres serveurs en Suisse et en France, administrés avec Coolify, notre outil de déploiement, sans passer par un cloud américain. Le pays est choisi projet par projet : en Suisse quand le client relève de la nLPD ou que ses partenaires l'exigent, en France quand il travaille surtout avec l'Union européenne.

Si vous préparez une application et que vous hésitez, notre article sur le coût d'une application mobile en Suisse en CHF aide à cadrer le budget global, et vous pouvez estimer le budget de votre projet avec notre calculateur. Pour un outil interne, la page consacrée au logiciel sur mesure pour PME détaille notre façon de travailler. Notre agence de développement web et mobile à Genève accompagne aussi les entreprises de la région sur ces choix d'hébergement, dès le cadrage.

Vous ne savez pas où vos données sont stockées aujourd'hui ? Posez la question à votre prestataire actuel. S'il met du temps à répondre, c'est déjà une information.