Hébergement en Suisse et souveraineté des données : le guide pour une PME

Héberger en Suisse : de quelles données parle-t-on ?

Pour une PME, « l’hébergement » recouvre trois choses qu’il vaut mieux séparer, parce qu’elles n’appellent ni les mêmes risques ni les mêmes exigences.

• Le site web : pages publiques, formulaire de contact, éventuellement une boutique. Les données personnelles y sont surtout celles de vos visiteurs et de vos contacts.
• La messagerie et les fichiers de travail : échanges avec vos clients, contrats, pièces jointes.
• Les factures et pièces comptables : noms, adresses, coordonnées bancaires, parfois salaires. C’est la catégorie où la conservation (10 ans, art. 958f CO) et la traçabilité (Olico) s’ajoutent à la protection des données.

Un hébergement web bien choisi convient au premier cas. Pour le troisième, la question n’est pas seulement « où sont les serveurs ? » mais « puis-je prouver l’intégrité des pièces, sortir l’archive et retrouver qui a consulté quoi ? ». Notre guide de la conservation détaille ces exigences.

Ce que dit la loi : la nLPD n’impose pas la Suisse

La nouvelle loi sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023, ne demande pas d’héberger en Suisse. Elle pose quatre règles qui s’appliquent à tout hébergeur, suisse ou non.

• Sécurité (art. 8) : le responsable du traitement et le sous-traitant assurent, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données par rapport au risque encouru.
• Sous-traitance (art. 9) : le traitement peut être confié à un sous-traitant si un contrat ou la loi le prévoit, si seuls sont effectués les traitements que vous seriez en droit d’effectuer vous-même, et si aucune obligation légale ou contractuelle de garder le secret ne l’interdit. Vous devez en particulier vous assurer que le sous-traitant est en mesure de garantir la sécurité des données.
• Communication à l’étranger (art. 16) : possible vers un État dont le Conseil fédéral a constaté un niveau de protection adéquat ; à défaut, si un niveau de protection approprié est garanti, par exemple par un traité ou des clauses types de protection des données.
• Dérogations (art. 17) : consentement exprès de la personne concernée, lien direct avec l’exécution d’un contrat, et quelques autres cas limitativement énumérés.

Pour les pièces comptables, l’art. 958f CO fixe la durée de conservation (dix ans à compter de la fin de l’exercice) et admet le support électronique. Il n’impose pas non plus de lieu.

L’autorité de référence est le Préposé fédéral à la protection des données et à la transparence (PFPDT), dont le site publie des guides et des explications à jour.

Ce qu’un hébergeur suisse ne garantit pas

Trois autres limites se vérifient au contrat, pas dans une brochure.

• Les sous-traitants : un hébergeur peut faire appel à des prestataires (paiement, messagerie, support, sauvegarde) situés ailleurs. Demandez la liste nommée et le lieu de chaque traitement.
• Les sauvegardes : le lieu des données de production ne dit rien de celui des copies. Demandez où elles sont, combien de temps elles sont gardées et comment elles sont restaurées.
• Le chiffrement : ce que l’hébergeur ne peut pas lire, il ne peut pas le remettre en clair. Demandez ce qui est chiffré, et par qui les clés sont détenues.

La page souveraineté applique la même honnêteté à Dossivio : lieu de chaque traitement, fournisseurs nommés, et ce que nous ne promettons pas.

Un site vitrine n’est pas une archive comptable

Un hébergement web sert à publier un site. Une archive comptable sert à prouver, dix ans plus tard, qu’une pièce n’a pas été modifiée. Ce ne sont pas les mêmes exigences : sur un support modifiable, l’Olico demande un procédé qui garantit l’intégrité, un horodatage non falsifiable, des procédures consignées et un journal des accès (art. 8 et 9 Olico).

Déposer vos factures dans le dossier d’un hébergement web ne fait donc pas de lui une archive conforme, quel que soit le pays. Pour les pièces, cherchez un procédé d’archivage qui répond aux questions du tableau du guide de la conservation, ou une solution comme Dossivio Capture, qui archive chaque pièce avec son journal, sans se substituer à votre archive de référence.

Grille de choix : cinq critères pour comparer des hébergeurs

La grille s’applique à n’importe quel hébergeur, suisse ou non. Demandez les réponses par écrit : ce qui est au contrat vaut plus que ce qui est sur la page commerciale.

Deux points valent un contrôle avant de signer : le prix de renouvellement, souvent différent du tarif d’appel, et la durée d’engagement.

Exemple d’offre : l’hébergement web d’Infomaniak

Pour illustrer la grille sur un cas concret, voici l’offre d’hébergement web d’Infomaniak, un fournisseur établi en Suisse. Ce n’est pas un classement : d’autres hébergeurs suisses existent, et le bon choix dépend de votre besoin. Les faits ci-dessous sont ceux que le fournisseur annonce sur sa page, relevés le 29 septembre 2026.

Le détail complet figure sur la page Hébergement Web d’Infomaniak (lien commercial). Appliquez-lui la grille ci-dessus : où sont les sauvegardes, qui sont les sous-traitants, comment sortir vos données. Et rappelez-vous que cette offre héberge un site web, pas une archive comptable au sens de l’Olico.

Transparence : ce lien est commercial