1. Les défis de la souveraineté numérique et de l’extraterritorialité

Pour les entreprises et institutions suisses, l’externalisation de données dans le cloud public soulève des questions juridiques cruciales, notamment face aux législations étrangères extraterritoriales telles que le CLOUD Act américain (permettant sous conditions à la justice américaine de réclamer des données hébergées par des sociétés technologiques américaines).

2. La nouvelle Loi sur la Protection des Données (nLPD) en Suisse

Entrée en vigueur en septembre 2023, la nLPD harmonise le droit suisse avec le RGPD européen en durcissant les exigences relatives à la gouvernance des données personnelles :

  • Protection dès la conception et par défaut (Privacy by Design & by Default) : Les architectures cloud doivent intégrer nativement le chiffrement et la minimisation de collecte.
  • Communication transfrontalière : Tout transfert de données en dehors de la Suisse exige un pays de destination offrant un niveau de protection adéquat ou des garanties contractuelles renforcées (Clauses Contractuelles Types).
  • Droit à la portabilité et transparence : Obligation d’informer les utilisateurs de la localisation exacte de traitement et de stockage des données.

3. Les exigences de la FINMA (Autorité fédérale de surveillance des marchés financiers)

La circulaire FINMA 2018/3 « Externalisation – banques et assureurs » impose des garde-fous stricts :

  • Droit d’audit complet accordé à la banque et à la FINMA sur les prestataires cloud.
  • Plan de secours et stratégie de sortie (Exit Strategy) documentée pour rapatrier les activités sans rupture opérationnelle.
  • Séparation stricte et chiffrement de bout en bout des informations bancaires de la clientèle (Customer Data Identification – CID).

4. Mesures techniques de remédiation : BYOK et HYOK

Pour assurer une conformité sans compromis, les entreprises romandes déploient :

Modèle de Chiffrement                  Localisation de la clé de déchiffrement
KMS managé par le Cloud                Détenue par le fournisseur cloud (AWS/Azure)
BYOK (Bring Your Own Key)              Générée dans un HSM dédié suisse et importée dans le Cloud
HYOK (Hold Your Own Key)               Conservée exclusivement dans le datacenter privé suisse

Architecture de cantonnement : Exploitez les fonctionnalités d’organisation (AWS Organizations avec Service Control Policies – SCP) pour restreindre géographiquement le déploiement des ressources aux seules régions eu-central-2 (Zurich) et ch-north (Zurich), interdisant matériellement le lancement de serveurs hors de Suisse.

PreviousNext