Qwik 
La souveraineté numérique, pour une PME, n’a rien d’un slogan : c’est la capacité de savoir où sont ses données, qui peut y accéder, et selon quelles règles. La plupart des entreprises ne le savent pas, et l’apprennent le jour où un client, un assureur ou un mandant pose la question.
Lieu de stockage et droit applicable : deux choses différentes
Un service peut stocker vos données dans un centre de données en Suisse tout en étant exploité par une société étrangère. Dans ce cas, les données sont physiquement ici, mais l’exploitant reste soumis au droit de son pays, y compris à des lois à portée extraterritoriale qui peuvent, dans certaines conditions, l’obliger à donner accès à des données qu’il détient, où qu’elles se trouvent. À l’inverse, un hébergeur suisse, exploitant ses propres centres de données en Suisse, relève du droit suisse.
Ce que demande la nLPD
La loi fédérale sur la protection des données n’interdit pas d’utiliser des services étrangers. Elle demande de savoir où vont les données personnelles, d’encadrer les communications à l’étranger, et de prendre des mesures de sécurité appropriées. Pour des données sensibles (santé, dossiers juridiques, données financières de clients), la question du droit applicable mérite un examen sérieux. Ceci n’est pas un conseil juridique.
Faut-il tout rapatrier ?
Non. Les grandes suites collaboratives sont d’excellents outils, et pour beaucoup d’entreprises le bon choix. La bonne question n’est pas « suisse ou pas suisse », mais « quelles données, avec quel niveau d’exigence ». On peut très bien garder sa messagerie où elle est et placer ses sauvegardes et ses dossiers sensibles chez un hébergeur suisse.
Des critères concrets pour choisir
- Qui exploite le service, et dans quel pays cette société a son siège
- Où sont les centres de données, y compris ceux des sauvegardes
- Qui détient les clés de chiffrement : vous, ou le prestataire
- Quels sous-traitants interviennent, et où
- Comment sortir : récupérer ses données, dans quel format, en combien de temps
- Ce que dit le contrat sur l’accès aux données par des autorités
Par où commencer
Par les sauvegardes. C’est la copie de tout ce que vous avez, et c’est le plus simple à placer en Suisse, chiffré, avec une clé que vous seul détenez. Ensuite, l’inventaire : pour chaque service (messagerie, fichiers, comptabilité, logiciel métier), qui l’exploite et où. Une demi-journée suffit en général pour une petite structure.
Notre position
Eramis est indépendant des fournisseurs : nous recommandons ce qui convient, quelle que soit la marque. Les sauvegardes que nous gérons sont hébergées en Suisse, sous droit suisse. Pour la messagerie et les fichiers, nous mettons en place Microsoft 365 quand c’est le bon choix, et une alternative souveraine suisse quand vous le souhaitez. Nous ne disons pas que tout est suisse : ce site lui-même passe par des prestataires situés dans l’Union européenne, et nous l’écrivons dans notre politique de confidentialité.
En résumé : demandez où sont les données et à quel droit est soumis celui qui les détient. Commencez par les sauvegardes. Voir Sauvegarde & cloud suisse et Sécurité des données & nLPD.