Preuves de localisation des données cloud en Suisse

Preuve de localisation : distinguer le lieu de stockage, de traitement et d’accès

Une preuve de localisation pour les données cloud répond à trois questions : le lieu de stockage, le lieu de traitement et le lieu d’accès. Ces trois lieux ne doivent pas nécessairement coïncider. Le fait qu’un centre de données suisse serve de lieu de stockage n’indique pas où le support est fourni ni où une base de données est traitée.

Le Préposé fédéral à la protection des données et à la transparence (PFPDT) cite trois points qui exigent une attention particulière dans le cadre des services cloud : le recours à des sous-traitants et sous-sous-traitants, la sécurité du traitement des données et la transmission de données personnelles vers des pays tiers. Ces trois points constituent le cadre d’examen d’une preuve de localisation.

Le fournisseur cloud agit généralement en tant que sous-traitant au sens de l’art. 9 LPD. Le client reste responsable et doit garantir contractuellement que les traitements externalisés sont conformes à la protection des données et que les droits des personnes concernées ne sont pas lésés.

Quels justificatifs rendent les centres de données suisses crédibles

Les fournisseurs présentent généralement comme preuves une combinaison de certificats et d’indications de localisation : ISO 27001 et ISO 20000, centres de données certifiés en Suisse ainsi que la planification, la migration et l’exploitation assurées par un seul prestataire. Ce qui mérite examen, ce ne sont pas les mots-clés, mais le champ d’application et la date de validité de chaque certificat.

Des indications de localisation concrètes peuvent être vérifiées. Un fournisseur mentionne sa propre infrastructure dans deux centres de données suisses situés dans les cantons de Bâle-Campagne et de Zurich, avec une conformité aux normes ISO 27001 et à la circulaire FINMA 08/7. La conformité FINMA est particulièrement pertinente pour les prestataires de services financiers réglementés qui externalisent.

La géoredondance constitue un point de contrôle distinct : le site de secours reste-t-il en Suisse en cas de panne, ou un centre de données à l’étranger prend-il le relais ? Celui qui exploite deux sites en Suisse peut étayer cette réponse par des indications de localisation précises. Le stockage redondant et la détention géoredondante des données en Suisse sont présentés comme des caractéristiques de performance spécifiques.

La documentation d’exploitation comprend des informations sur les processus de restauration et sur la sécurisation des procédures de sauvegarde et de restauration. De tels documents montrent si un fournisseur maîtrise l’exploitation et non seulement le stockage des données.

Droits d’accès étrangers comme risque lié à la localisation

Le CLOUD Act oblige les fournisseurs de services cloud américains à donner accès aux données de leurs clientes et clients aux autorités répressives américaines compétentes, même si ces données sont stockées en dehors des États-Unis. Ainsi, l’accès n’est pas limité par le lieu de stockage.

Selon l’évaluation du Préposé à la protection des données du canton de Zurich, cela contourne les dispositions de l’entraide judiciaire internationale, qui font partie du droit international public. La voie de l’entraide judiciaire y est considérée comme un pilier essentiel de l’État de droit suisse.

Le PFPDT recommande une analyse des risques approfondie pour les services cloud américains. La situation juridique en Suisse est décrite comme n’étant pas encore définitivement clarifiée.

De plus, le RGPD peut s’appliquer : environ 20 % des données personnelles traitées en Suisse proviennent de citoyens de l’UE. La Cour de justice de l’Union européenne a statué dans l’arrêt Schrems II que les États-Unis n’offrent pas un niveau de protection des données adéquat.

Chiffrement et souveraineté des données : une évaluation réaliste

Le chiffrement selon la norme FIPS 140-2 fait partie des indications par lesquelles les fournisseurs attestent la protection des données et des processus de sauvegarde. Il couvre le stockage, c’est-à-dire les données au repos et sur les copies de sauvegarde.

Lors du traitement dans le cloud, les données sont présentes en clair et sont consultables. Un chiffrement de bout en bout n’est donc efficace que pour le pur stockage (données au repos) ; pour de nombreux cas d’utilisation, il est peu pratique. Les fournisseurs l’admettent eux-mêmes.

Il en résulte pour la preuve suivante : le chiffrement est un élément constitutif, pas un substitut aux indications de localisation. Il convient de clarifier qui détient les clés, qui peut les utiliser lors de l’exploitation et comment l’accès aux données déchiffrées est journalisé.

Aligner le modèle cloud et la garantie de localisation

Un cloud privé met à la disposition de chaque client un environnement informatique dédié, entièrement isolé. Les fournisseurs y associent la promesse d’une souveraineté totale des données, car le stockage et le traitement ont lieu en Suisse ou dans l’UE et aucun droit d’accès extraterritorial ne devrait s’appliquer.

Les offres de cloud public sont en revanche des solutions standardisées. Swisscom décrit le cloud public, le cloud privé et les modèles hybrides comme une combinaison et souligne qu’il n’existe pas de recette miracle : il faut d’abord analyser quelles parties de l’infrastructure informatique peuvent être transférées dans quel modèle cloud.

Les modèles hybrides n’externalisent que partiellement : un fournisseur cite l’exploitation d’une base de données dans son propre centre de données et l’accès au reste de l’application via un WAN sécurisé. Lors de la comparaison avec la garantie de localisation, il convient donc de vérifier si elle couvre également la sauvegarde, le support, les accès administratifs et tous les sous-traitants.

Comparaison des modèles cloud : garantie de localisation et souveraineté des données

Étapes de contrôle pour l’acquisition

Faire divulguer les sites et les sous-traitants : liste des centres de données, des sites de secours, des sous-traitants utilisés et de la procédure en cas de changement. Le PFPDT cite explicitement les sous-traitants comme point de contrôle.

Réglementer les accès : qui obtient un accès administratif, depuis quel lieu, et dans quelles conditions le support intervient-il ? Consigner contractuellement la journalisation des accès et les droits de consultation des journaux.

Clarifier le chiffrement et la détention des clés : quelles données sont chiffrées lors du stockage, selon quelle norme, et qui gère les clés ? Préciser également comment les données déchiffrées sont traitées pendant le traitement.

Vérifier les certificats et les droits d’audit : demander des certificats valides avec leur champ d’application. Pour les activités réglementées, faire attester la conformité FINMA et convenir de droits de contrôle contractuels.

Fixer la suppression et la restitution : format et délais de la restitution des données à la fin du contrat. De même pour la suppression, y compris des copies de sauvegarde.

Avant toute communication de données personnelles à l’étranger, il convient de vérifier si elle satisfait aux exigences légales. Le résultat de cet examen et l’analyse des risques doivent être documentés, car le client, en tant que responsable, doit prouver la conformité du traitement à la protection des données.

Étapes de contrôle pour l’acquisition de services cloud avec preuve de localisation suisse

Conclusion : la preuve de localisation est une évaluation des risques

Une preuve pour les données cloud en Suisse combine des éléments techniques, organisationnels et juridiques. Cela inclut le lieu de stockage, le lieu de traitement, les voies d’accès, le chiffrement et la gestion des clés, les certificats, le contrat et la documentation.

Un centre de données suisse est un indice fort, mais pas un laissez-passer. Le CLOUD Act vise le fournisseur, pas le lieu de stockage ; pendant le traitement, les données sont présentes en clair.

Trois choses sont donc décisives : la classification des données avant l’externalisation, le contrôle des accès et une analyse des risques documentée. Ceux qui traitent des données de citoyens de l’UE doivent en outre tenir compte du RGPD.

Faits sur les données cloud en Suisse