Souveraineté numérique

Existe-t-il un cloud souverain suisse ?

Introduction : où sont vos données ?

La question de la souveraineté numérique s’est imposée graduellement dans le paysage informatique suisse.

C’est que pendant longtemps, les entreprises savaient exactement où se trouvaient leurs données : dans une salle serveur, au sous-sol, derrière une porte verrouillée...

Aujourd’hui, cette certitude a disparu !

Les données circulent, se répliquent, traversent les frontières et se retrouvent parfois sous des juridictions étrangères sans que les PME en aient pleinement conscience.

Dans un pays où la confidentialité et la stabilité sont des valeurs fondamentales, cette évolution soulève une question simple, mais essentielle : où sont réellement stockées vos données ?

Et dans ce contexte, qu’est-ce que la souveraineté numérique ?

Ce terme désigne la capacité d’une organisation à garder le contrôle sur ses informations numériques (les données, mais pas que) qu’il s’agisse de leur emplacement, de leur accès ou de leur traitement.

Pour les PME suisses, ce contrôle est devenu un enjeu stratégique : il ne s’agit plus seulement de sécurité informatique, mais de maîtrise, de conformité et de confiance, notions peu simples à appréhender dans un monde numérique largement dominé par les USA, aux valeurs pour le moins fluctuantes.

Pour comprendre pourquoi cette question est devenue si centrale, il faut regarder par-dessus notre épaule :

Le contexte historique

Comme déjà évoqué, dans les années 1980 et 90, l’informatique d’entreprise reposait sur des infrastructures locales. Les serveurs étaient physiquement présents dans les locaux, et les données ne quittaient jamais le périmètre de l’entreprise.

L’arrivée du cloud au début des années 2000 a bouleversé ce modèle.

Les géants du numérique, presque tous américains, ont proposé des infrastructures puissantes, flexibles et économiques, mais distribuées à l’échelle mondiale, et peu à peu soumises à leurs lois.

Les données ont commencé à voyager, souvent sans que les entreprises sachent précisément où elles étaient stockées.

En Suisse, ce changement a été accueilli avec prudence. Le pays a toujours accordé une importance particulière à la confidentialité, notamment dans les secteurs bancaires, assurantiel et médical.

Les révélations d’Edward Snowden en 2013 ont renforcé cette vigilance. Elles ont mis en lumière l’existence de lois extraterritoriales, comme le Patriot Act ou le Cloud Act américain, qui permettent à des autorités étrangères d’accéder à des données, même si celles-ci concernent des entreprises suisses et même si elles sont stockées en Europe, selon le bon vieux principe quasi colonial de l’exterritorialité.

La prise de conscience

Cette réalité a profondément modifié la perception du cloud international.

Pour une PME suisse, la première dimension à considérer est géographique : dans quel pays se trouvent physiquement les serveurs ?

Une donnée stockée en Suisse est protégée par la législation suisse, reconnue pour sa rigueur et sa stabilité, surtout depuis l’adoption du nLPD.

Une donnée stockée dans l’Union européenne est soumise au RGPD, un cadre solide, mais différent.

Une donnée stockée aux États-Unis peut être accessible aux autorités américaines, même si l’entreprise est basée en Suisse ; la localisation physique reste donc un critère fondamental.

Que dit la loi ?

Aux États-Unis, même si un fournisseur cloud garantit un stockage en Suisse ou en Europe, il peut être soumis à des lois extraterritoriales.

C’est le cas des entreprises américaines, qui doivent se conformer au Cloud Act de leur pays…

Cela signifie qu’un fournisseur peut être contraint de transmettre des données à une autorité étrangère, même si ces données sont stockées dans un centre de données suisse.

Pour une PME, cette situation crée une zone d’incertitude qu’il faut absolument comprendre, anticiper, voire juguler.

Et techniquement ?

En plus des réserves précédentes, les données ne sont pas toujours stockées à un seul endroit ; elles peuvent être répliquées pour des raisons de performance ou de résilience.

Une PME peut croire que ses données sont exclusivement en Suisse, alors qu’une copie se trouve en Allemagne ou aux Pays-Bas dans le cadre d’un accord de sous-traitance en matière de sauvegarde, notamment.

Les architectures cloud modernes reposent sur la distribution, et il est essentiel de vérifier les politiques de réplication, de sauvegarde et de redondance si les données sont vraiment confidentielles.

Qui va là ?

• Le prochain questionnement est opérationnel : qui peut accéder aux données ?

• Les équipes techniques du fournisseur sont-elles situées en Suisse ou à l’étranger ?

• Les données sont-elles chiffrées au repos et en transit ?

Une donnée stockée localement, mais accessible depuis l’étranger peut poser un problème de souveraineté…

La maîtrise de la chaîne complète — stockage, accès, traitement, transfert et destruction — est indispensable pour les données stratégiques de l’entreprise.

Et en suisse ?

Pour les PME suisses, la souveraineté numérique n’est pas un concept théorique. Elle a des implications concrètes sur la sécurité, la conformité et la continuité d’activité.

Une entreprise qui ignore où sont stockées ses données peut rencontrer des difficultés lors d’un audit, d’un incident de sécurité ou d’un litige. Elle peut aussi perdre la confiance de ses clients, en particulier dans les secteurs sensibles.

La Suisse dispose heureusement d’un écosystème solide pour répondre à ces enjeux. De nombreux fournisseurs cloud helvétiques proposent des solutions souveraines, avec des centres de données situés exclusivement en Suisse et soumis uniquement au droit suisse.

Ces solutions offrent un niveau de transparence et de contrôle particulièrement apprécié des PME. Elles garantissent que les données ne quittent jamais le territoire et qu’elles ne sont pas soumises à des lois étrangères.

Et les GAFAM ?

Pour autant, les solutions internationales ne doivent pas absolument être écartées. Les géants du cloud offrent des services puissants, innovants, et parfois indispensables.

L’enjeu n’est pas tant de choisir entre cloud suisse et cloud international, mais de comprendre les implications de chaque choix et de construire une stratégie adaptée.

Une PME peut très bien stocker ses données sensibles en Suisse tout en utilisant des services internationaux pour des applications non critiques.

À quoi faut-il prendre garde ?

Pour avancer, une PME doit se poser quelques questions simples, mais essentielles :

• Où sont stockées mes données ?

• Sous quelle juridiction se trouve mon fournisseur ?

• Qui peut y accéder ?

• Comment sont-elles protégées ?

• Sont-elles répliquées à l’étranger ?

• Puis-je garantir leur confidentialité en toutes circonstances ?

Ces questions permettent de clarifier la situation et de prendre des décisions éclairées.

Conclusion

Comme beaucoup de sujets, la souveraineté numérique est donc une question d’équilibre et de maîtrise. Elle ne consiste pas à se couper du monde, bien au contraire, mais à garder le contrôle sur l’or numérique du 21e siècle, la data !

Pour une PME suisse, cela signifie protéger ses informations, renforcer sa résilience et garantir la confiance de ses clients.

Dans un environnement où les données sont devenues le cœur de l’activité économique - et l’IA n’y est pas étrangère - la souveraineté numérique n’est plus une option : c’est un pilier essentiel de compétitivité et de pérennité des entreprises.