L’hébergement des données, les droits d’accès, leur possible transfert à l’étranger … Ce sont des questions qui se posent aujourd’hui pour les entreprises suisses qui optent pour un prestataire informatique, télécom ou cloud. Les exigences dans le domaine de la protection des données, mais aussi de la localisation des informations est aujourd’hui un gage de confiance majeur.
Les données : doivent-elles demeurer en Suisse ?
C’est très certainement la question qui viendra en tête de liste. La réponse ne peut être tranchée, elle nécessite de la nuance : la législation suisse n’impose pas nécessairement que toutes les données personnelles soient stockées sur le territoire national.
Les transferts internationaux sont régis par la loi fédérale sur la protection des données qui est entrée en vigueur le 1er septembre 2023. Il est possible de communiquer les données à des pays qui sont reconnus comme disposant d’un niveau de protection adapté. Dans d’autres cas, des garanties appropriées, telles que des clauses contractuelles types peuvent être attendues. Ce qu’il faut retenir, c’est que les transferts internationaux de données restent possibles sous conditions.
Pour finir, l’entreprise est tenue d’informer les personnes que leurs données vont être communiquées à l’étranger. La transparence constitue la base de toute relation de confiance.
Cloud : où sont réellement traitées les informations ?
Recourir au cloud induit ensuite une seconde série de questions. Et pour cause, les données ne sont pas systématiquement stockées et traitées au même endroit. Un fournisseur peut s’appuyer sur plusieurs centres de données, des sous-traitants, ou des infrastructures implantées dans différents pays.
De fait, il faut aller au-delà du simple hébergement. L’organisation doit connaître les lieux de stockage et de traitement, identifier les sous-traitants le cas échéant, vérifier les mesures de sécurité et comprendre les conditions d’accès aux informations.
Le traitement des données dans un nuage informatique nécessite de porter une attention spécifique aux responsabilités du fournisseur et aux garanties contractuelles. La responsabilité initiale du respect de la LPD est celle de l’entreprise qui arbitre les décisions liées au traitement des données, même en présence d’un prestataire cloud.
Opérateur télécom : un choix déterminant
La localisation des données n’est pas qu’une question juridique. Elle implique également des notions de sécurité, de disponibilité des services et de continuité des activités.
L’opérateur télécom pour entreprises en Suisse doit proposer des infrastructures locales et des solutions cloud adaptées à des besoins professionnels et apporte généralement des garanties supplémentaires. Il est nécessaire de questionner le périmètre des services proposés : hébergement, sauvegarde, accès aux données, gestion des incidents et éventuels transferts internationaux.
La transparence : le petit plus qui fait une vraie différence
Le défi pour les clients suisses, ce n’est pas nécessairement une localisation exclusivement nationale. L’enjeu, c’est avant tout de pouvoir localiser leurs données, déterminer qui les traite et quelles protections sont déployées.
Les entreprises doivent anticiper ces questions pour considérer une contrainte réglementaire et en faire un avantage concurrentiel. La confiance numérique est aujourd’hui indispensable et repose en premier lieu sur une information claire et un partenaire qui saura la garantir.