Héberger sa boutique en ligne en Suisse ou à l'étranger : quelles conséquences ?

Pourquoi la localisation de l’hébergement est un choix stratégique pour une boutique en ligne suisse

Le lieu de stockage des données d’une boutique n’est pas un choix esthétique. Trois textes se superposent sur le même serveur pour une entreprise romande : la nLPD suisse, le RGPD européen et le CLOUD Act américain. Selon le pays d’exploitation de l’infrastructure et la nationalité de l’exploitant, ce n’est pas le même texte qui détermine qui peut accéder aux comptes clients, aux commandes et aux factures.

L’enjeu engage la direction : l’amende prévue par la nLPD peut atteindre 250 000 francs et vise la personne, pas seulement la société. Une boutique qui encaisse des paiements, traite des adresses et conserve un historique d’achat manipule donc des données dont la localisation engage la responsabilité individuelle du dirigeant.

Quatre questions structurent la décision et reviennent dans chaque section : où résident physiquement les données (résidence), qui peut légalement les réclamer (souveraineté), à quelles conditions un transfert hors de Suisse est licite, et selon quels critères trier ce qui doit rester en Suisse de ce qui peut rester ailleurs.

Les chiffres qui cadrent la décision d'hébergement

Cartographier les données réellement traitées par la boutique

Avant de comparer des hébergeurs, il faut savoir ce que l’on héberge. Un inventaire type de PME distingue quatre familles : la messagerie (courriels, pièces jointes, contrats négociés par écrit, échanges avec la fiduciaire, parfois dix ans d’historique), les documents de travail (devis, procédures, présentations), la comptabilité et les RH (écritures, fiches de salaire, contrats, données médicales éventuelles, informations sensibles au sens de la loi), et le fichier clients (coordonnées, historique d’achat, notes commerciales, parfois données bancaires), matière première du chiffre d’affaires.

Une boutique en ligne y ajoute ses propres gisements. Une déclaration de protection des données d’un shop suisse montre ce qui est collecté à la simple création d’un compte client : prénom et nom, adresse postale, date de naissance, numéro de téléphone, adresse e-mail et mot de passe. S’y ajoutent les journaux serveur enregistrés à chaque visite — adresse IP, nom du fournisseur d’accès, date et heure, URL d’origine, fichier consulté, code d’état, système d’exploitation, navigateur — conservés dans cet exemple jusqu’à 24 mois au maximum.

Le point critique n’est pas la liste, mais sa dispersion. Chaque abonnement souscrit en trois clics ajoute un lieu de stockage que la direction ne voit pas : outil de newsletter, régie publicitaire, solution de paiement, gestionnaire de tickets, plugin d’analyse d’audience. Les angles morts classiques : outils gratuits ouverts par un collaborateur pour dépanner, sauvegardes dont personne ne sait où elles partent, comptes jamais fermés après un départ. Sans cette carte, aucune comparaison d’hébergeurs n’a de sens : on ne sait pas ce que l’on déplace.

Hébergement en Suisse ne veut pas toujours dire souveraineté suisse

Deux notions sont systématiquement confondues. La résidence des données désigne l’endroit où elles sont stockées physiquement. La souveraineté désigne qui peut légalement les réclamer. Un fournisseur peut cocher la première case et échouer sur la seconde : c’est ce qui fausse la plupart des décisions d’hébergement.

Les hyperscalers américains disposent de régions en Suisse : Microsoft exploite deux régions Azure (Zurich et Genève), AWS une région à Zurich depuis 2022, Google Cloud également une région à Zurich. Une boutique peut donc afficher des données « hébergées en Suisse » tout en étant cliente d’opérateurs sous contrôle américain. L’argument de la localisation s’arrête là où commence le droit.

Le CLOUD Act américain a une portée extraterritoriale : il permet aux autorités des États-Unis d’exiger d’une entreprise sous contrôle américain la communication de données, où qu’elles soient stockées. Un datacenter à Zurich exploité par une société américaine reste soumis à cette loi. Une analyse consacrée au sujet rapporte que le directeur juridique de Microsoft France a reconnu sous serment devant le Sénat que l’entreprise ne peut pas garantir que des données européennes échappent à une réquisition américaine.

L’exemple type décrit par cette analyse est celui d’une fiduciaire genevoise qui migre sa comptabilité clients vers Azure Suisse en se rassurant sur la mention « données hébergées à Zurich » : sur le papier tout est en ordre, en pratique ces dossiers restent atteignables par une autorité américaine, sans que la fiduciaire ni l’entité suisse du fournisseur puissent s’y opposer. Pour une boutique, la question n’est donc pas seulement « où sont les serveurs », mais « qui contrôle la société qui les exploite, et quel droit s’applique à elle ».

Résidence des données ≠ souveraineté : ce que chaque notion recouvre

Ce que la nLPD change pour un transfert de données hors de Suisse

Première clarification : la nouvelle loi fédérale sur la protection des données, entrée en vigueur le 1er septembre 2023, n’impose pas d’héberger les données en Suisse. Elle remplace une loi de 1992 devenue inadaptée et aligne le droit suisse sur les standards du RGPD européen. Ce qu’elle encadre, c’est la communication de données personnelles hors de Suisse.

Un transfert vers l’étranger n’est licite que si l’État de destination garantit une protection adéquate. Le Conseil fédéral tient la liste de ces pays à l’annexe 1 de l’ordonnance sur la protection des données ; les membres de l’Union européenne y figurent. Vers un pays qui n’y figure pas, l’exportateur doit mettre en place des garanties reconnues.

Le cas des États-Unis mérite une précision : ils apparaissent sur la liste des destinations adéquates, mais uniquement pour les entreprises américaines certifiées dans le cadre de transfert Suisse–États-Unis. Ce cadre existe et il est utile, mais il suppose de vérifier, prestataire par prestataire, que l’entité qui héberge réellement la boutique est bien couverte — pas seulement la maison mère qui signe le contrat.

Le transfert n’est qu’un volet. La loi s’articule autour de principes — transparence, consentement éclairé, minimisation des données, droit à l’oubli, portabilité, sécurité, responsabilité — qui portent aussi sur la gestion, l’utilisation, le stockage et la suppression des données. Héberger à l’étranger ne modifie aucune de ces obligations, et les personnes dont les droits sont violés peuvent agir en justice. Une boutique doit donc pouvoir retrouver, exporter et supprimer une donnée client même lorsqu’elle est répartie chez plusieurs sous-traitants.

Repères : de la LPD de 1992 à la reconnaissance européenne de 2024

Conséquences concrètes d’un hébergement à l’étranger pour la boutique

Les données hébergées hors de Suisse restent accessibles selon les lois du pays où se trouve le serveur. Un prestataire peut afficher « conforme RGPD » : cela ne fait pas obstacle à ce que les autorités de son pays d’origine demandent l’accès aux données qu’il stocke. C’est la mécanique du CLOUD Act, qui permet aux autorités américaines d’exiger d’une entreprise américaine l’accès à des données où qu’elles soient hébergées, y compris dans un datacenter en Suisse.

Côté clients, la charge de travail augmente. Chaque demande d’accès, de rectification ou d’effacement doit être honorée dans les délais, ce qui suppose de connaître tous les endroits où la donnée a été copiée : base de production, sauvegardes, outils marketing, historique de commandes. Un hébergeur étranger ajoute des intermédiaires, donc des délais et des dépendances, à chaque demande.

La surveillance des sous-traitants devient une tâche récurrente, pas un contrôle unique à la signature. Un an après l’entrée en vigueur de la nLPD, les responsables de traitement doivent s’assurer qu’ils effectuent des contrôles auprès de leurs sous-traitants. Or une boutique typique en compte plusieurs : hébergeur, prestataire de paiement, transporteur, outil d’e-mailing, service de support.

Reste le scénario désagréable : réquisition ou litige. Une demande d’autorité étrangère s’adresse au fournisseur, pas à la PME suisse, qui n’est pas partie à la procédure et ne peut souvent rien opposer. En cas de conflit commercial avec un prestataire établi à l’étranger, la compétence juridique et la langue de la procédure changent, ce qui pèse sur le coût et le délai de résolution.

Ce qu’apporte un hébergement en Suisse, sans automatisme de conformité

Les avantages avancés sont concrets et vérifiables. Le droit applicable au traitement est le droit suisse, et la Suisse dispose depuis septembre 2023 d’une loi renforcée. Pour les échanges avec l’Union européenne, héberger en Suisse simplifie aussi les transferts en sens inverse : par décision du 26 juillet 2000, la Commission européenne a reconnu que le droit suisse garantissait une protection adéquate des données, décision confirmée dans son rapport de janvier 2024.

S’y ajoutent des arguments opérationnels souvent cités par les prestataires romands : serveurs répartis entre Genève et Zurich, datacenters certifiés ISO 27001, électricité d’origine renouvelable, sauvegardes automatiques quotidiennes, support technique francophone joignable par téléphone, temps de réponse de l’ordre de 200 ms depuis la Suisse romande et tarifs d’hébergement d’environ 7 francs par mois pour une offre mutualisée. Ces éléments proviennent de pages commerciales : ils se vérifient au contrat, pas sur une page de vente.

La nuance est indispensable. Héberger en Suisse ne dispense ni de respecter la nLPD, ni de documenter les traitements, ni de contrôler les sous-traitants — un hébergeur suisse peut lui-même recourir à des sous-traitants hors de Suisse pour le support, la sauvegarde ou la télémétrie. Le choix du pays est une brique de la conformité, pas un certificat automatique.

Héberger sa boutique en Suisse : atouts annoncés et limites à connaître

Trier les données et les risques avant de choisir ou de migrer

Rapatrier tout par réflexe souverainiste est aussi naïf que tout laisser sans se poser de questions. La bonne entrée n’est pas « cloud suisse ou hyperscaler », mais « quelle donnée, quel risque, quelle obligation ». Appliqué à une boutique, ce tri commence par distinguer les données personnelles de commande (identité, adresse, historique d’achat), les données de paiement, les données de connexion et journaux, les contenus vitrines sans donnée personnelle, les environnements de test et les sauvegardes.

Pour chaque ligne, trois questions tranchent : quelle est la sensibilité de la donnée, quelle obligation légale la vise, et quelle conséquence financière ou de réputation en cas d’accès indu. Un fichier clients et un historique de facturation pèsent plus lourd qu’un site vitrine sans compte client ou qu’un environnement de recette alimenté par des données fictives. Documenter ce raisonnement ligne par ligne vaut mieux qu’une politique générale « tout en Suisse » que personne n’applique.

Six paramètres complètent la grille : le pays d’exploitation des serveurs, le pays de stockage des sauvegardes (souvent distinct du précédent), la nationalité de l’actionnaire de contrôle du prestataire, les accès techniques possibles depuis l’étranger, les garanties contractuelles de notification et d’audit, et la réversibilité. Ce dernier point se teste avant la migration : dans quel format et sous quel délai peut-on récupérer l’intégralité des données, y compris les sauvegardes, en cas de changement de prestataire ?

Trier ses données avant de choisir un hébergeur ou de migrer

Questions à poser à son hébergeur avant de signer

Localisation : où se trouvent exactement les serveurs de production, les serveurs de sauvegarde et les éventuelles copies de secours ? Ces trois réponses peuvent différer. Nationalité : qui contrôle la société mère du prestataire, et cette société peut-elle recevoir une demande d’une autorité étrangère ? Accès : quels accès techniques le support peut-il ouvrir depuis l’étranger, à quelles conditions et avec quelle trace ?

Sous-traitants : la liste complète des sous-traitants ultérieurs, avec leur pays et leur rôle (paiement, e-mailing, support, sauvegarde). Garanties : clauses de transfert, engagement de notification en cas de demande d’autorité, droit d’audit, mesures de sécurité, procédure de violation de données. Sortie : format d’export, délais de restitution, suppression certifiée à la fin du contrat.

Ces questions ne se posent pas une fois pour toutes : les contrôles auprès des sous-traitants sont une obligation continue pour le responsable du traitement. En Suisse, l’autorité compétente pour les questions de protection des données et de transparence publie des informations utiles aux PME ; c’est vers elle qu’il faut se tourner en cas de doute sur une clause contractuelle ou sur la licéité d’un transfert.

Questions à poser à son hébergeur avant de signer

Héberger en Suisse ou à l’étranger : une décision à documenter

Il n’existe pas de réponse unique. La nLPD n’impose pas d’héberger en Suisse : elle encadre la communication de données personnelles hors de Suisse et subordonne le transfert à une protection adéquate de l’État de destination ou à des garanties reconnues. Héberger en Suisse est un choix de souveraineté et de proximité — droit applicable, support francophone, latence, énergie —, pas une obligation générale.

Ce qui reste constant, c’est la traçabilité de la décision : pour chaque famille de données, écrire quel prestataire l’héberge, dans quel pays se trouvent serveurs et sauvegardes, qui peut légalement les réclamer, et à quelles conditions on peut repartir. Ce document se met à jour à chaque nouvel abonnement souscrit, à chaque changement de prestataire de paiement ou d’outil marketing, et à chaque analyse de risque — c’est lui, et non la mention « hébergé en Suisse », qui démontre la conformité.