Hébergement en Suisse et CLOUD Act : pourquoi la localisation ne suffit pas
Ce que le texte permet
Le CLOUD Act, adopté aux États-Unis en 2018, précise qu'un fournisseur relevant de la juridiction américaine doit produire les données qu'il détient ou contrôle sur réquisition, sans que la localisation du stockage y fasse obstacle.
La portée est donc rattachée à l'entité, non au territoire. Une filiale suisse d'un groupe américain, ou une entreprise suisse contrôlée depuis les États-Unis, pose la question de savoir qui exerce en fait le contrôle sur les données.
Les trois formulations à distinguer
« Vos données sont stockées en Suisse » ne dit rien sur le droit applicable au détenteur. C'est une affirmation sur la géographie.
« Nous sommes une société suisse » est plus solide, mais demande d'aller voir la structure du capital et les contrats d'infrastructure : une société suisse qui sous-traite le calcul à un hyperscaler américain n'a pas retiré le tiers de l'équation, elle l'a déplacé d'un cran.
« Il n'y a pas de tiers détenteur » est la seule formulation qui ferme la question, et elle n'est vraie que si le matériel vous appartient et se trouve chez vous.
Les questions à poser à un fournisseur
Quelle entité juridique détient contractuellement les données, et de quel droit relève-t-elle ? Une réponse qui parle de centres de données au lieu de sociétés élude la question.
Sur quelle infrastructure le calcul est-il effectué, et qui l'exploite ? Le stockage et le calcul peuvent relever d'entités différentes.
Que se passe-t-il en cas de réquisition étrangère : le fournisseur s'engage-t-il à vous en informer, et en a-t-il seulement le droit ?
Ces trois questions sont utiles précisément parce qu'elles sont désagréables. Un fournisseur qui y répond précisément vaut mieux qu'un fournisseur qui répond « Suisse ».
Les textes cités
CLOUD Act (États-Unis, 2018) — Contraint un fournisseur soumis au droit américain à produire des données qu'il détient ou contrôle, quelle que soit leur localisation de stockage.
Art. 16 nLPD — La conformité au régime de communication à l'étranger ne préjuge pas de la portée extraterritoriale d'un droit tiers.
Chaque référence est donnée avec sa portée, sans interprétation. Le sens à lui donner dans votre situation relève de votre conseil.