☁️ SwissFarms
Hébergement en Suisse : mythe ou nécessité ? Ce que la nLPD dit vraiment
CT
"Hébergez en Suisse" est devenu un argument de vente. Mais entre l'obligation légale réelle et le marketing de la souveraineté, la frontière est plus floue qu'on ne vous le dit.
14/07/2026
10:10
Ce que la loi impose réellement
La nLPD, entrée en vigueur le 1er septembre 2023, ne contient aucune obligation générale d'héberger les données en Suisse. Ce qu'elle impose, c'est un cadre pour les transferts de données personnelles vers l'étranger. Concrètement : vous pouvez transférer des données vers un pays tiers si ce pays offre un niveau de protection adéquat reconnu par le Conseil fédéral, ou si des garanties appropriées sont en place — clauses contractuelles types, règles d'entreprise contraignantes, ou autres mécanismes reconnus. L'Union européenne, par exemple, bénéficie d'une reconnaissance d'adéquation. Héberger des données dans un datacenter allemand ou irlandais soumis au RGPD est donc possible sous nLPD, à condition que le cadre contractuel soit correctement établi. Le mythe de "l'hébergement suisse obligatoire" vient d'une confusion entre ce qui est prudent et ce qui est requis. Héberger en Suisse simplifie la conformité. Cela ne la garantit pas — et cela ne la remplace pas.
Ce qu'on observe dans les PME et communes romandes
Dans une PME de services de 30 collaborateurs, nous avons rencontré une situation fréquente : l'organisation avait payé un surcoût significatif pour une offre "100% suisse", en pensant régler définitivement sa conformité nLPD. Mais aucun registre des traitements n'existait, aucun contrat de sous-traitance n'avait été formalisé, et les sauvegardes partaient vers un service tiers hors de Suisse. L'hébergement suisse ne compensait pas l'absence des mesures de base. À l'inverse, une commune vaudoise utilisait Microsoft 365 hébergé en Europe, avec un DPA correctement signé, une configuration de résidence des données activée, et un registre des traitements à jour. Elle était plus solide, en termes de conformité réelle, que la PME "100% suisse" sans documentation. L'hébergement suisse est une option, pas une obligation. Ce qui est obligatoire, c'est de savoir où sont vos données, d'encadrer contractuellement leurs transferts, et de documenter le tout. Un hébergement suisse sans ces éléments ne vous protège pas. Un hébergement européen avec ces éléments peut être parfaitement conforme.
Les 3 questions à se poser avant de payer
1. Où sont réellement traitées vos données ? Avant de choisir où héberger, cartographiez où vos données vont aujourd'hui. Beaucoup d'organisations paient pour un hébergement suisse principal tout en laissant des flux secondaires — sauvegardes, outils SaaS annexes, analytics — partir hors de Suisse sans le savoir. La localisation du serveur principal ne dit rien des flux périphériques. 2. Le cadre contractuel est-il en place ? Que vous hébergiez en Suisse ou en Europe, la question du contrat de traitement (DPA) reste centrale. Un hébergement suisse sans DPA formalisé n'est pas plus conforme qu'un hébergement européen sans DPA. Le contrat prime souvent sur la géographie. 3. Quel est votre besoin réel de souveraineté ? Certaines données — santé, données sensibles d'administrés, secrets professionnels — justifient pleinement un hébergement suisse. D'autres non. Payer un surcoût de souveraineté sur des données qui ne l'exigent pas est une dépense mal orientée. La bonne question n'est pas "suisse ou pas", mais "quelles données, quel niveau de protection".
L'approche Computis : payer pour la souveraineté là où elle est nécessaire
La souveraineté des données n'est pas une case à cocher, c'est une décision qui se prend données par données, en fonction de leur sensibilité réelle et de vos obligations effectives. Chez Computis, notre approche fonctionne en trois temps. D'abord, un audit préliminaire : cartographie de vos flux de données, localisation effective, analyse des contrats existants, évaluation de votre exposition nLPD réelle. Ensuite, les recommandations : quelles données justifient un hébergement suisse, lesquelles sont conformes en Europe avec le bon cadre, où formaliser des DPA. Enfin, la mise en œuvre : migration ciblée quand c'est justifié, mise en place des garanties contractuelles, registre des traitements conforme. L'objectif n'est pas de tout migrer en Suisse à tout prix. C'est de payer pour la souveraineté là où elle est nécessaire — et pas là où elle ne l'est pas.
La nLPD n'impose pas l'hébergement suisse, elle impose d'encadrer les transferts. Ce que la loi exige vraiment vs l'argument marketing.
FAQ
La nLPD nous oblige-t-elle à héberger nos données en Suisse ?
Non. La nLPD n'impose pas l'hébergement suisse. Elle impose que les transferts de données vers l'étranger soient encadrés par des garanties appropriées — reconnaissance d'adéquation, clauses contractuelles types, ou autres mécanismes reconnus. L'hébergement suisse est une option qui simplifie la conformité, pas une obligation.
Alors pourquoi tant de fournisseurs insistent sur "l'hébergement 100% suisse" ?
Parce que c'est un argument de vente efficace et rassurant. Il n'est pas faux — un hébergement suisse simplifie effectivement certains aspects de la conformité. Mais il est souvent présenté comme une solution complète alors qu'il ne remplace ni le DPA, ni le registre des traitements, ni la cartographie des flux.
Peut-on être conforme nLPD avec Microsoft 365 ou Google Workspace hébergés en Europe ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT ou juridique dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe — vous avez un interlocuteur unique qui assure l'audit, la cartographie, la mise en conformité et le suivi.
Nous n'avons pas d'équipe IT interne — Computis peut-il gérer tout cela à notre place ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT ou juridique dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe — vous avez un interlocuteur unique qui assure l'audit, la cartographie, la mise en conformité et le suivi.
Comment fonctionne l'audit préliminaire Computis sur ce sujet ?
L'audit préliminaire est une prestation payante qui produit un rapport documenté : cartographie de vos flux de données, localisation effective, analyse des contrats et DPA existants, évaluation de votre exposition nLPD, recommandations priorisées sur ce qui justifie un hébergement suisse et ce qui ne l'exige pas. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous.
Sujets abordés
Hébergement Suisse, nLPD, Souveraineté données, SwissFarms, Cloud, PME Suisse
nLPD
Souveraineté données
SwissFarms
Cloud
PME Suisse
Payez-vous pour un hébergement suisse dont vous n'avez pas besoin, ou en manquez-vous là où il serait nécessaire ?
Chez Computis, nous réalisons un audit préliminaire de vos flux de données et de votre exposition nLPD pour les PME et communes romandes sans équipe IT dédiée. Localisation, contrats, souveraineté — rapport documenté. Notre audit préliminaire est payant et sérieux. Son coût est intégralement déduit de la prestation si vous décidez de travailler avec nous. Cybersécurité, cloud ou réseau — un seul interlocuteur chez Computis.
