Microsoft, Amazon Web Services et Google exploitent des centres de données en Europe et, dans certains cas, également en Suisse. Cela permet aux entreprises de stocker leurs données dans une zone géographique relativement proche.
Mais en matière de protection des données et de souveraineté numérique, une seule question ne suffit pas : Dans quel pays se trouve le serveur ?
Tout aussi pertinent est de savoir quelle entreprise exploite le service, à quelle loi cette entreprise est soumise et quels autres prestataires de services participent au traitement.
C'est précisément le cas pour les fournisseurs de cloud américains où le Loi CLOUD des États-Unis un rôle important.
Cet article explique pourquoi la localisation des serveurs et le siège social de l'entreprise ne sont pas la même chose, ce que signifie réellement une déclaration très remarquée de Microsoft devant le Sénat français, et à quoi les entreprises suisses doivent faire attention lors du choix d'un fournisseur d'hébergement ou de cloud.
L'emplacement du serveur et le fournisseur sont deux choses différentes
Lorsqu'un fournisseur de cloud met en avant un centre de données en Suisse ou au sein de l'Union européenne, cette information est tout à fait pertinente.
L'emplacement physique influence, entre autres, le lieu où les données sont traitées et les exigences à respecter lors des transferts de données transfrontaliers.
Cependant, il ne répond pas automatiquement à la question, aux lois desquelles le prestataire lui-même est soumis.
Une entreprise américaine reste par principe une entreprise américaine, même si certaines données sont stockées sur des serveurs à Zurich, Francfort ou Paris.
Qu'est-ce que le US CLOUD Act ?
Le Loi sur la clarification de l'utilisation légale des données à l'étranger, connu sous le nom de CLOUD Act, est une loi américaine de 2018.
En termes simples, les autorités américaines peuvent, sous certaines conditions juridiques, exiger d'un fournisseur soumis à leur juridiction la communication de données qui se trouvent en sa possession, sous sa garde ou sous son contrôle.
Il peut également être pertinent que les données concernées se trouvent physiquement en dehors des États-Unis.
Cependant, cela ne signifie pas que les autorités américaines peuvent accéder à tout moment et à leur guise à l'ensemble des données d'un fournisseur de cloud américain. Des procédures juridiques s'appliquent aux demandes de communication de données correspondantes, et les fournisseurs peuvent contester certaines ordonnances.
Pour les entreprises, une constatation importante demeure : L'emplacement physique d'un serveur à lui seul n'élimine pas les éventuelles possibilités d'accès juridique.
Ce que Microsoft a dit devant le Sénat français en 2025
Ce sujet a reçu une attention particulière en juin 2025 grâce à une audition de Microsoft France devant une commission d'enquête du Sénat français.
Le 10 juin 2025, Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, a été interrogé sur sa capacité à garantir que les données des citoyens français confiées à Microsoft ne seraient jamais transmises en vertu d'un ordre du gouvernement américain sans l'autorisation expresse des autorités françaises.
Sa réponse fut : Non, il ne pouvait pas donner une telle garantie absolue.
Cette affirmation a également été reprise plus tard dans le rapport du Sénat français sur la souveraineté numérique.
Le contexte complet est toutefois important : Microsoft a déclaré lors de la même audition qu'elle contesterait les demandes non justifiées juridiquement et qu'elle en informerait les clients dans la mesure du possible. Selon Microsoft, aucun client professionnel européen n'était concerné par un tel cas à ce moment-là.
Cette déclaration ne signifie donc pas que les autorités américaines accèdent automatiquement ou régulièrement aux données des clients européens.
Cependant, elle montre que même un emplacement de serveur européen ne peut offrir de garantie absolue contre d'éventuelles demandes de divulgation légale.
Pourquoi cette déclaration est intéressante pour les entreprises suisses
De nos jours, les entreprises suisses recourent également à de nombreux services cloud internationaux : Microsoft 365, Azure, Amazon Web Services, Google Cloud et bien d'autres plateformes font depuis longtemps partie du quotidien des affaires.
Ce n'est pas fondamentalement problématique. Les services cloud peuvent offrir des avantages considérables en matière de disponibilité, d'évolutivité, de collaboration et de sécurité.
Cependant, les entreprises doivent savoir, où vos données sont traitées et quelles entreprises y sont impliquées.
C'est pourquoi, en particulier pour les données particulièrement sensibles, le choix d'un prestataire de services ne devrait pas se baser uniquement sur des termes marketing tels que „ Swiss Region “, „ EU Region “ ou „ Data Center Switzerland “.
Ce que la loi suisse sur la protection des données exige
La loi suisse sur la protection des données n'interdit pas par principe d'utiliser des services cloud ou des fournisseurs étrangers.
Cependant, les entreprises restent tenues de protéger de manière appropriée les données personnelles et de respecter les exigences légales lors du traitement ou de la communication de données à l'étranger.
Selon le pays de destination et le traitement spécifique des données, des garanties supplémentaires ou des bases juridiques peuvent être nécessaires à cet effet.
Il est donc crucial d'analyser l'ensemble du flux de données :
- Quelles données sont traitées ?
- Où sont-ils enregistrés ?
- Quelles entreprises y ont accès ?
- Dans quels pays se trouvent ces entreprises ?
- Quels sous-traitants sont utilisés ?
- Quelles sont les mesures de protection techniques existantes ?
- Comment les données sont-elles chiffrées ?
Dans le cas de données personnelles particulièrement sensibles ou d'applications réglementées de manière stricte, la situation concrète devrait en outre être examinée sur le plan juridique.
L'hébergement européen est-il automatiquement conforme à la protection des données ?
Non.
Même un serveur en Allemagne, en France ou en Suisse ne rend pas automatiquement un site web conforme à la protection des données.
Par exemple, un site web peut être hébergé dans un centre de données européen tout en transmettant des données à des services d'analyse, de publicité, de paiement ou de cloud dans d'autres pays.
À l'inverse, l'utilisation d'un prestataire de services international ne constitue pas automatiquement une violation de la protection des données.
Ce qui est déterminant, ce sont le traitement concret des données, les entreprises impliquées, les mesures de protection techniques et les bases juridiques requises dans chaque cas.
Où se trouve l'infrastructure de CURIAWEB ?
À cet endroit également, nous souhaitons clairement faire la distinction entre le siège social et l'emplacement du serveur.
CURIAWEB est une entreprise suisse basée à Coire. Notre infrastructure d'hébergement se trouve toutefois dans des centres de données professionnels en Allemagne.
Nous ne proposons donc actuellement pas d'hébergement web avec un emplacement de serveur en Suisse et ne souhaitons pas non plus donner l'impression que c'est le cas.
Nos clients bénéficient d'un partenaire contractuel suisse et d'un support personnel depuis Coire, combinés à une infrastructure de centre de données européenne performante.
Vous trouverez de plus amples informations sur nos offres d'hébergement sous Hébergement web chez CURIAWEB.
Quelle est la différence entre CURIAWEB et un cloud américain ?
CURIAWEB n'est pas un hyperscaler mondial et ne souhaite pas le devenir.
Nous proposons de l'hébergement web classique, de l'hébergement WordPress, des services de messagerie, des noms de domaine et d'autres services liés aux sites web.
Il s'agit d'un domaine d'application différent de celui de Microsoft Azure, Amazon Web Services ou Google Cloud, par exemple. Une comparaison directe des performances n'aurait donc guère de sens.
Pour un site web d'entreprise typique, une association, un projet WordPress ou une petite boutique en ligne, un cloud hyperscale complexe n'est souvent pas nécessaire du tout.
Ici, une offre d'hébergement abordable, un support personnalisé et une infrastructure clairement définie peuvent constituer la solution la plus simple.
Un emplacement de serveur européen ne signifie pas une indépendance totale
Même avec un fournisseur d'hébergement européen, il convient de manier des termes tels que „ souveraineté numérique totale “ avec prudence.
Les infrastructures d'hébergement modernes se composent de nombreux composants : matériel, systèmes d'exploitation, composants réseau, logiciels, services de certificats, DNS, systèmes de sauvegarde et autres services externes.
Une indépendance technique ou juridique absolue vis-à-vis de l'ensemble des entreprises étrangères est difficile à atteindre dans le monde informatique d'aujourd'hui.
La question est donc plus sérieuse : Quelles sont les dépendances qui existent réellement et lesquelles d'entre elles sont pertinentes pour mes données ?
Quelle solution d'hébergement est la bonne ?
Cela dépend des données et des applications utilisées.
Pour un site web d'entreprise normal, les exigences sont différentes de celles concernant les données de patients, les dossiers d'avocats, les informations financières ou les secrets commerciaux hautement sensibles.
Lors du choix d'un fournisseur d'hébergement ou de cloud, les entreprises doivent donc vérifier au minimum les points suivants :
- Siège social du fournisseur
- emplacement physique du serveur
- droit applicable
- sous-traitants utilisés
- Chiffrement et protection des accès
- Plan de sauvegarde et de sécurité
- Support et responsabilités
- Exigences de sa propre branche
Conclusion : ne pas seulement se demander où se trouve le serveur
L'emplacement d'un centre de données est un élément important d'une décision d'hébergement. Mais ce n'est pas toute la réponse.
Quiconque prend la souveraineté des données au sérieux devrait examiner au moins trois questions séparément :
- Où se trouve le serveur ?
- Qui exploite le service ?
- À quelle législation ce prestataire est-il soumis ?
L'audition de Microsoft France devant le Sénat français a mis en lumière précisément cette différence : un lieu de stockage européen ne suffit pas à garantir de manière absolue que les données ne feront jamais l'objet d'une demande de communication étrangère.
Il serait toutefois tout aussi faux de prétendre que chaque utilisation d'un cloud américain est automatiquement non sécurisée ou non conforme à la protection des données.
La meilleure décision découle de la transparence, d'une évaluation réaliste des risques et d'une solution d'hébergement qui correspond réellement aux données traitées et à l'entreprise concernée.
