Services cloud pour les PME : stockage, contrats et exigences de sécurité

Services cloud au quotidien des PME : applications et données personnelles

Techniquement, le cloud computing signifie que des applications et logiciels, du stockage, des outils de développement, des capacités réseau ou de la puissance de calcul sont fournis à la demande via un réseau – par exemple Internet – par un prestataire de services cloud. Au lieu de maintenir ses propres serveurs et de prévoir des capacités pour les pics de charge, la PME utilise exactement les ressources dont elle a besoin à l'instant T. La facturation se fait généralement en fonction de l'utilisation ou sur base d'un abonnement. Cette définition est également reprise par le Préposé fédéral à la protection des données et à la transparence (PFPDT).

Au quotidien, les PME rencontrent le cloud à de nombreux endroits. Le PFPDT cite comme exemples typiques les outils de collaboration en ligne entre collaborateurs, les outils d'administration en ligne des adresses e-mail pour les newsletters ou le service clientèle, ainsi que les systèmes CRM en ligne. S'y ajoutent le téléchargement de vidéos sur des plateformes de streaming et le transfert de fichiers sur un serveur accessible via Internet.

Le PFPDT mentionne également Office 365 comme exemple de service cloud. Comme pour les CRM en ligne et les outils de newsletter, la question décisive pour la PME est de savoir si des données personnelles y sont traitées. (edoeb.admin.ch)

Dès lors que des données personnelles sont transférées vers un cloud dans ce cadre, le droit à la protection des données s'applique. C'est rapidement le cas dans les PME : par exemple avec les adresses clients dans l'outil de newsletter, l'historique des contacts dans le CRM ou les dossiers du personnel dans le système de fichiers. Le PFPDT identifie trois domaines nécessitant une attention particulière : le traitement sur mandat et les sous-traitants, la sécurité des données et la transmission à l'étranger. Le PFPDT fournit à ce sujet des explications concernant la LPD révisée. (edoeb.admin.ch)

Public, privé ou hybride : quel modèle correspond à votre stratégie de stockage ?

Les modèles cloud sont généralement divisés en trois types de base. Dans le cloud public, les prestataires mettent leur environnement cloud à disposition via Internet. Cet environnement est accessible au public et partagé par différents clients ; il fonctionne très souvent selon le modèle « Cloud-as-a-Service », où un montant est payé mensuellement ou annuellement pour l'utilisation. Les avantages sont l'évolutivité, la flexibilité et l'efficacité des coûts ; le plus grand inconvénient est la forte dépendance vis-à-vis du fournisseur cloud.

Les fournisseurs de services de cloud public sont par exemple Amazon Web Services (AWS) et Microsoft Azure. Ils mettent leur environnement cloud à disposition via Internet ; l'utilisation est souvent facturée mensuellement ou annuellement en tant que cloud-as-a-service.

Un cloud privé est exploité par une seule organisation ou entreprise et offre des ressources de cloud computing destinées exclusivement à cette organisation. Il peut être hébergé dans ses propres centres de données ou chez un prestataire cloud. Les clouds privés offrent plus de contrôle et de sécurité, mais sont souvent plus coûteux et moins évolutifs que les clouds publics.

Le cloud hybride combine des ressources publiques et privées et les connecte de manière à ce que les données et les applications puissent être transférées de manière transparente. Cela permet d'exécuter des charges de travail évolutives dans le cloud public, tandis que les données et applications sensibles restent dans le cloud privé. On ne peut pas dire de manière générale si le cloud public est meilleur que le cloud privé ou vice-versa : chaque modèle offre des avantages et des inconvénients différents, et le choix dépend des besoins individuels de chaque entreprise.

Comparaison des modèles cloud : public, privé et hybride

Les meilleurs prestataires informatiques à Bâle

Dernière mise à jour : 2026-10-09. Source : Google Maps.

Qui est responsable des données ? Le rôle de la PME face au prestataire

En matière de protection des données, la répartition des rôles est généralement claire : l'entreprise qui propose des services cloud agit généralement en tant que sous-traitante de traitement des données du client – c'est-à-dire de l'utilisateur du cloud. La PME en tant que cliente peut être à la fois responsable du traitement des données et elle-même sous-traitante. (edoeb.admin.ch)

Si la PME agit en tant que sous-traitante, elle doit respecter les exigences définies par le responsable pour ses traitements de données. Cela concerne notamment les PME qui travaillent pour le compte de grands clients et dont les prescriptions en matière de protection des données doivent s'appliquer jusqu'aux services cloud utilisés.

Si la PME agit en tant que responsable, elle assume elle-même la responsabilité que les traitements de données effectués par le prestataire cloud sur mandat soient conformes à la protection des données et que les droits des personnes concernées ne soient pas diminués par cette externalisation. L'externalisation à un prestataire ne libère donc pas de la responsabilité : elle déplace le traitement effectif, mais pas l'obligation de rendre des comptes de la PME.

Aspects importants de la protection des données pour les services cloud

Contrats cloud : traitement sur mandat et sous-traitance

En tant que responsable, l'utilisateur du cloud doit s'assurer et garantir contractuellement que le traitement sur mandat est conforme à la protection des données ; le PFPDT explique le traitement sur mandat. Le contrat doit préciser l'objet et la durée, le but, les types de données et les groupes de personnes concernées, ainsi que les obligations du prestataire. Cela inclut les mesures techniques et organisationnelles ainsi que la gestion des sous-traitants. (edoeb.admin.ch)

Une formulation de travail possible regroupe ces informations : « Le prestataire traite [types de données] de [groupes de personnes] pour [but] et pendant [durée]. Il met en œuvre les mesures techniques et organisationnelles convenues. Les sous-traitances et les modifications sont traitées selon la procédure d'information et d'approbation convenue. »

L'utilisation de sous-traitants nécessite une attention particulière – le PFPDT la compte, aux côtés de la sécurité du traitement des données et de la transmission à l'étranger, parmi les trois aspects centraux de la protection des données pour les services cloud. Il faut clarifier si une sous-traitance nécessite une approbation préalable, comment la PME est informée des changements et quelles obligations incombent au prestataire principal vis-à-vis de ses sous-traitants. Il s'est avéré utile d'exiger une liste actualisée des sous-traitants et de n'accepter les modifications qu'après information ou approbation préalable.

La conception individuelle des contrats a ses limites : les services cloud sont fournis en tant que solutions standardisées. La PME ne négocie donc généralement pas un contrat sur mesure, mais accepte un ensemble contractuel prédéfini avec des conditions générales et des annexes sur la protection des données. D'autant plus important est-il de vérifier avant l'introduction si cet ensemble standard couvre ses propres exigences, et de nommer consciemment d'éventuelles lacunes plutôt que de les accepter tacitement.

Checklist pour l'introduction sécurisée des services cloud dans les PME

Stockage des données dans le cloud : transmission à l'étranger

Si l'utilisation des services cloud entraîne une transmission de données à l'étranger, il faut vérifier avant la transmission si elle satisfait aux exigences légales. Le PFPDT renvoie à ses explications sur la transmission de données à l'étranger. Ce qui est décisif, ce n'est pas seulement le siège du prestataire, mais le lieu où les données sont effectivement stockées et traitées – cela inclut également les sauvegardes, les accès support et les sites des sous-traitants.

Selon l'art. 16 LPD, les données personnelles peuvent être transmises à l'étranger si la législation de l'État destinataire garantit une protection adéquate. En l'absence de protection adéquate, une transmission peut être licite avec des garanties appropriées, notamment avec des clauses contractuelles de protection des données. (edoeb.admin.ch)

La question du lieu fait donc partie des critères de sélection. Celui qui évalue un prestataire doit savoir dans quels pays se trouvent les données, qui peut y accéder et quelles garanties existent pour une transmission à l'étranger. Celui qui n'obtient pas ces informations ne peut pas non plus évaluer définitivement le respect des exigences.

Les cantons, les communes et les autorités utilisent également des solutions cloud et doivent les exploiter de manière conforme au droit et sécurisée. Pour eux, la question du lieu se pose de la même manière que pour les PME : où se trouvent les données, qui peut y accéder, et quelles garanties existent ?

Un argument supplémentaire est la résilience du système global. En raison de la mise en réseau et des grandes dépendances, la résilience de l'ensemble du système est menacée, ce qui est aussi dû à une centralisation croissante ; une panne ou une cyberattaque sur un système central a par conséquent de grandes répercussions. Hans Mäder, maire de la ville de Wil, plaide donc pour offrir des systèmes – comme c'est vécu dans la politique suisse avec le fédéralisme – de manière subsidiaire et aussi locale que possible.

Hans Mäder, maire de la ville de Wil, considère qu'une externalisation sur des serveurs américains est délicate. Il renvoie à la protection des données et au fait que les données peuvent apparaître n'importe où dans le monde et échappent ainsi de plus en plus à son propre contrôle. (switzer.cloud)

Exigences de sécurité pour les données cloud : risques et mesures

Le PFPDT cite la sécurité du traitement des données comme l'un des trois aspects centraux de la protection des données pour les services cloud. Pour la PME, cela signifie : d'abord recenser systématiquement les risques – données concernées, leur sensibilité et les conséquences possibles d'une perte, d'une falsification ou d'un accès non autorisé. Elle en déduit des mesures techniques et organisationnelles appropriées. (edoeb.admin.ch)

Pour la concrétisation, des outils éprouvés sont disponibles, auxquels le PFPDT renvoie. Cela inclut la fiche d'information privatim révisée « Risques et mesures spécifiques au cloud » (2022). De l'Office fédéral allemand de la sécurité des technologies de l'information (BSI) proviennent la brochure « Utilisation sécurisée des services cloud – Pas à pas de la stratégie à la fin du contrat » (2016) et la « Checklist pour le choix d'un service cloud » (2022). De tels instruments aident à documenter de manière compréhensible les risques et les mesures.

Selon le risque, la PME peut restreindre les accès aux données par rôles et tâches, utiliser l'authentification multifacteur et chiffrer les données stockées et transmises. Pour la restauration, des sauvegardes séparées et des tests de restauration réguliers font partie de l'examen. Les mesures choisies devraient être documentées de manière compréhensible.

En cas de violation de la sécurité des données, le responsable doit informer le PFPDT si la violation présente un risque élevé d'atteinte à la personnalité ou aux droits fondamentaux des personnes concernées (art. 24 LPD). (edoeb.admin.ch)

Une erreur répandue est de supposer qu'une sauvegarde existante suffit comme protection. Comme l'exprime eurebis dans un article sur la sauvegarde des données des PME suisses, beaucoup de PME pensent : « Nous avons une sauvegarde, donc nous sommes protégés » – et c'est précisément cela qui constitue aujourd'hui un risque, car les sauvegardes sont une proie. Une sauvegarde ne remplace ni les mesures de contrôle d'accès, d'accès et de disponibilité, ni la sécurité contractuelle. C'est une mesure parmi d'autres et elle doit elle-même être protégée, testée régulièrement et maintenue séparée du système de production.

Avantages et risques de l'utilisation du cloud dans les PME

Étapes pour une utilisation conforme des services cloud

Dépendance vis-à-vis du fournisseur et le chemin du retour

Celui qui utilise un service cloud se lie à un prestataire. Dans le cloud public, la forte dépendance vis-à-vis du fournisseur cloud est considérée comme le plus grand inconvénient du modèle. Cette liaison devient problématique lorsque les prix augmentent, qu'un service est arrêté, divisé ou que ses conditions sont modifiées, ou lorsqu'un changement devient nécessaire pour d'autres raisons.

Ce qui s'applique à la fin du contrat devrait être réglé avant la signature du contrat. Il faut clarifier le format et les moyens de la restitution des données, la date de suppression, les copies restantes dans les sauvegardes et leur durée, l'accompagnement de l'exportation et les coûts encourus à cet effet. La question de savoir si et comment la PME peut continuer à exploiter elle-même les applications, les configurations et les droits d'accès après la fin du contrat fait également partie du dossier.

Plus les propres processus sont adaptés aux spécificités d'un prestataire – modèles de données propres, intégrations, personnel formé –, plus la sortie sera coûteuse. Il vaut donc la peine de prendre en compte la dépendance dès la sélection : formats ouverts, interfaces documentées et règles claires pour la fin du contrat.