La confusion entre cloud de confiance et cloud souverain est fréquente, y compris dans des appels d’offres et des échanges avec des prestataires IT. Elle n’est pas innocente : les deux termes décrivent des niveaux de protection juridique différents, avec des conséquences directes sur la conformité nLPD et sur l’exposition au CLOUD Act.

Celveo est une plateforme de solutions cloud souveraines pour les PME de Suisse romande. Dans cet article, nous posons la distinction clairement, en expliquant d’où vient le label « cloud de confiance » et vous expliquons ce qu’il implique concrètement pour une PME suisse.

Qu’est-ce que le cloud de confiance ?

Le cloud de confiance est un label né en France, porté par le dispositif gouvernemental SecNumCloud et l’ANSSI (Agence nationale de la sécurité des systèmes d’information). Il désigne une infrastructure qui répond à des critères stricts de sécurité, de localisation des données et de protection contre les accès non autorisés, mais qui peut continuer à reposer sur une technologie sous licence d’un éditeur étranger, notamment américain.

Le cas emblématique est celui de Microsoft Azure opéré par Orange ou Capgemini dans le cadre du programme « cloud de confiance » français : les serveurs sont en France, l’opérateur est français, mais la technologie sous-jacente reste sous licence Microsoft. Cette architecture repose sur un accord contractuel entre l’opérateur français et l’éditeur américain pour limiter les accès de ce dernier aux données. C’est une barrière contractuelle, pas une barrière juridique structurelle.

En quoi le cloud souverain va plus loin ?

Un cloud souverain exclut toute dépendance juridique à une puissance étrangère, qu’elle passe par la technologie, la propriété de l’entreprise ou la structure du contrat. Ce n’est pas seulement une question de localisation des serveurs ni de nationalité de l’opérateur : c’est une question de chaîne de responsabilité complète.

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act), adopté aux États-Unis en 2018, autorise les autorités américaines à exiger l’accès aux données détenues par des entreprises américaines, y compris lorsque ces données transitent via un opérateur local sous licence. Un accord contractuel entre un opérateur français et Microsoft ne protège pas formellement contre une requête CLOUD Act adressée directement à Microsoft sur la base de la licence technologique. C’est sur ce point précis que la distinction entre cloud de confiance et cloud souverain prend une valeur juridique concrète.

Infomaniak ne repose sur aucune licence technologique américaine. Sa suite kSuite est construite sur des briques open source, OpenStack pour l’infrastructure, OnlyOffice pour la bureautique, Mattermost pour la messagerie d’équipe, ce qui exclut structurellement toute dépendance contractuelle à un éditeur soumis au droit américain. La société est suisse, indépendante, non cotée, et ses 65% de droits de vote ont été transférés à la Fondation Infomaniak, fondation d’utilité publique suisse, ce qui la rend structurellement résistante à une acquisition par un acteur étranger.

Ce que cette distinction change pour une PME suisse

Pour une PME soumise à la nLPD, cette nuance a des implications pratiques sur deux points.

D’abord sur la documentation de conformité : la nLPD, entrée en vigueur en septembre 2023, impose de documenter les transferts de données personnelles vers des pays tiers et les garanties associées. Avec un cloud de confiance basé sur une technologie sous licence américaine, cette documentation requiert des clauses contractuelles supplémentaires et une analyse du risque résiduel. Avec un prestataire suisse sans dépendance étrangère, cette démonstration est structurellement plus simple.

Ensuite sur la crédibilité vis-à-vis des clients et partenaires : selon une observation interne de l’équipe Celveo sur les diagnostics menés depuis 2024, les PME actives dans les secteurs de la fiduciaire, du droit ou de la santé sont de plus en plus interrogées par leurs propres clients sur la localisation et la protection juridique de leurs données. Répondre « nos données sont hébergées en Suisse par une société suisse sans licence américaine » est une réponse différente de « nos données sont hébergées en France dans un cloud de confiance ». Les deux peuvent être défendables, mais elles n’ont pas le même poids dans un contexte de relation de confiance avec des clients sensibles à la confidentialité.

Lors d’un audit chez un cabinet d’avocats vaudois de 8 collaborateurs, l’équipe Celveo a constaté que la direction avait choisi un hébergement qualifié de souverain par leur prestataire IT, sans avoir vérifié si la technologie sous-jacente reposait sur une licence Microsoft ou non. Le contrat ne mentionnait pas ce point. Ce type d’opacité est courant, pas nécessairement malveillant, mais il laisse le cabinet dans l’incapacité de répondre précisément à un client qui poserait la question.

Ce que Celveo recommande

Poser deux questions simples à tout prestataire qui présente son offre comme souveraine ou de confiance.

Première question : sur quelle technologie repose l’infrastructure, et cette technologie est-elle sous licence d’un éditeur soumis au droit américain ?

Deuxième question : le contrat est-il soumis au droit suisse ou au droit d’un pays tiers, et qui est l’interlocuteur contractuel en cas de litige ?

Un cloud de confiance répond à des exigences sérieuses et peut être un choix pertinent selon le contexte, notamment pour des entreprises qui ont besoin d’une intégration profonde avec des outils Microsoft. Ce n’est pas la même garantie qu’un cloud souverain, et il est utile de savoir laquelle on choisit et pourquoi, plutôt que de découvrir la distinction lors d’un contrôle ou d’une demande client.

Si vous voulez vérifier ce que garantit réellement votre prestataire actuel sur ce point, prenons contact.