En juin 2022, le Préposé fédéral à la protection des données a estimé que l’utilisation de Microsoft 365 constitue une communication transfrontière de données au sens de la nLPD même quand les serveurs sont en Suisse.

Celveo, plateforme de solutions cloud souveraines pour les PME de Suisse romande, revient régulièrement sur ce sujet lors de ses diagnostics.

La prise de position du PFPDT n’est pas un détail juridique réservé aux grandes entreprises : elle concerne toute PME qui traite des données personnelles sous Microsoft 365, qu’il s’agisse d’emails, de fichiers RH ou de conversations Teams.

Pourquoi Microsoft 365 pose un problème au regard de la nLPD

Le problème n’est pas la localisation des serveurs. Le PFPDT considère que confier ses données à Microsoft Ireland Operations Ltd, filiale d’un groupe américain, constitue une exportation de données personnelles vers l’étranger au sens des articles 16 ss. nLPD, même si les machines sont physiquement à Zurich. Ce qui déclenche les obligations de communication transfrontière, c’est la nationalité de l’entité qui exploite l’infrastructure, pas la géographie du datacenter. C’est la même raison pour laquelle un cloud souverain exige une chaîne de responsabilité entièrement suisse, et pas seulement des serveurs localisés en Suisse.

S’ajoute à cela le CLOUD Act (Clarifying Lawful Overseas Use of Data Act), adopté aux États-Unis en 2018 : il autorise les autorités américaines à exiger l’accès aux données détenues par des entreprises américaines, quel que soit le pays du serveur. Microsoft est soumis à ce dispositif. Une résidence des données activée dans la console d’administration Microsoft 365 réduit certains risques opérationnels, elle ne neutralise pas cette exposition juridique de fond. Pour une explication complète du dispositif, voir notre article « Qu’est-ce que le CLOUD Act et que risque une PME suisse ».

La controverse a depuis dépassé les PME. À Bâle, la préposée cantonale à la protection des données a émis de vives critiques contre l’usage du cloud américain dans les administrations. À Lucerne, le CISO cantonal a été suspendu après avoir soulevé des réserves sur la conformité d’un déploiement Microsoft 365. Ces épisodes sont des signaux sur ce que le PFPDT est prêt à sanctionner.

Ce que ça change concrètement pour une PME suisse

La nLPD, entrée en vigueur le 1er septembre 2023, impose de documenter les transferts de données personnelles vers des pays tiers et les garanties associées. Une PME qui utilise Microsoft 365 sans avoir signé de Data Processing Agreement à jour, sans avoir activé la résidence des données, et sans registre des traitements est en infraction documentaire, indépendamment de la qualité de son hébergeur. D’après une étude Swiss ICT de 2024, 58 % des entreprises suisses prévoient d’augmenter leurs dépenses en hébergement local dans les deux prochaines années, principalement pour des raisons de conformité. Beaucoup pensent régler ainsi le problème. Ce n’est pas suffisant sans les mesures de base.

⚠️ L’inverse est aussi vrai. Une organisation qui utilise Microsoft 365 hébergé en Europe avec un DPA signé, une résidence des données activée et un registre à jour peut être plus solide en conformité réelle qu’une PME qui paie un surcoût pour un hébergement suisse mais n’a aucune documentation. La conformité nLPD est une question de preuve, pas seulement d’hébergeur.

Lors d’un diagnostic chez une PME de services financiers genevoise de 22 collaborateurs, l’équipe Celveo a constaté que la licence Microsoft 365 Business Standard avait été achetée via un revendeur sans que le DPA ait jamais été proposé. Personne dans l’organisation ne savait qu’il existait, ni qu’il était signable directement dans le portail Microsoft. Le contrat de revente n’en faisait pas mention.

Le troisième angle est plus récent. L’activation de Copilot dans Microsoft 365 sans évaluation préalable crée un risque distinct de celui de la suite bureautique. C’est une question que nous abordons aussi dans notre article sur les alternatives à Teams et Slack sans exposition au CLOUD Act. Les données utilisées pour alimenter les modèles peuvent sortir du périmètre de résidence des données configuré pour Exchange ou OneDrive. Le PFPDT a publié plusieurs prises de position en 2023 et 2024 sur les systèmes d’IA générative, en ciblant les transferts vers des pays tiers et la limitation des finalités. Les PME qui ont activé Copilot par défaut, parce qu’il était inclus dans leur plan, ont souvent ouvert un angle mort que personne ne sait documenter.

« On a activé Copilot parce que c’était inclus dans la licence. On n’a pas pensé à vérifier où allaient les données avant de commencer à l’utiliser pour rédiger des contrats. »
Responsable administratif d’une fiduciaire vaudoise, lors d’un diagnostic Celveo

Ce que Microsoft propose, et ce que ça ne couvre pas

Microsoft a ouvert des datacenters en Suisse : Zurich (Switzerland North) et Genève (Switzerland West) et propose une option de résidence des données qui cantonne Exchange Online, SharePoint et Teams sur le territoire suisse. En août 2024, la société indiquait plus de 50 000 entreprises clientes en Suisse. La résidence des données est activable dans le Microsoft 365 Admin Center. Le DPA est signable directement dans le portail. Ce sont des mesures sérieuses.

Elles ne règlent pas la question du CLOUD Act. Le Swiss-US Data Privacy Framework, reconnu en septembre 2024, offre une base légale supplémentaire pour les transferts vers les États-Unis. Ce n’est pas la même chose que neutraliser le CLOUD Act, qui est une loi américaine de portée extraterritoriale que ni un accord bilatéral ni une résidence des données n’écarte formellement. Microsoft peut être contraint de répondre à une demande américaine sur la base de sa nationalité, indépendamment de l’endroit où les données sont stockées.

Ce que Celveo recommande

Ne pas poser la question en termes binaires. Microsoft 365 correctement configuré — DPA signé, résidence des données activée, registre des traitements à jour, Copilot évalué avant activation est une posture défendable pour beaucoup de PME. C’est un risque résiduel documenté, pas une infraction caractérisée. Le PFPDT dispose depuis la nLPD d’un pouvoir de décision contraignant : il peut ordonner la suspension d’un traitement et dénoncer les manquements aux autorités pénales.

Une PME sans aucune documentation est dans une position autrement plus fragile qu’une PME qui a fait ce travail, même avec un hébergeur américain.

Pour celles qui traitent des données sensibles, santé, droit, finance, ressources humaines et qui veulent supprimer structurellement le risque plutôt que le gérer, kSuite by Infomaniak est une infrastructure hébergée en Suisse par une société suisse sans aucune licence américaine.

Pas de CLOUD Act, pas de filiale étrangère dans la chaîne contractuelle, pas de documentation transfrontière à produire. Ce n’est pas la bonne réponse pour toutes les PME. C’est la bonne réponse pour celles qui veulent une garantie juridique, pas une gestion du risque.

Avant le prochain renouvellement de licence Microsoft, ça vaut la peine de vérifier où vous en êtes réellement. Demander votre diagnostic gratuit.