Garder les données de son site web en Suisse : ce que nous avons changé sur nextalp.com

Beaucoup d'entreprises suisses nous posent la même question : où vont réellement les données de leurs clients ? En vérifiant notre propre site, nous avons trouvé la réponse qu'on n'aime pas donner : une partie partait aux États-Unis. Nous l'avons corrigé. Voici comment, et ce que vous pouvez vérifier sur le vôtre.

Ce qui sortait de Suisse

Le site lui-même était hébergé en Suisse. Mais chaque visite passait d'abord par un réseau de diffusion américain (un CDN), placé devant le serveur pour accélérer et protéger le site. Concrètement, ce prestataire voyait passer l'adresse IP de chaque visiteur, les pages consultées et le navigateur utilisé.

Rien d'illégal : c'est une configuration très courante, et notre déclaration de protection des données le mentionnait. Mais elle ne correspondait pas à ce que nous recommandons à nos clients.

Ce que dit la loi

La loi fédérale sur la protection des données (LPD), en vigueur depuis septembre 2023, n'interdit pas d'envoyer des données à l'étranger. Elle pose deux conditions :

• un niveau de protection suffisant dans le pays de destination, ou des garanties contractuelles (article 16). Pour les États-Unis, le Conseil fédéral reconnaît depuis le 15 septembre 2024 les entreprises certifiées selon le Swiss-U.S. Data Privacy Framework ;
• l'information des personnes : la déclaration de protection des données doit indiquer les pays de destination et les garanties utilisées (article 19).

Un transfert vers un prestataire américain certifié est donc légal. Il reste soumis au droit américain, notamment au CLOUD Act, qui permet aux autorités américaines d'exiger des données d'un prestataire américain, même stockées hors des États-Unis. Pour un cabinet, une fiduciaire ou une entreprise qui promet la confidentialité à ses clients, la question n'est pas seulement juridique : elle touche à la confiance.

Ce que nous avons changé

• Un site statique. Les pages sont générées à l'avance en simples fichiers. Sans base de données ni application qui tourne sur le serveur, la surface d'attaque est minimale et les pages restent rapides sans intermédiaire.
• Un hébergeur suisse. Le site et son formulaire de contact sont hébergés chez METANET AG, à Zurich. Les journaux techniques du serveur restent en Suisse.
• Plus d'intermédiaire devant le site. Les visiteurs arrivent directement sur le serveur zurichois. Le prestataire américain ne gère plus que l'annuaire du nom de domaine (le DNS), qui ne voit pas les visites elles-mêmes.
• Rien de tiers dans les pages. Pas de cookie, pas d'outil de mesure d'audience, pas de publicité. Les polices de caractères sont servies par notre serveur, et non par Google Fonts.
• Un formulaire traité en Suisse. Les messages sont reçus et contrôlés par le serveur de Zurich avant de nous être transmis.

Ce que cela coûte

Un CDN apporte deux choses : une copie du site dans le monde entier, et une protection contre les attaques par saturation. Pour un site consulté surtout depuis la Suisse, la première n'apporte presque rien : un serveur à Zurich répond déjà vite à un visiteur à Genève. La seconde compte davantage pour une boutique en ligne ou un service critique que pour un site de présentation. Dans ces cas, des prestataires européens ou suisses offrent une protection comparable.

Côté budget, un hébergement web suisse classique suffit pour un site de ce type.

Ce qui reste hors de Suisse

Notre messagerie est toujours chez Google Workspace. Google s'engage par contrat à ne pas utiliser nos e-mails pour la publicité ni pour entraîner ses modèles d'IA, mais les données restent stockées dans ses centres de données, notamment aux États-Unis. Notre déclaration de protection des données le dit clairement. Une messagerie hébergée en Suisse est possible : c'est un chantier distinct, avec sa propre migration.

Vérifier votre propre site en dix minutes

• Où est le serveur ? Cherchez l'adresse IP de votre domaine sur un service de géolocalisation d'IP. Si elle appartient à un CDN, vos visites passent par lui.
• Quels services tiers chargent vos pages ? Ouvrez les outils de développement du navigateur (touche F12, onglet Réseau) et rechargez la page. Polices Google, mesure d'audience, vidéos YouTube intégrées, fenêtre de discussion, reCAPTCHA : chacun reçoit l'adresse IP du visiteur.
• Où partent les messages du formulaire ? Certains formulaires passent par un service externe avant d'arriver dans votre boîte.
• Votre déclaration de protection des données est-elle juste ? Elle doit citer chaque prestataire et chaque pays de destination. C'est souvent là que l'écart apparaît.

Si la liste vous paraît longue, ou si vous voulez savoir ce que cela changerait pour votre site, décrivez-nous votre situation : nous vous dirons ce qui part hors de Suisse et ce qu'il est raisonnable de faire.