Hébergement web suisse : dans quels cas il est nécessaire
La nLPD n’impose pas d’héberger un site en Suisse. L’hébergement suisse est toutefois recommandé quand votre site traite des données sensibles (santé, RH, clients ou patients), et il devient obligatoire quand un appel d’offres public ou un contrat l’exige. Pour un site vitrine ou un blog sans données personnelles, un hébergeur de l’UE peut suffire.
Ce que signifie « héberger en Suisse »
Les serveurs sont situés en Suisse (dans ses propres centres de données pour Infomaniak) et les données y résident physiquement. Elles sont accessibles principalement aux salariés de l’hébergeur suisse et à vos collaborateurs autorisés, sans transfert systématique vers des centres situés ailleurs.
La loi suisse s’applique. Si une autorité suisse ordonne l’accès, la procédure est suisse. Si l’hébergeur n’a pas de lien suffisant avec les États-Unis pour relever de leur juridiction, une autorité américaine qui veut accéder à ces données doit en principe passer par l’entraide judiciaire internationale. Liés par la nLPD, les hébergeurs suisses appliquent les mêmes règles de protection que vous. L’hébergement suisse est l’un des volets de la souveraineté numérique.
Hébergement hors Suisse et droit américain
Le CLOUD Act américain (2018)
Le CLOUD Act permet aux autorités américaines, par une procédure légale (mandat ou injonction), d’exiger d’un fournisseur soumis à la juridiction américaine les données qu’il détient ou contrôle, où qu’elles soient stockées. Sont concernées les entreprises américaines, y compris pour les données de leurs filiales étrangères qu’elles contrôlent, et les entreprises étrangères qui ont un lien suffisant avec les États-Unis.
Si votre site est chez AWS, Google Cloud ou Azure, votre hébergeur peut être forcé de donner vos données au gouvernement américain. La localisation physique des serveurs, en Allemagne, en France ou en Suisse par exemple, ne protège pas contre le droit américain : ces entreprises sont américaines.
L’arrêt Schrems II (2020)
En 2020, la Cour de justice de l’UE a jugé insuffisantes les garanties entre l’UE et les États-Unis face aux demandes du gouvernement américain. Depuis le 15 septembre 2024, la Suisse reconnaît un niveau de protection adéquat aux entreprises américaines certifiées au Swiss-US Data Privacy Framework. Cette reconnaissance facilite les transferts, mais elle ne supprime pas le CLOUD Act : un hébergeur américain certifié reste soumis au droit américain.
L’hébergement européen
Un hébergeur européen non américain (OVHcloud en France, Gandi, Upcloud en Finlande) n’est en principe pas soumis au CLOUD Act et relève du RGPD. C’est préférable à AWS ou Azure, mais la Suisse reste plus protectrice.
Qui a besoin d’un hébergement suisse
Cas où l’hébergement suisse est requis ou recommandé
Données de santé (cabinet médical, pharmacie, dentiste, plateforme de télémédecine) : la nLPD les classe parmi les données sensibles et impose une protection renforcée ; l’hébergement suisse simplifie le respect du secret médical et l’encadrement des transferts.
Données RH sensibles (publication ou gestion de données d’employés) : la protection est plus directe avec un hébergeur suisse.
Données de clients ou de patients (CRM, dossiers patients, contrats) : un hébergeur suisse réduit les risques légaux.
Marchés publics (réponse à l’appel d’offres d’une administration suisse) : l’hébergement suisse peut être obligatoire.
Institutions publiques ou associations (commune, école, association reconnue d’utilité publique) : l’hébergement suisse est souvent attendu, et le droit cantonal ou le cahier des charges peut l’imposer.
Secteur financier (banques, assurances, conseils en patrimoine) : l’hébergement suisse est standard.
Cas où un hébergeur européen suffit
Site vitrine (horaires, équipe, services) sans données clients : l’hébergement européen (OVHcloud France, Gandi) suffit.
Blog ou contenu public (articles, guides, contenus éducatifs) sans données personnelles : un hébergeur européen peut convenir, mais l’hébergement suisse reste un avantage de crédibilité.
PME locale sans données sensibles (salon de coiffure, restaurant, petit commerce) : un hébergeur européen peut convenir, mais l’hébergement suisse simplifie la conformité nLPD.
L’hébergement américain : à éviter sauf exception
Préférez un hébergeur européen ou suisse, sauf si votre cible est uniquement américaine et que vous ne traitez aucune donnée sensible.
L’hébergement suisse comme argument commercial
« Vos données restent en Suisse » est un argument apprécié des clients, surtout dans la santé, la finance et les RH. Un cabinet médical qui migre vers un hébergeur suisse peut le mentionner dans sa politique de confidentialité. Les patients trouvent cela rassurant.
Une commune ou une école qui lance un appel d’offres précise souvent « hébergement en Suisse obligatoire » : le mentionner dans votre offre répond à cette exigence.
Coût d’un hébergement suisse
Beaucoup de dirigeants pensent que l’hébergement suisse coûte deux à trois fois plus cher, ce qui est souvent faux.
Comparaison approximative (2026)
| Hébergeur | Hébergement partagé | VPS | Cloud (VM) |
|---|---|---|---|
| Infomaniak (Suisse) | 60 à 120 CHF/an | 15 à 40 CHF/mois | 20 à 80 CHF/mois selon la capacité |
| OVHcloud (France, UE) | 50 à 100 EUR/an | 10 à 35 EUR/mois | 15 à 70 EUR/mois |
Chez AWS (États-Unis, monde), le coût dépend de l’usage : bon marché au départ, il augmente avec la croissance, et la facturation à la consommation est difficile à prévoir.
Les prix d’Infomaniak et d’OVHcloud sont proches : pour une PME suisse, passer de l’UE à la Suisse coûte rarement plus de 10 à 20 CHF/mois.
Le coût indirect : conformité
Un hébergement suisse limite les démarches juridiques de conformité. Avec un hébergement américain, il faut vérifier la certification du prestataire au Data Privacy Framework ou ajouter des clauses contractuelles, et documenter les transferts. Pour le détail des obligations, voir notre guide sur la nouvelle loi nLPD.
Questions à poser avant de signer
Où sont physiquement les serveurs ? (une adresse précise est attendue)
Qui est propriétaire de l’infrastructure ? (entreprise américaine, suisse, autre ?)
Quel droit s’applique en cas de litige ? (suisse, UE, autre ?)
Comment gérez-vous une demande d’accès gouvernementale ?
Offrez-vous des sauvegardes en Suisse également ?
Quelle est votre politique sur les transferts de données vers d’autres pays ?
Suis-je lié par le CLOUD Act américain indirectement ?
Avons-nous un contrat écrit avec clauses nLPD ?
Avez-vous une certification ISO ou un audit conforme nLPD ?
En cas de fermeture de service, comment puis-je récupérer mes données ?
À lire aussi : Cloud souverain suisse pour votre PME, Un site conforme nLPD dès le départ, La nouvelle loi nLPD, nLPD et site web
Questions fréquentes
L’hébergement suisse est-il obligatoire ?
Non. La nLPD n’impose pas d’héberger en Suisse, même des données sensibles : elle exige une protection adaptée et encadre les transferts à l’étranger. Des règles sectorielles, cantonales ou contractuelles (santé, secteur public, finance, appels d’offres) peuvent toutefois l’exiger. Pour un site vitrine ou un blog, un hébergeur européen peut suffire. En pratique, dès qu’il y a un formulaire de contact, une newsletter ou du tracking, l’hébergement suisse simplifie la conformité et renforce la crédibilité auprès de vos clients.
Peut-on utiliser AWS ou Google Cloud avec une résidence des données dans l’UE et rester conforme ?
Oui, c’est possible au regard de la nLPD : la Suisse reconnaît un niveau de protection adéquat aux États de l’UE et, depuis le 15 septembre 2024, aux entreprises américaines certifiées au Swiss-US Data Privacy Framework (vérifiez la certification du fournisseur). Les données seront stockées physiquement dans l’UE, ou en Suisse puisque AWS et Google Cloud ont des régions à Zurich, mais le CLOUD Act américain s’applique toujours. Pour les données suisses, l’hébergement suisse reste recommandé.
Infomaniak et Exoscale sont-ils les seuls hébergeurs en Suisse ?
Non. Il existe aussi Swisscom (pour les entreprises), Cloudscale et d’autres. Infomaniak et Exoscale sont accessibles aux PME.
Si je suis chez Infomaniak mais que j’utilise Shopify (Canada), est-ce un problème ?
Pas forcément sur le plan légal, mais vos données ne restent pas en Suisse. Vos données de produits et de clients vont sur les serveurs de Shopify, qui les transfère notamment au Canada et aux États-Unis. Infomaniak ne protège que le domaine et les fichiers statiques. La nLPD admet ces transferts s’ils sont encadrés et documentés ; pour que tout reste en Suisse, le CMS doit aussi y être hébergé.
Combien de temps prend une migration ?
Comptez un à trois jours pour un site simple et une à deux semaines pour un site complexe avec base de données. Prévoyez aussi un mois de chevauchement pour tester avant de basculer.
Quel est l’impact sur la vitesse entre la Suisse, l’UE et les États-Unis ?
Pour un visiteur en Suisse, la vitesse est quasi identique entre un hébergement suisse et un hébergement européen (légère différence). La latence est notable avec un hébergement américain. L’hébergement suisse ne ralentit rien pour vos visiteurs locaux, sauf si vous avez un trafic américain important.
Choix de l’hébergeur
Avant de choisir, listez les données que votre site collecte : formulaire de contact, newsletter, tracking, CRM, dossiers clients ou patients. Si elles sont sensibles, ou si un appel d’offres l’exige, choisissez un hébergeur suisse : le droit suisse s’applique et le surcoût dépasse rarement 10 à 20 CHF/mois. Sinon, un hébergeur européen peut suffire. Dans les deux cas, demandez à l’hébergeur de répondre aux dix questions ci-dessus.
