Les organismes publics gèrent des données sensibles et sont tenus de les protéger en conséquence. La nouvelle résolution de privatim soulève à nouveau la question concrète de savoir comment les offres de cloud computing sont compatibles avec une protection efficace des données sensibles.

La conférence des La Commission fédérale de la protection des données (Privatim) déclare dans sa récente résolution, Le Conseil d'administration de l'OFCOM a décidé que «l'utilisation de solutions SaaS par des fournisseurs internationaux n'est autorisée pour les organes publics que si les données personnelles sensibles ou soumises à une obligation légale de confidentialité sont cryptées par l'organe concerné. Le fournisseur de services en nuage ne doit pas avoir accès à la clé».» [1]

En tant que spécialistes de la protection de l'information, nous partageons depuis longtemps ce point de vue et y voyons une orientation importante pour les administrations publiques.

La responsabilité particulière des pouvoirs publics

Dans le secteur privé, les informations sont généralement classées selon leur niveau de confidentialité - de «interne» à «confidentiel» ou «secret». La classification «confidentiel» et supérieure est typiquement considérée comme particulièrement digne de protection, ce qui inclut généralement les données sur les clients, les données sur le personnel, les informations sur la recherche et le développement, les chiffres financiers ou les initiatives de fusion et d'acquisition, etc.

Les entreprises privées peuvent - dans le cadre juridique - décider en toute connaissance de cause du risque qu'elles souhaitent prendre ou de l'abandon ou non de la confidentialité. Les secteurs fortement réglementés qui mettent l'accent sur la protection des données sont bien entendu exclus.

Pour les autorités, c'est différent : Elles gèrent des données qui concernent les citoyens et des institutions entières. Dans ce cas, une évaluation individuelle des risques ne suffit pas. L'administration publique doit être guidée par des lignes directrices claires - c'est précisément la raison d'être des commissaires à la protection des données et de leurs organes.

La résolution de privatim précise désormais sans ambiguïté que la protection des données sensibles doit être la priorité absolue lors de l'utilisation de services en nuage.

Principes pour une utilisation sûre du cloud

Du point de vue de la protection de l'information, deux principes centraux peuvent être dégagés :

• Principe 1 : Sans cryptage efficace, il n'y a pas de véritable protection des données.
• Principe 2 : Le fournisseur d'accès ne doit pas avoir accès aux données non cryptées. (voir aussi la résolution privatim)

Du principe à la pratique

Pour que ces principes soient efficaces au quotidien, il faut un processus structuré :

1. classer les informations

Il faut tout d'abord déterminer avec quel type de données on travaille. L'expérience montre qu'une classification purement manuelle par les utilisateurs finaux conduit à de nombreuses erreurs. La classification automatique se heurte quant à elle à des limites dès que les informations sont combinées : Plusieurs éléments insignifiants peuvent soudain donner naissance à une image globale très confidentielle. C'est là que des solutions complémentaires telles que la prévention des pertes de données ou les approches de gouvernance des données apportent un soutien. [2]

2. évaluer le lieu de stockage et de traitement

En cas de transfert ou de stockage, il convient de vérifier où les données circulent et comment la destination est caractérisée :

1. Si les données ne sont PAS confidentielles ou sensibles, leur traitement ou leur stockage dans des services SaaS internationaux peut être autorisé.
2. Si les données sont particulièrement sensibles ou confidentielles, des mesures de protection supplémentaires sont nécessaires - ou le transfert ou le stockage doit être empêché.

Les mesures de protection nécessaires en découlent.

3. mettre en œuvre des mesures de sécurité appropriées

Différentes approches sont indiquées en fonction du scénario :

1. Rediriger le stockage vers un système cible autorisé, par exemple vers sa propre infrastructure (sur site) ou vers un fournisseur de cloud local.
2. Crypter les données avant le transfert. Cela peut se faire de deux manières :
   • Pour les fichiers, une solution de gestion des droits numériques peut [3] doivent être appliquées. Si Microsoft est utilisé, il faut par exemple le double cryptage des clés pour empêcher le fournisseur d'accéder aux informations.
   • Pour les données contenues dans des applications ou des solutions SaaS, on utilise un cryptage de champ, dans lequel les données sensibles sont cryptées directement dans le champ de données.

Une protection juridique ne suffit pas

De nombreuses organisations s'appuient fortement sur l'expertise juridique et le droit en vigueur. Cela est important, mais ne remplace pas les mesures de protection techniques et organisationnelles. La conformité ne signifie pas automatiquement la sécurité ou que le risque de fuite de données est suffisamment réduit.

Les développements internationaux - par exemple les droits d'accès extraterritoriaux de certains États - font que les petits pays ne peuvent plus se fier entièrement à un ordre juridique mondial uniforme. La résolution des commissaires suisses à la protection des données tient compte de cette réalité : les administrations publiques doivent protéger les données sensibles de manière à ce qu'elles restent sous leur propre contrôle, même lorsqu'elles utilisent des services en nuage.

Comment une solution peut-elle se présenter dans la pratique ?

Comment protéger les données sensibles dans les environnements modernes de cloud computing de manière à ce que les organismes publics puissent préserver la souveraineté des données tout en profitant des avantages des services SaaS ?

Dans le domaine de la protection des informations, ce défi ne peut être relevé que par des concepts de cryptage propres.
C'est précisément là qu'intervient notre solution de cryptage «Centraya», grâce à

• des clés de chiffrement juridiquement indépendantes, générées et gérées par l'entreprise elle-même,
• une détermination centrale de l'endroit où les données sont cryptées et de la manière dont elles le sont,
• ainsi que le contrôle uniforme du chiffrement entre les différentes applications et les services en nuage.

Pour l'administration publique, cela signifie que la confiance zéro ne doit pas s'arrêter à la frontière du réseau, mais s'étendre au niveau des données, notamment dans le cloud.

Nous nous ferons un plaisir de vous montrer comment une telle stratégie peut se présenter concrètement dans votre organisation.

Notes de bas de page

[1] privatim. (24 novembre 2025). privatim.ch. De https://www.privatim.ch/de/privatim-verabschiedet-resolution-zu-internationalen-cloud-losungen/ consulté

[2] Prévention de la perte de données (DLP) aide à détecter et à empêcher les fuites de données indésirables - par exemple lors de l'envoi d'e-mails, du téléchargement vers le cloud ou de l'enregistrement sur des supports de données externes. Gouvernance des données définit le cadre organisationnel pour le traitement des données, par exemple qui peut voir, traiter ou exporter quelles informations, combien de temps elles doivent être conservées et quand elles doivent être supprimées.

[3] Une Solution de gestion des droits numériques (DRM) protège les fichiers en les chiffrant et en contrôlant leur utilisation de manière granulaire. Elle détermine donc qui peut ouvrir, modifier, transmettre ou imprimer un fichier et pendant combien de temps il peut être utilisé, même s'il a déjà quitté sa propre infrastructure.