Microsoft 365 et la protection des données suisses : les limites d’une conformité déléguée

21 octobre 2026Par David Papaux

La bureautique, la messagerie et le stockage collaboratif ont basculé, en quelques années, vers des suites hébergées. Pour une étude d’avocats ou une entreprise suisse, la question n’est plus de savoir si Microsoft 365 est utilisé, mais si cet usage résiste à l’examen du droit de la protection des données. L’analyse qui suit est volontairement critique : non parce que le nuage serait illicite en soi, mais parce que la conformité y devient une prestation achetée sur catalogue, difficilement vérifiable et largement dépendante d’un droit étranger. L’alternative open source auto-hébergée n’offre aucune immunité, mais elle déplace la maîtrise là où le responsable du traitement peut réellement l’exercer.

Ce que la LPD exige réellement

Depuis l’entrée en vigueur de la loi révisée sur la protection des données, le cadre est clair : principes de traitement (art. 6), sécurité appropriée compte tenu du risque (art. 9), information des personnes concernées (art. 19), analyse d’impact en cas de risque élevé (art. 22) et sanctions pénales pouvant atteindre 250 000 francs, prononcées contre les personnes physiques (art. 60 ss). Rien dans ce dispositif n’impose le nuage ni ne l’interdit ; tout exige de pouvoir démontrer, documents à l’appui, que le traitement est licite, proportionné et sûr.

Transferts à l’étranger et droit américain : le point de friction

La difficulté n’est pas technique, elle est juridique. Un hébergement européen de Microsoft 365 n’écarte pas l’application de la législation américaine aux données traitées par la maison mère et ses sous-traitants ultérieurs, notamment le CLOUD Act. La jurisprudence de l’Union sur les transferts, singulièrement l’arrêt Schrems II, a rendu cette analyse incontournable pour tout responsable établi en Suisse qui exporte des données vers les États-Unis.

La reconnaissance, par le Conseil fédéral, du Data Privacy Framework à compter du 15 septembre 2024 a adouci la situation pour les entreprises certifiées. Elle ne la résout pas. La certification couvre des entités et des catégories de données déterminées, elle est révocable, elle reste contestée et elle ne modifie ni le champ des mesures de surveillance étrangères ni la position du fournisseur de support situé hors du périmètre certifié. Pour des données sensibles au sens de l’art. 5 LPD — données de santé, poursuites, opinions politiques dans un dossier — l’exercice relève de la gageure documentaire.

La sous-traitance ne transfère pas la responsabilité

La LPD est moins formaliste que l’art. 28 du RGPD, mais le résultat est identique : le responsable du traitement demeure comptable du résultat. Or l’audit d’un code propriétaire est impossible ; il se réduit à la lecture d’attestations ISO 27001 ou de rapports SOC 2 rédigés par le fournisseur ou pour lui. Pour l’avocat, s’y ajoute le secret professionnel (art. 321 CP) : confier des dossiers à une infrastructure dont les accès échappent au contrôle effectif du cabinet n’est pas neutre, et la loi fédérale impose au surplus des précautions propres.

Sur le plan interne, l’employeur qui déploie une suite collaborative avec télémétrie, journalisation et outils de productivité doit respecter la protection de la personnalité du travailleur (art. 321a CO) ; l’accès non autorisé ou la soustraction de données par un collaborateur ou un tiers relève, lui, de l’art. 179novies CP. Ces risques existent quel que soit l’hébergement, mais ils sont plus difficiles à maîtriser lorsqu’on ignore où et par qui les journaux sont conservés.

L’analyse d’impact : un exercice souvent escamoté

L’autorité fédérale le rappelle régulièrement : l’analyse d’impact de l’art. 22 LPD doit porter sur le traitement concret, y compris son environnement juridique. Recopier le questionnaire de conformité du fournisseur n’en est pas une. Une analyse sérieuse suppose d’identifier les flux réels, les sous-traitants successifs, les lieux de stockage et de support, puis de peser le risque résiduel. C’est précisément là que les dossiers sont souvent lacunaires.

L’option open source auto-hébergée : un avantage structurel

Une suite telle que Nextcloud, associée à Collabora Online, installée sur une infrastructure choisie et administrée en Suisse, change la nature du problème. Le code est auditable, les transferts à l’étranger disparaissent, les journaux restent sous contrôle, la réversibilité est réelle et les coûts deviennent prévisibles. Ce n’est pas un argument de sympathie technologique, mais de droit : la démonstration de conformité devient possible parce que le responsable du traitement maîtrise les composants.

L’avantage est toutefois structurel, non automatique. Un serveur auto-hébergé mal mis à jour, sans authentification forte, sans sauvegardes testées, sans cloisonnement des accès ni journalisation exploitable, expose davantage qu’une grande plateforme correctement paramétrée. La LPD est neutre quant à la technologie : elle exige une sécurité appropriée et une gouvernance effective. L’auto-hébergement déplace la charge de la preuve, il ne la supprime pas, et il suppose des compétences internes ou un partenaire contractuellement engagé.

Une exigence de gouvernance, non de fournisseur

Le critère décisif n’est donc pas « nuage ou serveur local », mais la capacité de documenter le choix, de justifier la pondération, de surveiller le sous-traitant et de réévaluer périodiquement la décision. Une étude qui conserve Microsoft 365 sans analyse des transferts ni mesure de compensation prend un risque difficile à défendre ; une étude qui migre vers l’open source sans politique de sécurité ni plan de reprise n’a rien gagné. La conformité se prouve, elle ne s’achète pas.