Blog
Données de paie et CLOUD Act : ce que les employeurs et éditeurs suisses doivent savoir
Paie hébergée en Suisse mais chez un prestataire américain : le CLOUD Act s'applique. Données sensibles nLPD, Swiss-US DPF, six questions à poser et options.
Article Hidora publié le 12 octobre 2026. Les chiffres, prix et comparatifs sont ceux de cette date.
Un serveur situé en Suisse ne suffit pas à mettre vos données de paie hors de portée des autorités américaines. Ce qui compte, c'est la nationalité juridique du prestataire qui les héberge. Si ce prestataire, ou sa maison mère, relève du droit américain, le CLOUD Act s'applique, où que se trouve le datacenter.
Or la paie est sans doute le jeu de données le plus sensible d'une entreprise. Il réunit, pour chaque collaborateur, identité, numéro AVS, salaire, coordonnées bancaires, absences maladie et parfois appartenance religieuse. Cet article fait le point pour les employeurs, fiduciaires et éditeurs de logiciels de paie en Suisse.
Le CLOUD Act en bref
Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) est une loi fédérale américaine adoptée en mars 2018. Elle oblige tout fournisseur de services soumis à la juridiction américaine à remettre les données qu'il a « en sa possession, sous sa garde ou sous son contrôle » lorsqu'une autorité américaine le requiert dans le cadre d'une enquête, même si ces données sont stockées hors des États-Unis.
Trois points à retenir :
- Le critère est le contrôle, pas la localisation. Une région cloud « Suisse » d'un hyperscaler américain reste concernée, car la société mère contrôle l'infrastructure.
- Le client n'est pas forcément prévenu. La demande vise le prestataire. Celui-ci peut la contester, mais une ordonnance de non-divulgation peut l'empêcher d'informer son client.
- Il n'est pas seul. La section 702 du FISA permet en parallèle une collecte à des fins de renseignement visant des personnes non américaines, avec encore moins de transparence.
La Suisse n'a pas conclu d'accord exécutif CLOUD Act avec les États-Unis. Le mécanisme reste donc unilatéral : une demande américaine peut entrer en conflit direct avec le droit suisse, et c'est au prestataire, puis à vous, d'en gérer les conséquences. Notre guide CLOUD Act et droit suisse détaille ce conflit de lois.
Pourquoi la paie est un cas à part
Un fichier de paie contient, en plus des données personnelles ordinaires, plusieurs catégories que la nLPD qualifie de données sensibles (art. 5 let. c) et qui exigent un niveau de protection renforcé.
| Donnée présente dans la paie | Statut sous la nLPD |
|---|---|
| Absences maladie, accidents, déclarations LAA et APG | Donnée sensible (santé) |
| Impôt ecclésiastique dans l'impôt à la source | Donnée sensible (convictions religieuses) |
| Cotisations syndicales retenues sur salaire | Donnée sensible (activité syndicale) |
| Saisies sur salaire, poursuites | Donnée délicate, souvent liée à des mesures administratives |
| Salaire, IBAN, numéro AVS, permis de séjour | Données personnelles à fort risque en cas de fuite |
S'y ajoutent deux obligations propres à la relation de travail. L'art. 328b CO limite le traitement aux données nécessaires à l'exécution du contrat. Et les pièces comptables doivent être conservées 10 ans (art. 958f CO), ce qui allonge d'autant la durée d'exposition.
Enfin, la responsabilité ne se délègue pas. Si vous confiez la paie à une fiduciaire ou à un logiciel SaaS, vous restez responsable du traitement et devez vous assurer que vos sous-traitants offrent des garanties suffisantes (art. 9 nLPD).
Ce que dit le droit suisse
La nLPD, en vigueur depuis le 1er septembre 2023, encadre toute communication de données à l'étranger (art. 16 et 17). Un accès par une autorité américaine à des données hébergées par un prestataire américain constitue, dans les faits, une telle communication.
Depuis le 15 septembre 2024, le Swiss-US Data Privacy Framework permet de transférer des données vers des entreprises américaines certifiées (source). Il résout la question du transfert commercial. Il ne supprime pas le CLOUD Act ni le FISA 702 : il ajoute des garde-fous et un recours via le PFPDT et une Data Protection Review Court américaine (source).
Trois limites à garder en tête :
- Fragilité politique. Ses deux prédécesseurs (Safe Harbor, Privacy Shield) sont tombés après des recours en Europe. Un cadre construit sur un décret présidentiel américain peut être modifié rapidement.
- Recours a posteriori. Le recours intervient après l'accès, pas avant, et sans que l'employé concerné sache forcément que ses données ont été consultées.
- Exigences sectorielles. Certains clients (secteur public, santé, finance régulée FINMA) exigent contractuellement un hébergement hors de toute juridiction étrangère, indépendamment du DPF.
En pratique, le DPF rend l'usage d'un cloud américain légalement défendable. Il ne rend pas le risque nul, et c'est à vous de le documenter dans votre registre des activités de traitement et, pour les données sensibles, dans une analyse d'impact (art. 22 nLPD).
Six questions à poser à votre prestataire de paie
Que vous utilisiez un logiciel SaaS, une fiduciaire ou votre propre infrastructure, ces questions suffisent à situer votre exposition.
- Qui héberge réellement les données ? Pas seulement le pays du datacenter, mais la société qui exploite l'infrastructure et sa maison mère.
- Cette société ou un de ses sous-traitants relève-t-il du droit américain ? Demandez la liste complète des sous-traitants, y compris sauvegarde, emailing, support et monitoring.
- Le support peut-il accéder aux données depuis l'étranger ? Un accès distant depuis un pays tiers est aussi une communication à l'étranger.
- Qui détient les clés de chiffrement ? Un chiffrement dont le prestataire gère les clés ne protège pas d'une demande adressée à ce prestataire.
- Que prévoit le contrat en cas de demande d'une autorité étrangère ? Notification, contestation systématique, transparence annuelle.
- Quelles certifications pouvez-vous fournir ? ISO 27001 au minimum, et un rapport d'audit récent plutôt qu'un simple logo.
Si les réponses à 2 ou 3 sont « oui », le CLOUD Act vous concerne. Ce n'est pas forcément rédhibitoire, mais cela doit figurer dans votre registre et être assumé en connaissance de cause.
Les options concrètes
| Option | Exposition CLOUD Act | Effort |
|---|---|---|
| Hyperscaler américain, région Suisse | Oui, atténuée par le DPF et le chiffrement | Faible, mais à documenter |
| Hyperscaler + chiffrement avec clés détenues par vous (BYOK/HYOK) | Réduite, pas nulle (métadonnées, clés en mémoire) | Moyen à élevé |
| Cloud opéré par une société suisse, sans maison mère étrangère | Hors champ | Faible à moyen selon la migration |
| Infrastructure interne | Hors champ | Élevé (exploitation, sécurité, PRA) |
Il n'y a pas de bonne réponse universelle. Une PME qui gère sa propre paie peut raisonnablement accepter un risque documenté. Un éditeur de logiciel de paie ou une fiduciaire qui traite les données de centaines d'employeurs est dans une autre situation : ses clients finiront par poser la question, souvent dans un questionnaire de sécurité ou un appel d'offres.
En résumé
La paie concentre des données sensibles au sens de la nLPD, conservées 10 ans, et l'employeur en reste responsable même quand il sous-traite. Le CLOUD Act s'attache au contrôle du prestataire, pas à l'emplacement des serveurs. Le Swiss-US DPF rend les transferts licites, sans faire disparaître l'accès possible des autorités américaines.
La première étape est simple : savoir qui héberge vos données de paie, et sous quel droit. Le reste en découle. Les éléments qu'Hikube peut fournir à ce sujet sont sur la page sécurité et conformité. Parlez à notre équipe.
Matthieu Robin est CEO et co-fondateur d'Hidora, opérateur cloud suisse basé à Genève. Hidora exploite Hikube, une plateforme cloud hébergée exclusivement en Suisse et non soumise au CLOUD Act. Cet article est informatif et ne constitue pas un avis juridique.
Sources
Prêt à tourner sur une infra 100 % suisse ?
14 jours d’essai, sans carte. GPU inclus selon disponibilité.