Prenez le site d’une fiduciaire, propre, rapide et bien conçu. Dès la première page chargée, les données du visiteur peuvent partir vers quatre serveurs américains différents : Google Fonts, un pixel LinkedIn, un outil de chat support, et un plugin de formulaire hébergé aux États-Unis. L’entreprise peut ne pas le savoir, et son agence non plus. Ses clients, eux, y confient des informations comptables sensibles.
C’est le paradoxe de la conformité LPD en Suisse en 2026 : les entreprises se préoccupent de « l’hébergement en Suisse » comme d’un gage de conformité, alors que le problème se passe souvent ailleurs.
La question piège : faut-il héberger physiquement en Suisse ?
La réponse courte est non. Il faut le dire clairement, parce que beaucoup de prestataires vendent « l’hébergement suisse » comme une garantie de conformité LPD, ce qu’il n’est pas automatiquement.
La loi fédérale sur la protection des données (LPD, révisée en septembre 2023) ne fixe pas d’obligation de localisation physique des serveurs en Suisse. Elle exige que les transferts de données vers des pays tiers (hors Suisse et hors UE) soient encadrés par des garanties adéquates : un contrat de traitement de données (DPA), une décision d’adéquation ou d’autres mécanismes validés. Un hébergement dans un datacenter certifié ISO 27001 en Allemagne, avec un DPA signé, peut être conforme à la LPD.
Ce qui compte, c’est moins l’adresse du serveur que la traçabilité des données et l’existence de garanties contractuelles avec chaque prestataire qui y accède.
Les 4 risques cachés que personne ne vous montre
1. Google Fonts chargé depuis les serveurs Google
C’est l’erreur la plus répandue, et de loin. Quand un site appelle Google Fonts via une URL du type fonts.googleapis.com, il envoie l’adresse IP du visiteur à Google à chaque chargement de page. En Allemagne, plusieurs tribunaux ont sanctionné cette pratique comme violation du RGPD (analogue à la LPD). La correction est simple : télécharger les polices et les héberger avec le site. Beaucoup de sites ne l’ont pas encore faite.
2. Les pixels marketing de Meta, LinkedIn et Google Ads
Chaque pixel marketing installé sur un site envoie des données comportementales vers des serveurs américains à chaque visite. Pour un site de notaire ou de fiduciaire, cela signifie que le fait qu’un client ait visité la page « Planification successorale » ou « Restructuration d’entreprise » est connu de Facebook ou de Google. Ces informations peuvent être sensibles dans certains contextes. Sans bannière de consentement correctement configurée et sans base légale explicite, c’est une violation LPD potentielle.
3. Le CDN Cloudflare : une infrastructure américaine par défaut
Cloudflare est présent dans la chaîne d’un très grand nombre de sites suisses, souvent à l’insu du client final. Cloudflare est une entreprise américaine soumise au CLOUD Act, ce qui signifie que les autorités américaines peuvent demander l’accès aux données qui transitent par leur réseau, même si les serveurs physiques sont en Europe. C’est une réalité à documenter dans votre DPA et votre politique de confidentialité, sans qu’il y ait de quoi paniquer.
4. Les plugins WordPress avec services tiers
Un site WordPress tourne souvent avec de nombreuses extensions (les « plugins »). Chacune peut appeler des services tiers externes : des outils de traduction, des widgets de réseaux sociaux, des outils d’optimisation d’images, des systèmes de commentaires. Beaucoup de ces services sont hébergés hors d’Europe, et chaque appel constitue un transfert de données potentiel. Auditer un site WordPress existant pour identifier ces fuites prend plusieurs heures de travail.
Datacenter allemand ou hébergeur suisse : la comparaison
On travaille avec deux options selon les situations :
- Datacenter à Francfort (Allemagne, UE) : notre option par défaut quand nous hébergeons le site, en option ou dans l’abonnement, avec un contrat de sous-traitance (DPA) signé avec l’hébergeur et une latence d’une douzaine de millisecondes depuis Zurich. Vos fichiers et votre base ne sont stockés ni chez Amazon, ni chez Google, ni chez Microsoft. Le pare-feu qui protège le site (Cloudflare, société américaine) voit les adresses IP et les journaux de connexion, jamais le contenu de votre base.
- Infomaniak Genève (Suisse) : option recommandée pour les secteurs les plus sensibles (études notariales, fiduciaires, cabinets médicaux, gestion de fortune). Infrastructure 100 % suisse, propriété d’un groupe genevois, certifié ISO 27001 et 14001, énergie 100 % renouvelable. Possible avec l’entretien Permanence, sur devis.
Dans les deux cas, le DPA est signé avant la mise en service, et l’adresse IP du serveur est communiquée à la signature du contrat.
Une précision : si vous utilisez aussi la dictée de notre outil de devis et factures, l’audio est transcrit par Groq, aux États-Unis ; le texte, dicté ou tapé, est ensuite mis en lignes par Anthropic (Claude), société américaine. Le site que nous livrons n’en dépend pas. La liste de nos sous-traitants, avec l’endroit où ils traitent les données, est publiée sur notre page des données personnelles.
Ce qui se passe en cas de plainte au PFPDT
Le Préposé fédéral à la protection des données et à la transparence (PFPDT) peut être saisi par n’importe quel particulier qui estime que ses données ont été traitées de façon non conforme. Depuis la révision de la LPD en 2023, le PFPDT a des pouvoirs renforcés, dont la capacité d’imposer des injonctions et de publier ses décisions.
En pratique, une plainte déclenche une procédure d’enquête. Le PFPDT demande à l’entreprise de documenter ses traitements de données, ses DPA avec ses sous-traitants, et ses mesures de sécurité. Dans cette enquête, un hébergeur suisse protège moins qu’une politique de confidentialité à jour, des DPA en place avec chaque prestataire, et un site qui ne transfère de données vers des tiers que pour des raisons documentées et consenties.
Ce qu’on intègre par défaut dans chaque projet
Sur chaque site qu’on construit pour une fiduciaire, une étude notariale ou un cabinet médical : polices d’écriture auto-hébergées, aucun pixel marketing américain activé par défaut et, si nous hébergeons le site, un DPA signé avec l’hébergeur avant la mise en service. Une politique de confidentialité rédigée pour votre activité se chiffre sur devis.
Si la conformité de votre présence en ligne vous préoccupe pour une raison précise (secret professionnel, données comptables, dossiers patients), deux ressources complètent ce point. Notre offre dédiée aux études détaille comment on traite ces contraintes : sites web pour études notariales vaudoises. Et la question du référencement local, souvent liée, est traitée à part : SEO local pour études notariales.
Vérifier la conformité de votre site
Donnez-nous l’adresse de votre site actuel et deux lignes sur votre activité : on vous répond sous 24 heures ouvrées avec la liste de ce qui part à l’étranger chez vous (polices, pixels, extensions, hébergeur), ce qu’il faut corriger en premier, et le prix exact si vous voulez qu’on s’en charge. Vous restez libre de confier la correction à votre prestataire actuel.