Services cloud dans les secteurs réglementés : FINMA, LDEP et protection des données

Le cloud comme infrastructure de base : pourquoi les secteurs réglementés doivent regarder de plus près

Le cloud computing est, selon la définition du NIST sur laquelle s'appuie l'Association suisse des banquiers (ASB), un modèle de traitement des données. Il permet d'accéder à la demande, via un réseau, à un pool partagé de ressources informatiques configurables – à tout moment et en tout lieu. Cela inclut les réseaux, les serveurs, les systèmes de stockage, les applications et les services.

Ces ressources peuvent être provisionnées rapidement et avec un effort administratif minimal. Seule une faible interaction avec le fournisseur de services est nécessaire. Ce modèle est utilisé sous trois variantes : Infrastructure as a Service (IaaS), Platform as a Service (PaaS) et Software as a Service (SaaS). En matière de déploiement, on distingue le cloud privé, le cloud communautaire, le cloud public et le cloud hybride.

Pour l'ASB, l'utilisation des technologies cloud est un facteur critique de succès pour la Suisse et sa place financière. Sans une compréhension claire des exigences légales et réglementaires ainsi que des risques associés, cette technologie ne peut pas être utilisée de manière sécurisée, même dans le secteur financier.

La réglementation n'est donc pas un ajout à un projet cloud déjà planifié, mais fait partie intégrante de la décision architecturale et du choix du prestataire. Le modèle d'utilisation (IaaS, PaaS, SaaS) et la variante de déploiement (privé, communautaire, public, hybride) déterminent quelles obligations s'appliquent. Ils définissent également quelles mesures techniques et organisationnelles doivent être mises en œuvre.

Les trois domaines s'appuient chacun sur leurs propres instruments. Dans le secteur financier, il s'agit de la Loi sur les banques avec le secret professionnel, de la circulaire de la FINMA 2023/1 « Risques opérationnels et résilience – Banques » et du guide cloud de l'Association suisse des banquiers (ASB). Dans le secteur de la santé, ce sont la LDEP, l'ODEP, l'ODEP-DFI et la LPD qui sont cités. Pour les autorités publiques, la LPD constitue le cadre.

Les destinataires diffèrent : dans le secteur financier, il s'agit des banques et des négociants en valeurs mobilières ; dans le secteur de la santé, des prestataires de soins ainsi que des communautés et communautés principales ; dans le secteur public, des autorités publiques elles-mêmes. Dans le secteur financier, la FINMA exerce la surveillance ; dans le DPE, l'OFSP accompagne la procédure en tant que propriétaire du schéma.

En résumé : dans le secteur financier, la Loi sur les banques, la circulaire de la FINMA 2023/1 et le guide cloud de l'ASB s'appliquent ; surveillance : FINMA. Dans le secteur de la santé, la LDEP, l'ODEP, l'ODEP-DFI et la LPD s'appliquent ; surveillance : OFSP en tant que propriétaire du schéma, certification par KPMG accréditée par l'Organisme suisse d'accréditation (SAS). Pour les autorités publiques, la LPD s'applique ; les obligations comprennent la responsabilité, la base légale du traitement et la gestion des décisions individuelles automatisées.

Arrivé dans le secteur financier – mais par des voies différentes

Dans le secteur bancaire, les attentes sont concrètes. Selon l'ASB, les banques réduisent considérablement le temps nécessaire pour atteindre la maturité commerciale de produits et services innovants en migrant leur infrastructure et leurs processus vers le cloud. Elles augmentent ainsi leur compétitivité.

Les nouvelles technologies telles que l'intelligence artificielle sont utilisables dans le cloud sans grands investissements dans du matériel et des logiciels propres. L'accès à un grand pool de données et à la puissance de calcul correspondante permet l'analyse de grandes quantités de données en temps réel. Des gains d'efficacité significatifs apparaissent dans le développement et les tests de nouvelles applications et systèmes.

La pratique est plus hétérogène. Selon l'évaluation de la Haute école spécialisée de Lucerne, la migration complète a encore un caractère de « early adopter ». Des incertitudes réglementaires et des défis techniques s'y opposent, entre autres. Il n'existe pas encore de normes uniformes pour la voie optimale vers le cloud ; le chemin y menant est généralement hybride.

Des chiffres fiables sur la diffusion font défaut. Selon la HES Lucerne, il n'est pas possible de montrer statistiquement combien et quelles banques suisses opèrent déjà partiellement ou entièrement dans le cloud. L'impression que de plus en plus d'instituts optent pour cette solution repose sur l'observation du secteur, et non sur une enquête.

Les points de référence contraignants pour les instituts sont le guide cloud de l'ASB et la circulaire de la FINMA 2023/1 « Risques opérationnels et résilience – Banques ». La circulaire définit aux paragraphes 14 et suivants les fonctions critiques. Le guide offre une orientation juridique et organisationnelle ainsi qu'une aide à l'interprétation.

Une seconde voie concerne l'ordre juridique. Les banques suisses doivent mettre en œuvre une solution cloud spécifiquement adaptée aux besoins suisses – un « Swiss Cloud ». Cela permet de contourner le CLOUD Act américain.

Ce que la surveillance garde à l'œil : concentration et perte de contrôle

La FINMA constate dans le monitor des risques 2025, publié le 17.11.2025, que les services cloud et les modèles Software-as-a-Service sont de plus en plus utilisés. Cela conduit à une dépendance accrue envers quelques prestataires TIC centraux.

Selon la FINMA, cette concentration engendre non seulement des risques systémiques pour la place financière suisse en cas d'interruption ou d'accès non autorisé. Elle crée surtout des risques opérationnels pour l'institut individuel – par exemple par l'externalisation de fonctions critiques à des tiers, des incidents chez des tierces parties ou des risques tout au long de la chaîne d'approvisionnement.

Cela est aggravé par l'ampleur de l'externalisation. Des fonctions commerciales essentielles des institutions financières sont externalisées dans une mesure significative à des tiers. Pour les banques, cela inclut souvent des fonctions critiques (pour la définition, la pratique renvoie à la circulaire de la FINMA 2023/1 « Risques opérationnels et résilience – Banques », par. 14 et suiv.). La conséquence est une forte dépendance de l'institut envers ces prestataires, associée à des attentes élevées en matière de performance, ainsi qu'une perte de contrôle croissante.

Comme instrument de surveillance, le monitor des risques 2025 mentionne l'établissement d'un inventaire des externalisations essentielles. Cela doit permettre d'identifier la concentration sur quelques prestataires. Sur cette base, les actions de surveillance doivent être fondées.

Pour les instituts, cela signifie : les externalisations doivent être enregistrées individuellement, attribuées et leur criticité doit pouvoir être évaluée. Une vue agrégée des prestataires et des fonctions est une condition préalable pour identifier son propre risque de concentration.

Secret professionnel, protection des données, résilience : concrétiser les obligations

Le déménagement vers le cloud ne modifie pas la situation des obligations. Selon la position de l'ASB, les banques doivent également respecter le secret professionnel conformément à la Loi sur les banques dans le cloud. Elles doivent tenir compte des dispositions en matière de protection des données, garantir la sécurité des données et la résilience, ainsi que gérer activement les dépendances envers certains fournisseurs de cloud afin d'éviter d'éventuelles pertes de contrôle.

Ces quatre points ne sont pas des lignes directrices abstraites, mais des champs de vérification avec des conséquences concrètes pour la rédaction des contrats, la réglementation des accès, le chiffrement, les scénarios de panne et la capacité de sortie (exit).

Le guide cloud de l'Association suisse des banquiers est à la disposition des banques et des négociants en valeurs mobilières comme outil d'aide. Il offre une orientation juridique et organisationnelle ainsi qu'une aide à l'interprétation pour la gestion des services cloud.

Le guide présente des approches de solution réalisables pour concrétiser et opérationnaliser les exigences légales et réglementaires en vigueur avec des mesures techniques et organisationnelles appropriées. Il ne répond donc pas à la question de savoir si l'externalisation est autorisée, mais comment les exigences peuvent être mises en œuvre de manière démontrable dans le projet concret.

Cela est accompagné sur le plan du droit de la surveillance par la circulaire de la FINMA 2023/1 « Risques opérationnels et résilience – Banques ». Elle définit notamment le terme de fonctions critiques (par. 14 et suiv.) et sert de point de référence pour évaluer quelles activités externalisées déclenchent des exigences renforcées.

Dans la pratique, il faut donc clarifier avant le choix du prestataire : quelles fonctions sont considérées comme critiques ? Quelles données et droits d'accès se trouvent chez le prestataire ?

Il faut également clarifier : comment la disponibilité est-elle assurée en cas de panne ou de changement de prestataire ? Qui, au sein de l'institut, assume la responsabilité de la gestion de la dépendance ?

Au-delà des secteurs : protection des données et autonomie comme dénominateur commun

De nombreuses questions, chargées sur le plan de la surveillance dans le secteur bancaire, se posent dans les soins de santé et l'administration publique avec la même structure – mais avec un cadre juridique différent. La Loi sur la protection des données forme le lien.

Quiconque examine les services cloud pour les autorités publiques ou pour les prestataires de soins dans le secteur de la santé doit clarifier si les décisions sont prises de manière automatisée. Il faut également clarifier qui agit en tant que responsable et sur quelle base les données sont traitées.

Pour le secteur de la santé, la Loi fédérale sur le dossier électronique du patient (LDEP) constitue le cadre juridique. Elle est en vigueur depuis le 15 avril 2017. Elle régit l'ouverture d'un DPE, les droits d'accès des professionnels de la santé et l'accès en situation d'urgence médicale. Elle régit également l'identification des patientes et patients et des professionnels de la santé, la constitution de communautés et de communautés principales, ainsi que l'aide financière de la Confédération.

Le droit d'exécution de la LDEP se compose de deux ordonnances du Conseil fédéral et d'une ordonnance départementale. L'Ordonnance sur le dossier électronique du patient (ODEP) régit les aspects centraux de la mise en œuvre : création et accès au DPE, attribution et gestion du numéro d'identification du patient, certification des communautés et communautés principales, exigences relatives aux moyens d'identification et à leurs émetteurs, ainsi que les services de requête. Neuf annexes détaillent les métadonnées, les formats d'échange et les profils d'intégration.

Les annexes énumèrent les obligations individuellement : l'annexe 1 la structure du numéro d'identification du patient, l'annexe 3 les métadonnées pour l'échange de données interopérable et sécurisé, l'annexe 4 les formats d'échange tels que le dossier de vaccination et les informations sur les médicaments. L'annexe 5 régit les profils d'intégration pour l'échange de données transcommunautaire, également via IHE. L'annexe 6 oblige les communautés certifiées à fournir des données à l'OFSP pour l'évaluation selon l'art. 18 LDEP.

D'autres annexes concernent la procédure : l'annexe 7 les exigences minimales pour le personnel de certification, l'annexe 8 les exigences techniques et organisationnelles pour les moyens d'identification et leurs émetteurs, l'annexe 9 les métadonnées pour le service de requête concernant les établissements de santé et les professionnels selon l'art. 41 ODEP.

Chaque fournisseur de DPE est examiné, certifié et contrôlé régulièrement. Seuls les fournisseurs certifiés ont le droit d'utiliser le label de certification officiel. Ensemble, ils forment l'« espace de confiance DPE ».

L'OFSP accompagne le processus en tant que propriétaire du schéma. La certification a été réalisée par KPMG, accréditée par l'Organisme suisse d'accréditation (SAS). L'annexe 2 de l'ODEP-DFI contient plus de 400 critères de certification.

Sur le plan de la protection des données, le DPE est soumis à la Loi sur la protection des données (LPD), à la LDEP et aux lois cantonales. Les communautés principales qui proposent leurs services également à des personnes de nationalité étrangère sont en outre soumises au RGPD. Une fiche d'information fixe la compétence en matière de protection des données.

L'ODEP-DFI définit les conditions techniques et organisationnelles de la certification. Cela inclut la vérification de l'identité, des qualifications professionnelles, de l'accès aux documents ainsi que des mesures de sécurité.

Pour les cabinets et les prestataires de soins, la nouvelle Loi sur la protection des données (nLPD) est entièrement en vigueur depuis septembre 2023. Les données de santé y sont expressément considérées comme particulièrement sensibles. Les mesures techniques et organisationnelles doivent être mises en œuvre de manière démontrable, pas seulement annoncées. Les prescriptions du DPE concernant l'intégration et la journalisation doivent être mises en œuvre d'ici 2027.

Pour les logiciels de cabinet, la nLPD et la LDEP constituent la base centrale. Les médecins et les thérapeutes assument l'entière responsabilité du traitement correct des données de santé. Seules les solutions conformes aux normes légales et spécifiques au secteur en matière de TI protègent contre les risques.

L'OFSP et eHealth Suisse mettent à disposition des aides à la mise en œuvre et des fiches d'information. Cela inclut la fiche d'information « Le dossier électronique du patient et la compétence en matière de protection des données » et la fiche d'information « Top 10 des mesures de sécurité ». L'aide à la mise en œuvre « Protection des données et sécurité des données dans le DPE » décrit comment les communautés mettent en œuvre les exigences de la LPD, de la LDEP et de l'ODEP-DFI.

Le Conseil fédéral a décidé le 27 septembre 2024 une révision totale de la LDEP. Le 5 novembre 2025, il a adopté la nouvelle Loi fédérale sur le dossier électronique de santé (LDSS) ainsi que le message à l'intention du Parlement. Depuis le 1er octobre 2024, l'Ordonnance sur les aides financières pour le dossier électronique du patient (OFA-DPE) est en vigueur. L'OFSP et eHealth Suisse recueillent des suggestions concernant le droit d'exécution dans le cadre des révisions annuelles.

Pour les autorités publiques, la LPD constitue le cadre. Avant le choix du prestataire, la responsabilité, la base légale du traitement et la gestion des décisions individuelles automatisées doivent être clarifiées ; dans le DPE, les lois cantonales s'ajoutent.

L'autonomie de la personne concernée sert de fil rouge – en médecine tout comme dans le rapport de travail, où les formes numériques de traitement touchent à la sphère privée des employés.

On peut en déduire des questions de vérification transversales aux secteurs, auxquelles il faut répondre avant chaque projet cloud. Quelles catégories de données sont traitées et quelle est leur sensibilité ? Les systèmes prennent-ils des décisions individuelles automatisées ayant un effet sur les personnes ?

Les personnes concernées peuvent-elles exercer leurs droits (information, rectification, opposition) de facto si le traitement est effectué par un prestataire ? La souveraineté décisionnelle professionnelle reste-t-elle là où elle appartient légalement ?

Ce n'est que lorsque ces points sont clarifiés que le choix entre le cloud public, privé ou hybride devient une décision solide.

Les bases nommées restent : dans le secteur de la santé, la LDEP, l'ODEP, l'ODEP-DFI, la LPD, les lois cantonales et, en cas de lien avec l'étranger, le RGPD. Pour les autorités publiques, la LPD constitue le cadre ; la nLPD est entièrement en vigueur depuis septembre 2023.

Conclusion : la compétence cloud est une compétence de gouvernance

Les exigences ne se résolvent pas par une décision unique en faveur d'un prestataire ou d'un modèle de déploiement. L'ASB souligne que les banques doivent adapter continuellement leur stratégie et leur architecture cloud aux conditions changeantes de l'environnement extérieur et à leurs propres besoins. Il en va de même pour les organisations réglementées en dehors du secteur financier, qui doivent examiner continuellement leur traitement des données.

Pour le secteur de la santé, cela signifie : la certification des fournisseurs de DPE est renouvelée à intervalles réguliers. L'ODEP-DFI exige l'examen de l'identité, de la qualification professionnelle et de l'accès aux documents. Pour les autorités publiques, les prescriptions en matière de protection des données restent le point de référence.

Trois points reviennent régulièrement. Gérer activement les dépendances au lieu de simplement les fixer contractuellement – avec un inventaire des externalisations essentielles et une vue agrégée des prestataires, telle que décrite par le monitor des risques de la FINMA 2025 comme focus de surveillance.

Garantir la résilience – la sécurité des données, la disponibilité et la perte de contrôle sont des grandeurs opérationnelles, pas seulement juridiques. Intégrer le droit et la surveillance – le secret professionnel, la protection des données et les droits des personnes concernées déterminent quelles mesures doivent être démontrées techniquement et organisationnellement. La compétence cloud est donc avant tout la capacité de gérer durablement ces trois points.