Banque, cabinet médical, étude : ce que ces clients imposent à votre cloud

TLDR — Un client réglementé n’ajoute pas une clause à votre contrat : il ajoute du droit pénal. L’art. 47 de la loi sur les banques (LB, RS 952.0) punit la violation du secret bancaire, y compris lorsqu’elle est commise par le tiers à qui le secret a été confié, et connaît une variante par négligence. L’art. 321 CP (RS 311.0) soumet médecins, dentistes, pharmaciens, avocats, notaires — et leurs auxiliaires — au secret professionnel : l’auxiliaire est punissable pour lui-même. La LPD ne fait que s’ajouter : données de santé sensibles (art. 5 let. c), consentement exprès (art. 6 al. 7), analyse d’impact (art. 22), sous-traitance ultérieure soumise à autorisation préalable (art. 9 al. 3), annonce des violations au PFPDT dans les meilleurs délais (art. 24), amende jusqu’à 250 000 francs pour une sous-traitance non conforme (art. 61). Un mandat pour une commune vaudoise vous fait en outre changer de loi : LPrD (BLV 172.65) et APDI, pas LPD et PFPDT. Un DPA signé et un datacenter à Zurich ne règlent aucun de ces points.

---

« On a signé un DPA et on héberge en Suisse »

C’est la réponse standard des agences et éditeurs SaaS vaudois à un prospect bancaire, médical ou juridique. Elle traite une partie de la LPD, et rien de ce qui rend ces mandats différents.

Premièrement, le secret bancaire et le secret professionnel sont des infractions pénales, pas des obligations contractuelles. On ne s’exonère pas d’une norme pénale par une clause de limitation de responsabilité. Le contrat répartit les dommages ; il ne supprime pas l’infraction.

Deuxièmement, la LPD elle-même renvoie au secret. L’art. 9 al. 1 LPD, état au 7 juillet 2025 :

« Le traitement de données personnelles peut être confié à un sous-traitant pour autant qu’un contrat ou la loi le prévoie et que les conditions suivantes soient réunies: a. seuls sont effectués les traitements que le responsable du traitement serait en droit d’effectuer lui-même; b. aucune obligation légale ou contractuelle de garder le secret ne l’interdit. »

La lettre b est la charnière : si une obligation de secret interdit la sous-traitance, le DPA le mieux rédigé ne la rend pas licite, il documente une opération qui n’aurait pas dû avoir lieu. Troisièmement, un mandat public vaudois ne relève pas de la LPD fédérale du tout.

Le secret bancaire : art. 47 LB

Le secret bancaire suisse n’est pas une tradition : c’est une disposition pénale, l’art. 47 de la loi fédérale sur les banques et les caisses d’épargne (LB, RS 952.0). Ce qui suit en restitue la substance ; le texte officiel n’a pas pu être lu mot pour mot (voir l’avertissement). Trois éléments comptent pour un prestataire.

• Vous êtes dans le cercle des auteurs possibles. L’art. 47 al. 1 vise la révélation d’un secret confié ou connu en qualité d’organe, d’employé, de mandataire ou de liquidateur d’une banque. Un prestataire mandaté par un établissement bancaire est un mandataire. Vous n’êtes pas à côté du dispositif : vous êtes dedans.
• La révélation par le tiers à qui le secret a été confié est elle aussi visée. La disposition n’atteint pas seulement le banquier qui parle : elle atteint aussi celui à qui le secret a été confié et qui le révèle à son tour, ou l’exploite à son profit ou au profit d’un tiers. Recevoir légitimement la donnée ne vous met pas hors du champ pénal ; cela vous y fait entrer.
• Il existe une variante par négligence. L’infraction de base est intentionnelle, mais l’art. 47 punit aussi de l’amende celui qui agit par négligence. Un bucket mal configuré, un dump envoyé sur un canal de support public ou un accès d’administrateur laissé ouvert après un départ ne relèvent alors pas seulement de la mauvaise exécution contractuelle.

La violation reste par ailleurs punissable après la fin du mandat.

Ce que la FINMA exige de la banque — et donc de vous

L’externalisation bancaire est réglée par la circulaire FINMA 18/3 « Outsourcing ». Référence et intitulé ont été vérifiés dans le document « Destinataires des circulaires FINMA » publié par la FINMA ; le texte de la circulaire n’a pas pu être ouvert, et nous n’en citons donc ni les numéros de marge, ni la date d’entrée en vigueur.

Le principe se retrouve dans tous les cahiers des charges bancaires : l’établissement reste responsable de la fonction externalisée. Il doit pouvoir démontrer qu’il sélectionne, instruit et contrôle son prestataire ; qu’il dispose d’un droit d’audit ; qu’il a un plan de sortie exécutable ; et que la FINMA comme la société d’audit peuvent accéder aux données externalisées.

Ces exigences pèsent sur la banque, pas sur vous. Mais elle n’a qu’un moyen de les tenir : les répercuter dans votre contrat. Si votre infrastructure mutualisée n’admet aucun regard extérieur, vous ne serez pas retenu — l’établissement ne peut pas signer.

Le secret professionnel : art. 321 CP, et surtout l’auxiliaire

L’art. 321 CP protège le secret professionnel. Il vise notamment les ecclésiastiques, avocats, notaires, médecins, dentistes, chiropraticiens, pharmaciens, sages-femmes et psychologues — et, expressément, leurs auxiliaires. L’infraction se poursuit sur plainte. Ici encore, restitution en substance : le texte officiel n’a pas pu être lu verbatim.

Le point décisif tient en une phrase : l’auxiliaire est lui-même soumis au secret et lui-même punissable. Ce n’est pas le médecin qui répond à votre place ; c’est vous qui répondez, en votre nom, devant le juge pénal.

C’est ce qui distingue ces mandats de tous les autres. Ailleurs, votre exposition est contractuelle : dommages-intérêts, pénalités, résiliation. Ici, elle est personnelle et pénale, et elle atteint les personnes physiques de votre équipe qui accèdent aux données — développeurs d’astreinte, administrateurs système, support de niveau 2.

D’où l’inutilité de la clause « le prestataire s’engage à la confidentialité ». Vous n’êtes pas tenu au secret parce que vous l’avez promis, mais parce que la loi vous y soumet. Ce que le contrat doit organiser, c’est la liste nominative des personnes qui accèdent, la traçabilité de leurs accès, et ce qu’il advient d’elles quand elles quittent l’équipe.

Ce qui débloque réellement le cloud médical

Si l’auxiliaire est soumis au secret, comment un cabinet peut-il légalement confier son dossier patient à un hébergeur ? Par les tempéraments que la loi prévoit. L’art. 321 al. 2 CP écarte la punissabilité lorsque la révélation intervient avec le consentement de l’intéressé, ou lorsque l’autorité supérieure ou de surveillance l’autorise par écrit, sur proposition du détenteur du secret. L’art. 321 al. 3 CP réserve les dispositions de la législation fédérale et cantonale statuant une obligation de renseigner une autorité ou de témoigner en justice. Le libellé exact de ces deux alinéas n’a pas pu être vérifié : il est restitué en substance et doit être contrôlé avant de fonder une architecture dessus.

Ce n’est donc pas votre contrat de service qui débloque quoi que ce soit : c’est le consentement du patient ou du client, ou une décision de l’autorité — un acte qui ne vous appartient pas et que vous devez exiger par écrit avant la mise en production. Et un consentement se retire.

Pour les avocats, une modification législative sur le recours à des auxiliaires est régulièrement évoquée : nous n’avons pas pu la vérifier et ne l’affirmons pas.

Les données de santé sont des données sensibles

Superposée au secret pénal, la LPD ajoute son régime. L’art. 5 let. c range parmi les données sensibles, notamment :

« les données sur la santé, la sphère intime ou l’origine raciale ou ethnique »

Trois conséquences.

1. Consentement exprès. L’art. 6 al. 7 let. a LPD : le consentement « doit être exprès » lorsqu’« il s’agit d’un traitement de données sensibles ». Un opt-out, une case précochée ou une acceptation de conditions générales ne sont pas un consentement exprès.
2. Analyse d’impact. L’art. 22 al. 2 let. a LPD retient un risque élevé notamment en cas de « traitement de données sensibles à grande échelle ». Une plateforme de rendez-vous médicaux ou un outil de télémédecine y tombent — et l’AIPD incombe au responsable du traitement, votre client, sur la base d’informations que vous seul possédez.
3. Sécurité et sous-traitance. L’art. 8 al. 1 LPD impose « par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru » ; l’art. 9 al. 2 oblige le responsable à « s’assurer que le sous-traitant est en mesure de garantir la sécurité des données » ; l’art. 9 al. 3 soumet toute sous-traitance ultérieure à « l’autorisation préalable du responsable du traitement ».

Un client communal ou cantonal : vous changez de loi

Un mandat pour une commune vaudoise, un service de l’État ou un délégataire de tâche publique ne relève pas de la LPD fédérale, mais de la loi du 11 septembre 2007 sur la protection des données personnelles (LPrD, BLV 172.65), sous la surveillance de l’Autorité de protection des données et de droit à l’information (APDI) — et non du PFPDT. Le champ d’application est fixé à l’art. 3 LPrD ; la communication à des tiers relève de l’art. 15 ; la sous-traitance, de l’art. 18. L’APDI l’écrit sans détour :

« Le recours à des prestations ou solutions informatiques de tiers est de plus en plus fréquent. Il constitue un cas de sous-traitance au sens de l’article 18 de la loi du 11 septembre 2007 sur la protection des données personnelles (LPrD ; BLV 172.65) »

Conséquence pour votre contrat : le DPA calqué sur la LPD ou sur le RGPD vise les mauvaises normes, la mauvaise autorité et les mauvaises voies de recours. Un marché public vaudois se perd sur ce détail. Visez les articles de la LPrD, l’APDI comme autorité de surveillance, et les voies de droit cantonales.

Ce que cela change dans votre contrat et votre architecture

Point	Mandat ordinaire	Client réglementé ou public
Localisation	« Suisse ou UE », sans plus	Localisation nommée du site principal, du site de secours et des sauvegardes, avec interdiction de réplication hors périmètre
Chiffrement	« Données chiffrées au repos et en transit »	Qui détient les clés, où, et qui peut techniquement déchiffrer ; le prestataire qui détient la clé détient le secret
Sous-traitance ultérieure	Liste annexée, modifiable par notification	Approbation préalable écrite au cas par cas (art. 9 al. 3 LPD)
Audit	Rarement prévu	Droit d’audit du client, de son auditeur et, en banque, de la FINMA et de la société d’audit
Incident	« Dans les meilleurs délais » (art. 24 al. 1 LPD, envers le PFPDT)	Délai contractuel court fixé en heures, vers le client, pour lui permettre de tenir le sien
Réversibilité	Export sur demande	Format documenté, délai ferme, et suppression prouvée — attestation couvrant les sauvegardes
Administrateurs	Non traité	Liste nominative, accès sous double validation, journalisation inaltérable, révocation le jour du départ

La dernière ligne mérite d’être isolée. Dans presque toutes les architectures, l’équipe d’exploitation lit les données en clair et personne ne pose la question. Face à un secret pénalement protégé, c’est la première : combien de personnes, nommément, peuvent lire un dossier patient ou un relevé de compte, et comment le prouvez-vous ?

Le point qu’on oublie

L’accès potentiel d’une autorité étrangère aux données détenues par un hébergeur étranger — ou par la filiale suisse d’un groupe étranger — n’est pas neutralisé par une clause contractuelle : celle-ci n’oppose rien à une injonction fondée sur le droit applicable au destinataire. Ce qui déplace le risque, ce sont les mesures techniques : chiffrement dont votre client seul détient les clés, cloisonnement, minimisation. Le mécanisme complet est traité dans notre article sur les transferts de données hors de Suisse.

Ce qui doit être par écrit avant la mise en production

1. La qualification du mandat. Secret bancaire (art. 47 LB), secret professionnel (art. 321 CP), LPrD, ou aucun des trois.
2. La base qui autorise l’externalisation. Pour un cabinet ou une étude : le consentement des personnes concernées, ou la levée du secret par l’autorité, obtenus par le client et versés au dossier.
3. La liste nominative des accès. Qui, chez vous, peut lire les données en clair, avec la procédure de révocation.
4. La carte des flux et des sauvegardes. Site principal, secours, journaux, télémétrie, support, outils d’IA : le pays d’accès effectif compte autant que le pays d’hébergement.
5. Le plan de sortie. Format d’export, délai, coût, et attestation de suppression couvrant les sauvegardes.
6. Le délai d’annonce d’incident vers le client, exprimé en heures, distinct de l’annonce au PFPDT de l’art. 24 al. 1 LPD.

Sources primaires

• LPD, RS 235.1, état le 7 juillet 2025 — art. 5 let. c, 6 al. 6 et 7, 8, 9 al. 1 à 3, 22, 24 al. 1 (texte lu sur Fedlex).
• LB, RS 952.0 — art. 47, dispositions pénales, secret bancaire.
• CP, RS 311.0 — art. 320 (violation du secret de fonction) et art. 321 (violation du secret professionnel), al. 1 à 3.
• FINMA, circulaire 18/3 « Outsourcing » ; référence et intitulé vérifiés dans « Destinataires des circulaires FINMA », finma.ch.
• LPrD, BLV 172.65 du 11 septembre 2007 et RLPrD, BLV 172.65.1 — via les pages de l’APDI, Autorité de protection des données et de droit à l’information, sur vd.ch (art. 3, 15 et 18 LPrD).
• PFPDT — autorité fédérale de surveillance, edoeb.admin.ch.

Avertissement — La FVN est une fédération professionnelle, pas une étude d’avocats. Ce texte est une information générale, à jour au 1er juin 2026, et non un conseil juridique. La LPD a été lue sur Fedlex dans son état au 7 juillet 2025. Plusieurs éléments n’ont en revanche pas pu être vérifiés dans leur source officielle et sont restitués en substance, sans guillemets : le texte de l’art. 47 LB et le montant de l’amende pour la variante par négligence ; le texte des art. 320 et 321 CP, y compris le libellé exact de l’art. 321 al. 2 (consentement de l’intéressé, autorisation écrite de l’autorité supérieure ou de surveillance) et de l’art. 321 al. 3 — le fichier consolidé de ces deux lois sur Fedlex est tronqué avant les articles concernés. La modification concernant le recours des avocats à des auxiliaires, évoquée sous le sigle LSAv, n’a pas pu être vérifiée : nous ne l’affirmons pas. De la circulaire FINMA 18/3, seuls le numéro et l’intitulé ont été vérifiés ; son texte, ses numéros de marge et sa date d’entrée en vigueur n’ont pas pu être consultés. La LPrD (BLV 172.65) n’a pas pu être lue directement, le portail BLV n’étant pas exploitable : les art. 3, 15 et 18 sont cités tels que les mentionne l’APDI sur vd.ch. Avant d’engager une architecture ou de signer un contrat portant sur des données couvertes par un secret pénalement protégé, faites valider le dossier par un mandataire qualifié, ou adressez-vous à l’autorité compétente : FINMA pour l’externalisation bancaire, APDI pour un mandat public vaudois, PFPDT pour la LPD.