Protéger les données ou lutter contre la criminalité? Un périlleux équilibre pour la Suisse

La Suisse s'est discrètement imposée comme un acteur de premier plan dans un secteur mondial qui fournit des outils de chiffrement Internet permettant aux clients de protéger leurs activités des regards indiscrets, tant des cyberattaquants potentiels que des forces de l'ordre. EPA/FAZRY ISMAIL Keystone

Grâce à ses entreprises, la Suisse s’est muée en pôle mondial des services numériques garantissant la confidentialité et la sécurité des données. Néanmoins, l’explosion de la cybercriminalité oblige la Suisse à trouver un équilibre entre les bénéfices économiques de cette industrie de la tech en plein essor, et la nécessité de surveiller les attaques potentielles de la part de criminels, d’États hostiles et de terroristes.

Le talent de la Suisse pour garder des secrets ne se cantonne pas aux comptes bancaires des grosses fortunes.

Le pays de neuf millions d’habitants s’est discrètement taillé une place non négligeable dans une industrie mondiale, destinée à fournir des outils de chiffrement sur internet à quiconque veut préserver son activité des regards indiscrets de cybercriminels potentiels, ou des forces de l’ordre.

La réputation du pays en matière de préservation de la vie privée, sanctuarisée par la Constitution, est mise en avant par les entreprises comme argument de vente. Proton AG, une entreprise de services qui a son siège à Genève, présente son offre comme «garantie par les lois sur la vie privée en Suisse». Son offre va des mails chiffrés à un espace de stockage, en passant par l’intelligence artificielle.

Pourtant, une décennie après sa création, cette entreprise et d’autres rechignent devant des réformes législatives susceptibles, selon elles, de compromettre la confiance et les bénéfices économiques de l’industrie. Proton déclare avoir mis un terme à des projets d’investissements dans des infrastructures au sein du pays.

En 2025, la Suisse a proposé la révision de son ordonnance d’exécution de la surveillance de la correspondance par poste et télécommunication. Son ambition: clarifier les obligations des fournisseurs de services internet lors d’enquêtes pénales, les grandes plateformes devant se conformer aux mêmes exigences de conservation des données et de coopération que les opérateurs de télécommunication traditionnels.

«Cette réforme ne risque pas seulement d’affaiblir la protection de la vie privée en Suisse, dénonce Raphael Auphan, directeur des opérations chez Proton. Elle risque également de faire perdre à la Suisse les compagnies numériques qui ont émergé et prospéré ici, en faisant rayonner les valeurs suisses de confidentialité partout dans le monde.»

Même si l’argumentaire de Raphael Auphan est nécessairement teinté par ses intérêts commerciaux, la Suisse doit prendre en compte des voix comme la sienne, ainsi que sa tradition de protection de la vie privée, face au pouvoir grandissant de la tech et aux dangers que représentent les cybercriminels ou les pouvoirs hostiles déterminés à en faire usage. Ce dilemme parcourt toutes les démocraties libérales. L’Union européenne, les États-Unis et le Royaume-Uni tentent tous de s’adapter à ces nouvelles menaces.

Le nombre de cybercrimes enregistrés par la police suisse a presque triplé en l’espace de cinq ans, pour atteindre 65’000 en 2025, selon le rapport Lien externede l’Office fédéral de la cybersécurité. Face à cette hausse incontrôlée, le gouvernement a décidé de revoir sa copie concernant la réglementation des communications numériques.

L’intérêt public contre l’enjeu commercial

Certains fournisseurs pourraient ainsi devoir conserver plus de données sur leur clientèle, et faciliter les enquêtes pénales des autorités. En même temps, le pays ne peut ignorer les inquiétudes d’entreprises telles que Proton, qui est devenue la plus grande firme tech de sécurité des données, avec plus de 100 millions d’utilisateurs à travers le monde.

L’opposition et les menaces de délocalisation par ces entreprises influentes peuvent être motivées à la fois par l’intérêt public et par des enjeux commerciaux, analyse Christopher Kuner, professeur associé en protection des données et en droit numérique à l’université de Copenhague. D’autant que l’expansion considérable des données numériques s’avère être un défi supplémentaire pour les autorités.

«Il y a beaucoup de facteurs à l’origine de ce phénomène […] notamment la peur des agressions par la Russie et d’autres acteurs étatiques, la menace croissante qui pèse sur la cybersécurité, et la croyance regrettable que la vie privée est, quelque part, superflue», déclare ce professionnel qui œuvre dans la recherche et développement sur la protection des données depuis les années 1990.

Le carton de la tech suisse 

L’industrie de la tech spécialisée en sécurité des données a beau être répandue un peu partout, des États-Unis au Royaume-Uni en passant par l’Allemagne voire la Chine, plusieurs avantages compétitifs permettent à la petite Suisse de s’imposer face à plus grands qu’elle.

Aux racines de ces atouts, on retrouve l’article 13 de la Constitution fédérale, qui sanctuarise le droit à la vie privée et à la protection des données personnelles. Ce qui fournit aux particuliers, aux entreprises et aux autres une base légale solide pour s’opposer à la surveillance étatique. Par comparaison, la protection de la vie privée aux États-Unis n’est pas explicitement précisée dans sa constitution, mais découle d’interprétations portant sur des aspects généralement secondaires d’amendements divers.

Au-delà de sa constitution, la culture du secret, historique en Suisse, renforce son attractivité pour les personnes en quête d’anonymat. Bien que la transparence bancaire en Suisse ait été consolidée pour se conformer aux règles internationales, après des accusations de blanchiment d’argent, sa réputation perdure. Cela permet aux entreprises d’instaurer un climat de confiance avec leurs utilisateurs du monde entier.

De surcroît, il y a la tradition de neutralité vieille de plusieurs siècles, et le refus de participer à des alliances de partage de renseignement telles que les groupes de pays «Five Eyes», «Nine Eyes», «Fourteen Eyes», dirigés par les États-Unis. Ces paramètres renforcent l’image de la Suisse en tant que juridiction indépendante, à l’abri des espions.

Le directeur des opérations de Proton, Raphael Auphan, attribue l’essor de l’industrie suisse de la protection des données à la révélation de la surveillance de masse exercée par les agents de l’Agence nationale de sécurité (NSA) américaine, par son consultant Edward Snowden, en 2013. Ce scandale a suscité une forte hausse de la demande de mails chiffrés, de VPN masquant la localisation et l’identité de l’usager, et d’autres outils sécurisés de communication et de stockage des données.

Depuis, les entreprises locales telles que Proton, Threema et Nym ont capitalisé sur les inquiétudes au sujet de la vie privée numérique, et ont connu un essor rapide qui a donné à la Suisse un avantage décisif au sein de l’industrie.

Beaucoup mentionnent spécifiquement la législation suisse comme argument marketing, à l’image de Tresorit, l’opérateur de stockage de données chiffrées. Il précise qu’il n’est pas soumis à une loi américaine de 2018 permettant aux forces de l’ordre dotées d’un mandat d’obliger des entreprises basées aux États-Unis à livrer les données stockées sur leurs serveurs, même quand ils se situent à l’étranger. L’entreprise de service informatique Infomaniak se présente comme un «cloud 100% souverain basé en Suisse».

«Pour les entreprises qui priorisent la confidentialité, la vraie différence se situe dans les valeurs historiques de la Suisse; la stabilité réglementaire, des procédures efficaces et prévisibles, le respect pour les limites légales, et une approche prudente vis-à-vis des informations sensibles», déclare Sylvain Métille, professeur associé à l’Université de Lausanne spécialisé en droit de la protection des données personnelles, en droit informatique, en sécurité des technologies de l’information et en surveillance étatique. Selon lui, ces atouts pèsent plus lourd que les distinctions mineures au sein des textes de loi.

La vie privée sous pression

Les efforts des régulateurs pour rester à jour en matière d’avancées technologiques ont débuté peu après l’essor de l’industrie locale de la vie privée, il y a une décennie environ. Dans un contexte de renforcement de la surveillance de la part de pays comme l’AllemagneLien externe ou la FranceLien externe, la Suisse a adopté sa loi fédérale sur la surveillance de la correspondance par poste et télécommunication ainsi que sa loi fédérale sur le renseignement, en 2016. Ces deux textes élargissaient la possibilité de récolter des données comme preuves dans des enquêtes pénales ou des enjeux de sécurité nationale.

Pourtant, l’ambiguïté quant à savoir si ces règles s’appliquaient autant aux entreprises technologiques qu’aux opérateurs de télécommunications traditionnels a donné lieu à des années de litiges, notamment celui opposant les autorités à Threema. Proton n’en a pas fait les frais, car il n’était pas considéré comme un fournisseur majeur de télécommunications, et 95% des utilisateurs de Proton Mail étaient hors de Suisse, selon Raphael Auphan.

Les lois élaborées à l’époque paraissent désormais «obsolètesLien externe», au vu du développement de ces technologies, écrit Monika Simmler, professeur associée de droit pénal et de droit de la surveillance à l’université de Saint-Gall.

En parallèle, les demandes de la police et autres agences se multiplient. Les requêtes concernant des données auprès du Service de la correspondance par poste et télécommunication ont augmenté de 30% en 2025Lien externe.

Le gouvernement suisse a proposé des amendements à l’ordonnance d’exécution de la surveillance de la correspondance par poste et télécommunication, l’année dernière, afin de clarifier les obligations des fournisseurs de services internet. Selon cette proposition, ils sont soumis à des exigences en matière de collecte de données et de collaboration, plus ou moins drastiques selon leur ampleur. Ceux qui ont plus d’un million d’utilisateurs, ou brassent plus de 100 millions de francs de chiffres d’affaires en Suisse pendant deux ans consécutifs, seraient soumis aux mêmes règles que celles qui s’appliquent aux opérateurs de télécommunication traditionnels.

Le retour de bâton

La proposition a suscité un retour de bâton de la part de l’industrie de la tech et des groupes de défense des droits numériques. Le débat au Parlement national a mis en lumière les tensions entre ceux qui tiennent à préserver l’écosystème de protection de la vie privée et ceux qui veulent étendre les pouvoirs d’enquête afin de sauvegarder la sécurité publique.

La sénatrice suisse Johanna Gapany a prévenu queLien externe «si l’on veut garder notre souveraineté et notre indépendance en matière de développement numérique, d’intelligence artificielle, alors on va avoir besoin de ces ressources en Suisse».

Dans le camp adverse, le ministre de la Justice suisse Beat Jans a affirmé que les forces de l’ordre devaient conserver la possibilité d’obtenir et de retracer légalement des données de communications dans le cadre d’enquêtes sur du terrorisme ou du crime organisé, faisant valoir que «cela ne constituerait pas une opération de surveillance d’État à grande échelle».

Certains types de données sont indéniablement d’intérêt public, notamment dans les affaires de sécurité nationale ou de grande criminalité, mais les améliorations technologiques ne devraient pas justifier un accroissement de la surveillance, selon le professeur Sylvain Métille. Pour lui, les gouvernements doivent expliquer l’objectif et la base légale de leurs mesures de surveillance, et se soumettre à des contrôles de la part d’autorités indépendantes, dotées de pouvoirs susceptibles de prévenir les abus.

La concurrence d’autres juridictions

Proton est en train de diversifier sa base et son infrastructure à travers plusieurs pays européens, plutôt que de se reposer entièrement sur la Suisse, afin de limiter ce qu’il estime être un risque pour son activité.

Car certains pays sont en train de se convertir au respect accru de la vie privée.

L’Islande a adopté le Règlement général sur la protection des données (RGPD) de l’UE, bien qu’elle n’en soit pas membre. Le pays a renforcé sa souveraineté numérique et investi dans une infrastructure de cybersécurité. En mai, PrivadoVPN y a délocalisé son siège depuis la Suisse, en raison des exigences moins strictes de l’État insulaire auprès des VPN sur la question de la conservation des données des clients.

Dans le même temps, l’Estonie a développé un système d’identification numérique et une plateforme sécurisée d’échange de données. À partir de ces nouvelles infrastructures, des entreprises de sécurité et d’authentification ont émergé, telles que Guardtime, Cybernetica et Veriff, faisant du pays un pôle technologique de premier plan.

Cette concurrence ne fait qu’accentuer l’importance de trouver le juste équilibre pour les autorités suisses.

«Le défi pour la Suisse est de conserver son rang de juridiction fiable, majeure, pour les services numériques et pour l’innovation, déclare Sylvain Métille, sans devenir un havre pour des activités manifestement illégales.»

Article original en anglais relu et vérifié par Tony Barrett, traduction par Pauline Grand d’Esnon/ptur