La Suisse a-t-elle une loi sur la conservation des données pour les hébergeurs ?

Que la loi suisse impose-t-elle aux fournisseurs de télécommunications de conserver ?

Des métadonnées et des données d'identification, pendant 6 mois. La loi de surveillance (SPTA) énumère six types d'entités qui doivent coopérer. Les fournisseurs de services de télécommunications portent les obligations les plus lourdes.

• Métadonnées de trafic : l'article 26, alinéa 5, leur impose de conserver pendant 6 mois les « données de télécommunication secondaires » des communications.
• Données d'abonné : l'article 21 leur impose de les enregistrer au début d'un contrat et de les conserver jusqu'à 6 mois après sa fin.
• Attributions d'adresses IP : l'article 21, alinéa 3, de l'ordonnance ajoute l'attribution unique des adresses IP au point d'accès au réseau, conservée 6 mois.
• Chiffrement : l'article 26, alinéa 2, lettre c, leur impose de retirer tout chiffrement qu'ils ont eux-mêmes appliqué. Un chiffrement appliqué par un client ne leur appartient pas.

La loi sur les télécommunications définit un service de télécommunication comme la transmission d'informations pour des tiers par des techniques de télécommunication (article 3, lettre b).

Un hébergeur suisse est-il un fournisseur de télécommunications ou un service dérivé ?

Cela dépend de ce qu'il fournit. La loi définit les services de communication dérivés comme des services fondés sur des services de télécommunication qui permettent une communication unidirectionnelle ou à plusieurs chemins (article 2, lettre c). Elle ne contient aucune règle écrite pour l'hébergement.

Le Département fédéral de justice et police a inscrit sa propre lecture dans le rapport explicatif du 8 janvier 2025, préparé pour le projet de révision :

• Le stockage en ligne, comme le stockage cloud et l'hébergement de fichiers, est un service de communication dérivé.
• Un hébergeur qui fournit aussi un accès internet au serveur est un fournisseur de télécommunications pour cet accès.
• Le cloud computing sans accès internet ni service de communication pour des tiers n'est ni l'un ni l'autre.

Ce rapport explique un projet, pas la loi en vigueur. Selon la loi, l'obligation de conservation suit le service réseau, pas le stockage.

Que doit remettre un service de communication dérivé ?

Ce qu'il détient déjà. Selon l'article 27 de la loi, un tel fournisseur doit tolérer la surveillance des données qu'une cible transmet ou stocke par son intermédiaire. Il doit accorder l'accès à ses installations et fournir les métadonnées dont il dispose.

L'obligation de conservation ne vient qu'avec une décision du Service de surveillance de la correspondance par poste et télécommunication (PTSS). L'ordonnance en fixe les déclencheurs :

• Obligations de surveillance élargies (article 52) : des ordres sur 10 cibles en 12 mois, ou un chiffre d'affaires suisse de 100 millions de CHF deux années de suite plus 5 000 abonnés.
• Obligations d'information élargies (article 22) : 100 demandes d'information en 12 mois, ou le même critère de chiffre d'affaires.

Un fournisseur soumis à des obligations de surveillance élargies doit conserver les données d'attribution IP et NAT pendant 6 mois (article 21, alinéa 6).

La loi suisse sur la protection des données est-elle une loi de conservation des données ?

Non. La loi suisse sur la protection des données, révisée avec effet au 1er septembre 2023, encadre le traitement des données personnelles. Les résultats de recherche sur la conservation des données en Suisse y répondent souvent.

La conservation à des fins d'enquête pénale découle de la loi sur la surveillance et de son ordonnance. Elles déterminent qui conserve les métadonnées, pendant combien de temps et qui peut les consulter.

Cette page résume le droit suisse publié ; elle ne constitue pas un conseil juridique.

Qu'est-ce qui change dans la révision 2025–2026 ?

L'ordonnance pourrait être élargie, mais rien n'est adopté. Le Conseil fédéral a ouvert une consultation sur une révision partielle le 29 janvier 2025.

Le 11 février 2026, il a pris acte des résultats de la consultation. Un cabinet externe évalue le coût pour les entreprises concernées. Une seconde consultation s'ouvrira dès qu'un projet définitif existera. Les motions 25.4206 et 25.4273 demandent au Conseil fédéral de retravailler les projets, et il a proposé de les accepter toutes les deux.

La page presse du service de surveillance, consultée le 1er novembre 2026, n'annonce pas encore de seconde consultation. Son périmètre et sa date restent flous.

Comment la police étrangère accède-t-elle aux données d'un serveur suisse ?

Par les autorités suisses. Selon la loi sur l'entraide judiciaire (EIMP), les perquisitions ou saisies suisses pour une affaire étrangère exigent un acte qui est aussi une infraction en Suisse (article 64). Le droit suisse régit la manière dont elles sont exécutées.

La Suisse applique la Convention de Budapest sur la cybercriminalité depuis le 1er janvier 2012. Le parcours complet est sur la police peut-elle saisir mon serveur dans un autre pays.

Que conserve Ravenquay à propos d'un serveur à Zurich ?

Uniquement la facturation et les enregistrements du serveur. Aucun journal : ni historique de connexion, ni historique de trafic, aucune adresse IP de visiteur ou de client, et aucune trace de la façon dont vous avez trouvé le site, hormis un code de parrainage si votre lien en contenait un. Nous ne gardons que ce qui est nécessaire à la facturation et au fonctionnement de votre serveur : le numéro de compte et un email si vous en ajoutez un ; chaque rechargement et chaque commande (montant, crypto, réseau, ID de transaction, date) ; et, pour chaque serveur, son nom, son offre, sa durée, sa localisation, son système, sa clé publique SSH, ses adresses IP et ses dates, ainsi que le mot de passe root temporaire que nous définissons lorsque vous n’avez fourni aucune clé, qui ne permet plus d’ouvrir le serveur dès que vous le changez. Nous n’avons aucune maîtrise sur l’équipement réseau du datacenter. Nous ne transmettons des données que sur ordre d’un tribunal panaméen.

Ravenquay appartient à DomaineGoat LLC, une société constituée au Panama qui ne répond que du droit panaméen. Le datacenter qui héberge chaque serveur fonctionne selon la loi de son propre pays. À Zurich, le droit suisse régit le datacenter et l'opérateur réseau qui achemine le trafic du serveur.

Ravenquay a vérifié 34 hébergeurs de serveurs dédiés sur 30 October 2026 : 10 proposaient des machines en Suisse, contre 19 aux Pays-Bas. L'Islande est comparée à la Suisse sur Islande ou Suisse pour un hébergement confidentiel. Le tableau complet des pays se trouve sur quels pays européens ont encore des lois de conservation des données.