Comment les banques suisses peuvent préserver la tradition du secret bancaire tout en respectant les exigences internationales en matière de partage de données

Les banques suisses font face à une tension de conformité au cœur de l’identité financière du pays. La norme d’échange automatique de renseignements (CRS) impose l’échange automatique d’informations sur les comptes financiers avec les autorités fiscales étrangères. L’article 47 de la Loi sur les banques prévoit une responsabilité pénale — jusqu’à trois ans de prison et 250 000 CHF d’amende — en cas de divulgation non autorisée de données clients. Ces deux obligations sont contraignantes. Aucune ne peut être ignorée.

La solution est architecturale, non juridique. La législation suisse autorise explicitement la déclaration CRS tout en préservant la protection de l’article 47 pour tous les usages non liés au reporting. Mais cette frontière légale n’est effective que si les systèmes techniques utilisés par les banques pour la déclaration CRS l’appliquent concrètement. Une banque qui utilise une plateforme opérée depuis les États-Unis pour la gestion des données clients ou des workflows CRS ne peut garantir que la protection de l’article 47 survive à l’exposition juridictionnelle créée par cette plateforme.

Cet article explique les exigences respectives de l’article 47 et du CRS, comment le chiffrement géré par le client et une architecture de souveraineté des données permettent de faire respecter la frontière entre les deux, et à quoi ressemble la mise en œuvre concrète.

Résumé Exécutif

Idée principale : Les banques suisses remplissent leurs obligations d’échange automatique CRS et de coopération internationale FINMA tout en maintenant la confidentialité de l’article 47 de la Loi sur les banques grâce à une architecture technique qui sépare le reporting réglementaire de l’accès aux données. Le chiffrement géré par le client garantit que les informations financières des clients restent protégées sous le contrôle exclusif de la banque suisse, permettant un reporting conforme au CRS via des canaux sécurisés sans exposer les données à des divulgations non autorisées.

Pourquoi c’est important : Les recommandations 2024 de la FINMA sur la coopération internationale exigent que les banques suisses mettent en place des mesures techniques garantissant que le reporting CRS respecte les engagements internationaux sans violer les obligations de confidentialité de l’article 47. Les banques suisses risquent 250 000 CHF d’amende et trois ans de prison en cas de violation de l’article 47, tandis que la non-conformité CRS expose à des sanctions réglementaires et à des risques sur les relations de correspondants bancaires. Une architecture technique permettant la double conformité protège la licence bancaire, préserve la réputation de la place financière suisse et maintient les avantages concurrentiels liés à la tradition de confidentialité.

5 points clés à retenir

1. L’article 47 de la Loi sur les banques crée une responsabilité pénale pour toute divulgation non autorisée de données clients, au-delà des obligations de reporting CRS. L’article 47 protège l’identité du client, les soldes, les transactions et toutes les informations relatives à la relation bancaire. Le CRS impose de déclarer certains éléments aux autorités fiscales mais n’autorise pas un accès élargi aux données clients. Les banques suisses doivent mettre en place une architecture permettant la conformité CRS sans ouvrir la voie à des divulgations non autorisées.
2. L’échange automatique CRS exige une infrastructure technique permettant le reporting annuel à l’Administration fédérale des contributions pour transmission aux juridictions partenaires. Les banques suisses identifient les comptes à déclarer, collectent les données requises (soldes, paiements d’intérêts, etc.) et transmettent les informations à l’AFC dans les délais impartis. L’architecture technique doit garantir l’exactitude du reporting tout en empêchant l’accès aux données au-delà des finalités autorisées par le CRS.
3. La FINMA exige que les banques suisses prouvent la séparation technique entre le reporting CRS et l’accès plus large aux données. La FINMA attend des contrôles garantissant que les flux CRS passent par des canaux sécurisés, avec traçabilité, empêchant l’accès des personnes non autorisées aux données clients lors du reporting. L’architecture doit prouver que les mécanismes CRS ne peuvent être détournés à d’autres fins.
4. Le chiffrement géré par le client, où la banque suisse contrôle les clés, permet le reporting CRS tout en empêchant l’accès des prestataires aux données clients. Lorsque les fournisseurs de solutions bancaires, CRM ou outils de reporting mettent en œuvre le chiffrement géré par le client, la banque suisse conserve la capacité exclusive de déchiffrer. Cela permet le reporting CRS interne tout en empêchant l’accès des prestataires aux informations financières des clients, ce qui violerait l’article 47.
5. La souveraineté géographique des données garantit que les informations clients restent en Suisse sous protection juridique suisse pendant tout le cycle CRS. Les banques suisses qui déploient sur site ou dans des data centers suisses avec chiffrement géré par le client répondent aux attentes de la FINMA en matière de souveraineté des données tout en permettant la transmission sécurisée des rapports CRS à l’AFC. Les données ne transitent jamais par des infrastructures non suisses accessibles à des entités étrangères.

Obligations de l’article 47 de la Loi sur les banques et exigences du reporting CRS

L’article 47 de la Loi sur les banques suisses prévoit des sanctions pénales allant jusqu’à trois ans de prison et 250 000 CHF d’amende pour toute divulgation non autorisée de secrets clients. Cette obligation concerne les dirigeants, employés et prestataires tiers traitant les données clients. L’article 47 protège l’identité, les soldes, les transactions et toutes les informations sur la relation bancaire.

La Suisse a résolu la tension Article 47–CRS par la loi, mais l’architecture doit faire respecter la frontière

Le CRS, mis en œuvre via la Loi fédérale sur l’échange international automatique de renseignements en matière fiscale, impose aux banques suisses de déclarer les informations de comptes financiers des résidents fiscaux des juridictions partenaires. Les données à déclarer incluent l’identité du titulaire, le solde, les revenus d’intérêts et de dividendes, et le produit de la vente d’actifs financiers. La Suisse a résolu la tension entre ces obligations par une loi autorisant explicitement le reporting CRS tout en maintenant la protection de l’article 47 pour les autres usages — mais cette frontière légale n’est effective que si l’architecture technique la fait respecter.

Les banques suisses engagent leur responsabilité Article 47 si les données clients deviennent accessibles au-delà des finalités CRS autorisées

Les banques suisses peuvent légalement transmettre les données CRS à l’AFC pour transmission aux partenaires, mais engagent leur responsabilité Article 47 si les informations deviennent accessibles à d’autres fins lors du reporting. L’architecture technique doit donc permettre la conformité CRS via des circuits contrôlés tout en empêchant un accès élargi. Les banques suisses mettent en place des systèmes de reporting séparés où l’extraction CRS s’effectue via des processus sécurisés, transmission chiffrée à l’AFC, avec traçabilité prouvant que les données n’ont jamais été accessibles à des tiers non autorisés, y compris les prestataires technologiques, fournisseurs cloud ou entités étrangères.

Attentes de la FINMA en matière d’architecture technique

Les recommandations de la FINMA sur la coopération internationale rappellent que les banques suisses restent responsables de la confidentialité client lors du reporting CRS. Elles ne peuvent déléguer la conformité à l’article 47 — même en recourant à des prestataires technologiques, la responsabilité pénale en cas de divulgation non autorisée demeure.

La FINMA attend quatre contrôles techniques pour empêcher tout accès non autorisé aux données

La FINMA attend la mise en place de contrôles techniques incluant : chiffrement géré par le client avec contrôle des clés par la banque (HSM sur site ou en Suisse), contrôles d’accès empêchant le personnel des prestataires d’accéder aux données clients, journalisation des accès avec reporting prouvant l’absence de divulgation non autorisée, souveraineté géographique garantissant que les données ne transitent jamais par des infrastructures non suisses. Ces exigences reflètent la position de la FINMA : la conformité CRS ne doit pas compromettre la tradition du secret bancaire suisse.

Les banques incapables de prouver l’architecture de reporting séparée s’exposent à des sanctions de la FINMA

Si le reporting CRS répond aux obligations internationales, le mécanisme doit démontrer des mesures techniques empêchant l’accès aux données au-delà des finalités autorisées. Les banques qui ne peuvent prouver une architecture de reporting séparée s’exposent à des sanctions pour insuffisance des contrôles Article 47 — la séparation technique entre reporting et accès est donc une exigence réglementaire, pas une simple bonne pratique.

La circulaire cloud et outsourcing 2024 de la FINMA étend ces exigences à toute relation fournisseur

La circulaire 2024 de la FINMA sur le cloud et l’outsourcing renforce ces exigences. Lorsque les banques suisses utilisent des plateformes technologiques pour traiter les données clients, elles doivent s’assurer que ces plateformes mettent en œuvre le chiffrement géré par le client, empêchant les prestataires d’accéder aux informations financières. Cela concerne les systèmes bancaires centraux, le partage sécurisé de fichiers, les plateformes de communication client et l’infrastructure de reporting — tout système manipulant des données clients est soumis au même standard Article 47.

Architecture de chiffrement géré par le client pour la double conformité

Le chiffrement géré par le client permet aux banques suisses de garantir à la fois la confidentialité de l’article 47 et le reporting CRS, en assurant que la banque garde le contrôle exclusif du déchiffrement tout en permettant le reporting sécurisé à l’AFC.

Des clés générées dans des HSM suisses sous contrôle bancaire sont la base de la conformité Article 47

La mise en œuvre commence par la génération de clés sous contrôle exclusif de la banque suisse. Les clés sont générées dans des modules matériels de sécurité (HSM) déployés sur site ou dans des data centers suisses sous contrôle bancaire. La banque maîtrise tout le cycle de vie des clés — génération, stockage, rotation, suppression — sans intervention du prestataire technologique. Les clés ne sortent jamais de Suisse et ne sont jamais accessibles à des entités non suisses.

Le chiffrement des données clients à l’ingestion permet aux prestataires de traiter sans jamais voir les informations

Lorsque les données financières entrent dans les systèmes bancaires — ouverture de compte, transactions, portefeuilles, correspondance — le chiffrement intervient immédiatement via des clés contrôlées par la banque. Les données chiffrées peuvent résider sur différentes infrastructures puisque les prestataires ne disposent d’aucun moyen de déchiffrement. Cela satisfait l’article 47 en empêchant tout accès non autorisé tout en permettant à la banque de traiter les données pour les besoins autorisés, dont le reporting CRS.

Le reporting CRS s’effectue entièrement dans l’infrastructure contrôlée par la banque, sans visibilité pour le prestataire

Pour le reporting CRS, la banque suisse déchiffre les données dans des environnements sécurisés sous contrôle exclusif, extrait les éléments requis, génère les rapports et transmet à l’AFC via des canaux chiffrés. Le processus de reporting s’effectue entièrement dans l’infrastructure contrôlée par la banque, garantissant que les prestataires technologiques ne peuvent accéder aux données lors des opérations de conformité CRS. La traçabilité prouve que les données sont restées sous contrôle bancaire exclusif pendant tout le cycle de reporting.

L’architecture distingue l’accès aux données du traitement des données — clé de la double conformité

Cette architecture distingue l’accès aux données (restreint par l’article 47) du traitement des données (exigé par le CRS). Les prestataires peuvent exploiter des plateformes bancaires chiffrées, stocker les données ou fournir des canaux de communication chiffrés sans jamais accéder aux informations en clair. Les banques suisses gardent la capacité exclusive d’accès pour le reporting CRS tout en empêchant l’accès prestataire qui créerait une responsabilité Article 47. Cette distinction exprime techniquement la frontière législative tracée par la Suisse entre reporting autorisé et divulgation interdite.

Souveraineté géographique des données et infrastructure suisse

Les banques suisses qui mettent en œuvre la souveraineté géographique des données garantissent que les informations clients restent en Suisse sous protection juridique pendant toute la relation bancaire et les cycles CRS. Cela répond aux attentes de la FINMA : les données clients ne doivent pas transiter par des juridictions étrangères où la conformité à l’article 47 ne peut être garantie.

Déploiements sur site et cloud privé suisse : des arbitrages de souveraineté

Le déploiement sur site offre une souveraineté maximale avec une infrastructure dans les locaux de la banque, assurant un contrôle total mais nécessitant un investissement important. Le cloud privé suisse propose un équilibre avec une infrastructure dans des data centers suisses sous droit suisse, maintenant le chiffrement géré par le client tout en allégeant l’exploitation. Les architectures hybrides permettent de déployer les systèmes critiques sur site ou en cloud privé suisse tout en utilisant des plateformes chiffrées pour des fonctions spécifiques. L’exigence clé dans tous les cas : les informations financières ne transitent jamais hors de Suisse en clair et les prestataires ne disposent jamais de la capacité de déchiffrement.

Les opérations internationales exigent une architecture séparée pour éviter le mélange des données suisses et étrangères

Pour les opérations internationales, les banques suisses ayant des filiales étrangères mettent en place une architecture séparée : les données clients suisses restent en Suisse, les données filiales sont traitées localement, évitant tout mélange et garantissant que la protection de la Loi sur les banques s’applique exclusivement aux relations basées en Suisse. Cette séparation n’est pas administrative — elle doit être appliquée au niveau architectural pour résister à l’examen de la FINMA et satisfaire à la lettre de l’article 47.

Mise en œuvre du reporting CRS avec contrôles techniques

Les banques suisses mettent en œuvre le reporting CRS via des processus contrôlés garantissant la conformité tout en préservant la confidentialité. Chaque cycle annuel implique l’identification des comptes à déclarer, l’extraction des données, la validation, la génération des rapports et la transmission à l’AFC.

L’identification des comptes et l’extraction des données doivent se faire dans des environnements chiffrés contrôlés par la banque

L’identification des comptes détermine quelles relations sont à déclarer selon la résidence fiscale, via des formulaires d’auto-certification et des vérifications documentaires dans des systèmes bancaires contrôlés utilisant des données chiffrées. L’extraction récupère les éléments CRS (identité, solde de fin d’année, revenus, etc.). Les banques déchiffrent les données dans des environnements sécurisés, extraient les éléments et alimentent les modèles de reporting via des processus automatisés qui limitent l’accès humain tout en maintenant la traçabilité.

La génération des rapports et la transmission à l’AFC doivent exclure toute donnée au-delà des éléments CRS requis

La génération des rapports crée des fichiers XML conformes au schéma OCDE CRS dans des systèmes sécurisés, avec signature numérique et chiffrement pour la transmission à l’AFC. Les rapports ne contiennent que les éléments requis par le CRS, excluant explicitement toute information supplémentaire protégée par l’article 47. La transmission à l’AFC s’effectue via des canaux sécurisés, garantissant que les données ne transitent jamais par des infrastructures non suisses et que les prestataires ne peuvent accéder au contenu des rapports. La discipline de limiter les rapports aux seuls éléments requis n’est pas un simple souci administratif : c’est une exigence directe de conformité à l’article 47.

Exigences des prestataires technologiques pour la conformité bancaire suisse

Les banques suisses qui sélectionnent des prestataires technologiques exigent une architecture conforme à l’article 47 tout en permettant la conformité CRS. Le choix et la gestion des prestataires sont eux-mêmes une obligation de conformité selon la circulaire outsourcing de la FINMA — ce n’est pas qu’un acte d’achat.

Les fonctions obligatoires incluent le déploiement en Suisse et des garanties techniques empêchant l’accès aux données

Les fonctions obligatoires incluent le chiffrement géré par le client avec contrôle des clés (HSM sur site ou en Suisse), le traitement en Suisse, des garanties techniques empêchant l’accès prestataire aux données, et des capacités d’audit prouvant que le prestataire n’a jamais accédé aux données en clair. Les prestataires doivent documenter la gestion des clés, la topologie des flux, les contrôles d’accès et les options de déploiement. Les banques vérifient que les plateformes ne peuvent déchiffrer les données clients et que le personnel prestataire n’a pas accès aux systèmes contenant les données en clair.

Les clauses contractuelles doivent traiter les demandes gouvernementales et la responsabilité en cas de violation de l’article 47

Les contrats doivent spécifier la mise en œuvre du chiffrement géré par le client, l’interdiction d’accès prestataire aux données, les restrictions géographiques de traitement, l’obligation de notification en cas de demande gouvernementale et la responsabilité en cas de violation de l’article 47 liée à une faille prestataire. L’obligation de notification en cas de demande gouvernementale est cruciale : un prestataire recevant une injonction étrangère doit avertir immédiatement la banque suisse, lui permettant de contester la demande par les voies légales avant toute divulgation.

L’évaluation continue des prestataires vérifie la conformité Article 47 dans la durée

Les banques réalisent des évaluations régulières pour vérifier la conformité Article 47 : revue des journaux d’accès, validation des procédures de gestion des clés, confirmation du maintien du déploiement en Suisse. Une relation prestataire conforme au démarrage peut devenir non conforme suite à des changements d’infrastructure, de propriété ou d’exploitation — l’évaluation continue permet de détecter ces évolutions avant qu’elles ne créent un risque Article 47.

Avantages concurrentiels de l’architecture du secret bancaire

Les banques suisses qui mettent en place une architecture conforme à la fois à l’article 47 et au CRS conservent les avantages concurrentiels liés à la tradition du secret bancaire tout en démontrant leur coopération internationale. Cette position attire une clientèle attachée à la confidentialité dans un cadre conforme — une combinaison que les concurrents de juridictions moins protectrices ne peuvent offrir.

Les clients fortunés choisissent les banques suisses qui prouvent une protection technique au-delà des engagements contractuels

Les clients fortunés privilégient les banques suisses qui démontrent des mesures techniques de protection de la confidentialité. Le chiffrement géré par le client et la souveraineté des données suisses prouvent que l’information reste protégée au-delà des engagements contractuels, l’architecture empêchant tout accès non autorisé, quelle que soit la pression d’un gouvernement étranger. Cette protection est bien plus solide qu’une simple promesse de résistance à une demande gouvernementale — promesse que la contrainte légale étrangère peut annuler, mais que l’architecture rend impossible.

La souveraineté technique différencie les banques suisses des juridictions à accès gouvernemental élargi

Les clients internationaux soucieux de la sécurité des données choisissent les banques suisses plutôt que des alternatives sans protection de confidentialité comparable. Des preuves techniques de chiffrement géré par le client, d’infrastructure suisse et de contrôles empêchant l’accès gouvernemental étranger créent une différenciation face aux juridictions à accès élargi — y compris les banques américaines soumises au CLOUD Act ou britanniques sous le Investigatory Powers Act. Les banques suisses qui valorisent la souveraineté technique positionnent la Suisse comme alliant coopération internationale et confidentialité robuste par l’architecture, non par l’opacité juridique.

Points de vigilance pour la mise en œuvre

Les banques suisses qui mettent en place le chiffrement géré par le client et une architecture de souveraineté des données doivent choisir leur mode de déploiement, leur approche de gestion des clés, leurs prestataires et leurs procédures opérationnelles.

Le choix du déploiement détermine le niveau de souveraineté et la complexité opérationnelle

Les options de déploiement incluent le sur site pour un contrôle maximal et une conformité Article 47 claire, le cloud privé suisse pour un équilibre entre souveraineté et efficacité, ou des approches hybrides (systèmes critiques sur site, plateformes chiffrées pour des fonctions spécifiques). Le choix dépend de la taille de la banque, de ses capacités techniques et des exigences de souveraineté selon les segments de clientèle. Les grandes banques avec des équipes dédiées privilégient souvent le sur site ; les petites banques privées trouvent dans le cloud privé suisse une voie plus pragmatique vers une souveraineté équivalente.

L’approche de gestion des clés doit garantir qu’elles restent en Suisse sous contrôle exclusif de la banque

Les approches incluent des HSM sur site pour un contrôle total, des services HSM suisses (ex. SwissSign) pour la souveraineté avec gestion déléguée, ou des appliances HSM virtuelles permettant la gestion des clés sans matériel dédié. Toutes doivent garantir que les clés restent en Suisse sous contrôle bancaire exclusif, quel que soit le modèle. Le mécanisme importe moins que le résultat : aucune entité non suisse ne doit jamais détenir ou accéder au matériel de clé.

Les procédures opérationnelles doivent permettre le support prestataire sans créer de voie d’accès aux données clients

Les procédures doivent évoluer pour éliminer l’accès prestataire tout en maintenant la capacité de reporting CRS. Les banques mettent en place des workflows d’approbation contrôlés pour les interventions prestataires, des procédures d’urgence (« break-glass ») avec traçabilité complète, et des outils de diagnostic permettant l’assistance sans exposition des données clients. L’objectif : une relation prestataire opérationnelle qui satisfait à la fois les besoins de service et l’interdiction d’accès aux informations clients de l’article 47.

Comment Kiteworks permet aux banques suisses de préserver la confidentialité tout en respectant les exigences CRS

Les banques suisses remplissent leurs obligations d’échange automatique CRS et de coopération internationale FINMA tout en maintenant la confidentialité de l’article 47 grâce à une architecture technique qui sépare le reporting réglementaire de l’accès aux données. L’article 47 crée une responsabilité pénale en cas de divulgation non autorisée ; le CRS impose un reporting annuel à l’AFC. Le chiffrement géré par le client réconcilie ces obligations en donnant à la banque suisse le contrôle exclusif du déchiffrement — les prestataires traitent les données chiffrées, la banque réalise le reporting CRS dans des environnements contrôlés, et la traçabilité prouve que la frontière n’a jamais été franchie.

Kiteworks fournit aux banques suisses une architecture de chiffrement géré par le client conforme à la fois à la confidentialité de l’article 47 et aux obligations de reporting CRS. La plateforme utilise des clés contrôlées par la banque qui ne quittent jamais l’infrastructure suisse, ce qui signifie que même en cas d’injonction gouvernementale, Kiteworks ne dispose d’aucun moyen technique d’accéder aux informations financières des clients.

La plateforme prend en charge le déploiement en Suisse, y compris l’installation sur site dans les locaux de la banque, le déploiement en cloud privé dans des data centers suisses sous contrôle bancaire, et des appliances virtuelles durcies offrant souveraineté et simplicité opérationnelle. Les banques suisses gardent le contrôle exclusif des données clients tout en permettant la communication sécurisée, le partage de fichiers et les processus de reporting nécessaires à la conformité CRS.

Kiteworks intègre la messagerie électronique, le partage et le transfert de fichiers, et les formulaires web dans une architecture unifiée permettant aux banques suisses de communiquer avec leurs clients et de transmettre les rapports CRS via des plateformes souveraines. Le chiffrement géré par le client garantit la protection des informations, tandis que la journalisation prouve l’absence d’accès non autorisé lors du traitement.

Pour les banques suisses qui mettent en place une infrastructure de reporting CRS, l’architecture Kiteworks permet la transmission sécurisée des rapports à l’AFC via des canaux chiffrés tout en préservant la confidentialité client. Les banques génèrent les rapports CRS dans des environnements contrôlés, chiffrent pour la transmission avec des clés gérées par la banque, et transmettent via Kiteworks sans exposer les données en clair au personnel ou à l’infrastructure Kiteworks.

Pour en savoir plus sur la façon dont Kiteworks aide les banques suisses à préserver le secret bancaire tout en respectant les exigences internationales de partage de données, réservez votre démo personnalisée dès aujourd’hui.

Ressources complémentaires

• Article de blog  
  Souveraineté des données : bonne pratique ou exigence réglementaire ?
• eBook  
  Souveraineté des données et RGPD
• Article de blog  
  Évitez ces pièges de la souveraineté des données
• Article de blog  
  Bonnes pratiques pour la souveraineté des données
• Article de blog  
  Souveraineté des données et RGPD [Comprendre la sécurité des données]