Une bannière cookies s’affiche en bas de l’écran. Le visiteur n’a encore cliqué sur rien, et Google Analytics a déjà transmis sa visite à Google. Ce défaut se retrouve sur une bonne partie des sites de PME, et aucun logiciel ne le rattrape après coup : il se règle au moment où le site est construit. C’est précisément là que la souveraineté numérique cesse d’être un thème de colloque pour devenir une affaire d’agence de communication.
Souveraineté numérique : une définition qui tient en trois questions
Le mot évoque des stratégies d’État et des centres de données nationaux. Pour une entreprise qui confie son site à une agence, il se résume à trois questions très concrètes :
- où vivent les données de ses clients
- quel droit s’applique à ceux qui les traitent
- si elle peut repartir avec ces données le jour où elle change de prestataire
La deuxième question est celle qu’on oublie. Un serveur installé à Zurich ou à Paris, mais exploité par une société américaine, reste soumis au CLOUD Act : la justice américaine peut exiger ces données, quel que soit le pays où elles sont stockées. L’adresse du centre de données compte donc moins que la nationalité de celui qui l’exploite. Autrement dit, un data center en Suisse ne fait pas un hébergement suisse.
Anorac Studio, une agence qui a rapatrié toute sa chaîne technique
Installée à Fribourg et active dans toute la Suisse romande depuis 2021, Anorac Studio conçoit l’identité de marque, les sites, les contenus et les campagnes de PME, de commerces et d’institutions, de la Ville de Fribourg à un magasin de sport outdoor. Sa singularité se joue après la mise en ligne. L’agence administre sa propre infrastructure dans les centres de données d’Infomaniak à Genève, sous droit suisse, avec des sauvegardes chiffrées, et figure dans l’annuaire officiel des partenaires de cet hébergeur.
Autour de l’hébergement suisse, quatre briques ont été sorties des grandes plateformes :
- Mesure d’audience : un outil open source hébergé en Suisse remplace Google Analytics, et l’analyse détaillée ne s’active qu’avec l’accord du visiteur.
- Consentement : Anorac Consent, un module développé en interne, bloque les services tiers avant le choix du visiteur et conserve la preuve de son accord, sans licence Cookiebot ni Iubenda.
- E-mails : les messages automatiques (confirmations, notifications) partent de l’infrastructure suisse, avec SPF, DKIM et DMARC réglés domaine par domaine.
- Intelligence artificielle : quand un projet le justifie, les requêtes passent par le service d’IA d’Infomaniak, qui tourne en Suisse sur des modèles open source.
Sur l’IA, la position dépasse la question du serveur. Aucun document client n’est confié à une IA publique sans accord explicite, et chaque livrable assisté par une machine est relu et validé par une personne responsable du projet. L’agence a même consacré un article à cinq de ses affiches publiées, mises face à leur version générée par IA. Prendre ce parti quand on vend de la création n’a rien d’anodin.
Le serveur est à Genève, et après ?
On pourrait croire l’affaire réglée dès que le site tourne en Suisse. C’est vrai pour le site lui-même. Beaucoup moins pour tout ce qui s’y greffe. Un pixel Meta, un module de paiement, une vidéo YouTube intégrée ou une police chargée depuis un serveur externe envoient chacun des informations à leur propre prestataire, souvent hors de Suisse. Anorac le dit d’ailleurs sans détour : l’hébergement est un choix d’infrastructure, pas un certificat de conformité.
Le piège le plus courant reste la bannière décorative, celle qui s’affiche alors que les scripts sont déjà actifs. Le second arrive plus tard : un pixel publicitaire ajouté six mois après la mise en ligne, sans que personne ne mette le consentement à jour. Le test prend deux minutes. Ouvrir le site en navigation privée, ne rien cliquer, puis regarder dans l’onglet Réseau de l’inspecteur du navigateur si des requêtes partent vers des domaines tiers. Si c’est le cas, la bannière ne protège rien.
En Suisse, la nouvelle loi sur la protection des données impose depuis le 1er septembre 2023 la protection des données dès la conception et par défaut. Bloquer les scripts avant l’accord n’est donc pas un raffinement : c’est le réglage de départ attendu.
Reste une nuance que l’agence assume elle-même. Un site vitrine sans traceur publicitaire, mesuré avec un outil sans cookies, peut se passer de bannière. Une PME qui gère seule son WordPress et à qui Cookiebot suffit n’a pas de raison de changer. Et un module souverain coûte rarement moins cher qu’un abonnement Cookiebot de base, à partir d’environ 12 francs par mois. Son intérêt est ailleurs : les preuves de consentement restent en Suisse, au lieu de partir au Danemark ou aux États-Unis.
Et l’écologie dans tout ça ?
Une entreprise qui soigne son image écoresponsable pense d’abord à ses supports imprimés, parfois jusqu’au papier à planter pour une communication durable. Son site, lui, tourne jour et nuit sur des machines dont elle ignore souvent l’emplacement.
Souveraineté et écologie ne vont pas automatiquement ensemble. Un serveur local alimenté par une centrale à charbon reste un serveur au charbon. Le lien existe pourtant, à condition de regarder l’hébergeur de près. Infomaniak fait tourner ses infrastructures sans climatisation depuis 2013. Son dernier centre de données genevois, le D4, est installé en sous-sol d’une coopérative d’habitation, et depuis le 11 novembre 2024, toute l’électricité qu’il consomme est réinjectée sous forme de chaleur dans le chauffage à distance du canton.
À pleine charge, prévue d’ici 2028, ce site doit fournir 1,7 MW, de quoi chauffer 6 000 logements basse consommation (standard Minergie-A) et éviter chaque année 3 600 tonnes de CO2 issues de la combustion de gaz naturel. Ce sont des projections : à l’inauguration, en janvier 2025, le bâtiment tournait à 25 % de sa capacité.
Le second levier est plus discret. Chaque script tiers (bannière externe, outil de mesure, police hébergée ailleurs) ajoute une requête à chaque page vue. Un module de consentement hébergé avec le site n’appelle aucun serveur extérieur. Sur des dizaines de milliers de visites par an, ce sont autant de transferts qui n’ont jamais lieu.
Les données ont d’ailleurs leurs propres déchets : des formulaires conservés des années, des sauvegardes empilées, des statistiques que personne ne consulte. Les trier relève du même réflexe que pour réduire ses déchets au quotidien. Ce qui n’est pas collecté n’a besoin d’être ni stocké, ni protégé, ni refroidi.
Changer d’outils sans perdre le fil
Le premier mois après l’abandon de Google Analytics surprend presque toujours : les chiffres baissent de 10 à 20 %. Ce n’est pas du trafic perdu. Google estime les visiteurs qui refusent les cookies et compte une partie des robots, alors que l’outil open source ne compte que ce qu’il voit. La méthode qui évite la panique :
- Exporter l’historique avant de couper quoi que ce soit.
- Faire tourner les deux outils en parallèle pendant un mois.
- Comparer des tendances, jamais des chiffres bruts d’un outil à l’autre.
Un écart dans l’autre sens, avec des visites qui doublent, trahit presque toujours un script installé deux fois.
Les e-mails se migrent mieux qu’on ne le craint. L’outil d’importation d’Infomaniak rapatrie l’historique complet, pièces jointes comprises. Deux précautions suffisent : garder une copie locale de la boîte, et laisser vivre l’ancienne une à deux semaines après la bascule du domaine, le temps que les derniers messages cessent d’arriver par l’ancien chemin.
Le point le plus négligé reste la sortie. Chez Anorac Studio, contenus, nom de domaine et données sont restitués dans des formats standards si le client s’en va, avec une reprise documentée : un site doit pouvoir vivre sans son agence. L’ordre des opérations compte. Ouvrir le compte d’hébergement au nom de l’entreprise, puis donner à l’agence des accès délégués. L’inverse oblige à négocier un transfert le jour où la relation se tend.
Cinq questions à poser à une agence avant de signer
- Où sont hébergés le site, les sauvegardes et les e-mails, et par une société de quel pays ?
- Quels services tiers reçoivent des données, et se chargent-ils avant ou après le consentement ?
- À quel nom sont ouverts le compte d’hébergement et le nom de domaine ?
- Dans quels formats récupère-t-on contenus et données en cas de départ ?
- L’IA intervient-elle sur vos documents, où tourne-t-elle, et qui relit ce qu’elle produit ?
Une agence qui répond à ces cinq questions sans hésiter a déjà fait le travail. Anorac Studio y répond sur une page publique, limites comprises, et c’est sans doute le signe le plus fiable d’un engagement qui ne s’arrête pas au discours.