Data room en Suisse romande en 2026

1. Ce qui distingue une data room en Suisse romande

Une data room virtuelle fait partout la meme chose : elle rassemble des documents confidentiels, les ouvre a des tiers selon des droits precis et journalise chaque consultation. En Suisse romande, ce qui change n'est pas l'outil mais le raisonnement juridique qui precede son choix. La Suisse n'est pas membre de l'Union europeenne, elle dispose de son propre droit de la protection des donnees, de son propre regime de surveillance financiere, et d'une disposition penale sans equivalent en Europe continentale qui encadre la remise de donnees a des autorites etrangeres.

Quatre couches se superposent selon la nature des parties. La premiere est prudentielle : l'Autorite federale de surveillance des marches financiers, la FINMA, encadre l'externalisation des banques, des maisons de titres et des assureurs, principalement par la circulaire FINMA 2018/3. La deuxieme est penale et sectorielle : le secret bancaire de l'article 47 de la loi federale sur les banques punit la divulgation d'informations confiees a un etablissement. La troisieme est la nouvelle loi federale sur la protection des donnees, la nLPD, entree en vigueur le 1er septembre 2023 sans periode transitoire. La quatrieme, la plus specifique, est l'article 271 du code penal.

Cette quatrieme couche merite d'etre comprise des le depart, parce qu'elle explique pourquoi la question de l'hebergement se pose differemment en Suisse. L'article 271 du code penal reprime les actes executes sans droit pour un Etat etranger sur le territoire suisse. Il a longtemps constitue une protection pratique contre les injonctions adressees directement a des entreprises suisses par des autorites etrangeres, en dehors des canaux de l'entraide judiciaire. Il cree, par la meme, une tension avec les legislations etrangeres qui pretendent atteindre des donnees hebergees a distance.

La consequence pratique est double. D'une part, la localisation du traitement et la nationalite du fournisseur ne sont pas des details commerciaux mais des elements d'analyse juridique. D'autre part, les questions a poser au fournisseur sont plus nombreuses qu'ailleurs : ou sont les fichiers, ou sont les metadonnees, ou sont les sauvegardes, qui peut y acceder, sous quel droit ce prestataire est-il place, et que se passe-t-il s'il recoit une injonction etrangere.

Un dernier point differencie la Suisse romande des places voisines. Une part importante des operations y implique des contreparties francaises, europeennes ou anglo-saxonnes, ce qui superpose au droit suisse des exigences de droit europeen. Une banque privee genevoise qui cede une activite a un acquereur francais devra satisfaire simultanement la logique FINMA, la nLPD et les attentes RGPD de son acheteur. Une data room qui ne coche qu'une seule de ces cases fera perdre du temps a tout le monde.

2. Geneve, Lausanne, Neuchatel : la carte des operations

La Suisse romande n'est pas un marche homogene. Trois poles y coexistent, avec des tissus economiques distincts, des types d'operations differents et donc des besoins de data room qui ne se recouvrent pas. Comprendre ou se situe votre dossier evite de calquer sur une operation genevoise des reflexes concus pour un dossier industriel neuchatelois.

Geneve est d'abord une place de gestion de fortune et de banque privee, doublee d'un pole mondial de negoce de matieres premieres et de financement du commerce. Les operations y prennent souvent la forme d'une cession de portefeuille de clientele, d'un regroupement d'etablissements, d'une reprise d'equipe de gestion, ou d'une transaction sur une societe de negoce. Ces dossiers ont un point commun : ils touchent presque toujours des donnees couvertes par le secret bancaire ou par des obligations de confidentialite contractuelles tres strictes.

Lausanne et l'arc lemanique nord presentent un profil different, marque par la technologie, les sciences de la vie et l'industrie de precision. Les operations y sont plus souvent des levees de fonds, des acquisitions technologiques ou des cessions de participations dans des societes de croissance. Le centre de gravite documentaire se deplace vers la propriete intellectuelle, les contrats de recherche, les autorisations reglementaires et les plans de participation des collaborateurs.

Neuchatel et l'arc jurassien ajoutent une dimension industrielle forte, avec l'horlogerie, la microtechnique et la sous-traitance de precision. Les operations y sont frequemment des transmissions d'entreprises familiales, des reprises industrielles ou des cessions de sites. Le dossier comporte alors davantage d'elements immobiliers, environnementaux et sociaux, ainsi que des contrats de sous-traitance de long terme dont la transferabilite est un enjeu central.

Ces trois profils partagent toutefois une contrainte commune : la coexistence de parties suisses et etrangeres autour du meme jeu de documents. Un dossier romand typique reunit un vendeur suisse, un acquereur europeen ou nord-americain, un cabinet d'avocats genevois ou lausannois, une societe d'audit dont les equipes sont reparties sur plusieurs pays, et parfois une banque de financement. La segmentation des acces et la journalisation ne sont pas des raffinements : ce sont les mecanismes qui rendent cette coexistence possible sans exposer plus que necessaire.

3. La FINMA : perimetre de surveillance et logique

L'Autorite federale de surveillance des marches financiers surveille les banques, les maisons de titres, les assureurs, les infrastructures des marches financiers, les directions de fonds et les gestionnaires de fortune collective. Depuis l'entree en vigueur de la loi sur les etablissements financiers le 1er janvier 2020, les gestionnaires de fortune independants et les trustees sont egalement soumis a une obligation d'autorisation. Le regime transitoire imposait de deposer la demande aupres de la FINMA avant le 31 decembre 2022, apres examen par un organisme de surveillance.

Cette extension a change le paysage romand. Geneve et Lausanne comptent un nombre important de gestionnaires independants qui, en quelques annees, sont passes d'un cadre d'auto-regulation a un regime d'autorisation avec surveillance continue par un organisme de surveillance agree. Ces structures, souvent de taille modeste, ont du formaliser leur organisation, leur controle interne et leur gestion des risques, y compris informatiques. Une operation de cession ou de regroupement entre gestionnaires suppose donc aujourd'hui une documentation nettement plus fournie qu'il y a cinq ans.

La logique de la FINMA se distingue de celle des superviseurs europeens sur un point de methode. Elle privilegie une approche fondee sur les principes et proportionnee au profil de risque de l'etablissement, plutot qu'une enumeration exhaustive de regles applicables uniformement. Concretement, un petit gestionnaire de fortune et une grande banque ne sont pas tenus au meme niveau de formalisme, mais tous deux doivent pouvoir expliquer et documenter les choix qu'ils ont faits.

Pour un projet de data room, cette approche a un avantage et un inconvenient. L'avantage est la souplesse : rien n'impose un fournisseur suisse, ni une certification particuliere. L'inconvenient est l'absence de reponse toute faite : c'est a l'etablissement de demontrer que son choix est adapte a son profil de risque, ce qui suppose une analyse ecrite plutot qu'un renvoi a une liste officielle.

Un point pratique merite d'etre pose des le depart. Une data room ouverte pour une transaction ponctuelle et fermee au closing ne constitue generalement pas l'externalisation d'une fonction essentielle au sens de la circulaire sur l'outsourcing. La qualification change lorsque la meme plateforme devient un canal permanent de mise a disposition de documents a la clientele ou un referentiel documentaire durable. Cette distinction doit etre tranchee et ecrite au lancement du projet, pas discutee lors d'un audit.

4. La circulaire FINMA 2018/3 sur l'outsourcing

La circulaire FINMA 2018/3, intitulee Outsourcing pour les banques et les assureurs, est entree en vigueur le 1er avril 2018 et a remplace le dispositif issu de 2008. Son principal apport a ete d'etendre le cadre aux entreprises d'assurance, qui n'etaient pas visees auparavant, et de moderniser des regles concues a une epoque ou l'externalisation informatique restait marginale.

Le texte definit l'externalisation comme la situation dans laquelle une entreprise charge un prestataire d'assumer de maniere autonome et durable tout ou partie d'une fonction essentielle a son activite. Une fonction est reputee essentielle lorsque le respect des objectifs et des prescriptions de la legislation sur la surveillance des marches financiers en depend de maniere significative. Cette definition est fonctionnelle : elle ne se decide pas par la nature du logiciel mais par le role qu'il joue dans l'organisation.

Trois obligations structurent le dispositif. La premiere est l'inventaire : l'etablissement doit tenir un recensement de l'ensemble des services et fonctions externalises. La deuxieme est contractuelle : l'externalisation repose sur un contrat ecrit designant les parties et decrivant la fonction du prestataire, et comportant des dispositions relatives au systeme de controle interne, aux exigences de securite et aux droits d'examen permanents. La troisieme est la surveillance continue de la prestation, avec la capacite d'instruire le prestataire et de reprendre ou transferer la fonction.

Le point le plus important pour le choix d'une data room concerne l'externalisation a l'etranger. La circulaire l'admet, a la condition que l'entreprise puisse garantir que sa societe d'audit et la FINMA soient en mesure d'exercer a tout moment leurs droits d'examen et de controle sur le prestataire, y compris lorsque celui-ci est etabli hors de Suisse. Cette exigence se traduit par une clause contractuelle precise, et non par une declaration d'intention.

La circulaire s'applique egalement a l'externalisation intragroupe, ce qui surprend encore certaines equipes. Confier l'hebergement a une entite du meme groupe situee a l'etranger ne dispense ni du contrat ecrit, ni des accords de niveau de service, ni de la gouvernance associee. Pour une banque privee genevoise appartenant a un groupe europeen, cette regle a des consequences directes sur la maniere de documenter le recours a une plateforme mutualisee au niveau du groupe.

Enfin, la chaine de sous-traitance doit etre maitrisee. Une plateforme de data room repose typiquement sur un hebergeur d'infrastructure, un service de stockage, un service d'envoi de courriels transactionnels et parfois un service de conversion de documents. Chacun est un maillon, chacun a une localisation propre, et chacun doit pouvoir etre nomme si la question est posee. Une plateforme qui ne publie pas cette liste vous obligera a la reconstituer vous-meme, dans l'urgence, au moment le moins opportun.

5. La circulaire FINMA 2023/1 sur les risques et la resilience operationnels

La circulaire FINMA 2023/1, intitulee Risques et resilience operationnels pour les banques, a ete adoptee le 7 decembre 2022 et est entree en vigueur le 1er janvier 2024. Elle remplace la circulaire 2008/21 sur les risques operationnels et integre les principes du Comite de Bale relatifs a la resilience operationnelle.

Son apport principal tient a la notion de resilience operationnelle : la capacite d'un etablissement a maintenir ses fonctions critiques meme en cas de perturbation grave. Cela suppose d'identifier ces fonctions, de definir des tolerances d'interruption, de cartographier les ressources qui les supportent, y compris les prestataires externes, et de tester regulierement les scenarios de defaillance.

La circulaire traite egalement de la gestion des risques lies aux technologies de l'information et de la communication, du traitement des donnees critiques et de la gestion du cyber-risque. Elle attend des etablissements qu'ils sachent quelles donnees sont critiques, ou elles se trouvent, qui y accede et comment leur integrite est protegee.

Pour une data room, l'impact est indirect mais reel. Si la plateforme heberge des donnees qualifiees de critiques, ou si elle supporte une fonction jugee critique, elle entre dans la cartographie des ressources et doit figurer dans les scenarios de continuite. Cela implique de connaitre le delai de retablissement annonce, la frequence des sauvegardes, la localisation des copies et la procedure a suivre en cas d'indisponibilite prolongee.

Une remarque de bon sens : la plupart des data rooms de transaction ne supportent pas une fonction critique au sens de cette circulaire. Une interruption de quelques heures pendant une due diligence est desagreable, pas systemique. Mais l'exercice de qualification doit tout de meme etre fait et ecrit, ne serait-ce que pour pouvoir repondre en une phrase lors d'une revue. C'est le meme reflexe que pour la circulaire sur l'outsourcing : le cout de la note est negligeable, le cout de son absence est un retard.

6. Le secret bancaire de l'article 47 de la loi sur les banques

L'article 47 de la loi federale sur les banques reprime la divulgation d'un secret confie a une banque ou dont une personne a eu connaissance en raison de sa fonction ou de son activite. Il ne s'agit pas d'une regle de nature contractuelle mais d'une disposition penale, et cette qualification a des consequences pratiques importantes.

La premiere est que le consentement du client ne regle pas tout. Le secret protege le client, mais son perimetre et les conditions de sa levee obeissent a des regles precises. La seconde est que la responsabilite est personnelle : elle vise la personne qui divulgue, pas seulement l'etablissement. La troisieme est que la notion de divulgation est large et ne suppose pas une intention de nuire.

Dans un projet de data room, ces principes se traduisent par une cartographie prealable. Il faut identifier quels documents contiennent des donnees identifiant des clients, distinguer ce qui peut etre communique sous forme agregee de ce qui ne peut l'etre qu'a un cercle restreint, et prevoir des mecanismes d'occultation pour les documents mixtes. Une cession de portefeuille de clientele genevois ne s'organise pas comme une cession industrielle : la sequence d'ouverture doit etre concue autour de cette contrainte, et non l'inverse.

Il faut egalement s'interesser aux acces du personnel du fournisseur. Une plateforme dont le support technique peut ouvrir un document client pour diagnostiquer un incident cree un acces potentiel a des informations couvertes. Demandez par ecrit dans quelles conditions cet acces est possible, s'il necessite une approbation prealable de votre part, s'il est journalise et si le journal correspondant vous est accessible. Sur un dossier bancaire romand, la reponse a cette question pese plus lourd que la moitie de la grille fonctionnelle.

Enfin, le secret bancaire coexiste avec d'autres secrets professionnels. Le secret de l'avocat obeit a ses propres regles et le barreau romand y veille avec rigueur. Lorsqu'un cabinet genevois ou lausannois anime la data room pour le compte du vendeur, les deux regimes cohabitent et la segmentation doit refleter cette dualite : les analyses couvertes par le secret de l'avocat ne transitent pas par les memes espaces que les pieces communiquees aux acquereurs.

7. L'article 271 du code penal et la tension avec le CLOUD Act

L'article 271 du code penal suisse reprime les actes executes sans droit pour un Etat etranger. Il punit celui qui procede sur le territoire suisse, pour un Etat etranger, a des actes relevant des pouvoirs publics sans y etre autorise, ou qui procede a de tels actes pour un parti etranger ou une autre organisation de l'etranger. La peine prevue est privative de liberte de trois ans au plus ou pecuniaire, et dans les cas graves une peine privative de liberte d'un an au moins.

Cette disposition a une portee tres concrete. Communiquer a une autorite etrangere, en dehors des voies de l'entraide administrative ou judiciaire ou sans autorisation, des informations concernant des tiers proteges par l'ordre public suisse peut engager une responsabilite penale. Le Tribunal federal a confirme une condamnation fondee sur cette disposition dans une affaire de collecte en Suisse et de remise sur sol americain de donnees bancaires, dans son arret 6B_216/2020.

La tension avec le CLOUD Act americain se comprend a partir de la. Cette loi permet aux autorites americaines de requerir, aupres de fournisseurs soumis a leur juridiction, des donnees dont ceux-ci ont la possession, la garde ou le controle, y compris lorsque ces donnees sont stockees hors des Etats-Unis. Le fournisseur se retrouve alors potentiellement pris entre deux ordres juridiques : repondre a l'injonction americaine, ou respecter le droit suisse.

Il faut toutefois eviter les raccourcis. Le CLOUD Act ne transforme pas tout fournisseur americain en canal ouvert vers les autorites de son pays, et il prevoit des mecanismes de contestation ainsi que des accords bilateraux. Symetriquement, un hebergement physique en Suisse ne neutralise pas le risque si l'entite qui controle les donnees est soumise a la juridiction americaine. La question pertinente n'est donc pas seulement ou sont les serveurs, mais qui detient le controle effectif des donnees et sous quel droit cette entite est placee.

Pour une operation romande, la position raisonnable consiste a poser trois questions au fournisseur et a documenter les reponses. Quelle entite juridique est partie au contrat, et dans quel pays est-elle etablie ? Cette entite ou ses societes affiliees sont-elles susceptibles d'etre visees par une injonction extraterritoriale ? Quelle est la politique publiee du fournisseur en cas de demande d'une autorite etrangere, notamment en matiere de notification au client et de contestation ?

La reponse a ces questions oriente le choix plus surement que n'importe quel argument marketing. Un fournisseur europeen dont l'entite contractante est etablie dans l'Union et dont l'infrastructure est europeenne reduit mecaniquement la surface d'exposition. Un hebergement en Suisse reduit encore le sujet lorsque le controle est egalement suisse. Dans les deux cas, ce qui compte est la coherence entre le lieu du stockage, le lieu du controle et le droit applicable au contrat.

8. La nLPD, en vigueur depuis le 1er septembre 2023

La loi federale revisee sur la protection des donnees, appelee nLPD en francais et revDSG en allemand, est entree en vigueur le 1er septembre 2023, en meme temps que la nouvelle ordonnance sur la protection des donnees et l'ordonnance sur les certifications. Elle a ete adoptee par le Parlement le 25 septembre 2020 et n'a pas ete assortie d'une periode transitoire : les organisations devaient etre conformes des le premier jour.

La revision rapproche le droit suisse des standards europeens sans les copier. Parmi les changements les plus structurants figurent le renforcement de la transparence, l'obligation de tenir un registre des activites de traitement, l'analyse d'impact relative a la protection des donnees lorsqu'un traitement presente un risque eleve, l'obligation d'annoncer les violations de la securite des donnees au Prepose federal a la protection des donnees et a la transparence, et l'exigence de securite des donnees des la conception et par defaut.

Le registre des activites de traitement merite une precision, car il est souvent mal compris. L'obligation ne pese pas de la meme maniere sur toutes les organisations : les entreprises de moins de deux cent cinquante collaborateurs dont les traitements presentent un risque limite en sont dispensees. Cette dispense ne vaut evidemment pas pour les traitements a risque, frequents dans les operations financieres et dans les dossiers contenant des donnees sensibles.

Le regime des sanctions est l'autre grande difference avec le RGPD. La nLPD ne prevoit pas d'amendes administratives infligees a l'entreprise par une autorite, mais des sanctions penales prononcees par les autorites cantonales, pouvant atteindre 250 000 francs, et visant la personne physique responsable du comportement non conforme. Seuls les actes et omissions intentionnels sont punissables, la negligence ne l'etant pas. Cette architecture deplace la pression du budget de l'entreprise vers la responsabilite individuelle des dirigeants.

Pour une data room, la traduction operationnelle est simple. Le fournisseur agit comme sous-traitant et le contrat doit encadrer ce role, en pratique sur le meme modele qu'un contrat de sous-traitance au sens du droit europeen, ce qui evite d'avoir deux documents contradictoires. L'operation elle-meme doit apparaitre dans le registre des activites de traitement lorsque celui-ci est requis. Les acces doivent etre limites au strict necessaire et les donnees supprimees a l'issue de l'operation.

Un dernier point souvent oublie : le droit d'acces des personnes concernees. Une data room contient des noms, des fonctions, des remunerations, parfois des evaluations. Si une personne exerce son droit d'acces pendant ou apres l'operation, il faut etre capable de dire quelles donnees la concernant ont ete traitees et communiquees. Un journal d'audit exportable rend cet exercice possible ; son absence le rend approximatif.

9. RGPD, transferts internationaux et lieu d'hebergement

Une entreprise suisse peut relever du RGPD sans etre etablie dans l'Union europeenne, notamment lorsqu'elle propose des biens ou des services a des personnes situees dans l'Union ou qu'elle suit leur comportement. Beaucoup d'acteurs romands sont dans cette situation sans l'avoir formalise. En pratique, des qu'une operation implique des salaries, des clients ou des investisseurs europeens, il est plus economique de traiter le dossier selon le standard le plus exigeant que d'argumenter sur l'inapplicabilite du reglement.

Dans l'autre sens, la Commission europeenne reconnait la Suisse comme offrant un niveau de protection adequat, ce qui permet aux entreprises europeennes de transferer des donnees vers la Suisse sans garanties supplementaires. C'est un argument utile lorsqu'un acquereur europeen s'inquiete de deposer des documents dans une data room hebergee en Suisse.

Cote suisse, la logique est symetrique. Le droit suisse admet la communication de donnees a l'etranger lorsque l'Etat destinataire figure sur la liste des Etats disposant d'une protection adequate, liste qui comprend notamment les Etats de l'Espace economique europeen. Un hebergement dans l'Union europeenne ne pose donc pas de difficulte particuliere au regard de la nLPD, ce qui elargit sensiblement le champ des solutions utilisables depuis Geneve ou Lausanne.

Le cas des Etats-Unis est plus nuance. Le Conseil federal a reconnu, lors de sa seance du 14 aout 2024, l'adequation du niveau de protection applicable aux transferts vers les entreprises americaines certifiees au titre du cadre de protection des donnees entre la Suisse et les Etats-Unis. Cette reconnaissance produit ses effets depuis le 15 septembre 2024 et se limite aux entreprises effectivement certifiees. Elle simplifie le formalisme des transferts, mais elle ne repond pas a la question distincte posee par l'article 271 du code penal, qui releve d'une autre logique.

Il faut par ailleurs se mefier d'une confusion tres repandue : la localisation des fichiers ne dit rien de la localisation des metadonnees, des sauvegardes et des equipes de support. Une plateforme peut stocker les documents dans un centre de donnees europeen ou suisse tout en conservant ailleurs les journaux d'acces, les adresses des visiteurs et les donnees d'usage, ou en assurant le support depuis un autre continent. Formulez la question en quatre volets et exigez une reponse ecrite.

En resume, trois configurations d'hebergement se rencontrent en Suisse romande. L'hebergement suisse, qui rassure le plus et reste le choix naturel lorsque des donnees couvertes par le secret bancaire sont en jeu. L'hebergement dans l'Union europeenne, parfaitement admissible au regard de la nLPD et souvent preferable lorsque la contrepartie est europeenne. L'hebergement hors de ces deux zones, qui impose un travail de documentation supplementaire et qui se justifie rarement pour une operation romande.

10. Banque privee, gestion de fortune et negoce de matieres premieres

La banque privee et la gestion de fortune representent le coeur de l'activite financiere genevoise et une part importante de l'activite lausannoise. Les operations qui s'y deroulent ont une caracteristique qui les distingue de toutes les autres : la valeur cedee reside dans une relation client, et cette relation est precisement ce qui est le plus protege par le droit.

Une cession de portefeuille de clientele ou une reprise d'equipe de gestion pose donc un probleme de sequence. L'acquereur veut evaluer la qualite et la stabilite des avoirs, la structure des revenus, la concentration des relations, la conformite des dossiers. Le vendeur ne peut pas exposer les identites avant que l'operation ne soit certaine, et parfois pas avant que les clients eux-memes ne se soient prononces. La data room doit donc etre concue autour d'une progression : d'abord des donnees agregees et anonymisees, ensuite des donnees pseudonymisees par cohorte, enfin des elements nominatifs restreints a un cercle etroit et souvent sous supervision.

La documentation de conformite occupe une place croissante dans ces dossiers. Politiques de lutte contre le blanchiment, procedures d'identification des clients, gestion des risques transfrontaliers, traitement des personnes politiquement exposees, rapports de controle interne et de la societe d'audit : ces pieces conditionnent la valeur de l'operation autant que les chiffres. Elles sont aussi parmi les plus sensibles a communiquer, ce qui justifie une section dediee avec des droits distincts.

Le negoce de matieres premieres et le financement du commerce forment le second pilier genevois. Les operations y portent sur des societes de negoce, des activites ou des portefeuilles de financement. Le dossier documentaire est domine par les contrats : contrats cadres d'achat et de vente, contrats d'affretement, contrats de stockage et d'inspection, lignes de credit, suretes sur marchandises et sur creances, couvertures de risques.

Ces dossiers presentent deux particularites pour la data room. La premiere est le volume et l'heterogeneite des documents, souvent en plusieurs langues, avec de nombreux avenants et confirmations qui doivent rester relies au contrat cadre correspondant. La seconde est la sensibilite commerciale extreme de certaines informations : marges par contrepartie, conditions negociees, positions ouvertes. Ces elements justifient un espace a acces restreint, ouvert tardivement, sous filigrane nominatif et sans telechargement.

Enfin, les gestionnaires de fortune independants romands connaissent une phase de consolidation. Les operations de rapprochement entre structures de taille modeste sont frequentes, et elles butent souvent sur le meme obstacle : l'absence de documentation organisee. Une data room bien construite est, dans ce contexte, autant un outil de transaction qu'un exercice de mise en ordre interne dont le benefice depasse l'operation elle-meme.

11. Index documentaire type d'une data room romande

L'index ci-dessous sert de point de depart pour une operation menee depuis la Suisse romande sur une societe suisse. Il combine une trame de due diligence classique et les sections propres au contexte suisse : documentation de surveillance, conformite, elements sociaux specifiques et, le cas echeant, section de gestion de fortune.

Deux principes gouvernent sa construction. Le premier est la numerotation stricte a deux chiffres, qui garantit un tri stable quelle que soit la plateforme et permet de designer un document sans ambiguite en reunion. Le second est la separation nette entre ce qui peut circuler des la phase preliminaire et ce qui ne s'ouvre qu'en phase confirmatoire, ce qui suppose de decider cette repartition avant de deposer le premier fichier.

Une precision sur la section sociale. Le droit suisse du travail se distingue nettement de ses voisins sur plusieurs points, et les acquereurs etrangers posent systematiquement les memes questions : duree des delais de conge, prevoyance professionnelle, participation aux resultats, clauses de non-concurrence. Anticiper ces questions en constituant une section claire, avec une note de synthese, fait gagner plusieurs semaines de va-et-vient dans le module de questions et reponses.

12. Structurer les acces par phase et par groupe

La structuration des acces repose sur deux dimensions independantes qu'il ne faut pas confondre. La phase de l'operation determine ce qui est ouvert a un instant donne. Le groupe de parties determine qui voit quoi a l'interieur de cette phase. Les erreurs d'exposition proviennent presque toujours d'une confusion entre les deux, par exemple lorsqu'un document sensible est place dans une section deja ouverte parce que sa numerotation le rattachait a ce chapitre.

En Suisse romande, l'ouverture par phases prend une importance particuliere lorsque des donnees couvertes par le secret bancaire ou une confidentialite commerciale forte sont en jeu. La progression classique comporte trois etapes. En phase preliminaire, les candidats accedent a des elements agreges permettant une indication de prix non engageante. En phase confirmatoire, les sections contractuelles, fiscales et sociales s'ouvrent aux candidats ayant remis une offre. En phase finale, un cercle restreint accede aux elements les plus sensibles, sous filigrane nominatif et sans telechargement.

La segmentation par groupe repond a une autre logique. Les conseils juridiques de l'acquereur n'ont pas besoin des memes pieces que ses conseils financiers, et les preteurs potentiels n'ont pas a voir les offres concurrentes. Dans un processus a candidats multiples, l'etancheite est absolue : chaque candidat doit ignorer l'existence des autres dans la plateforme, ce qui suppose que les listes d'utilisateurs ne soient pas visibles d'un groupe a l'autre.

L'acceptation d'un engagement de confidentialite directement dans la plateforme, avant que le moindre document ne devienne visible, merite une mention specifique. Elle produit une preuve horodatee du consentement de chaque personne physique et evite toute discussion ulterieure sur la date a laquelle une information a ete communiquee. Sur un dossier bancaire ou de negoce, cette trace vaut cher le jour ou une fuite est suspectee.

Le module de questions et reponses constitue le second pilier. Il canalise les demandes, les attribue a l'expert competent cote vendeur, conserve l'historique et permet de decider si une reponse est diffusee a tous ou seulement au demandeur. Dans un dossier romand ou les questions arrivent en francais et en anglais, parfois en allemand, cette centralisation evite les divergences de reponse d'un interlocuteur a l'autre.

Enfin, prevoyez la sortie des personnes autant que leur entree. Les equipes changent au cours d'une operation de plusieurs mois. La revocation immediate des acces, la revue periodique de la liste des utilisateurs actifs et l'expiration automatique des liens sont, en pratique, des mecanismes de securite plus efficaces que la plupart des options de chiffrement mises en avant commercialement.

13. Scenario : une cession menee depuis Geneve

L'exemple ci-dessous est une illustration. Il repose sur une societe fictive et sur une operation inventee pour les besoins de la demonstration. Aucun element ne correspond a un dossier reel.

14. Fournisseurs et options d'hebergement

Le choix se joue en Suisse romande sur trois axes plutot que sur une liste de fonctionnalites : la coherence du montage juridique et de la localisation, la capacite a repondre vite et par ecrit aux questions de conformite, et la lisibilite du budget sur une operation reunissant plusieurs cabinets. Nous presentons ci-dessous les editeurs deja couverts par notre annuaire qui nous paraissent pertinents, avec pour chacun une limite honnete.

Trois profils dominent. Les operations avec contreparties europeennes, majoritaires, ou un hebergement dans l'Union europeenne est parfaitement admissible au regard de la nLPD et souvent prefere par l'acquereur. Les operations ou une exigence contractuelle de stockage en Suisse existe, generalement liee a des engagements pris envers la clientele. Les operations franco-suisses impliquant un acteur public, ou la souverainete francaise devient le critere dominant.

Pour le premier profil, qui couvre la majorite des dossiers romands de marche intermediaire, Papermark constitue la principale alternative europeenne securisee. La plateforme a ete concue autour du deroulement d'un deal, ce qui se voit dans l'enchainement de ses fonctions : engagement de confidentialite accepte avant tout acces, ouverture par phases, module de questions et reponses, filigrane dynamique nominatif, journal d'audit exportable et analytique de lecture page par page.

Les editeurs suivants figurent dans notre annuaire et peuvent convenir selon le profil de votre operation. Nous les presentons neutralement, sans classement, avec pour chacun le cas d'usage ou il est le plus pertinent et la limite qu'il faut connaitre avant de s'engager.

Selon la nature de votre operation, prolongez la lecture avec nos guides data room pour le private equity, data room pour une levee de fonds et data room pour les cabinets d'avocats, ainsi qu'avec nos audits securite par editeur.

15. Grille de selection : les questions a poser avant de signer

Une grille utile ne compare pas des fonctionnalites mais des engagements. La plupart des plateformes serieuses proposent aujourd'hui le filigrane dynamique, la gestion granulaire des droits et un journal d'audit. Ce qui les differencie reellement pour un dossier romand, c'est la coherence de leur montage juridique, la transparence de leur chaine de sous-traitance et leur capacite a repondre vite et par ecrit.

Nous vous conseillons de structurer la consultation en trois blocs, avec une date limite identique pour tous les candidats. Le premier bloc porte sur le montage juridique et la localisation. Le deuxieme porte sur les fonctions reellement utilisees dans une operation romande. Le troisieme porte sur l'exploitation : mise en service, support, langues, reversibilite.

La qualite et la rapidite des reponses constituent une information au moins aussi utile que leur contenu. Un editeur qui met trois semaines a indiquer quelle entite juridique signe le contrat mettra probablement le meme temps a traiter votre incident. A l'inverse, un editeur qui envoie sous vingt-quatre heures une fiche de localisation deja redigee demontre que la question lui a deja ete posee et qu'il l'a traitee.

Trois questions binaires eliminent plus de candidats qu'une matrice de deux cents lignes. Le personnel du fournisseur peut-il ouvrir un document client sans approbation prealable ? L'export final inclut-il le journal d'audit ? Quelle entite juridique est partie au contrat et dans quel pays est-elle etablie ? Posez-les en premier.

16. Budget et modeles tarifaires

Quatre modeles tarifaires coexistent sur le marche, et la comparaison entre offres est souvent faussee parce qu'on compare des modeles differents plutot que des prix. L'abonnement forfaitaire fixe un prix mensuel independant du volume. La tarification par utilisateur devient rapidement couteuse des que plusieurs cabinets externes interviennent. La tarification au volume est heritee de l'epoque des data rooms physiques. Le tarif par projet est negocie au cas par cas.

Pour un dossier romand, deux caracteristiques du modele comptent particulierement. La premiere est le traitement des utilisateurs externes : une operation reunit facilement quarante a soixante personnes reparties entre plusieurs cabinets suisses et etrangers, et un modele par utilisateur externe rend le budget imprevisible. La seconde est le nombre de salles : les processus a candidats multiples exigent des espaces etanches, et un modele facturant chaque salle penalise exactement la pratique que la confidentialite recommande.

Sur ces deux points, la grille de Papermark est lisible et publiee, ce qui reste rare sur ce marche. Le plan gratuit permet de tester sans engagement. Le plan Pro est facture 24 euros par mois. Le plan Business est facture 59 euros par mois et inclut trois membres, les sieges supplementaires etant a 20 euros. Le plan Data Rooms est facture 99 euros par mois, inclut trois membres et un nombre illimite de data rooms, les sieges supplementaires etant a 33 euros. Le plan Entreprise est propose sur devis. La facturation annuelle permet jusqu'a 35 pour cent d'economie.

Chez les autres editeurs cites dans ce guide, les tarifs ne sont pas publies. Oodrive, Closd et Docaposte fonctionnent sur devis. Drooms pratique une tarification par projet negociee selon le volume et la duree. netfiles propose un abonnement mensuel ou par projet. Dans tous ces cas, la mention exacte a retenir est : montant non publie. Nous ne publions pas d'estimation, parce qu'une fourchette inventee est plus nuisible qu'une absence d'information.

Le cout complet d'une data room depasse largement l'abonnement. Il faut compter le temps interne de preparation de l'index et de collecte, qui represente presque toujours la depense la plus lourde, le temps des conseils consacre a la revue avant ouverture, l'occultation des donnees sensibles, l'eventuelle numerisation de documents papier et le support pendant l'operation. Sur une transaction romande de taille intermediaire, le prix de la plateforme reste marginal par rapport aux honoraires engages.

Un dernier point de vigilance concerne la sortie du contrat. Certaines offres facturent l'export final, la conservation prolongee ou la production d'une archive. Ces couts apparaissent apres le closing, lorsque le budget de l'operation est clos. Faites chiffrer la sortie au moment de la signature, pas au moment ou vous en aurez besoin.

17. Cinq erreurs frequentes

Les difficultes rencontrees sur les dossiers romands relevent rarement de la technique. Elles proviennent de decisions reportees, de qualifications approximatives ou d'hypotheses non verifiees sur ce que le fournisseur peut reellement garantir. Les cinq situations decrites ci-dessous reviennent avec une regularite frappante, a Geneve comme a Lausanne ou a Neuchatel.

La premiere erreur consiste a raisonner uniquement en termes de localisation des serveurs. Beaucoup de dossiers se satisfont d'une affirmation generale trouvee sur une page de site, en pensant que le sujet est clos. Or la question pertinente porte sur quatre elements distincts : les fichiers, les metadonnees, les sauvegardes et les pays depuis lesquels le service est exploite et supporte. Elle porte surtout, en Suisse, sur l'identite de l'entite qui detient le controle effectif des donnees et sur le droit auquel elle est soumise. Un serveur situe en Suisse mais controle par une entite soumise a une juridiction extraterritoriale ne produit pas l'effet recherche.

La deuxieme erreur consiste a traiter la nLPD comme une simple variante du RGPD, ou l'inverse. Les deux textes se rapprochent mais ne coincident pas, notamment sur le regime des sanctions : le droit suisse prevoit des sanctions penales pouvant atteindre 250 000 francs et visant la personne physique responsable, alors que le droit europeen repose sur des amendes administratives infligees a l'entreprise. Cette difference change la nature de la conversation interne : ce n'est plus seulement un risque budgetaire, c'est une exposition personnelle des dirigeants. Construisez un socle documentaire unique aligne sur l'exigence la plus elevee, puis ajoutez les mentions specifiques au droit suisse.

La troisieme erreur consiste a ouvrir trop tot des donnees couvertes par le secret bancaire ou par une confidentialite commerciale forte. Dans une cession de portefeuille de clientele, l'acquereur demandera toujours a voir davantage, plus tot. Ceder a cette demande expose des informations que rien ne permet ensuite de reprendre. La progression par etapes, donnees agregees puis cohortes pseudonymisees puis elements nominatifs restreints, n'est pas une lenteur administrative : c'est ce qui rend l'operation defendable si elle est contestee.

La quatrieme erreur consiste a negliger la qualification au regard de la circulaire sur l'outsourcing. Deux exces sont possibles. Certains dossiers ignorent la question et decouvrent tardivement que la societe d'audit attendait une analyse ecrite. D'autres, par prudence, traitent une data room de projet comme l'externalisation d'une fonction essentielle et s'imposent un formalisme qui retarde l'ouverture de plusieurs semaines. Une note de qualification d'une page, versee au dossier des le lancement, resout les deux cas.

La cinquieme erreur consiste a fermer la data room sans avoir exporte. Une salle fermee au closing sans export prealable prive l'operation de sa propre memoire : le journal d'audit disparait, l'index n'est plus reconstituable, et la demonstration de ce qui a ete communique a chaque partie devient impossible au moment ou une garantie est appelee. Exportez systematiquement l'arborescence complete, les fichiers dans leur format d'origine, l'index et le journal d'audit, puis archivez cet ensemble avec la documentation de l'operation.

Ces cinq erreurs ont une origine commune : elles resultent d'une decision reportee. Le remede tient en une habitude simple, qui consiste a traiter la data room comme un livrable de l'operation, avec un responsable identifie, un calendrier propre et une revue formelle avant l'ouverture aux tiers.

18. Glossaire

Les vingt termes ci-dessous reviennent constamment dans les dossiers romands. Ils sont definis ici dans le sens qu'ils prennent lorsqu'on parle de data room. Pour un lexique plus large couvrant l'ensemble du sujet, consultez notre glossaire des data rooms.

19. Methodologie

Ce guide a ete construit en trois temps. Nous avons d'abord reuni les sources primaires accessibles publiquement : les circulaires publiees par la FINMA, la loi federale sur les banques, la loi sur les etablissements financiers, le code penal suisse, la loi federale revisee sur la protection des donnees et ses ordonnances d'application, ainsi que les communications officielles relatives a la reconnaissance de l'adequation du cadre de protection des donnees entre la Suisse et les Etats-Unis.

Nous avons ensuite rapproche ces sources des pratiques observees sur le marche : documentation publique des editeurs, pages de tarifs, listes de sous-traitants et attestations d'audit lorsqu'elles sont publiees. Les elements tarifaires ne sont cites que lorsqu'ils sont publics. Lorsqu'un editeur ne publie pas ses prix, nous indiquons explicitement que le montant n'est pas publie, plutot que de proposer une estimation.

Nous avons enfin applique une regle de prudence sur les chiffres. Lorsqu'une donnee chiffree varie sensiblement d'une source a l'autre, notamment sur le poids economique des places romandes, elle est omise plutot qu'arbitree. Le guide privilegie donc les descriptions qualitatives la ou les statistiques publiques ne convergent pas.

Ce guide est un contenu editorial independant. Aucun editeur ne paie pour y figurer, aucun lien d'affiliation n'est utilise et l'ordre de presentation ne resulte d'aucune contrepartie commerciale. Notre position editoriale generale et nos criteres d'evaluation sont detailles sur notre page methode.

Une precision necessaire pour finir : ce document est une synthese editoriale, pas un conseil juridique. La qualification d'une externalisation, l'application du secret bancaire a une situation donnee et l'analyse d'un risque au regard de l'article 271 du code penal dependent de circonstances propres a chaque dossier et doivent etre validees avec vos conseils.

20. FAQ