Découvrez quand la Suisse autorise les transferts de données vers des États tiers, quelles garanties sont nécessaires et qui est responsable de la protection des données personnelles...
Une transmission de données personnelles de la Suisse vers un État tiers est en principe autorisée lorsque le Conseil fédéral a attesté à l'État de destination un niveau de protection des données adéquat. À défaut d'une telle décision, des garanties supplémentaires sont requises, telles que les clauses contractuelles types, des clauses contractuelles spécifiques, des règles d'entreprise contraignantes ou une exception légale selon l'art. 17 LPD. La responsabilité incombe toujours à l'entreprise exportatrice, le PFPDT examine notamment les clauses nouvellement formulées dans un délai de 90 jours.
En résumé : - Les clauses contractuelles types reconnues n'ont pas à être notifiées ; les clauses contractuelles propres, en revanche, sont soumises à l'obligation de notification et ne valent que pour la relation concrètement convenue entre l'exportateur et le destinataire. - L'exportateur doit évaluer les accès étatiques, la proportionnalité, les voies de droit et le contrôle indépendant dans l'État de destination ; des lacunes non remédiables peuvent arrêter la transmission. - Le consentement, la nécessité contractuelle ou des prétentions juridiques peuvent autoriser une transmission sans décision d'adéquation au cas par cas, mais ne justifient pas des flux de données systématiques ou permanents. - Les garanties contractuelles n'empêchent pas les accès étatiques dans l'État de destination ; pour des données particulièrement dignes de protection, il peut donc être nécessaire de renoncer à un traitement sur place.
Table des matières
- Bases légales : art. 16 et 17 LPD et annexe 1 ODPD
- Instruments de garantie en l'absence d'adéquation : CCT, clauses contractuelles, BCR
- Responsabilité et obligations de vérification : quatre garanties, registre et journalisation
- Check-list pratique : étapes avant la transmission vers un État tiers
- Pourquoi un accompagnement juridique vaut la peine pour les transferts complexes
- Notre offre : audit de protection des données et examen des contrats
- FAQ
- Sources
Bases légales : art. 16 et 17 LPD et annexe 1 ODPD
La loi révisée sur la protection des données régit la communication transfrontalière de données personnelles à l'art. 16 LPD. Idée centrale : le Conseil fédéral détermine quels États offrent un niveau de protection des données équivalent au niveau suisse. Cette liste figure à l'annexe 1 ODPD et est réexaminée périodiquement, car un pays peut modifier, durcir ou assouplir sa législation sur la protection des données. Pour l'UE elle-même, il y a depuis des années une clarté dans l'autre sens : la Commission européenne a confirmé le 15 janvier 2024 que le droit suisse de la protection des données continue de satisfaire aux exigences du RGPD, une décision d'adéquation qui facilite considérablement le trafic de données des entreprises suisses avec l'UE.
À défaut d'adéquation, la voie de l'art. 17 LPD reste ouverte. Y sont énumérées de manière exhaustive les exceptions :
- Consentement explicite de la personne concernée à la transmission concrète.
- Lien direct avec la conclusion ou l'exécution d'un contrat.
- Faire valoir, exercer ou exécuter des prétentions juridiques devant un tribunal ou une autorité.
- Intérêt public prépondérant ou protection de la vie de la personne concernée.
Ces exceptions ne valent que pour le cas individuel, non comme justification générale pour des flux de données systématiques.
Instruments de garantie en l'absence d'adéquation : CCT, clauses contractuelles, BCR
Sans décision d'adéquation, chaque transmission nécessite son propre instrument de garantie. Trois variantes sont les plus fréquentes dans la pratique :
- Clauses contractuelles types (CCT) : Le PFPDT a reconnu en principe les clauses contractuelles types révisées de l'UE ; pour les versions nouvellement formulées ou adaptées, l'autorité examine dans un délai de 90 jours si elles sont approuvées. Si les CCT sont déjà reconnues, l'obligation de notification tombe.
- Clauses de protection des données spécifiques : Quiconque formule ses propres clauses contractuelles, au lieu de recourir à des modèles reconnus, doit les notifier au PFPDT. Elles ne valent exclusivement que pour la relation concrètement convenue entre l'exportateur et le destinataire.
- Règles d'entreprise contraignantes (BCR) et traités de droit international public : Pour les groupes avec des flux de données intragroupes récurrents, les BCR offrent une base plus stable que des contrats individuels, même si leur mise en place est plus lourde.
En cas d'applicabilité mixte de la LPD et du RGPD, il vaut généralement la peine de convenir du droit suisse pour les prétentions contractuelles, dans la mesure où les modules CCT choisis permettent ce choix de droit, car cela simplifie l'exécution des droits des tiers bénéficiaires.
Conseil de pro : Les garanties contractuelles ne font pas obstacle aux droits d'accès étatiques dans l'État de destination. Pour des données particulièrement dignes de protection, la décision organisationnelle de renoncer à un traitement dans l'État tiers est souvent la seule solution viable.
Responsabilité et obligations de vérification : quatre garanties, registre et journalisation
La responsabilité d'une transmission licite incombe à l'exportateur de données, quel que soit l'instrument choisi. Le guide du PFPDT exige un examen au cas par cas de l'État de destination, qui va bien au-delà d'un coup d'œil à l'annexe 1 ODPD :
- Examen de la situation législative, de la pratique des autorités et de l'indépendance de la justice dans l'État de destination.
- Évaluation au regard des quatre garanties : légalité des accès étatiques, proportionnalité, voie de droit pour les personnes concernées et contrôle indépendant.
- Documentation dans le registre des transferts de données, y compris destinataire, catégories de données et instrument choisi.
Si l'examen révèle des lacunes qui ne peuvent être compensées, la transmission peut devoir être suspendue ou arrêtée, ainsi que le relève le PFPDT, une conséquence que beaucoup d'entreprises sous-estiment lorsqu'elles se contentent de signer des CCT pour les classer ensuite.
S'y ajoutent les obligations de journalisation selon l'art. 4 ODPD : en cas de traitement automatisé de données particulièrement dignes de protection ou à risque, les opérations telles que l'enregistrement, la modification, la lecture et la communication doivent être journalisées, avec un délai de conservation approprié et un stockage séparé à accès restreint. Quiconque transmet des données à des prestataires de traduction, par exemple pour des traductions certifiées dans un contexte international, doit appliquer la même diligence, UnaLingua explique les obligations pertinentes lors de l'externalisation de telles prestations.
Check-list pratique : étapes avant la transmission vers un État tiers
Une approche structurée évite qu'une transmission ne soit découverte comme illicite seulement après coup :
- Inventaire : Quelles catégories de données sont transmises, qui est le destinataire, existe-t-il une chaîne de sous-traitants et des transmissions ultérieures vers d'autres États tiers sont-elles à craindre ?
- Examen juridique : L'État de destination figure-t-il à l'annexe 1 ODPD ? Sinon : les CCT, des clauses spécifiques ou des BCR entrent-elles en ligne de compte, ou une exception selon l'art. 17 LPD s'applique-t-elle ?
- Mise en œuvre contractuelle : Utiliser des CCT reconnues ou formuler ses propres clauses et les notifier au PFPDT, selon la voie choisie.
- Mesures techniques : Mettre en place et documenter le chiffrement, la gestion propre des clés (BYOK) ou sa propre infrastructure de chiffrement (BYOE) ainsi que les contrôles d'accès.
- Monitoring : Réexamen périodique de la situation juridique dans l'État de destination et règles claires définissant quand une transmission doit être suspendue ou arrêtée.
Conseil de pro : Pour des fournisseurs cloud liés aux États-Unis ou à d'autres États tiers, il vaut la peine d'adresser une demande concrète au fournisseur sur la chaîne de sous-traitants avant de signer un contrat.
Qui souhaite évaluer les risques à l'avance de manière structurée trouvera dans notre article sur l'analyse d'impact relative à la protection des données un approfondissement de la méthodologie, et des informations de fond sur les obligations issues de la révision de la loi dans notre article sur la loi révisée sur la protection des données.
Pourquoi un accompagnement juridique vaut la peine pour les transferts complexes
Dès que les données relèvent simultanément de la LPD et du RGPD, par exemple lorsqu'une entreprise suisse sert des clients dans l'UE et fait appel à des prestataires aux USA, deux régimes aux délais, obligations de notification et exigences de clauses différents se chevauchent. C'est précisément à ce stade que nous aidons nos mandants : nous conseillons directement en cinq langues, sans qu'un interprète ne doive être intercalé, ce qui évite les malentendus dans les chaînes contractuelles internationales. Notre expérience des mandats transfrontaliers, par exemple dans le contexte de liens avec l'Ukraine et la Russie avec leurs propres régimes de sanctions, montre à quelle vitesse des flux de données en apparence simples peuvent se transformer en questions de conformité à multiples facettes.
Un mandat vaut particulièrement la peine lorsque des données particulièrement dignes de protection sont concernées, lorsqu'une longue chaîne de sous-traitants s'étend sur plusieurs États ou lorsque des risques de poursuite pénale existent dans l'État de destination. Dans de tels cas, une check-list ne suffit pas, il faut une appréciation au cas par cas qui relie les aspects juridiques et techniques.
— Bitblade
Notre offre : audit de protection des données et examen des contrats
Nous accompagnons les entreprises précisément dans les étapes qu'une transmission licite vers des États tiers présuppose :
- Audit de protection des données selon la LPD révisée, y compris évaluation de l'État de destination et des quatre garanties.
- Examen et formulation de clauses contractuelles types ou de clauses contractuelles spécifiques.
- Soutien dans la communication avec le PFPDT, par exemple pour les clauses soumises à notification.
Nous conseillons en plusieurs langues et accompagnons les mandats de l'entretien initial jusqu'à la mise en œuvre contractuelle. Un aperçu de nos prestations en droit économique et des contrats se trouve sur notre page Services, un premier entretien peut être réservé directement via nos forfaits et honoraires.
Cet article contient des informations générales et ne remplace pas un conseil par un avocat qualifié. Adressez-vous à un juriste qualifié pour votre situation personnelle avant d'agir sur la base de ce contenu.
FAQ
Que signifie concrètement une décision d'adéquation pour la Suisse ?
Une décision d'adéquation signifie que le Conseil fédéral a attesté à un État un niveau de protection des données équivalent au niveau suisse, de sorte que des données peuvent être transmises sans garanties supplémentaires. La liste de ces États figure à l'annexe 1 ODPD et est réexaminée périodiquement.
Combien de temps le PFPDT met-il pour examiner de nouvelles clauses contractuelles types ?
Le PFPDT décide de l'approbation de clauses contractuelles types nouvellement formulées dans un délai de 90 jours. Les modèles de CCT déjà reconnus, en revanche, n'ont pas à être notifiés à nouveau.
Quelles exceptions l'art. 17 LPD permet-il sans décision d'adéquation ?
L'art. 17 LPD autorise notamment une transmission en cas de consentement explicite, de nécessité contractuelle ou pour faire valoir des prétentions juridiques. Ces exceptions ne valent que pour le cas concret, non comme base légale générale pour des flux de données permanents.
Quelles garanties le PFPDT examine-t-il lors de transferts de données vers des États tiers ?
Le guide du PFPDT exige une évaluation au regard de quatre garanties : légalité des accès étatiques, proportionnalité, voie de droit pour les personnes concernées et contrôle indépendant. Si ces garanties font défaut dans l'État de destination, la transmission peut devoir être suspendue ou arrêtée.
Combien coûte une première consultation pour un audit de protection des données ?
Une première consultation et évaluation est réservable chez nous à partir de 150 CHF par heure. Pour des mandats permanents avec un besoin de conseil régulier, nous proposons en outre des forfaits retainer.
Sources