Communication de données à l’étranger

Boutique en ligne, stockage dans le cloud ou service de newsletter : de nombreux fournisseurs stockent des données sur des serveurs à l’étranger. La LPD le permet, mais seulement à certaines conditions.

États offrant une protection adéquate (art. 16, al. 1)

Le Conseil fédéral détermine quels États offrent une protection adéquate des données. La liste figure à l’annexe 1 de l’ordonnance sur la protection des données (OPDo) et comprend notamment les États de l’UE et de l’EEE ainsi que le Royaume-Uni. Des données peuvent être communiquées vers ces États sans garanties supplémentaires.

Pour les États-Unis, cela ne vaut que de manière limitée : sont visées les entreprises certifiées selon le Swiss-US Data Privacy Framework. Pour tous les autres destinataires aux États-Unis, des garanties supplémentaires sont nécessaires.

États n’offrant pas de protection adéquate (art. 16, al. 2)

En l’absence de décision du Conseil fédéral, une protection appropriée des données doit être garantie d’une autre manière, notamment par :

des clauses types de protection des données approuvées, établies ou reconnues par le PFPDT,
des règles d’entreprise contraignantes,
des clauses contractuelles de protection des données préalablement communiquées au PFPDT,
un traité international.

Exceptions (art. 17)

Dans des cas particuliers, une communication est admissible même sans ces garanties, par exemple si vous y avez expressément consenti, si la communication est en relation directe avec un contrat – par exemple lors d’une réservation d’hôtel à l’étranger – ou si elle est nécessaire pour faire valoir des droits en justice devant un tribunal.

Publication sur internet (art. 18)

Lorsque des données sont rendues accessibles à tout un chacun pour informer le public, par exemple sur un site web, cela n’est pas considéré comme une communication à l’étranger, même si la page est consultable dans le monde entier.

Votre droit à la transparence

Les entreprises doivent vous indiquer vers quels États vos données sont communiquées et sur quelles garanties ou exceptions elles se fondent (art. 19, al. 4). Ces informations figurent le plus souvent dans la déclaration de protection des données ; vous pouvez toutefois aussi les obtenir au moyen d’une demande d’accès (art. 25, al. 2, let. g).

Quiconque communique intentionnellement des données à l’étranger sans que les conditions requises soient remplies peut être puni d’une amende sur plainte (art. 61, let. a).

Et dans l’autre sens ?

L’UE reconnaît de son côté la Suisse comme un État offrant un niveau de protection des données adéquat. Les entreprises de l’UE peuvent donc communiquer des données personnelles vers la Suisse sans garanties supplémentaires.

Vers le texte de loi : art. 16 LPD et art. 17 LPD. Informations pour les entreprises : Pour les entreprises.