1 Des données personnelles peuvent être communiquées à l’étranger si le Conseil fédéral a constaté que l’État concerné dispose d’une législation assurant un niveau de protection adéquat ou qu’un organisme international garantit un niveau de protection adéquat.
2 En l’absence d’une décision du Conseil fédéral au sens de l’al. 1, des données personnelles peuvent être communiquées à l’étranger si un niveau de protection approprié est garanti par:
- a.
un traité international;
- b.
les clauses de protection des données d’un contrat entre le responsable du traitement ou le sous-traitant et son cocontractant, préalablement communiquées au PFPDT;
- c.
des garanties spécifiques élaborées par l’organe fédéral compétent et préalablement communiquées au PFPDT;
- d.
des clauses type de protection des données préalablement approuvées, établies ou reconnues par le PFPDT;
- e.
des règles d’entreprise contraignantes préalablement approuvées par le PFPDT ou par une autorité chargée de la protection des données relevant d’un État qui assure un niveau de protection adéquat.
3 Le Conseil fédéral peut prévoir d’autres garanties appropriées au sens de l’al. 2.