# Transferts à l'étranger, sous-traitance et RGPD Droit du numérique & propriété intellectuelle · Master 1 > Communication de données à l'étranger, clauses types, sous-traitance et RGPD extraterritorial. ## Introduction Dans une économie numérique où les données transitent par des serveurs situés dans de multiples pays, la communication de données personnelles à l'étranger est l'une des questions de conformité les plus sensibles. La LPD révisée pose la règle selon laquelle des données ne peuvent être communiquées à l'étranger que si le Conseil fédéral a constaté que la législation de l'État destinataire assure un niveau de protection adéquat. À défaut, la communication reste possible moyennant des garanties appropriées ou sur la base d'exceptions limitativement prévues. Le Conseil fédéral tient une liste des États offrant un niveau adéquat, qui comprend notamment les États de l'Espace économique européen. Pour les États-Unis, la reconnaissance du Swiss-US Data Privacy Framework permet depuis septembre 2024 des transferts vers les entreprises américaines certifiées. Pour les autres pays, les parties recourent à des clauses contractuelles types, reconnues par le PFPDT, en les complétant au besoin par une évaluation des risques liés à l'accès des autorités locales aux données. La sous-traitance, pratique courante dans l'informatique en nuage, est admise si le responsable s'assure que le sous-traitant ne traite que les données qu'il serait lui-même en droit de traiter et garantit la sécurité des données. Parallèlement, le RGPD peut s'appliquer à des entreprises suisses qui offrent des biens ou services à des personnes dans l'Union européenne ou observent leur comportement, avec des sanctions administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial. ## Objectifs d'apprentissage - Appliquer la règle du niveau de protection adéquat à la communication de données à l'étranger - Distinguer garanties appropriées, clauses types et exceptions - Décrire les exigences d'un contrat de sous-traitance et les devoirs du responsable - Expliquer les conditions d'application extraterritoriale du RGPD à une entreprise suisse - Évaluer un scénario d'externalisation cloud vers un pays tiers ## Concepts clés - **Niveau de protection adéquat** : Le Conseil fédéral détermine par ordonnance les États dont la législation assure une protection adéquate. Vers ces États, la communication est possible sans formalité supplémentaire, sous réserve du respect des autres principes. - **Garanties appropriées** : À défaut de niveau adéquat, une protection suffisante peut résulter d'un traité, de clauses de protection des données incluses dans un contrat, de clauses types approuvées par le PFPDT ou de règles d'entreprise contraignantes pour les groupes. - **Exceptions** : La communication peut aussi s'appuyer sur le consentement exprès, l'exécution d'un contrat dans l'intérêt de la personne, la constatation ou la défense de droits en justice, ou un intérêt public prépondérant. Ces exceptions sont interprétées restrictivement. - **Sous-traitance** : Le traitement peut être confié à un sous-traitant par contrat ou par la loi si seules les opérations permises au responsable sont effectuées et si aucune obligation de confidentialité ne l'interdit. Le responsable reste garant du respect de la LPD et doit contrôler la sous-traitance en chaîne. - **Effet extraterritorial du RGPD** : Le RGPD s'applique aux responsables hors de l'Union qui offrent des biens ou services à des personnes se trouvant dans l'Union ou suivent leur comportement. Une entreprise suisse peut donc cumuler LPD et RGPD, avec la désignation d'un représentant dans l'Union. ## Conclusion La communication de données à l'étranger relève d'une logique de graduation : niveau adéquat constaté, à défaut garanties appropriées, en dernier lieu exceptions étroitement interprétées. La sous-traitance étrangère combine ces règles avec les devoirs de choix, d'instruction et de surveillance du responsable. Pour les entreprises suisses actives en Europe, la conformité repose sur une double lecture LPD et RGPD, sur une cartographie des flux et sur des contrats solides. Le juriste du numérique doit aussi suivre l'évolution de la liste du Conseil fédéral et des cadres de transfert, appelés à changer au gré de la jurisprudence européenne et des accords bilatéraux. ## Cartes ### Quelle est la règle de principe de la LPD pour la communication de données à l'étranger ? La communication est licite si le Conseil fédéral a constaté que l'État destinataire garantit un niveau de protection adéquat ; à défaut, des garanties appropriées ou une exception sont nécessaires. ### Qui décide qu'un État offre un niveau de protection adéquat ? Le Conseil fédéral, qui publie la liste dans une annexe à l'ordonnance sur la protection des données, après consultation du PFPDT. ### Quels États figurent notamment sur la liste d'adéquation ? Les États membres de l'Union européenne et de l'Espace économique européen, ainsi que d'autres pays tels que le Royaume-Uni, selon l'annexe de l'ordonnance. ### Que permet le Swiss-US Data Privacy Framework ? Il permet de communiquer des données personnelles vers des entreprises américaines certifiées, sans garanties supplémentaires, depuis la reconnaissance par le Conseil fédéral en septembre 2024. ### Qu'est-ce qu'une clause contractuelle type ? Un modèle de clauses de protection des données approuvé, émis ou reconnu par le PFPDT, que les parties intègrent à leur contrat pour offrir des garanties appropriées. ### Que sont des règles d'entreprise contraignantes (BCR) ? Des règles internes à un groupe de sociétés, approuvées par l'autorité, qui encadrent les flux de données entre ses entités, y compris vers des pays sans niveau adéquat. ### Le consentement peut-il justifier un transfert vers un pays sans niveau adéquat ? Oui, à titre d'exception, si la personne y consent expressément pour le cas d'espèce après avoir été informée des risques. ### Le responsable reste-t-il responsable lorsqu'il recourt à un sous-traitant ? Oui. Il doit choisir, instruire et surveiller le sous-traitant et reste garant de la conformité du traitement. ### Le sous-traitant peut-il lui-même sous-traiter ? Seulement avec l'autorisation préalable du responsable. ### Quand une entreprise suisse tombe-t-elle sous le RGPD ? Lorsqu'elle offre des biens ou services à des personnes dans l'Union européenne, observe leur comportement, ou est établie dans l'Union, indépendamment du lieu du traitement. ### Qu'est-ce qu'un représentant en Suisse au sens de la LPD ? Une personne désignée par un responsable privé étranger qui traite des données de personnes en Suisse, lorsque le traitement est à grande échelle, régulier et présente un risque élevé. ### Quel risque l'accès d'autorités étrangères aux données pose-t-il pour un transfert ? Il peut priver de leur effet les garanties contractuelles ; l'exportateur doit évaluer le risque dans le pays destinataire et, au besoin, prévoir des mesures supplémentaires comme le chiffrement. ## Glossaire - **Niveau de protection adéquat** : Qualité d'une législation étrangère jugée équivalente, sur l'essentiel, à la protection offerte par le droit suisse, constatée par le Conseil fédéral. - **Clauses contractuelles types** : Modèle de contrat de protection des données approuvé, reconnu par le PFPDT, utilisé pour les transferts vers des pays sans niveau adéquat. - **Sous-traitant** : Entité qui traite des données personnelles pour le compte du responsable, selon ses instructions. - **Data Privacy Framework** : Mécanisme de certification des entreprises américaines reconnu par la Suisse pour assurer un niveau de protection adéquat des données transférées. - **Effet extraterritorial** : Application d'un texte hors du territoire de l'État qui l'a adopté, en raison des effets du comportement sur ce territoire. - **Règles d'entreprise contraignantes** : Politiques internes à un groupe multinational, validées par les autorités, régissant les transferts intragroupe de données personnelles. - **Transfert transfrontière** : Communication de données personnelles à un destinataire situé à l'étranger ou accessible depuis l'étranger. https://ruvy.ch/decks/-P5CYNrkZsiT6oyXBDcH