Ce que dit la loi
Des données personnelles peuvent être communiquées à l'étranger si le Conseil fédéral a constaté que la législation de l'État concerné garantit un niveau de protection adéquat (art. 16, al. 1, LPD, annexe 1 OPDo) ; pour le RGPD, c'est la Commission européenne qui décide (art. 45 RGPD). Vers les autres États, il faut des garanties appropriées, comme les clauses contractuelles types reconnues par le PFPDT (art. 16, al. 2, LPD, art. 46 RGPD).
Dans tous les cas, les États de destination doivent figurer dans la déclaration de protection des données (art. 19, al. 4, LPD) et, si vous en tenez un, dans le registre ; et un fournisseur ne peut traiter des données pour vous que si vous l'en chargez par contrat (art. 9 LPD).
Les exceptions pour un cas particulier
- le consentement exprès de la personne concernée ;
- un traitement en relation directe avec la conclusion ou l'exécution d'un contrat avec la personne ;
- la constatation, l'exercice ou la défense d'un droit devant un tribunal ;
- d'autres cas énumérés à l'art. 17 LPD et à l'art. 49 RGPD, qui ne suffisent pas pour un fournisseur utilisé tous les jours.
Questions liées
- Puis-je utiliser des fournisseurs avec des serveurs aux États-Unis ou dans l'UE ?
- Que sont les clauses contractuelles types et quand sont-elles nécessaires ?
- Peut-on utiliser Microsoft 365 ou Google Workspace avec la nouvelle LPD ?
- Peut-on saisir des données personnelles dans ChatGPT ou d'autres outils d'IA ?
Modèles utiles
Une orientation générale, pas un conseil sur votre cas : pour votre cas, c'est le texte de la loi qui compte, et l'évaluation vous appartient.