Référence
Pays avec une protection des données adéquate, pour la LPD et le RGPD
Vers ces pays, les données personnelles peuvent être communiquées sans autres garanties. La liste suisse et la liste européenne ne coïncident pas : elles sont ici comparées, avec les sources et la date de la dernière vérification.
En bref
Pour la LPD, sont adéquats les États de l'annexe 1 OPDo : tous les États de l'UE et de l'EEE, le Royaume-Uni, Israël, l'Argentine et quelques autres, plus les entreprises américaines certifiées selon le Swiss-U.S. Data Privacy Framework et, en partie, le Canada (art. 16, al. 1, LPD). Pour le RGPD, ce sont les décisions d'adéquation de la Commission européenne (art. 45 RGPD), dont la Suisse. Vers les autres pays, il faut des garanties, en général les clauses contractuelles types.
| Pays | LPD (Suisse) | RGPD (UE) |
|---|---|---|
| Allemagne | Adéquat | Territoire de la loi |
| Andorre | Adéquat | Adéquat |
| Argentine | Adéquat | Adéquat |
| Autriche | Adéquat | Territoire de la loi |
| Belgique | Adéquat | Territoire de la loi |
| Brésil | Garanties nécessaires | Adéquat |
| Bulgarie | Adéquat | Territoire de la loi |
| CanadaSeulement les destinataires soumis à la loi fédérale sur la protection des renseignements personnels dans le secteur privé (LPRPDE, PIPEDA) ou à une loi provinciale semblable. | Seulement pour certains destinataires | Seulement pour certains destinataires |
| Chypre | Adéquat | Territoire de la loi |
| Corée du Sud | Garanties nécessaires | Adéquat |
| Croatie | Adéquat | Territoire de la loi |
| Danemark | Adéquat | Territoire de la loi |
| Espagne | Adéquat | Territoire de la loi |
| Estonie | Adéquat | Territoire de la loi |
| États-UnisSeulement les entreprises certifiées selon le Data Privacy Framework (pour la Suisse : aussi selon le cadre Suisse-États-Unis). | Seulement pour certains destinataires | Seulement pour certains destinataires |
| Finlande | Adéquat | Territoire de la loi |
| France | Adéquat | Territoire de la loi |
| Gibraltar | Adéquat | Garanties nécessaires |
| Grèce | Adéquat | Territoire de la loi |
| Guernesey | Adéquat | Adéquat |
| Hongrie | Adéquat | Territoire de la loi |
| Île de Man | Adéquat | Adéquat |
| Îles Féroé | Adéquat | Adéquat |
| Irlande | Adéquat | Territoire de la loi |
| Islande | Adéquat | Territoire de la loi |
| Israël | Adéquat | Adéquat |
| Italie | Adéquat | Territoire de la loi |
| Japon | Garanties nécessaires | Adéquat |
| Jersey | Adéquat | Adéquat |
| Lettonie | Adéquat | Territoire de la loi |
| Liechtenstein | Adéquat | Territoire de la loi |
| Lituanie | Adéquat | Territoire de la loi |
| Luxembourg | Adéquat | Territoire de la loi |
| Malte | Adéquat | Territoire de la loi |
| Monaco | Adéquat | Garanties nécessaires |
| Norvège | Adéquat | Territoire de la loi |
| Nouvelle-Zélande | Adéquat | Adéquat |
| Pays-Bas | Adéquat | Territoire de la loi |
| Pologne | Adéquat | Territoire de la loi |
| Portugal | Adéquat | Territoire de la loi |
| Roumanie | Adéquat | Territoire de la loi |
| Royaume-Uni | Adéquat | Adéquat |
| Slovaquie | Adéquat | Territoire de la loi |
| Slovénie | Adéquat | Territoire de la loi |
| Suède | Adéquat | Territoire de la loi |
| Suisse | Territoire de la loi | Adéquat |
| Tchéquie | Adéquat | Territoire de la loi |
| Uruguay | Adéquat | Adéquat |
Tous les autres pays : des garanties appropriées sont nécessaires, pour les deux lois.
Ce que signifie « adéquat »
Le Conseil fédéral, pour la LPD, et la Commission européenne, pour le RGPD, évaluent la législation d'un État. S'ils la jugent adéquate, les données peuvent aller vers cet État comme si elles restaient en Suisse ou dans l'UE. Toutes les autres obligations demeurent : un contrat avec le fournisseur, la sécurité et l'indication des États dans la déclaration de protection des données.
Les États-Unis
Les États-Unis ne sont adéquats que pour les entreprises certifiées selon le Data Privacy Framework : pour la Suisse depuis le 15 septembre 2024, pour l'UE depuis le 10 juillet 2023. Si l'entreprise avec laquelle vous contractez n'est pas certifiée, ou ne l'est pas pour la Suisse, il faut des garanties comme les clauses contractuelles types. La liste des entreprises certifiées se trouve sur le site du Data Privacy Framework.
Si le pays ne figure pas dans la liste
- les clauses contractuelles types reconnues par le PFPDT, en général celles de la Commission européenne avec les adaptations pour la Suisse (art. 16, al. 2, let. d, LPD) ;
- les règles d'entreprise contraignantes, au sein d'un groupe (art. 16, al. 2, let. e, LPD) ;
- dans des cas particuliers, les exceptions de l'art. 17 LPD, par exemple le consentement exprès ou l'exécution d'un contrat avec la personne : elles ne suffisent pas pour un fournisseur utilisé tous les jours.
Sources
- Annexe 1 de l'ordonnance sur la protection des données (OPDo), version du 15 septembre 2024
- Décisions d'adéquation de la Commission européenne, la dernière du 26 janvier 2026 (Brésil)
Listes vérifiées le 25 octobre 2026. Elles changent : pour une décision importante, contrôlez la source.
Pour en savoir plus
- Puis-je utiliser des fournisseurs avec des serveurs aux États-Unis ou dans l'UE ?
- Que sont les clauses contractuelles types et quand sont-elles nécessaires ?
- Peut-on utiliser Microsoft 365 ou Google Workspace avec la nouvelle LPD ?
- Faut-il un contrat avec les fournisseurs qui traitent des données pour nous ?
- Modèle : évaluation de la communication à l'étranger
Informations générales, pas un conseil sur votre cas. EasyLPD affiche cet état pour chaque fournisseur de votre liste.