Peut-on utiliser Microsoft 365 ou Google Workspace avec la nouvelle LPD ?

Ce qu'il faut vérifier

• le contrat de sous-traitance du fournisseur et sa liste de sous-traitants ultérieurs ;
• où les données sont conservées et d'où l'on y accède pour le support ;
• pour les États-Unis, si l'entreprise avec laquelle vous contractez est certifiée selon le Data Privacy Framework aussi pour la Suisse, ou s'il y a les clauses contractuelles types ;
• les réglages : authentification à deux facteurs, partage externe, données de diagnostic, conservation ;
• qui est administrateur dans l'entreprise et ce qu'il peut voir.

Si vous êtes soumis au secret professionnel

Cabinets médicaux, avocats, fiduciaires et autres personnes tenues au secret professionnel doivent en outre évaluer si le fournisseur peut accéder aux contenus et comment ceux-ci sont protégés, par exemple par le chiffrement et par des clauses sur le secret dans le contrat.

Dans les documents

Le fournisseur doit figurer dans le registre des activités de traitement parmi les destinataires, et les États où vont les données dans la déclaration de protection des données (art. 19, al. 4, LPD).

Questions proches

• Puis-je utiliser des fournisseurs avec des serveurs aux États-Unis ou dans l'UE ?
• Faut-il un contrat avec les fournisseurs qui traitent des données pour nous ?
• Que sont les clauses contractuelles types et quand sont-elles nécessaires ?

Modèles utiles

• Modèle de contrat de sous-traitance (art. 9 LPD, art. 28 RGPD)
• Modèle d'évaluation d'une communication de données à l'étranger (TIA)