{
    "topic_key": "ch-data-cross-border-transfers",
    "language": "fr",
    "slug": "communiquer-donnees-personnelles-etranger",
    "title": "Communiquer des données à l\u0027étranger",
    "domain": "data-protection",
    "jurisdiction_level": "federal",
    "cantons": [],
    "municipalities": [],
    "legal_status": "in_force",
    "legislative_stage": "not_applicable",
    "authority_level": "A",
    "description": "Quand des données personnelles peuvent être communiquées à l\u0027étranger: annexe 1 OPDo, garanties de l\u0027art. 16 LPD, dérogations étroites et sanction.",
    "summary": "Des données personnelles peuvent être communiquées à l\u0027étranger selon l\u0027art. 16, al. 1, LPD si le Conseil fédéral a constaté un niveau de protection adéquat; la liste correspondante est l\u0027annexe 1 de l\u0027ordonnance sur la protection des données. À défaut d\u0027une telle décision, une garantie appropriée au sens de l\u0027art. 16, al. 2, LPD est nécessaire, par exemple des clauses types préalablement approuvées par le PFPDT ou des clauses contractuelles préalablement communiquées à celui-ci. Les six dérogations de l\u0027art. 17 LPD sont étroitement formulées et plusieurs sont cumulatives; elles portent le cas particulier, non un flux de données durable. Pour le Canada et les États-Unis, l\u0027adéquation n\u0027est reconnue que de manière restreinte. Une communication intentionnelle violant l\u0027art. 16 LPD sans dérogation de l\u0027art. 17 LPD est punie, sur plainte, d\u0027une amende de 250 000 francs au plus selon l\u0027art. 61, let. a, LPD.",
    "body_md": "## Ce que signifie «communiquer à l\u0027étranger»\n\nSelon l\u0027art. 5, let. e, LPD, communiquer signifie transmettre des données personnelles ou les rendre accessibles. Pour la communication à l\u0027étranger, il n\u0027importe donc pas que les données soient physiquement déplacées. Il suffit qu\u0027un destinataire à l\u0027étranger y obtienne accès. Qui exploite une base de données clients auprès d\u0027un prestataire dont les serveurs se trouvent à l\u0027étranger, qui laisse le support d\u0027une société du groupe établie dans un État tiers accéder aux dossiers du personnel ou qui intègre un outil d\u0027analyse étranger dans son site web communique des données personnelles à l\u0027étranger — même sans contrat portant sur un transfert de données.\n\nLes données personnelles sont, selon l\u0027art. 5, let. a, LPD, toutes les informations concernant une personne physique identifiée ou identifiable. Les données des personnes morales n\u0027en font pas partie: la LPD révisée les a exclues de son champ de protection.\n\nLes règles des art. 16 à 18 LPD s\u0027ajoutent aux principes généraux du traitement, elles ne les remplacent pas. Une communication à l\u0027étranger doit en outre être licite, proportionnée, conforme à la finalité annoncée et reconnaissable pour la personne concernée. Inversement, un traitement licite en Suisse ne rend pas la communication à l\u0027étranger automatiquement licite: il s\u0027agit de deux examens, et non d\u0027un seul.\n\n## Règle de base: c\u0027est le Conseil fédéral qui décide de l\u0027adéquation\n\nL\u0027art. 16, al. 1, LPD autorise la communication à l\u0027étranger si le Conseil fédéral a constaté que l\u0027État concerné dispose d\u0027une législation assurant un niveau de protection adéquat ou qu\u0027un organisme international garantit un tel niveau. Cette constatation n\u0027est le fait ni du responsable du traitement ni de son service juridique, mais du Conseil fédéral. Elle figure à l\u0027annexe 1 de l\u0027ordonnance sur la protection des données (OPDo), à laquelle renvoie l\u0027art. 8, al. 1, OPDo.\n\nL\u0027annexe 1 OPDo indique pour quels États, territoires, secteurs déterminés dans un État et organismes internationaux le Conseil fédéral a rendu cette constatation. Outre les États de l\u0027UE et de l\u0027EEE, l\u0027annexe mentionne notamment Andorre, l\u0027Argentine, Israël, Monaco, la Nouvelle-Zélande, l\u0027Uruguay et le Royaume-Uni, ainsi que des territoires tels que Gibraltar, Guernesey, Jersey, l\u0027île de Man et les îles Féroé. Certaines entrées ne valent pas sans condition: pour le Canada et les États-Unis, le niveau de protection adéquat n\u0027est garanti qu\u0027aux conditions précisées dans l\u0027annexe — pour le Canada selon la loi fédérale ou provinciale applicable, pour les États-Unis uniquement pour les organisations certifiées selon le cadre de protection des données entre la Suisse et les États-Unis. Quiconque se fonde sur une telle entrée doit vérifier la condition dans le cas d\u0027espèce et non se contenter de chercher l\u0027État dans la liste. Le Conseil fédéral modifiant l\u0027annexe en vertu de l\u0027art. 8, al. 6, OPDo dès qu\u0027une nouvelle évaluation montre qu\u0027un niveau de protection adéquat n\u0027est plus garanti, il faut consulter, avant toute communication, la version de l\u0027annexe en vigueur à ce moment-là; une énumération reproduite ailleurs ne remplace pas cette consultation.\n\nDeux entrées sont expressément restreintes, et ces restrictions constituent en pratique l\u0027écueil le plus fréquent:\n\nPour le **Canada**, un niveau de protection adéquat n\u0027est reconnu que si, dans le cas d\u0027espèce, la loi fédérale canadienne sur la protection des renseignements personnels et les documents électroniques du 13 avril 2000 s\u0027applique, ou la loi d\u0027une province canadienne qui correspond largement à cette loi fédérale. L\u0027annexe 1 OPDo cite le Québec, la Colombie-Britannique et l\u0027Alberta comme provinces dotées d\u0027une loi correspondant largement à la loi fédérale; l\u0027Ontario, le Nouveau-Brunswick, Terre-Neuve-et-Labrador et la Nouvelle-Écosse n\u0027ont adopté une telle loi que dans le domaine des données relatives à la santé.\n\nPour les **États-Unis**, le niveau de protection adéquat ne vaut pas pour le pays, mais uniquement pour les données personnelles traitées par des organisations certifiées selon les principes du cadre de protection des données entre la Suisse et les États-Unis. Une communication à une entreprise américaine non certifiée n\u0027est pas une communication au sens de l\u0027art. 16, al. 1, LPD. Elle requiert une garantie au sens de l\u0027art. 16, al. 2, LPD ou une dérogation au sens de l\u0027art. 17 LPD. Qui ne vérifie ni ne surveille la certification du destinataire fonde sa communication sur une base qui pourrait ne pas exister.\n\nL\u0027adéquation est réévaluée périodiquement selon l\u0027art. 8, al. 4, OPDo; le PFPDT est consulté lors de chaque évaluation selon l\u0027art. 8, al. 3, OPDo. Si une nouvelle évaluation ou d\u0027autres informations montrent qu\u0027un niveau de protection adéquat n\u0027est plus garanti, l\u0027annexe 1 est modifiée. L\u0027art. 8, al. 6, OPDo précise expressément qu\u0027une telle modification est sans effet sur les communications de données déjà effectuées. Pour les flux en cours, cela signifie néanmoins que la base disparaît dès la modification et que le responsable du traitement doit changer de fondement.\n\n## Sans décision d\u0027adéquation: des garanties appropriées\n\nEn l\u0027absence d\u0027une décision du Conseil fédéral, des données personnelles peuvent, selon l\u0027art. 16, al. 2, LPD, être communiquées à l\u0027étranger si un niveau de protection approprié est garanti par:\n\n- un traité international (let. a);\n- les clauses de protection des données d\u0027un contrat entre le responsable du traitement ou le sous-traitant et son cocontractant, **préalablement communiquées au PFPDT** (let. b);\n- des garanties spécifiques élaborées par l\u0027organe fédéral compétent et **préalablement communiquées** au PFPDT (let. c);\n- des clauses type de protection des données **préalablement approuvées, établies ou reconnues** par le PFPDT (let. d);\n- des règles d\u0027entreprise contraignantes **préalablement approuvées** par le PFPDT ou par une autorité chargée de la protection des données relevant d\u0027un État qui assure un niveau de protection adéquat (let. e).\n\nLe mot «préalablement» figure dans quatre de ces cinq lettres et n\u0027est pas une formalité. Des clauses individuelles au sens de la let. b ne fondent la communication que lorsque la communication au PFPDT a eu lieu — non pas lorsqu\u0027il a réagi, mais avant la communication des données. Des clauses type au sens de la let. d ne la fondent que si le PFPDT les a approuvées, établies ou reconnues; selon l\u0027art. 10, al. 2, OPDo, il publie une liste de ces clauses et communique le résultat de son examen dans un délai de 90 jours. Les clauses contractuelles types de la Commission européenne ne suffisent pas du seul fait qu\u0027elles sont reconnues dans l\u0027UE.\n\nL\u0027art. 9, al. 1, OPDo énumère le contenu minimal des clauses de protection des données et des garanties spécifiques: l\u0027application des principes du traitement, les catégories de données et de personnes concernées, la nature et la finalité de la communication, le cas échéant les États destinataires, les exigences relatives à la conservation, à l\u0027effacement et à la destruction, les destinataires, les mesures de sécurité des données, l\u0027obligation d\u0027annoncer les violations de la sécurité des données, l\u0027obligation d\u0027informer lorsque les destinataires sont responsables du traitement, ainsi que les droits de la personne concernée. Selon l\u0027art. 9, al. 2, et l\u0027art. 10, al. 1, OPDo, le responsable du traitement doit en outre prendre les mesures adéquates pour s\u0027assurer que le destinataire respecte effectivement ces clauses. Un document signé sans aucun contrôle ne satisfait pas à cette obligation.\n\nLes règles d\u0027entreprise contraignantes s\u0027appliquent, selon l\u0027art. 11, al. 1, OPDo, à toutes les entreprises appartenant au même groupe et doivent contenir au moins les points de l\u0027art. 9, al. 1, OPDo ainsi que des indications sur l\u0027organisation et les coordonnées du groupe et sur les mesures prises en son sein. Le PFPDT communique le résultat de son examen dans un délai de 90 jours selon l\u0027art. 11, al. 3, OPDo.\n\nL\u0027art. 16, al. 3, LPD permet au Conseil fédéral de prévoir d\u0027autres garanties appropriées. Il en a fait usage à l\u0027art. 12 OPDo: des données personnelles peuvent être communiquées à l\u0027étranger à condition qu\u0027un code de conduite ou qu\u0027une certification garantisse un niveau de protection approprié. Le code de conduite est préalablement soumis au PFPDT pour approbation, et le code ou la certification doit être assorti d\u0027un engagement contraignant et exécutoire du responsable du traitement ou du sous-traitant dans l\u0027État tiers d\u0027appliquer les mesures qui y sont prévues.\n\n## Les dérogations de l\u0027art. 17 LPD sont étroites\n\nL\u0027art. 17, al. 1, LPD autorise la communication, en dérogation à l\u0027art. 16, al. 1 et 2, LPD, dans six cas. Ces dérogations sont conçues pour le cas particulier, non comme substitut à une garantie pour des flux de données durables. Leurs conditions sont formulées de manière étroite et plusieurs sont cumulatives:\n\n**Let. a — consentement.** La personne concernée doit avoir **expressément** donné son consentement à la communication. Un consentement tacite ne suffit pas, et un consentement au traitement en tant que tel ne couvre pas sans autre la communication à l\u0027étranger.\n\n**Let. b — contrat.** La communication doit être **en relation directe** avec la conclusion ou l\u0027exécution d\u0027un contrat, soit entre le responsable du traitement et la personne concernée (ch. 1), soit entre le responsable du traitement et son cocontractant, **dans l\u0027intérêt de la personne concernée** (ch. 2). Un lien simplement utile ou commode sur le plan opérationnel ne suffit pas.\n\n**Let. c — intérêt public et droits en justice.** La communication doit être **nécessaire** à la sauvegarde d\u0027un intérêt public **prépondérant** (ch. 1) ou à la constatation, à l\u0027exercice ou à la défense d\u0027un droit devant un tribunal ou une autre autorité étrangère compétente (ch. 2).\n\n**Let. d — vie et intégrité corporelle.** Deux conditions doivent ici être réunies: la communication doit être nécessaire pour protéger la vie ou l\u0027intégrité corporelle de la personne concernée ou d\u0027un tiers, **et** il ne doit pas être possible d\u0027obtenir le consentement de la personne concernée dans un délai raisonnable. Si le consentement est accessible, la dérogation ne s\u0027applique pas.\n\n**Let. e — données rendues accessibles à tout un chacun.** Ici également, deux conditions sont cumulatives: la personne concernée doit avoir rendu les données accessibles à tout un chacun **et** ne pas s\u0027être opposée expressément au traitement. Le fait que des données soient trouvables sur internet ne suffit pas à lui seul — ce qui compte est que la personne concernée les ait elle-même rendues accessibles à tout un chacun.\n\n**Let. f — registres prévus par la loi.** Les données doivent provenir d\u0027un registre prévu par la loi, accessible au public ou à toute personne justifiant d\u0027un intérêt légitime, et cela uniquement **pour autant que les conditions légales pour la consultation dans le cas d\u0027espèce soient remplies**.\n\nSelon l\u0027art. 17, al. 2, LPD, le responsable du traitement ou le sous-traitant informe le PFPDT, **sur demande**, des communications effectuées en vertu de l\u0027al. 1, let. b, ch. 2, let. c et let. d. Il n\u0027existe à cet égard aucune obligation d\u0027annonce d\u0027office, mais bien une obligation de renseigner — et donc, de fait, une charge de documentation.\n\n## Ce qui n\u0027est pas une communication à l\u0027étranger\n\nL\u0027art. 18 LPD contient une précision importante: lorsque des données personnelles sont rendues accessibles à tout un chacun pour informer le public au moyen de services d\u0027information et de communication automatisés, cela n\u0027est pas considéré comme une communication à l\u0027étranger, même si les données sont accessibles depuis l\u0027étranger. Un site web public qui met des informations à la disposition du public ne déclenche donc pas les exigences des art. 16 et 17 LPD du seul fait qu\u0027il peut être consulté dans le monde entier. La disposition vise la publication destinée à informer le public; elle ne couvre pas le flux de données ciblé vers un destinataire déterminé à l\u0027étranger.\n\n## Transparence et documentation\n\nLa communication à l\u0027étranger entraîne deux obligations souvent négligées en pratique.\n\nSelon l\u0027art. 19, al. 4, LPD, le responsable du traitement communique également à la personne concernée le nom de l\u0027État ou de l\u0027organisme international auquel les données sont communiquées et, le cas échéant, les garanties prévues à l\u0027art. 16, al. 2, LPD ou l\u0027application d\u0027une des dérogations prévues à l\u0027art. 17 LPD. Une déclaration de protection des données qui se borne à évoquer des «partenaires à l\u0027étranger» n\u0027y satisfait pas: ce qui est exigé, c\u0027est l\u0027État ou l\u0027organisme international et la base juridique de la communication. Selon l\u0027art. 13 OPDo, cette information doit être communiquée sous une forme précise, transparente, compréhensible et aisément accessible.\n\nSelon l\u0027art. 12, al. 2, let. g, LPD, le registre des activités de traitement contient, lorsque des données sont communiquées à l\u0027étranger, le nom de l\u0027État ainsi que les garanties prévues à l\u0027art. 16, al. 2, LPD. Cela vaut par analogie pour les sous-traitants selon l\u0027art. 12, al. 3, LPD. L\u0027art. 12, al. 5, LPD charge le Conseil fédéral de prévoir des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d\u0027atteinte à la personnalité des personnes concernées. Ce seuil ne concerne que l\u0027obligation de tenir un registre — il ne dispense pas des art. 16 et 17 LPD.\n\n## Sous-traitance à l\u0027étranger\n\nLorsque le traitement est confié à un sous-traitant à l\u0027étranger, les deux corps de règles s\u0027appliquent. Selon l\u0027art. 9, al. 1, LPD, la sous-traitance est admise si les données sont traitées comme le responsable du traitement serait en droit de le faire et si aucune obligation légale ou contractuelle de garder le secret ne l\u0027interdit. Le responsable du traitement doit notamment s\u0027assurer, selon l\u0027art. 9, al. 2, LPD, que le sous-traitant est en mesure de garantir la sécurité des données. Selon l\u0027art. 9, al. 3, LPD, le sous-traitant ne peut confier le traitement à un tiers qu\u0027avec l\u0027autorisation préalable du responsable du traitement — point à vérifier régulièrement pour les services en nuage recourant à des sous-traitants à l\u0027étranger. En outre, la communication à ce sous-traitant requiert un fondement au sens des art. 16 ou 17 LPD.\n\n## Sanction\n\nL\u0027art. 61, let. a, LPD sanctionne la communication illicite à l\u0027étranger: sont, **sur plainte**, punies d\u0027une amende de 250 000 francs au plus les **personnes privées** qui, **intentionnellement**, communiquent des données personnelles à l\u0027étranger en violation de l\u0027art. 16, al. 1 et 2, LPD et sans que les conditions de l\u0027art. 17 LPD soient remplies. Trois éléments méritent d\u0027être soulignés: la peine vise les personnes privées, soit en principe la personne physique responsable et non l\u0027entreprise; elle suppose l\u0027intention, la négligence ne suffisant pas; et elle n\u0027est poursuivie que sur plainte. Qui viole intentionnellement le devoir d\u0027informer de l\u0027art. 19 LPD peut en outre être puni d\u0027une amende de 250 000 francs au plus selon l\u0027art. 60 LPD.\n\n## Démarche pratique\n\nUn examen en quatre étapes conduit au résultat. Premièrement: y a-t-il véritablement une communication à l\u0027étranger, ou l\u0027art. 18 LPD s\u0027applique-t-il? Deuxièmement: l\u0027État destinataire — et, pour le Canada et les États-Unis, le destinataire concret dans le cadre de la restriction applicable — figure-t-il à l\u0027annexe 1 OPDo? Troisièmement: si ce n\u0027est pas le cas, sur quelle garantie au sens de l\u0027art. 16, al. 2, LPD ou de l\u0027art. 12 OPDo peut-on se fonder, et la communication ou l\u0027approbation préalable exigée a-t-elle effectivement eu lieu? Quatrièmement: à défaut de garantie, une dérogation de l\u0027art. 17 LPD est-elle remplie avec toutes ses conditions — sachant qu\u0027une dérogation ne porte pas un flux de données durable? Chaque réponse a sa place dans le registre des activités de traitement et dans la déclaration de protection des données.",
    "facts": [
        {
            "point": "Règle de base",
            "value": "Des données personnelles peuvent être communiquées à l\u0027étranger si le Conseil fédéral a constaté que l\u0027État concerné dispose d\u0027une législation assurant un niveau de protection adéquat ou qu\u0027un organisme international garantit un tel niveau.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_16"
        },
        {
            "point": "Où figure la liste des États",
            "value": "Les États, les territoires, les secteurs déterminés dans un État et les organismes internationaux bénéficiant d\u0027un niveau de protection adéquat figurent à l\u0027annexe 1 OPDo (art. 8, al. 1, OPDo). Est déterminante la version de l\u0027annexe en vigueur au moment de la communication; certaines entrées ne valent qu\u0027aux conditions qui y sont précisées.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/568/fr#annex_1"
        },
        {
            "point": "États-Unis: adéquation sectorielle",
            "value": "Pour les États-Unis, le niveau de protection adéquat ne vaut que pour les données personnelles traitées par des organisations certifiées selon les principes du cadre de protection des données entre la Suisse et les États-Unis.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/568/fr#art_8"
        },
        {
            "point": "Canada: adéquation conditionnelle",
            "value": "Pour le Canada, un niveau adéquat n\u0027est reconnu que si la loi fédérale canadienne du 13 avril 2000 sur la protection des renseignements personnels et les documents électroniques, ou la loi d\u0027une province correspondant largement à celle-ci, s\u0027applique.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/568/fr#art_8"
        },
        {
            "point": "Garanties en l\u0027absence de décision",
            "value": "À défaut de décision du Conseil fédéral, la communication est admise par traité international, clauses de protection préalablement communiquées au PFPDT, garanties spécifiques préalablement communiquées, clauses types préalablement approuvées par le PFPDT ou règles d\u0027entreprise contraignantes préalablement approuvées.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_16"
        },
        {
            "point": "«Préalablement» est une condition",
            "value": "Les clauses individuelles doivent avoir été préalablement communiquées au PFPDT, les clauses types préalablement approuvées, établies ou reconnues par lui, et les règles d\u0027entreprise contraignantes préalablement approuvées.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_16"
        },
        {
            "point": "Délai du PFPDT",
            "value": "Le PFPDT publie une liste des clauses types de protection des données qu\u0027il a approuvées, établies ou reconnues et communique le résultat de son examen dans un délai de 90 jours.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/568/fr#art_10"
        },
        {
            "point": "Contenu minimal des clauses",
            "value": "Les clauses de protection des données et les garanties spécifiques doivent contenir au moins les points énumérés à l\u0027art. 9, al. 1, OPDo, dont la sécurité des données, l\u0027obligation d\u0027annoncer les violations et les droits de la personne concernée.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/568/fr#art_9"
        },
        {
            "point": "Dérogation du consentement",
            "value": "La communication sans garantie est notamment admise si la personne concernée a expressément donné son consentement à la communication; un consentement tacite ne suffit pas.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_17"
        },
        {
            "point": "Dérogation d\u0027urgence: conditions cumulatives",
            "value": "La communication destinée à protéger la vie ou l\u0027intégrité corporelle suppose en outre qu\u0027il ne soit pas possible d\u0027obtenir le consentement de la personne concernée dans un délai raisonnable.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_17"
        },
        {
            "point": "Ce qui n\u0027est pas une communication",
            "value": "Lorsque des données personnelles sont rendues accessibles à tout un chacun pour informer le public au moyen de services d\u0027information et de communication automatisés, cela n\u0027est pas considéré comme une communication à l\u0027étranger, même si elles sont accessibles depuis l\u0027étranger.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_18"
        },
        {
            "point": "Sanction",
            "value": "Sont, sur plainte, punies d\u0027une amende de 250 000 francs au plus les personnes privées qui, intentionnellement, communiquent des données personnelles à l\u0027étranger en violation de l\u0027art. 16, al. 1 et 2, LPD et sans que les conditions de l\u0027art. 17 LPD soient remplies.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_61"
        }
    ],
    "sources": [
        {
            "title": "LPD art. 16 – Principes de la communication à l\u0027étranger",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_16",
            "authority": "A"
        },
        {
            "title": "LPD art. 17 – Dérogations",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_17",
            "authority": "A"
        },
        {
            "title": "LPD art. 18 – Publication de données personnelles sous forme électronique",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_18",
            "authority": "A"
        },
        {
            "title": "LPD art. 19 – Devoir d\u0027informer lors de la collecte",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_19",
            "authority": "A"
        },
        {
            "title": "LPD art. 5 – Définitions",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_5",
            "authority": "A"
        },
        {
            "title": "LPD art. 9 – Sous-traitance",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_9",
            "authority": "A"
        },
        {
            "title": "LPD art. 12 – Registre des activités de traitement",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_12",
            "authority": "A"
        },
        {
            "title": "LPD art. 60 – Violation des obligations d\u0027informer, de renseigner et de collaborer",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_60",
            "authority": "A"
        },
        {
            "title": "LPD art. 61 – Violation des devoirs de diligence",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_61",
            "authority": "A"
        },
        {
            "title": "OPDo art. 8 – Évaluation du niveau de protection adéquat des données",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/568/fr#art_8",
            "authority": "A"
        },
        {
            "title": "OPDo annexe 1 – États, territoires, secteurs déterminés et organismes internationaux au niveau de protection adéquat",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/568/fr#annex_1",
            "authority": "A"
        },
        {
            "title": "OPDo art. 9 – Clauses de protection des données d\u0027un contrat et garanties spécifiques",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/568/fr#art_9",
            "authority": "A"
        },
        {
            "title": "OPDo art. 10 – Clauses types de protection des données",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/568/fr#art_10",
            "authority": "A"
        },
        {
            "title": "OPDo art. 11 – Règles d\u0027entreprise contraignantes",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/568/fr#art_11",
            "authority": "A"
        },
        {
            "title": "OPDo art. 12 – Codes de conduite et certifications",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/568/fr#art_12",
            "authority": "A"
        },
        {
            "title": "OPDo art. 13 – Modalités du devoir d\u0027informer",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/568/fr#art_13",
            "authority": "A"
        }
    ],
    "faq": [
        {
            "question": "Puis-je transmettre des données personnelles dans l\u0027UE?",
            "answer": "Oui, pour autant que l\u0027État de l\u0027UE concerné figure à l\u0027annexe 1 OPDo — ce qui est le cas des États de l\u0027UE et de l\u0027EEE. L\u0027art. 16, al. 1, LPD fonde alors à lui seul la communication et aucune garantie supplémentaire au sens de l\u0027art. 16, al. 2, LPD n\u0027est requise. Les principes généraux du traitement, le devoir d\u0027informer de l\u0027art. 19, al. 4, LPD et l\u0027inscription au registre selon l\u0027art. 12, al. 2, let. g, LPD restent néanmoins applicables."
        },
        {
            "question": "Les clauses contractuelles types de l\u0027UE suffisent-elles en Suisse?",
            "answer": "Pas du seul fait qu\u0027elles sont reconnues dans l\u0027UE. L\u0027art. 16, al. 2, let. d, LPD exige des clauses types de protection des données préalablement approuvées, établies ou reconnues par le PFPDT. Celui-ci publie une liste de ces clauses selon l\u0027art. 10, al. 2, OPDo. Qui se fonde sur des clauses négociées individuellement doit les communiquer préalablement au PFPDT selon l\u0027art. 16, al. 2, let. b, LPD."
        },
        {
            "question": "Qu\u0027en est-il d\u0027un fournisseur de services en nuage avec des serveurs aux États-Unis?",
            "answer": "Ce qui est déterminant, c\u0027est de savoir si le fournisseur concret est certifié selon les principes du cadre de protection des données entre la Suisse et les États-Unis. L\u0027entrée à l\u0027annexe 1 OPDo ne s\u0027applique que dans ce cas. À défaut, la communication requiert une garantie au sens de l\u0027art. 16, al. 2, LPD ou une dérogation au sens de l\u0027art. 17 LPD. Les exigences de l\u0027art. 9 LPD relatives à la sous-traitance s\u0027appliquent en plus."
        },
        {
            "question": "Le consentement du client suffit-il pour des transferts courants?",
            "answer": "La dérogation de l\u0027art. 17, al. 1, let. a, LPD exige un consentement exprès à la communication. Elle est taillée pour le cas particulier et ne porte en règle générale pas un flux de données durable et systématique. Pour des communications courantes, une garantie au sens de l\u0027art. 16, al. 2, LPD ou de l\u0027art. 12 OPDo constitue le fondement plus solide."
        },
        {
            "question": "Mon site web constitue-t-il une communication à l\u0027étranger parce qu\u0027il est consultable partout?",
            "answer": "Non. Selon l\u0027art. 18 LPD, le fait de rendre des données personnelles accessibles à tout un chacun pour informer le public au moyen de services d\u0027information et de communication automatisés n\u0027est pas considéré comme une communication à l\u0027étranger, même si les données sont accessibles depuis l\u0027étranger. Il en va autrement d\u0027un flux de données ciblé vers un destinataire déterminé à l\u0027étranger, par exemple un outil d\u0027analyse intégré."
        },
        {
            "question": "Dois-je nommer l\u0027État destinataire dans ma déclaration de protection des données?",
            "answer": "Oui. Selon l\u0027art. 19, al. 4, LPD, le responsable du traitement communique à la personne concernée le nom de l\u0027État ou de l\u0027organisme international et, le cas échéant, les garanties prévues à l\u0027art. 16, al. 2, LPD ou l\u0027application d\u0027une dérogation de l\u0027art. 17 LPD. Une mention de «partenaires à l\u0027étranger» ne suffit pas. L\u0027information doit être fournie de manière précise, transparente, compréhensible et aisément accessible selon l\u0027art. 13 OPDo."
        },
        {
            "question": "Quelles sont les conséquences d\u0027une communication illicite?",
            "answer": "L\u0027art. 61, let. a, LPD prévoit une amende de 250 000 francs au plus. Elle frappe les personnes privées, suppose l\u0027intention et n\u0027est poursuivie que sur plainte. La négligence n\u0027est pas visée. Qui viole en outre intentionnellement le devoir d\u0027informer de l\u0027art. 19 LPD peut être puni d\u0027une amende de 250 000 francs au plus selon l\u0027art. 60 LPD."
        },
        {
            "question": "L\u0027exception pour les entreprises de moins de 250 collaborateurs s\u0027applique-t-elle ici?",
            "answer": "Non. L\u0027art. 12, al. 5, LPD charge le Conseil fédéral de prévoir des exceptions à l\u0027obligation de tenir un registre des activités de traitement pour les entreprises employant moins de 250 collaborateurs et présentant un risque limité. Ce seuil ne concerne que l\u0027obligation de tenir un registre. Il ne dispense pas des exigences des art. 16 et 17 LPD relatives à la communication à l\u0027étranger."
        }
    ],
    "tags": [],
    "valid_from": "2025-12-01",
    "valid_to": null,
    "last_revision": "2026-09-22",
    "last_verification": "2026-09-23",
    "factcheck_status": "ok",
    "version": 1,
    "url": "https://nexvyra.ch/fr/fait/communiquer-donnees-personnelles-etranger",
    "translations": {
        "de": {
            "language": "de",
            "slug": "personendaten-ins-ausland-bekanntgeben",
            "title": "Personendaten ins Ausland bekanntgeben",
            "published": 1,
            "factcheck_status": "ok"
        },
        "fr": {
            "language": "fr",
            "slug": "communiquer-donnees-personnelles-etranger",
            "title": "Communiquer des données à l\u0027étranger",
            "published": 1,
            "factcheck_status": "ok"
        },
        "it": {
            "language": "it",
            "slug": "comunicare-dati-personali-estero",
            "title": "Comunicare dati personali all\u0027estero",
            "published": 1,
            "factcheck_status": "ok"
        }
    }
}