TLDR — Depuis le 15 septembre 2024, les États-Unis figurent à l’annexe 1 OPDo — mais uniquement pour les organisations certifiées Swiss-U.S. Data Privacy Framework. Une région AWS à Francfort ne règle rien si le support accède aux données depuis un pays tiers. Hors liste d’adéquation, il faut des garanties au sens de l’art. 16 al. 2 LPD ; les dérogations de l’art. 17 ne sont pas un modèle d’affaires. Amende jusqu’à 250 000 francs (art. 61 LPD).
Le mécanisme en trois niveaux
Niveau 1 — L’État figure à l’annexe 1 OPDo
L’art. 16 al. 1 LPD autorise la communication à l’étranger lorsque le Conseil fédéral a constaté que la législation de l’État destinataire assure un niveau de protection adéquat. La liste se trouve à l’annexe 1 OPDo, dans sa version en vigueur au 15 septembre 2024 : les 27 États membres de l’UE, les États de l’EEE, le Royaume-Uni, le Canada, la Nouvelle-Zélande, Israël, l’Argentine, l’Uruguay, les dépendances de la Couronne (Guernesey, Jersey, Île de Man), ainsi qu’Andorre, Monaco, Gibraltar et les Îles Féroé — et, depuis cette date, les États-Unis, sous condition.
Transfert vers un État listé : aucune garantie supplémentaire requise. L’obligation d’information de l’art. 19 al. 4 LPD subsiste.
Niveau 2 — Garanties appropriées (art. 16 al. 2 LPD)
À défaut d’adéquation, le transfert est possible moyennant :
- un traité international ;
- des clauses types de protection des données préalablement approuvées, établies ou reconnues par le PFPDT — en pratique, les clauses contractuelles types de la Commission européenne, reconnues par le PFPDT moyennant les adaptations suisses nécessaires ;
- des règles d’entreprise contraignantes (BCR) approuvées ;
- des clauses spécifiques communiquées préalablement au PFPDT ;
- des garanties spécifiques élaborées par un organe fédéral.
Le contrat ne suffit pas à lui seul si le droit local du destinataire le vide de sa substance. C’est le raisonnement d’une analyse d’impact du transfert : que peut légalement exiger l’État de destination, et quelles mesures techniques — chiffrement dont vous détenez seul les clés, pseudonymisation, cloisonnement — rendent l’accès inexploitable.
Niveau 3 — Dérogations (art. 17 LPD)
Consentement exprès de la personne, transfert nécessaire à l’exécution d’un contrat, intérêt public prépondérant, constatation, exercice ou défense d’un droit devant un tribunal ou une autre autorité étrangère compétente, protection de la vie ou de l’intégrité corporelle, données rendues accessibles au public par la personne elle-même sans opposition, et données provenant d’un registre public prévu par la loi. L’art. 17 al. 2 impose en outre, dans certains cas, d’informer le PFPDT.
Ces dérogations sont conçues pour des cas isolés. Bâtir un flux permanent de production sur le consentement exprès est fragile : le consentement se retire, et il doit être libre — celui d’un collaborateur envers son employeur l’est rarement.
Le cas des États-Unis, précisément
Le Conseil fédéral a décidé le 14 août 2024, avec effet au 15 septembre 2024, de reconnaître un niveau de protection adéquat pour les données transférées à des organisations certifiées au titre du Swiss-U.S. Data Privacy Framework.
Trois vérifications s’imposent avant de s’en prévaloir :
- La certification existe-t-elle ? Elle se contrôle sur le registre public du programme. Une entreprise américaine sans certification reste hors adéquation.
- Est-elle active ? Une certification peut être suspendue, retirée, ou non renouvelée. La liste distingue les statuts.
- Couvre-t-elle vos données ? La certification a un périmètre déclaré — données RH, données non-RH. Un transfert hors de ce périmètre n’est pas couvert.
Le fournisseur américain qui écrit « conforme au DPF » dans sa documentation commerciale ne vaut pas preuve. Le registre fait foi.
Ce qui compte comme transfert, et qu’on oublie
Le transfert n’est pas une question de localisation du datacenter, mais d’accès.
- Support et exploitation. Un hébergeur européen dont l’équipe d’astreinte accède aux systèmes depuis l’Inde ou les États-Unis effectue un transfert.
- Sous-traitants ultérieurs. Votre CRM utilise un service tiers d’enrichissement ; votre outil de logs réplique hors de Suisse. L’art. 9 al. 3 LPD soumet la sous-traitance ultérieure à votre autorisation.
- API de modèles de langage. Un prompt contenant des données personnelles envoyé à un fournisseur hors de Suisse est un transfert, avec destinataire à déclarer dans la politique de confidentialité (art. 19 al. 4 LPD) et une AIPD à envisager (art. 22 LPD).
- Sauvegardes et reprise d’activité. La région de secours est rarement documentée dans les contrats standards.
- Outils de télémétrie et d’analyse intégrés dans un produit livré au client.
L’angle vaudois : les clients publics changent la donne
Un prestataire numérique qui traite des données pour une entité cantonale ou communale vaudoise, ou en tant que délégataire d’une tâche publique, sort du seul champ de la LPD fédérale : la LPrD (BLV 172.65) s’applique, sous la surveillance de l’APDI — l’Autorité de protection des données et de droit à l’information, qui a succédé au Préposé cantonal. Les exigences de localisation et d’accès y sont en pratique plus strictes que ce qu’un contrat cloud standard prévoit.
Conséquence concrète pour un appel d’offres public vaudois : la question de la souveraineté des données se traite au moment de l’architecture, pas à la signature.
Sanctions
L’art. 61 let. a LPD punit d’une amende jusqu’à 250 000 francs quiconque, intentionnellement, communique des données personnelles à l’étranger en violation de l’art. 16 al. 1 et 2, et sans que les conditions de l’art. 17 soient remplies. La let. b vise la sous-traitance non conforme à l’art. 9 al. 1 et 2. Comme pour l’ensemble du volet pénal de la LPD, la sanction frappe une personne physique ; l’entreprise peut être condamnée jusqu’à 50 000 francs dans le cas de l’art. 64 al. 2.
Checklist
- Inventorier les flux sortants réels — production, sauvegardes, support, télémétrie, IA.
- Pour chaque destinataire : pays d’établissement et pays d’accès effectif.
- Confronter à l’annexe 1 OPDo (version en vigueur au 15.09.2024).
- Pour les États-Unis : vérifier la certification DPF au registre, son statut et son périmètre.
- Hors adéquation : clauses types reconnues par le PFPDT + analyse d’impact du transfert.
- Documenter les mesures techniques compensatoires.
- Mettre à jour la déclaration de protection des données (art. 19 al. 4).
- Client public vaudois : vérifier l’applicabilité de la LPrD avant l’architecture.
Sources primaires
- LPD, RS 235.1, état le 7 juillet 2025 — art. 9, 16, 17, 19 al. 4, 22, 61, 64, 65.
- OPDo, RS 235.11, état le 15 septembre 2024 — annexe 1 (liste des États assurant un niveau de protection adéquat, entrée « États-Unis »).
- Conseil fédéral, décision du 14 août 2024, entrée en vigueur le 15 septembre 2024 — Swiss-U.S. Data Privacy Framework.
- LPrD, BLV 172.65 du 11 septembre 2007 ; APDI (ayant succédé au Préposé cantonal), autorité de surveillance vaudoise.
Avertissement — La FVN est une fédération professionnelle, pas une étude d’avocats. Ce texte est une information générale à jour au 22 août 2026, et non un conseil juridique. Une architecture de traitement transfrontalier doit être validée par un mandataire qualifié.
