TLDR — « Il n’y a pas de DPA obligatoire en Suisse » est faux : l’art. 9 al. 1 LPD n’autorise la sous-traitance que « pour autant qu’un contrat ou la loi le prévoie ». Ce que le droit suisse ne connaît pas, c’est la liste de mentions obligatoires de l’art. 28 RGPD — le contenu du contrat est libre, son existence ne l’est pas. Vous êtes des deux côtés : sous-traitant de vos clients, responsable du traitement face à votre hébergeur, votre CRM et votre API d’IA. Trois points : l’art. 9 al. 3 soumet toute sous-traitance ultérieure à l’autorisation préalable du responsable ; l’art. 24 al. 3 oblige le sous-traitant à annoncer au responsable tout cas de violation, sans seuil de gravité ; l’art. 61 let. b et c punit sur plainte d’une amende jusqu’à 250 000 francs la sous-traitance non conforme à l’art. 9 al. 1 et 2 et le non-respect des exigences de sécurité de l’OPDo — et la peine frappe une personne physique, l’entreprise n’étant condamnée à sa place que jusqu’à 50 000 francs (art. 64 al. 2).
Vous êtes des deux côtés du contrat
L’art. 5 LPD, état au 7 juillet 2025, définit le responsable du traitement comme celui « qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement » (let. j), et le sous-traitant comme celui « qui traite des données personnelles pour le compte du responsable » (let. k).
Une agence web qui héberge le site de son client est sous-traitante de ce client ; quand elle met les adresses de sa propre newsletter dans un outil américain, elle est responsable du traitement. Le rôle n’est pas une qualité de l’entreprise : il se détermine flux par flux, selon qui décide de la finalité. D’où deux jeux de contrats — ceux que vos clients vous font signer, et ceux que vous devriez faire signer à vos fournisseurs. La plupart des PME numériques signent les premiers sans les lire et n’ont jamais demandé les seconds.
L’art. 9 LPD, alinéa par alinéa
L’article s’intitule « Sous-traitance » et tient en quatre alinéas.
« 1 Le traitement de données personnelles peut être confié à un sous-traitant pour autant qu’un contrat ou la loi le prévoie et que les conditions suivantes soient réunies:
a. seuls sont effectués les traitements que le responsable du traitement serait en droit d’effectuer lui-même;
b. aucune obligation légale ou contractuelle de garder le secret ne l’interdit. »
Trois exigences cumulatives, et non deux. La première est celle qu’on oublie : un contrat ou la loi. Sans base, la sous-traitance n’est pas licite, même si le prestataire est irréprochable. La lettre a est un principe de miroir : si votre client n’a pas le droit d’utiliser une base d’adresses pour de la prospection, vous ne l’avez pas davantage en la traitant pour lui. La lettre b est la clause de blocage : une obligation de secret peut interdire l’externalisation, quel que soit le contrat.
« 2 Le responsable du traitement doit en particulier s’assurer que le sous-traitant est en mesure de garantir la sécurité des données. »
« S’assurer » est une obligation de vérification, pas de déclaration : une promesse contractuelle ne suffit pas, il faut avoir regardé. Le PFPDT le formule en trois verbes — le responsable doit « choisir soigneusement ses sous-traitants, de les instruire de manière appropriée et de les surveiller ».
« 3 Le sous-traitant ne peut lui-même sous-traiter un traitement à un tiers qu’avec l’autorisation préalable du responsable du traitement. »
« Autorisation préalable », et non simple information. C’est l’alinéa le plus violé de la LPD : votre hébergeur change de fournisseur de sauvegarde, votre CRM ajoute un service d’enrichissement, votre outil de support branche un moteur de traduction — et personne ne vous a rien demandé. Le PFPDT admet une autorisation générale, pourvu que le sous-traitant informe de tout changement : c’est la liste annexée avec droit d’opposition. Mais elle ne se présume pas.
« 4 Il peut faire valoir les mêmes motifs justificatifs que le responsable du traitement. »
Cet alinéa protège le sous-traitant attaqué par une personne concernée. Rien de plus.
« Pas de DPA obligatoire en Suisse » : ce qui est vrai, ce qui est faux
Ce qui est vrai : le droit suisse ne reproduit pas la liste de mentions imposée par l’art. 28 par. 3 RGPD — objet, durée, nature et finalité, catégories de données et de personnes, sort des données en fin de contrat, informations nécessaires aux audits. Ni la LPD ni l’OPDo ne dressent une telle liste : un contrat de sous-traitance suisse peut être court.
Ce qui est faux : en déduire qu’aucun contrat n’est nécessaire. L’art. 9 al. 1 dit l’inverse en toutes lettres. Notez aussi la différence de sanction : là où le RGPD frappe l’entreprise d’une amende administrative, l’art. 61 LPD frappe pénalement une personne physique, sur plainte. Trois raisons commandent d’écrire un texte détaillé plutôt que minimal.
- La preuve de la diligence de l’al. 2. « S’assurer » se démontre. Un dossier fournisseur — contrat, mesures de sécurité, sous-traitants ultérieurs, localisation — est la seule pièce que vous produirez en cas d’enquête.
- Vos clients l’exigeront de toute façon. Tout client servant des personnes dans l’Union est soumis à l’art. 28 RGPD et vous répercutera ses obligations ; un client réglementé ou public ira plus loin.
- Le contrat est votre seul recours. La LPD ne vous donne aucune action contre un fournisseur négligent. Indemnisation, résiliation, droit d’audit viennent du contrat, pas de la loi.
Ce que le contrat doit couvrir en pratique
La liste ci-dessous n’est pas légale mais opérationnelle : chaque ligne existe parce que son absence produit un litige.
| Clause | Ce qu’elle doit dire, concrètement |
|---|---|
| Périmètre et finalité | Les opérations autorisées, nommées. Ce qui n’y figure pas est hors mandat (art. 9 al. 1 let. a). |
| Catégories de données et de personnes | Clients, collaborateurs, prospects, patients ; données sensibles de l’art. 5 let. c ou non — le régime change si oui. |
| Instructions documentées | Qui instruit, par quel canal, et l’obligation d’alerter si une instruction paraît illicite. |
| Mesures de sécurité | Renvoi aux objectifs de l’art. 2 OPDo et description effective, pas une annexe commerciale. |
| Sous-traitance ultérieure | Liste nommée en annexe, préavis de modification, droit d’opposition, répercussion des mêmes obligations au tiers. |
| Droit d’accès | Le sous-traitant assiste et ne répond jamais directement à la personne concernée ; délai compatible avec les 30 jours de l’art. 25 LPD. |
| Incident | Délai chiffré en heures vers le responsable, contenu minimal de l’annonce, pas de communication à des tiers sans accord. |
| Localisation et transferts | Pays d’hébergement, de secours, des sauvegardes — et pays depuis lequel le support accède. |
| Audit | Audit sur pièces, questionnaire annuel ou certification acceptée en substitution : quelque chose de nommé. |
| Fin de contrat et durée | Restitution en format documenté, délai ferme, suppression attestée sauvegardes comprises ; ces obligations survivent au contrat. |
La sécurité : art. 8 LPD et OPDo
L’art. 8 al. 1 LPD vise les deux parties :
« Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. »
L’al. 3 délègue au Conseil fédéral les exigences minimales : c’est l’OPDo, RS 235.11. Son art. 1 impose d’établir le besoin de protection puis de déterminer les mesures, et de réévaluer pendant toute la durée du traitement. L’art. 2 fixe quatre objectifs : confidentialité, disponibilité, intégrité, traçabilité. L’art. 3 les décline en contrôles, dont deux que les contrats standards ignorent : la restauration rapide après incident (al. 2 let. d) et la sécurité du système, soit des logiciels « toujours maintenus à jour en matière de sécurité » avec correction des failles critiques connues (al. 2 let. f).
Journalisation et règlement de traitement : qui est réellement visé
Les art. 4 et 5 OPDo ne s’appliquent pas à tout le monde — c’est le point que les modèles de contrat téléchargés font dire de travers.
| Journalisation (art. 4 OPDo) | Règlement de traitement (art. 5 OPDo) | |
|---|---|---|
| Qui | Le responsable du traitement privé et son sous-traitant privé (l’art. 6 vise les organes fédéraux) | |
| Quand | Traitements automatisés de données sensibles à grande échelle ou profilage à risque élevé, et lorsque les mesures préventives ne suffisent pas | Traitements automatisés en cas de données sensibles à grande échelle ou de profilage à risque élevé |
| Contenu | Au moins enregistrement, modification, lecture, communication, effacement, destruction ; auteur, nature, date et heure, cas échéant destinataire | Organisation interne, procédures de traitement et de contrôle, mesures de sécurité |
| Suites | Conservation d’au moins un an, séparément du système, accès restreint | Actualisation régulière ; mise à disposition du conseiller à la protection des données s’il en existe un |
Deux lectures s’imposent. L’art. 4 pose une condition que l’art. 5 ne pose pas : la journalisation ne s’impose que « lorsque les mesures préventives ne suffisent pas à garantir la protection des données ». Et les deux articles s’adressent aussi au sous-traitant privé : si vous hébergez une plateforme de santé, le règlement de traitement est votre obligation propre, pas seulement celle de votre client. Une PME qui traite des données de contact, de facturation et de connexion n’est en principe visée par aucun des deux ; dès qu’un produit touche à la santé, aux opinions ou aux poursuites pénales, ou pratique un profilage à risque élevé, la réponse s’inverse.
Qui répond de quoi
Le responsable du traitement reste responsable. Le sous-traitant n’est pas pour autant un exécutant sans obligations propres : la sécurité de l’art. 8, les exigences de l’OPDo, le registre allégé de l’art. 12 al. 3 et l’annonce de l’art. 24 al. 3 lui incombent directement. Cette dernière se lit à côté de l’al. 1, qui n’oblige le responsable à annoncer au PFPDT que les violations « entraînant vraisemblablement un risque élevé ». Le sous-traitant, lui :
« Le sous-traitant annonce dans les meilleurs délais au responsable du traitement tout cas de violation de la sécurité des données. »
Tout cas. Aucun seuil de gravité : le tri appartient au responsable, seul à avoir la vision du risque. Un fournisseur dont le contrat ne prévoit d’annoncer que les incidents « significatifs » vous propose une clause contraire à la loi.
L’art. 61 punit sur plainte d’une amende de 250 000 francs au plus les personnes privées qui, intentionnellement, « confient le traitement de données personnelles à un sous-traitant sans que les conditions de l’art. 9, al. 1 et 2, soient remplies » (let. b), ou ne respectent pas les exigences minimales de sécurité de l’art. 8 al. 3, donc l’OPDo (let. c). Deux précisions changent la lecture. La peine frappe une personne physique : l’entreprise n’est condamnée à sa place que si l’amende n’excède pas 50 000 francs et que l’enquête serait disproportionnée (art. 64 al. 2). Et la let. b ne vise que les al. 1 et 2 — une sous-traitance ultérieure non autorisée viole l’al. 3, mais ne relève pas de cette infraction : votre seul levier est contractuel. Raison de plus pour que la clause existe.
L’API d’IA générative : deux qualifications à la fois
Envoyer des données clients dans un modèle hébergé hors de Suisse est simultanément une sous-traitance au sens de l’art. 9 et une communication à l’étranger au sens de l’art. 16. Les deux régimes s’additionnent. Le mécanisme des transferts est traité dans notre article sur les transferts hors de Suisse, et le cas des secrets pénalement protégés dans celui consacré aux clients réglementés. Nous ne les répétons pas.
Ce qui est propre à l’IA tient en un point : la réutilisation des prompts pour l’entraînement. Si le fournisseur entraîne son modèle sur vos données, il ne les traite plus pour votre compte : il poursuit sa propre finalité et devient responsable du traitement pour cette opération. Vous sortez de l’art. 9 et entrez dans une communication à un tiers, difficilement compatible avec les finalités de collecte de l’art. 6 al. 3 LPD, et que votre client n’a jamais autorisée. Le PFPDT rappelle du reste que la LPD « de par sa formulation, vise toutes les technologies », et que les personnes doivent savoir si leurs données alimentent l’apprentissage automatique.
La clause à exiger est courte : les données transmises via l’API, ainsi que les sorties générées, ne sont utilisées ni pour l’entraînement, ni pour le réglage fin, ni pour l’amélioration de modèles ; leur conservation est limitée à la durée strictement nécessaire au traitement de la requête, sauf obligation légale contraire, et toute durée de rétention pour détection d’abus est nommée. Vérifiez que l’offre souscrite porte bien cet engagement : chez la plupart des fournisseurs, le régime diffère entre offre grand public et offre professionnelle, sur le même modèle.
Checklist : ce qu’il faut obtenir d’un fournisseur avant de signer
- Le contrat de sous-traitance signé — condition de l’art. 9 al. 1, pas une pièce annexe.
- Les mesures techniques et organisationnelles décrites, confrontées aux art. 2 et 3 OPDo.
- La liste nommée des sous-traitants ultérieurs, avec procédure de modification et opposition (art. 9 al. 3).
- La carte des localisations : hébergement, secours, sauvegardes, et pays depuis lequel le support accède.
- Le régime de transfert : annexe 1 OPDo, clauses types reconnues par le PFPDT, ou certification vérifiée au registre.
- Le délai d’annonce d’incident, en heures, sans seuil de gravité (art. 24 al. 3).
- Le droit d’audit ou son substitut nommé : questionnaire annuel, rapport d’audit tiers, certification valide.
- L’assistance au droit d’accès, compatible avec un délai de réponse de 30 jours.
- Les conditions de sortie : format d’export, délai, coût, attestation de suppression des sauvegardes.
- Pour une API d’IA : clause d’exclusion d’entraînement et durée de rétention, sur l’offre souscrite.
Puis l’inverse : reprendre les contrats que vos clients vous ont fait signer, et vérifier que vous tenez ce que vous y avez promis — délais d’annonce compris.
Sources primaires
- LPD, RS 235.1, état le 7 juillet 2025, lue sur Fedlex — art. 5 let. c, j et k ; 6 ; 8 ; 9 al. 1 à 4 ; 12 al. 3 ; 16 ; 24 al. 1 et 3 ; 25 ; 61 let. b et c ; 64 al. 2.
- OPDo, RS 235.11, état le 15 septembre 2024, lue sur Fedlex — art. 1 à 6 (principes, objectifs, mesures techniques et organisationnelles, journalisation, règlements de traitement).
- PFPDT, edoeb.admin.ch — pages « Les basiques » et « Externalisation (sous-traitance) » ; prise de position « IA et protection des données ».
- Règlement (UE) 2016/679 (RGPD), art. 28 — cité en comparaison, pour montrer ce que le droit suisse ne reprend pas.
Avertissement — La FVN est une fédération professionnelle, pas une étude d’avocats. Ce texte est une information générale à jour au 28 septembre 2026, et non un conseil juridique. La LPD a été lue sur Fedlex dans son état au 7 juillet 2025 et l’OPDo dans son état au 15 septembre 2024 ; nous n’avons pas vérifié qu’aucune modification postérieure n’est intervenue. N’ont pas pu être vérifiés dans une source officielle, nommément : le texte de l’art. 28 RGPD, restitué en substance et sans guillemets, qui relève du droit de l’Union ; les passages de la page PFPDT sur l’externalisation, restitués en substance, seule la formule « choisir soigneusement ses sous-traitants, de les instruire de manière appropriée et de les surveiller » étant citée telle quelle ; l’existence d’un guide du PFPDT consacré spécifiquement à la sous-traitance, que nous n’avons pas trouvé et dont nous n’affirmons pas l’existence ; les conditions contractuelles des fournisseurs d’API d’IA, qui varient par offre et par date. Le seuil de la « grande échelle » des art. 4 et 5 OPDo n’est défini nulle part : son appréciation reste ouverte. Avant de signer un contrat portant sur des données sensibles, ou de mettre en production un traitement passant par un modèle d’IA hébergé à l’étranger, faites valider le dossier par un mandataire qualifié ou adressez-vous au PFPDT.
