Le contrat de sous-traitance de données : ce que l'art. 9 LPD exige vraiment
Le droit suisse n'impose pas la liste de mentions de l'art. 28 RGPD, mais l'art. 9 al. 1 LPD n'autorise la sous-traitance que « pour autant qu'un contrat ou la loi le prévoie » : le contrat est bien obligatoire, c'est son contenu qui est libre. Et votre sous-traitant doit vous annoncer tout incident, sans aucun seuil de gravité.
Read More
Cloud, États-Unis et annexe 1 OPDo : transférer des données hors de Suisse sans se tromper
Depuis le 15 septembre 2024, les États-Unis figurent à l'annexe 1 OPDo — mais uniquement pour les organisations certifiées Swiss-U.S. DPF. Le transfert n'est pas une question de datacenter, c'est une question d'accès.
Read More
Banque, cabinet médical, étude : ce que ces clients imposent à votre cloud
L'auxiliaire d'un médecin ou d'un avocat est lui-même soumis au secret de l'art. 321 CP et lui-même punissable : vos administrateurs système en font partie. Un DPA signé et un datacenter en Suisse ne neutralisent ni le secret pénal, ni la bascule sous la LPrD vaudoise.
Read More
Archivage électronique : dix ans, et pourquoi un PDF dans le Drive ne suffit pas
Le rapport de gestion et le rapport de révision se conservent en un exemplaire imprimé et signé : l'art. 958f al. 2 CO ne connaît pas d'équivalent électronique. Pour le reste, le support modifiable est admis, mais seulement avec intégrité garantie et horodatage — ce qu'un dossier partagé ne fournit pas.
Read More