Principe : aucun lieu de stockage imposé
La loi en vigueur depuis le 1er septembre 2023 ne règle pas le lieu de stockage, mais la communication à l'étranger, admise vers les États dont le Conseil fédéral a reconnu la protection adéquate, notamment l'UE, l'EEE et le Royaume-Uni.
Pour les États-Unis, l'adéquation ne vaut que pour les organisations certifiées selon le Swiss-U.S. Data Privacy Framework. Sinon, il faut des garanties appropriées, comme des clauses types reconnues par le PFPDT ou des règles d'entreprise contraignantes approuvées.
Loi sur la protection des données (LPD), notamment art. 2, 6, 9, 16, 17, 19, 24 et 61 · Ordonnance sur la protection des données (OPDo), art. 8, 18 et annexe 1
Exceptions et différences avec le RGPD
Par exception, elle est aussi admise avec un consentement exprès, en lien direct avec un contrat conclu avec la personne concernée, pour faire valoir des droits devant une autorité étrangère ou pour protéger la vie. L'État destinataire et les garanties doivent être indiqués.
La LPD s'inspire du RGPD tout en restant autonome : comptent la liste du Conseil fédéral et la reconnaissance du PFPDT. Une violation de la sécurité présentant vraisemblablement un risque élevé s'annonce au PFPDT dans les meilleurs délais, sans délai fixe de 72 heures.
Loi sur la protection des données (LPD), notamment art. 2, 6, 9, 16, 17, 19, 24 et 61
Règles spéciales, sanctions et pratique
Des lois spéciales, des secrets professionnels, le droit cantonal des organes publics ou des contrats peuvent être plus stricts. Un sous-traitant n'est admis que si aucun devoir de discrétion ne s'y oppose et si la sécurité des données est garantie.
Une communication intentionnellement illicite à l'étranger ou le recours à un sous-traitant sans respecter les conditions légales est puni, sur plainte, d'une amende jusqu'à 250 000 francs. En pratique, il faut inventorier les flux, documenter garanties et contrats et adapter la déclaration de confidentialité.
Loi sur la protection des données (LPD), notamment art. 2, 6, 9, 16, 17, 19, 24 et 61
Sources
Recherché avec Omnilex et adapté pour cet article. Informations générales sur le droit suisse. L’appréciation d’un cas concret dépend des faits et du droit applicable.