Quelles données de formulaire peuvent légalement quitter la Suisse ?

La plupart des données de formulaire peuvent légalement quitter la Suisse. Aucune disposition de la loi fédérale sur la protection des données révisée (nLPD, RS 235.1) n'exige que les données personnelles soient conservées sur sol suisse. Ce que la loi encadre n'est pas la géographie mais les conditions : avant que les réponses ne franchissent la frontière, il vous faut soit un État que le Conseil fédéral a reconnu comme adéquat, soit une garantie sur laquelle vous appuyer, soit une dérogation qui corresponde à votre cas — et dans toutes les configurations, vous devez indiquer aux personnes interrogées vers quel pays leurs données partent. Trois régimes sectoriels écrasent entièrement cette réponse, et c'est précisément là que les organisations suisses se font prendre en pratique.

Les données de formulaire peuvent-elles légalement quitter la Suisse ?

Oui, sous conditions. L'art. 16 al. 1 nLPD dispose que des données personnelles peuvent être communiquées à l'étranger si le Conseil fédéral a constaté que la législation de l'État concerné ou l'organisme international concerné garantit une protection adéquate. C'est la voie principale. Compte comme communication tout ce qui place des données personnelles à portée d'un destinataire situé hors de Suisse — le téléversement de réponses vers une base hébergée à l'étranger, un accès en lecture accordé à une équipe de support étrangère, l'export d'un tableau vers un collègue à Munich. Notez la seule réserve de l'art. 18 nLPD : rendre des données accessibles à un large public au moyen d'un service d'information et de communication automatisé n'est pas traité comme une communication à l'étranger du seul fait que la page est consultable depuis d'autres pays. Cela couvre votre page de formulaire publique. Cela ne couvre pas les réponses. Cet article est le pendant opérationnel de notre panorama des outils de formulaires en ligne pour les entreprises suisses : celui-là compare les offres du marché, celui-ci dit ce que le droit exige réellement lorsque les réponses ne restent pas au pays.

Le test en trois étapes : adéquation, garanties, dérogations

1. Adéquation (art. 16 al. 1). Le Conseil fédéral tient à l'annexe 1 OPDo la liste des États et organismes offrant une protection adéquate. Si votre destination y figure, aucun instrument de transfert supplémentaire n'est nécessaire — les devoirs ordinaires demeurent : un contrat de sous-traitance au sens de l'art. 9, un registre des activités de traitement, des mesures de sécurité et l'information prévue à l'art. 19 al. 4.
2. Garanties appropriées (art. 16 al. 2). À défaut de constatation du Conseil fédéral, la communication reste possible si une protection appropriée découle d'un traité international, de clauses de protection des données convenues dans un contrat et préalablement communiquées au PFPDT, de garanties spécifiques d'un organe fédéral, de clauses types de protection des données préalablement approuvées, établies ou reconnues par le PFPDT, ou de règles d'entreprise contraignantes préalablement approuvées.
3. Dérogations (art. 17). Six cas : le consentement exprès ; le lien direct avec la conclusion ou l'exécution d'un contrat ; un intérêt public prépondérant ou la constatation, l'exercice ou la défense de droits devant un tribunal ou une autorité étrangère ; la protection de la vie ou de l'intégrité corporelle ; des données que la personne concernée a elle-même rendues accessibles à tous ; ou des données provenant d'un registre prévu par la loi. L'art. 17 al. 2 vous oblige à informer le PFPDT sur demande des communications fondées sur certains de ces motifs.

Les dérogations sont la plus faible des trois voies et celle que l'on détourne le plus souvent. Elles sont pensées pour le cas d'espèce — une communication ponctuelle, un contrat déterminé, une urgence déterminée — et non comme base légale permanente d'un outil de sondage que vous employez chaque semaine. Si vous en venez à inscrire « consentement exprès » dans un schéma d'architecture système, vous avez très probablement choisi le mauvais instrument.

Mes répondants sont en Suisse : puis-je stocker les données dans l'UE ?

En règle générale, oui. L'annexe 1 OPDo — dans sa version en vigueur depuis le 15 septembre 2024 — recense 44 destinations, dont les 27 États membres de l'UE, ainsi que l'Islande, le Liechtenstein et la Norvège. Pour une PME suisse qui exploite une inscription à un événement, un abonnement à une newsletter ou une enquête de satisfaction sans données sensibles, un outil de formulaire hébergé dans l'UE avec un contrat de sous-traitance en bonne et due forme est conforme. Quiconque vous affirme que des données suisses ne doivent jamais toucher un serveur européen a quelque chose à vendre, ou n'a pas lu l'art. 16 al. 1.

Le piège : un serveur européen détenu par une société non européenne

La phrase « nous hébergeons à Francfort » cesse de tenir exactement là où la société qui exploite ce centre de calcul francfortois est elle-même soumise à un ordre juridique tiers capable de contraindre à la remise des données. Le PFPDT aborde ce point frontalement dans son guide pour l'examen de la licéité des communications de données personnelles à l'étranger au sens de l'art. 16 al. 2 let. b et d nLPD, publié en juin 2021 et remanié en mai 2023 pour la nouvelle LPD.

Il faut relever qu'un sous-traitant établi dans un État offrant un niveau de protection adéquat peut, dans certaines circonstances, être soumis à une loi ou à une autre exigence contraignante d'un État tiers l'obligeant à communiquer les données aux autorités de cet État tiers … (exemple : des serveurs situés en Suisse, dans l'UE ou dans l'EEE appartenant à une entreprise directement ou indirectement soumise à l'ordre juridique d'un État sans niveau de protection adéquat).

La conséquence figure explicitement dans le même document : dans cette configuration, vous procédez comme s'il n'existait aucune adéquation, et vous empruntez la voie de l'art. 16 al. 2 avec une analyse d'impact des transferts. La question de conformité posée à votre outil de formulaire n'est donc pas seulement « où se trouvent les serveurs ? » mais « à quel ordre juridique répond l'entité exploitante ? ». Ce sont deux questions distinctes, et lorsqu'elles divergent, seule la seconde est décisive.

Quels pays figurent sur la liste suisse des États adéquats ?

L'annexe 1 OPDo fait foi, et elle est assez courte pour être lue en une minute. Le tableau ci-dessous regroupe les destinations qui comptent pour un outil de formulaire et précise ce que chacune exige réellement de vous. Lisez attentivement la colonne « Le hic » — plusieurs entrées de la liste sont conditionnelles, et l'une d'elles dépend d'une vérification à mener prestataire par prestataire.

Pourquoi le Japon et la Corée du Sud figurent sur la liste de l'UE mais pas sur la suisse

C'est l'information la plus utile de cet article, et celle qui est le plus souvent fausse dans la documentation des prestataires. La Commission européenne a adopté une décision d'adéquation pour le Japon, puis une autre pour la République de Corée le 17 décembre 2021. Aucun de ces deux États ne figure à l'annexe 1 OPDo. La Suisse conduit sa propre évaluation selon l'art. 8 OPDo — engagements internationaux, État de droit et droits humains, législation applicable et son exécution, droits et voies de droit effectifs des personnes concernées, et autorité de surveillance indépendante qui fonctionne — le PFPDT étant consulté à chaque fois. Les deux listes se recoupent largement, mais ce ne sont pas les mêmes. Un exportateur suisse qui transfère vers Tokyo a besoin de clauses contractuelles types et d'une analyse d'impact des transferts, là où un exportateur établi à Munich, pour les mêmes données, n'a besoin d'aucune des deux.

L'adéquation est une présomption réfragable, pas une autorisation

Le guide du PFPDT est net sur ce qu'apporte une inscription à l'annexe 1 : elle confère à l'exportateur le bénéfice de la bonne foi au sens de l'art. 3 al. 1 du Code civil — et la bonne foi est renversable selon l'art. 3 al. 2. Vous ne pouvez pas vous en prévaloir si vous savez que l'adéquation n'existe en réalité pas dans votre cas concret. L'exportateur, précise le guide, demeure responsable de l'exportation dans tous les cas et doit s'informer périodiquement du maintien de l'adéquation. C'est une obligation continue qui pèse sur vous, et non une case à cocher une fois pour toutes au moment du choix du prestataire.

Une entreprise suisse peut-elle recourir à un prestataire de sondage américain ?

Oui, et la voie n'a rien d'un contournement. Le 14 août 2024, le Conseil fédéral a décidé d'ajouter les États-Unis à l'annexe 1 OPDo, avec effet au 15 septembre 2024. L'adéquation est étroite : elle couvre les données personnelles traitées par des organisations certifiées selon les principes du Swiss-U.S. Data Privacy Framework. Elle repose sur l'Executive Order 14086 du 7 octobre 2022, sur le règlement du procureur général instituant la Data Protection Review Court, sur l'Intelligence Community Directive 126 et sur la désignation de la Suisse, le 7 juin 2024, comme État qualifié pour le mécanisme de recours à deux niveaux. Le PFPDT relève lui-même que, depuis le 15 septembre 2024, une protection adéquate est ainsi assurée dans les échanges entre la Suisse et les entreprises américaines certifiées.

Comment vérifier que votre prestataire est réellement certifié

• Recherchez l'entité juridique sur la Data Privacy Framework List officielle, sur dataprivacyframework.gov — pas sur la page marketing du prestataire, ni sur un blog comparatif.
• Vérifiez que l'inscription couvre spécifiquement le cadre Swiss-U.S.. Un très grand nombre d'organisations ne sont certifiées que pour le cadre EU-U.S. Cette certification ne vous sert à rien au regard de l'annexe 1 OPDo.
• Vérifiez que le nom de l'entité correspond à celui figurant sur votre contrat. Les certifications sont attachées à une entité juridique nommément désignée ; une filiale ou une entité de facturation portant un autre nom n'est pas couverte par l'inscription de la maison mère.
• La certification est une auto-certification auprès de l'International Trade Administration américaine et doit être renouvelée chaque année. Les organisations sont radiées en cas de retrait, de non-recertification ou de manquements persistants — inscrivez donc un recontrôle à l'agenda plutôt que d'en faire une capture d'écran unique.

Ce que le Data Privacy Framework ne couvre pas

Il ne neutralise pas le CLOUD Act américain, en vigueur depuis le printemps 2018, qui atteint les données détenues par des fournisseurs sous contrôle américain où qu'elles soient stockées dans le monde. Un fournisseur peut contester une injonction lorsque la personne visée n'est ni ressortissante ni résidente des États-Unis et que la remise violerait un droit étranger — les art. 271 et 273 du Code pénal suisse sont exactement le type de conflit envisagé —, mais c'est une contestation et non une immunité, et la Suisse n'a conclu aucun accord d'exécution au titre du CLOUD Act avec les États-Unis. L'Office fédéral de la justice a publié le 17 septembre 2021 un rapport sur le CLOUD Act américain pour qui veut lire l'appréciation officielle suisse. Côté européen, l'art. 48 RGPD prévoit qu'une décision judiciaire ou administrative d'un État tiers exigeant une communication n'est reconnaissable que sur la base d'un accord international en vigueur, tel qu'un traité d'entraide judiciaire, et les lignes directrices 02/2024 du CEPD, finalisées en juin 2025, soulignent que l'art. 48 n'est pas lui-même un fondement de transfert. Notre article sur pourquoi le chiffrement est important explique pourquoi ce qu'un prestataire détient réellement pèse plus lourd que ce qu'il promet de ne pas remettre.

Quelles garanties contractuelles faut-il pour les fournisseurs cloud américains ?

Lorsque le destinataire n'est pas certifié DPF, l'instrument de travail reste les clauses contractuelles types de l'UE. Le 27 août 2021, le PFPDT a reconnu les clauses issues de la décision d'exécution (UE) 2021/914 comme fondement des communications vers des États sans protection adéquate — à condition d'y apporter les adaptations et compléments nécessaires à leur usage en droit suisse. Les instruments antérieurs (les clauses sous-traitants de 2010, le contrat suisse de 2013 sur les flux transfrontières de données, le contrat modèle du Conseil de l'Europe) n'étaient utilisables que jusqu'au 31 décembre 2022. L'art. 9 OPDo énumère les dix contenus obligatoires des clauses contractuelles de protection des données, de la limitation de la finalité et des catégories de données et de personnes concernées jusqu'aux États destinataires, à la conservation, aux destinataires, aux mesures de sécurité, à l'annonce des violations et aux droits des personnes concernées. L'art. 10 al. 2 OPDo oblige le PFPDT à publier les clauses qu'il a approuvées, établies ou reconnues et à communiquer le résultat d'un examen dans un délai de 90 jours.

L'analyse d'impact des transferts : les quatre garanties du PFPDT

Signer les clauses contractuelles types est la moitié facile. Le guide du PFPDT vous impose d'évaluer si quatre garanties sont assurées de manière analogue dans l'État de destination, et il précise expressément que l'exportateur doit mener ces clarifications lui-même et ne peut pas se fonder uniquement sur les déclarations de l'importateur.

1. Légalité — l'accès des autorités doit reposer sur une base légale suffisante (art. 5 et art. 164 de la Constitution fédérale comme référence suisse).
2. Proportionnalité — art. 5 al. 2 de la Constitution fédérale et art. 6 al. 2 nLPD.
3. Voies de droit effectives — art. 13 al. 2 de la Constitution fédérale, art. 32 nLPD, ainsi que les art. 8 et 13 CEDH.
4. Accès à un tribunal indépendant — art. 29 ss de la Constitution fédérale, art. 32 nLPD, art. 6 par. 1 CEDH.

Deux points opérationnels tirés du même guide. Premièrement, l'analyse porte sur le droit applicable, la pratique administrative et judiciaire et la jurisprudence — les facteurs subjectifs comme la probabilité d'une demande d'accès ne peuvent en règle générale pas être pris en compte. « Personne n'irait jamais demander nos inscriptions à la fête d'entreprise » n'est pas un argument que l'évaluation reconnaît. Deuxièmement, le guide annexe un questionnaire propre aux États-Unis, adapté pour la Suisse à partir du questionnaire de noyb et renvoyant à l'arrêt Schrems II ; il couvre le 50 U.S.C. § 1881a (FISA 702), l'Executive Order 12333 et le contrôle exercé par une société mère ou des actionnaires américains. Chaque question offre au fournisseur l'option de répondre qu'il est légalement tenu de ne pas répondre — ce qui en dit long sur la façon dont l'exercice se déroule habituellement. Et si l'évaluation révèle des lacunes que des mesures complémentaires ne peuvent pas compenser, le guide est sans ambiguïté : la communication doit être suspendue ou cessée immédiatement. Gardez cette phrase sous les yeux quand un prestataire propose d'« ajouter une clause » pour neutraliser une compétence légale d'accès — un contrat entre deux personnes privées ne lie aucune autorité étrangère, et le PFPDT le dit en ces termes.

Notre société est suisse mais emploie du personnel dans l'UE — quel droit s'applique ?

En règle générale les deux lois, en parallèle. La nLPD s'applique, selon l'art. 3 al. 1, aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger — un employeur suisse qui traite des données RH issues de formulaires relève donc de la nLPD quel que soit l'emplacement du serveur. Le RGPD s'applique selon ses propres critères territoriaux, dès lors que vous avez un établissement dans l'UE ou que vous y offrez des biens et services ou y observez des comportements. Les deux régimes sont assez proches pour qu'un processus de formulaire bien construit satisfasse les deux, à condition de documenter les bases légales des deux côtés plutôt que de choisir un camp.

Nous avons des clients en Allemagne, en France et en Suisse — quel droit suivre ?

Construisez sujet par sujet sur l'exigence la plus stricte, plutôt que de choisir un régime unique. En pratique cela signifie : documentation des bases légales et traitement des demandes des personnes concernées au niveau du RGPD, plus les spécificités suisses sans équivalent européen — l'obligation de l'art. 19 al. 4 de nommer l'État destinataire et la garantie en étant l'exemple le plus clair. Un cas concret de ce double régime est traité dans notre article sur la notification des violations sous le RGPD et la nLPD. Notez également l'art. 14 nLPD : un responsable du traitement privé étranger ne doit désigner une représentation en Suisse que si quatre conditions sont cumulativement réunies — offrir des biens ou services en Suisse ou y observer le comportement de personnes, à grande échelle, de manière régulière, et avec un risque élevé pour la personnalité des personnes concernées. Beaucoup de prestataires étrangers pensent en avoir besoin et n'en ont pas besoin ; quelques-uns pensent le contraire et se trompent tout autant.

Quand les règles sectorielles écrasent la réponse de l'adéquation

C'est la partie que la plupart des listes de contrôle sur les transferts à l'étranger sautent. L'art. 9 al. 1 let. b nLPD n'autorise à confier un traitement à un sous-traitant que si aucune obligation légale ou contractuelle de garder le secret ne l'interdit — et l'art. 9 al. 3 exige l'autorisation préalable du responsable du traitement pour les sous-traitants ultérieurs. Cette disposition est le crochet par lequel un secret professionnel, une circulaire prudentielle ou une loi sur la recherche peuvent anéantir entièrement une constatation d'adéquation. L'annexe 1 dit oui ; la règle sectorielle dit quand même non.

Art. 321 CP — le secret professionnel

Les avocates, médecins, dentistes, psychologues, pharmaciennes et leurs auxiliaires sont liés par l'art. 321 du Code pénal suisse. Selon la doctrine dominante, un fournisseur cloud est un auxiliaire au sens de l'art. 321 ch. 1 al. 1, de sorte que l'externalisation ne constitue pas en soi une violation — mais le recours doit être nécessaire à la fourniture de la prestation et prévisible pour la clientèle, avec droit d'instruction, sécurité des données et maîtrise des sous-traitants ultérieurs. Que l'auxiliaire soit établi en Suisse ou à l'étranger n'est, selon cette lecture, pas décisif en soi. Traitez cela comme une opinion doctrinale et une position défendable, non comme un havre de sécurité légal, et faites-vous conseiller avant de vous en prévaloir. À côté de cela, l'art. 62 nLPD crée sa propre norme pénale — une amende pouvant atteindre CHF 250 000, également sur plainte — pour la révélation intentionnelle de données personnelles secrètes dont quelqu'un a eu connaissance dans l'exercice d'une profession qui requiert de telles connaissances.

Établissements surveillés par la FINMA et externalisation à l'étranger

La circulaire FINMA 2018/3 sur l'externalisation chez les banques et les assureurs, dans sa version du 1er janvier 2021, fixe une barre qui n'a rien à voir avec l'adéquation. La section G, consacrée à l'externalisation à l'étranger, exige que l'établissement puisse assurer expressément que lui-même, sa société d'audit et la FINMA peuvent exercer et faire valoir leurs droits d'examen et de contrôle, et qu'un assainissement ou une liquidation en Suisse demeure possible, les informations nécessaires devant être disponibles en Suisse en tout temps. La section F exige un droit contractuel de consultation et de contrôle illimité, complet et disponible en tout temps. Un prestataire de formulaires doté d'un centre de calcul suisse vous y aide ; il ne vous en libère pas, car l'obligation est de nature contractuelle et organisationnelle, non géographique.

Données de recherche et pièces comptables

Pour la recherche sur l'être humain, la loi relative à la recherche sur l'être humain (LRH, RS 810.30) ajoute une couche de consentement et d'éthique par-dessus tout ce qui précède : l'art. 32 exige, pour la réutilisation sous forme identifiante de données génétiques et de matériel biologique, un consentement exprès rapporté au projet concret, tandis que l'art. 33 admet un consentement général à des fins de recherche pour les autres données de santé identifiantes — et l'autorisation de la commission d'éthique est requise en sus. Ce que la LRH ne fait pas : créer sa propre règle d'État destinataire. La question du transfert à l'étranger reste régie par les art. 16 et 17 nLPD, le statut de données sensibles reconnu aux données de santé, génétiques et biométriques par l'art. 5 let. c élevant l'enjeu de l'évaluation sans changer le test. Les pièces comptables sont le cas miroir, et il vaut la peine de le dire clairement parce que le folklore va dans l'autre sens. L'art. 958f CO et l'ordonnance concernant la tenue et la conservation des livres de comptes (Olico, RS 221.431) exigent que les livres et les pièces comptables soient conservés pendant dix ans à compter de la fin de l'exercice, que la conservation électronique rende les modifications détectables et que les documents restent lisibles en tout temps. Ce sont des devoirs de disponibilité et d'intégrité, non une règle de localisation — l'Olico ne dit pas que vos livres doivent reposer sur sol suisse. Si votre formulaire collecte des notes de frais ou des données de facturation, c'est l'horloge de conservation qu'il faut planifier : ce sont les délais qui se superposent, et non la géographie, qui pilotent l'architecture.

Quand l'hébergement à l'étranger convient parfaitement

Nous vendons des formulaires chiffrés de bout en bout dont les soumissions sont stockées en Suisse : prenez donc cette section comme le passage où nous argumentons contre notre propre entonnoir de vente. Il existe une large catégorie de données de formulaire suisses pour lesquelles un outil hébergé à l'étranger est la réponse correcte, conforme et moins chère, et prétendre le contraire rendrait tout ce qui précède moins crédible.

• Des données ordinaires vers une destination UE/EEE. Inscriptions à des événements, abonnements à une newsletter, enquêtes de satisfaction, formulaires de contact avec un nom et une adresse e-mail. L'annexe 1 couvre la destination ; un contrat de sous-traitance et une déclaration de protection des données correcte couvrent le reste. Il n'existe aucune règle « les données doivent rester en Suisse » que vous pourriez enfreindre.
• Un prestataire américain certifié DPF pour la même classe de données. Une inscription Swiss-U.S. à jour est une base légale au sens de l'art. 16 al. 1, pas une échappatoire. Vérifiez-la, agendez le recontrôle, et passez à la suite.
• Une organisation déjà standardisée sur une grande plateforme. L'EU Data Boundary de Microsoft est un engagement d'ingénierie réel et non une page marketing, et elle inclut explicitement la Suisse en tant qu'État de l'AELE, avec des centres de calcul en Suisse parmi ceux utilisés ou annoncés. La documentation de Microsoft est également honnête sur les limites — des « circonstances limitées » dans lesquelles des données sortent malgré tout du périmètre, des journaux générés par le système qui sont pseudonymisés plutôt que supprimés, un accès DevOps à distance, un périmètre dont l'étendue dépend du pays d'inscription du tenant, et une clientèle Multi-Geo qui sort du champ d'application. Les services individuellement couverts sont fixés par les conditions des produits — vérifiez donc les vôtres au lieu de le supposer. Nous parcourons le volet chiffrement de cette pile dans Microsoft Forms est-il chiffré ?

Là où Schweizerform n'est pas la bonne réponse

• Nous ne supprimons pas la paperasse. Même lorsque les réponses ne peuvent être déchiffrées que par la personne qui détient la clé du coffre, vous devez toujours l'information de l'art. 19 al. 4, un registre des activités de traitement, un contrat de sous-traitance et une décision de conservation. Le chiffrement de bout en bout supprime un risque de confidentialité ; il ne supprime aucune obligation.
• Si votre processus exige que le prestataire agisse sur du texte en clair, notre forme ne convient pas. Évaluation automatique côté serveur, génération côté serveur vers une gestion documentaire étrangère, routage selon le contenu des réponses, ou service d'assistance exploité par le fournisseur et lisant les envois — la collecte à connaissance nulle s'oppose à tout cela. Un outil doté d'un solide contrat de sous-traitance et d'une analyse d'impact des transferts documentée conviendra mieux.
• Les établissements surveillés par la FINMA ne devraient pas nous considérer à eux seuls comme la réponse d'externalisation. La circulaire 2018/3 exige des droits de contrôle opposables pour l'établissement, sa société d'audit et la FINMA, ainsi qu'un accès suisse garanti à des fins de liquidation. L'hébergement suisse aide ; le reste est un exercice contractuel et de gouvernance.
• Nous sommes une couche de collecte. La conformité transfrontalière d'un essai clinique, d'un système RH à l'échelle d'un groupe ou d'un dossier KYC se joue essentiellement en aval du formulaire. Chiffrer la collecte ne répare pas une exportation qui se produit plus tard dans votre CRM.

Pourquoi le chiffrement de bout en bout change l'analyse du transfert

Là où le chiffrement de bout en bout travaille réellement, c'est au milieu du test en trois étapes : il change ce qu'une partie établie à l'étranger détient effectivement. Schweizerform chiffre les réponses dans le navigateur de la personne qui répond ; le texte chiffré est stocké en Suisse chez Infomaniak, qui déclare publiquement héberger et traiter les données exclusivement en Suisse, être une entreprise suisse indépendante, exploiter un support basé en Suisse et détenir notamment la certification ISO/IEC 27001:2022. Seule la personne qui détient la clé du coffre peut déchiffrer un envoi. Nous ne pouvons pas les lire, ce qui veut dire que nous n'avons rien de lisible à remettre — à qui que ce soit. La différence avec un chiffrement géré par le prestataire est tout le sujet de notre article sur le chiffrement au repos vs de bout en bout.

Ce que le PFPDT dit du BYOK et du BYOE

Le guide du PFPDT retient expressément que les compléments contractuels ne valent pas grand-chose face aux accès étatiques, parce qu'ils ne peuvent pas lier les autorités d'un État tiers, et que les mesures techniques et organisationnelles doivent être conçues de manière à empêcher factuellement un accès des autorités. Il nomme ensuite la forme que prennent ces mesures : pour le simple stockage de données chez un fournisseur situé dans un État sans protection adéquate, un chiffrement mis en œuvre selon les principes « bring your own key » et, en plus, « bring your own encryption » est envisageable, de sorte qu'aucun texte en clair n'existe dans le nuage et qu'aucun déchiffrement ni chiffrement n'y a lieu. C'est la description d'une architecture à connaissance nulle. Le CEPD parvient à une conclusion compatible dans ses recommandations 01/2020 sur les mesures complémentaires, version 2.0 du 18 juin 2021 : le chiffrement est une mesure complémentaire efficace pour un stockage sans accès en clair, pour autant qu'il corresponde à l'état de l'art, qu'il soit implémenté sans faille et que les clés demeurent exclusivement sous le contrôle de l'exportateur ou d'une entité située dans l'EEE ou dans un État adéquat.

Ce dont le chiffrement ne vous dispense pas

Trois limites honnêtes. Le PFPDT ajoute lui-même que de telles mesures techniques deviennent exigeantes dès que la prestation fournie dans l'État de destination dépasse le simple stockage de données — la même contrainte que celle décrite plus haut. Deuxièmement, l'argument selon lequel un texte chiffré détenu par une partie qui n'a pas la clé n'est pas la même chose que du texte en clair est soutenu par l'approche relative de la Suisse en matière de déterminabilité, exposée par le Tribunal fédéral dans l'arrêt Logistep (ATF 136 II 508 du 8 septembre 2010) : la déterminabilité s'apprécie selon les circonstances concrètes du cas d'espèce, et non dans l'abstrait. C'est un argument en votre faveur, non un précédent selon lequel des données chiffrées ne seraient pas des données personnelles — le Tribunal ne l'a jamais dit, et vous ne devriez pas l'écrire ainsi dans une analyse d'impact relative à la protection des données. Troisièmement, et c'est le plus pratique : rien de tout cela ne touche au devoir d'information.

Comment documenter un transfert à l'étranger en six étapes

En résumé : quelles données de formulaire peuvent légalement quitter la Suisse ?

Des données de formulaire ordinaires peuvent partir vers n'importe laquelle des 44 destinations de l'annexe 1 OPDo avec un contrat de sous-traitance et une déclaration de protection des données exacte — y compris toute l'UE et l'EEE, le Royaume-Uni et les organisations américaines certifiées DPF. Les données destinées à tout autre État exigent des clauses contractuelles types avec les adaptations suisses, plus une analyse d'impact des transferts, et les dérogations de l'art. 17 valent pour des cas isolés, pas pour des architectures. Les données saisies par un secret professionnel, par les règles d'externalisation de la FINMA ou par le droit de la recherche sur l'être humain subissent un second test que l'adéquation ne règle pas. Et un centre de calcul européen exploité par une société soumise à un ordre juridique tiers ne vous procure pas du tout le bénéfice de l'annexe 1. Concrètement : « où sont les serveurs ? » est la deuxième question, pas la première. La première est de savoir qui contrôle l'entité, et la troisième si quelqu'un dans la chaîne détient une copie lisible. Garder les données en Suisse et la clé de déchiffrement chez soi raccourcit les trois réponses d'un coup — mais cela ne raccourcit pas la documentation, et tout prestataire qui vous promet le contraire vous vend la mauvaise chose. Si vous choisissez maintenant un prestataire sur cette base, notre panorama des outils de formulaires et de sondage hébergés en Suisse passe en revue l'hébergement réel de chaque fournisseur, un à un.