Les transferts de données vers ou depuis la Suisse soulèvent trois questions distinctes, souvent confondues : (1) UE → Suisse, (2) Suisse → UE, (3) Suisse → pays tiers. La réponse n’est pas la même dans les trois cas, et la revue favorable de l’adéquation suisse publiée en janvier 2024 confirme le maintien du mécanisme. Cet article détaille les obligations sous RGPD et nLPD pour chacun de ces flux, avec les mécanismes contractuels à mettre en place en 2026.
Pour les bases du cadre suisse, voir notre guide RGPD en Suisse. Pour les divergences nLPD/RGPD, nLPD vs RGPD : 7 différences clés.
Points clés
- La Suisse est un pays adéquat pour la Commission européenne — décision de 2000, fonctionnement réexaminé le 15 janvier 2024. Les transferts UE → Suisse ne nécessitent aucune garantie supplémentaire.
- La Suisse considère l’UE/EEE comme adéquate. Les transferts Suisse → UE sont libres.
- Les transferts Suisse → États-Unis sont libres uniquement pour les organisations américaines certifiées Swiss-U.S. Data Privacy Framework. Hors DPF : identifier une garantie valable, par exemple les clauses types reconnues et adaptées, avec l’évaluation du transfert nécessaire.
- Les transferts Suisse → autres pays tiers (Inde, Singapour, etc.) nécessitent des garanties : CCT reconnues par le PFPDT, BCR, ou dérogations limitées.
- Un transfert “double” (UE → Suisse → pays tiers) doit cumuler les exigences RGPD ET nLPD pour l’export final.
1. Le cadre de l’adéquation Suisse en 2026
La Commission européenne a adopté la première décision d’adéquation pour la Suisse en juillet 2000, sous le régime de la directive 95/46/CE. Cette décision a été maintenue après l’entrée en vigueur du RGPD en 2018. Son fonctionnement a fait l’objet d’un rapport favorable le 15 janvier 2024 : la Commission a jugé que la nouvelle Loi fédérale sur la protection des données offre un niveau de protection essentiellement équivalent à celui du RGPD.
Concrètement, cela signifie qu’aucune garantie supplémentaire n’est requise pour transférer des données depuis l’UE/EEE vers une entreprise suisse. La Suisse reste un pays tiers ; l’adéquation dispense des garanties supplémentaires du chapitre V pour le flux couvert.
Symétriquement, la Suisse reconnaît l’UE/EEE comme offrant un niveau adéquat de protection. Les transferts Suisse → UE sont également libres.
Ce qui reste obligatoire malgré l’adéquation :
- Information des personnes concernées (article 13 RGPD ou article 19 nLPD)
- Mention dans le registre des activités de traitement
- Encadrement contractuel sous-traitant (article 28 RGPD ou article 9 nLPD) — l’adéquation ne dispense pas du DPA
2. Transferts UE → Suisse : régime applicable
Pour une entreprise UE qui sous-traite à un prestataire suisse (cloud, paie, support client, marketing) :
| Obligation | Fondement | Statut |
|---|---|---|
| Clauses contractuelles types | RGPD art. 46 | Non requises (adéquation) |
| Analyse d’impact transfert (TIA) | Schrems II / EDPB | Non requise |
| Contrat sous-traitant (DPA) | RGPD art. 28 | Requis |
| Information des personnes | RGPD art. 13 ou 14 | Requis selon la collecte ; destinataires et transfert envisagé, avec référence à l’adéquation applicable |
| Registre des traitements | RGPD art. 30 | Requis sauf exception applicable |
Le DPA standard sous RGPD article 28 reste obligatoire — l’adéquation ne couvre que la partie “transfert international”. La structure du DPA est identique à celle utilisée pour un sous-traitant UE.
3. Transferts Suisse → UE : régime applicable
Pour une entreprise suisse qui utilise un fournisseur UE (Microsoft 365 hébergé en Irlande, AWS Francfort, etc.) :
| Obligation | Fondement | Statut |
|---|---|---|
| Clauses contractuelles types | nLPD art. 16 | Non requises (UE adéquate selon CH) |
| Contrat sous-traitant | nLPD art. 9 | Requis |
| Information des personnes | nLPD art. 19 | Requis |
| Inscription au registre | LPD art. 12 et OPDo art. 24 | Vérifier les conditions de l’exception PME |
Le mécanisme de transfert est simplifié ; vérifiez toutefois les entités contractantes, les accès depuis d’autres pays et les conditions de sous-traitance.
4. Transferts Suisse → États-Unis : le cas DPF
C’est le cas le plus complexe en 2026. Trois scénarios selon le statut du destinataire américain :
Scénario A : destinataire certifié Swiss-U.S. DPF
Le Swiss-U.S. Data Privacy Framework est entré en vigueur le 15 septembre 2024. Il permet aux organisations américaines certifiées de recevoir des données personnelles depuis la Suisse sans garanties supplémentaires.
Vérification obligatoire :
- Consulter la liste officielle :
dataprivacyframework.gov - Vérifier que la certification couvre bien le scope Swiss-U.S. (et pas uniquement EU-U.S.)
- Vérifier la date de dernière recertification (annuelle)
Vérifiez également l’entité juridique exacte et les catégories de données couvertes, notamment les données RH le cas échéant. Conservez une preuve datée de cette vérification. Une certification EU-U.S. seule ne couvre pas le flux suisse.
Scénario B : destinataire non certifié, CCT reconnues par le PFPDT
Le PFPDT reconnaît les CCT de l’UE issues de la décision 2021/914, avec les adaptations nécessaires au droit suisse. Il faut distinguer cette reconnaissance de clauses types d’une création de clauses spécifiques par le Conseil fédéral.
Procédure :
- Sélectionner le module CCT approprié (responsable→responsable, responsable→sous-traitant, sous-traitant→sous-traitant, sous-traitant→responsable)
- Faire signer les CCT par le destinataire américain
- Conduire une analyse d’impact (TIA) documentant les risques liés à l’accès des autorités américaines (FISA 702, Executive Order 12333) et les mesures de mitigation (chiffrement de bout en bout, pseudonymisation)
- Conserver la documentation
Scénario C : dérogations exceptionnelles
L’article 17 nLPD prévoit des dérogations limitées : consentement exprès et éclairé, exécution d’un contrat avec la personne concernée, motifs d’intérêt public important, etc. Ces dérogations sont strictement interprétées et ne peuvent fonder des transferts systématiques. Examinez les conditions exactes de l’exception invoquée, les personnes concernées et la nécessité du flux ; une préférence commerciale pour un fournisseur étranger ne suffit pas.
5. Transferts Suisse → autres pays tiers
Pour les pays sans décision d’adéquation suisse (Inde, Singapour, Chine, Russie, etc.) :
La liste faisant foi pour un export suisse est l’annexe 1 de l’OPDo, accessible depuis la page du PFPDT sur les communications à l’étranger. Elle est distincte de la liste de la Commission européenne. Une nouvelle décision européenne n’ajoute pas automatiquement un pays à la liste suisse.
À défaut d’adéquation applicable, l’article 16(2) LPD prévoit notamment des clauses contractuelles communiquées préalablement au PFPDT, des clauses types reconnues, des règles d’entreprise contraignantes selon les conditions légales, ou un traité international. Les procédures de communication, reconnaissance et approbation diffèrent : ne les présentez pas comme une validation unique de chaque transfert.
Les garanties doivent être effectives. Documentez les règles et pratiques du pays destinataire pertinentes pour les données, les possibilités d’accès, les engagements du destinataire et les mesures supplémentaires. Si l’importateur doit accéder aux données en clair, le seul chiffrement pendant le transport ne protège pas contre cet accès. Si les garanties restent insuffisantes, revoyez le flux ou le prestataire au lieu de traiter la signature des clauses comme une solution automatique.
6. Cas pratique fictif : SaaS suisse avec hébergement multi-régions
Une entreprise suisse propose un SaaS B2B aux PME européennes. Architecture :
- Frontend hébergé sur AWS Frankfurt (UE)
- Backend principal sur AWS Zurich (Suisse)
- Sauvegardes sur AWS US-East (États-Unis)
- Support client externalisé en Inde
Cartographie des transferts :
| Origine | Destination | Mécanisme | Documentation |
|---|---|---|---|
| Clients UE → AWS Frankfurt | UE → UE | Intra-EEE | DPA AWS |
| Clients UE → AWS Zurich | UE → CH | Adéquation suisse | DPA AWS, mention CH dans politique |
| Clients CH → AWS Zurich | CH → CH | Domestique | DPA AWS |
| Clients CH/UE → AWS US-East | CH/UE → US | Swiss-U.S. DPF + EU-U.S. DPF | Vérifier entité, certifications applicables et périmètre ; pas de TIA imposée du seul fait du recours à une adéquation valable |
| Tous → support Inde | CH/UE → Inde | CCT reconnues par le PFPDT + CCT UE | Contrat support, CCT signées, TIA |
Erreur fréquente : oublier que les sauvegardes sur US-East impliquent un transfert. Le stockage hors de Suisse et les accès distants étrangers doivent être recensés. Au titre du RGPD, vérifiez aussi les critères d’un transfert à un autre responsable ou sous-traitant situé dans un pays tiers ; la localisation d’un salarié seul ne décrit pas toute l’analyse.
7. Documentation à constituer
Pour chaque flux international identifié :
- Fiche de transfert : origine, destination, finalité, catégories de données, mécanisme légal
- Mécanisme : adéquation, CCT signées, BCR validées, dérogation invoquée
- Analyse d’impact (TIA) pour les pays non adéquats
- DPA signé avec le destinataire
- Information des personnes concernées dans la politique de confidentialité
8. Erreurs courantes à éviter
- Confondre adéquation et dispense de contrat de sous-traitance — l’adéquation suisse ne dispense pas du contrat sous-traitant.
- S’appuyer sur un DPF certifié US-only pour des données suisses — la certification doit couvrir explicitement le scope Swiss-U.S.
- Oublier les sauvegardes — un backup hors UE/CH est un transfert international.
- Utiliser les CCT UE 2021 telles quelles pour des transferts depuis la Suisse — il faut apporter les adaptations requises par la reconnaissance du PFPDT.
- Invoquer le consentement comme base systématique des transferts — la dérogation est strictement interprétée.
Conclusion
Le maintien de l’adéquation suisse simplifie les flux UE-Suisse mais ne dispense pas des obligations classiques (DPA, registre, transparence). Les transferts vers les pays tiers — surtout les États-Unis hors DPF — restent le principal point de risque. Pour une entreprise opérant des deux côtés de la frontière, le dispositif unique RGPD + nLPD reste la voie la plus efficace.
Pour aller plus loin : checklist nLPD pour PME, PFPDT — rôle et pouvoirs, transferts internationaux RGPD.
FAQ
Faut-il signer des CCT pour transférer des données depuis l’UE vers la Suisse ?
Non, pour un transfert couvert par la décision d’adéquation suisse de 2000, réexaminée en 2024. Le contrat de sous-traitance et les autres obligations demeurent lorsqu’ils sont applicables.
Le Swiss-U.S. Data Privacy Framework est-il fiable en 2026 ?
Le mécanisme figure parmi les instruments présentés par le PFPDT. À chaque décision, vérifiez la certification Swiss-U.S. active de l’entité et le champ du traitement. Prévoyez une réévaluation lors d’un changement de statut ; des CCT conservées en réserve ne sont utiles que si elles sont adaptées et effectivement mises en œuvre.
Une entreprise suisse peut-elle utiliser les CCT UE de juin 2021 ?
Oui, sous réserve des adaptations requises par le PFPDT : droit applicable, autorité compétente et droits des personnes doivent notamment correspondre au périmètre suisse. Ne signez pas un module sans vérifier les rôles des parties et les flux couverts.
Les sauvegardes hors Suisse comptent-elles comme un transfert international ?
Les sauvegardes à l’étranger doivent être incluses dans l’analyse suisse des communications à l’étranger. Pour le RGPD, identifiez aussi l’exportateur, l’importateur et la mise à disposition auprès d’une autre entité dans un pays tiers. Le stockage, la restauration et le support peuvent créer des flux distincts.
Faut-il une analyse d’impact (TIA) pour les transferts vers des pays adéquats ?
Le recours à une décision d’adéquation valable n’impose pas, en tant que tel, une TIA propre aux garanties de l’article 46. Cela ne dispense pas d’évaluer la sécurité, la sous-traitance et les transferts ultérieurs. Pour un mécanisme contractuel, vérifiez que les garanties peuvent être respectées dans le contexte du transfert.
Sources et mécanismes vérifiés le 26 septembre 2026 : PFPDT, Commission européenne et CCT 2021/914.