1. Le principe de restriction des transferts hors de Suisse (Art. 16 nLPD)

Des données personnelles ne peuvent être communiquées à l’étranger que si l’État de destination assure un niveau de protection adéquat reconnu officiellement par le Conseil fédéral (liste annexée à l’OPDo). Tous les pays de l’Union Européenne et de l’Espace Économique Européen bénéficient de cette reconnaissance.

2. Transferts vers des pays tiers sans protection adéquate (ex. États-Unis)

En l’absence de décision d’adéquation, le transfert transfrontalier requiert des garanties contractuelles appropriées :

• Clauses Contractuelles Types (CCT / SCC) : Modèles de clauses approuvés par la Commission européenne et validés par le PFPDT (avec avenant suisse intégrant la nLPD).
• Transfer Impact Assessment (TIA) : Évaluation concrète de la législation du pays de destination (notamment face aux lois de surveillance étatique telles que le Cloud Act et la section 702 du FISA américain).
• Swiss-US Data Privacy Framework : Mécanisme de certification adopté par la Suisse et les États-Unis permettant aux entreprises helvétiques de transférer des données vers des entités américaines auto-certifiées auprès du Département du Commerce américain sans nécessiter de CCT additionnelles.