nLPD et sous-traitance hors UE/CH : clauses contractuelles et obligations réelles

Un sous-traitant aux États-Unis, un risque à Lausanne

Une PME vaudoise de 45 employés signe un abonnement SaaS avec un éditeur américain pour gérer ses fiches RH. Les données de ses collaborateurs — salaires, coordonnées, données de santé pour la gestion des absences — transitent désormais vers des serveurs en Virginie. Depuis le 1er septembre 2023, ce scénario banal déclenche des obligations précises sous la nouvelle Loi fédérale sur la protection des données (nLPD) : garanties appropriées, contrat de sous-traitance documenté, et dans certains cas notification au Préposé fédéral à la protection des données et à la transparence (PFPDT).

Cadre légal : ce que la nLPD impose réellement

Transferts vers des États tiers : les trois voies légales

L'art. 16 nLPD subordonne tout transfert de données personnelles à l'étranger à l'existence d'une protection adéquate. Trois mécanismes permettent de satisfaire cette exigence :

1. La liste des États avec protection adéquate établie par le Conseil fédéral. L'UE/EEE y figure, ainsi qu'une quarantaine d'autres pays (Japon, Canada partiel, Royaume-Uni…). Les États-Unis n'y figurent pas en tant que tels — le Swiss-U.S. Data Privacy Framework (DPF) adopté en septembre 2024 constitue désormais une voie spécifique pour les entreprises américaines auto-certifiées, mais il ne couvre pas l'ensemble des prestataires.
2. Les garanties appropriées (art. 16 al. 2 nLPD) : clauses contractuelles types approuvées par le PFPDT, règles d'entreprise contraignantes (BCR), codes de conduite certifiés, ou clauses ad hoc validées par le PFPDT.
3. Les dérogations (art. 17 nLPD) pour cas particuliers : consentement explicite de la personne concernée, exécution d'un contrat, intérêt public prépondérant, ou protection de la vie ou de l'intégrité physique. Ces dérogations sont strictement limitées et ne peuvent pas servir de base habituelle.

La relation responsable / sous-traitant : art. 9 nLPD

La nLPD distingue le responsable du traitement (la PME suisse) du sous-traitant (le prestataire externe). L'art. 9 impose que le responsable s'assure que le sous-traitant traite les données uniquement selon ses instructions, et qu'il offre des garanties suffisantes pour la sécurité du traitement. Ces garanties doivent être formalisées par contrat. Contrairement au RGPD, la nLPD ne prévoit pas de modèle de DPA (Data Processing Agreement) imposé, mais le PFPDT a publié des orientations sur le contenu attendu.

Point souvent sous-estimé : même si le sous-traitant est établi dans un État adéquat (UE par exemple), un contrat de sous-traitance conforme reste obligatoire. L'adéquation territoriale ne dispense pas de formaliser la relation contractuelle.

Notification au PFPDT : quand est-elle requise ?

La nLPD ne prévoit pas de notification systématique des transferts au PFPDT — contrairement à l'ancienne LPD pour certains cas. En revanche, l'art. 16 al. 2 let. d nLPD permet de recourir à des clauses contractuelles types non approuvées préalablement par le PFPDT, à condition de le notifier. Si vous utilisez des clauses ad hoc non standard, une communication préalable au PFPDT est requise. L'omission expose à une qualification d'infraction au sens de l'art. 60 nLPD.

Architecture contractuelle : ce que doit contenir le DPA

Clauses minimales exigibles

Un contrat de sous-traitance conforme nLPD doit au minimum couvrir :

• Objet et finalité du traitement : description précise des catégories de données, des opérations effectuées, de la durée.
• Instructions documentées : le sous-traitant ne traite que selon les instructions écrites du responsable. Toute demande d'instruction verbale doit être confirmée par écrit dans un délai défini (typiquement 48 h).
• Confidentialité : engagement formel des personnes autorisées à traiter les données.
• Sécurité technique et organisationnelle : référence à un niveau de mesures (idéalement aligné sur les CIS Benchmarks ou équivalent), avec droit d'audit ou d'obtenir des attestations de tiers (SOC 2, ISO 27001).
• Sous-traitance en cascade : liste des sous-traitants ultérieurs autorisés, obligation d'information préalable en cas de changement, droit d'opposition pour le responsable.
• Assistance au responsable : coopération pour répondre aux demandes d'accès des personnes concernées, délai de réponse ≤ 30 jours.
• Notification des violations : délai contractuel de notification au responsable — recommandé ≤ 24 h après détection, pour permettre au responsable de respecter le délai de 72 h envers le PFPDT (art. 24 nLPD).
• Sort des données à l'échéance : suppression certifiée ou restitution, avec attestation écrite.
• Droit d'audit : accès aux locaux, aux logs, aux rapports de sécurité sur demande raisonnable.

Sous-traitants en cascade hors UE/CH : le risque invisible

Un prestataire SaaS établi en Allemagne (donc dans un État adéquat) peut très bien héberger ses données sur AWS us-east-1 ou utiliser des outils d'analytics américains. La chaîne de sous-traitance peut faire traverser les données vers des juridictions non adéquates sans que la PME suisse en soit informée. Exiger la liste exhaustive des sous-traitants ultérieurs et leurs localisations est une clause non négociable — même si les prestataires grands comptes rechignent à la fournir.

En pratique : demandez l'annexe de sous-traitance ou la « Sub-processor List » à jour, et exigez une clause d'opt-out ou de résiliation si un sous-traitant ultérieur est ajouté vers un pays non adéquat sans accord préalable.

Sanctions et responsabilité : ne pas minimiser les risques

Régime pénal de la nLPD

Contrairement au RGPD, la nLPD prévoit des sanctions pénales ciblant les personnes physiques responsables (art. 60-63 nLPD), pas les entreprises directement. Les amendes atteignent CHF 250 000 pour les infractions intentionnelles les plus graves (violation du devoir de diligence, refus de coopérer avec le PFPDT). La responsabilité porte sur le directeur, le DSI, le RSSI ou toute personne en charge du traitement. Dans une PME de 30 employés, cela se traduit souvent par une responsabilité directe du dirigeant.

Risques réputationnels et contractuels

Indépendamment des sanctions pénales, un transfert non conforme peut engager la responsabilité civile de la PME envers ses clients ou partenaires si leurs données sont compromises. Pour les PME actives dans des secteurs régulés (fiduciaires, cliniques, avocats), un manquement nLPD peut déclencher des contrôles sectoriels ou la résiliation de mandats. Les clients grands comptes imposent de plus en plus des audits de conformité à leurs fournisseurs suisses — y compris sur la chaîne de sous-traitance.

Cas pratique : fiduciaire vaudoise, 35 endpoints, sous-traitant US

Contexte

Cabinet fiduciaire à Morges, 18 collaborateurs, 35 endpoints (15 MacBook Pro sous macOS 14 Sonoma, 20 PC Windows 11 23H2). Le cabinet utilise trois prestataires SaaS critiques :

• Un logiciel de comptabilité cloud édité par une société irlandaise (UE, adéquat), hébergeant les données sur Azure West Europe.
• Un outil de gestion documentaire édité par une société américaine non certifiée DPF, serveurs en Oregon (us-west-2).
• Un service de signature électronique suisse, hébergé en Suisse.

Le prestataire américain traite des documents contenant des données personnelles de clients (clients des mandants, données fiscales, parfois coordonnées bancaires). La relation contractuelle existante se limite à des CGU en anglais sans DPA.

Analyse du risque

• Les États-Unis ne figurent pas sur la liste d'adéquation du Conseil fédéral. Le DPF suisse-américain ne s'applique pas car l'éditeur n'est pas auto-certifié.
• Aucune clause contractuelle type n'est en place. Le transfert actuel est illicite au sens de l'art. 16 nLPD.
• Les données fiscales de tiers constituent des données sensibles au sens de la nLPD (données relatives à des poursuites ou sanctions pénales et administratives — à vérifier cas par cas — et données financières détaillées selon le contexte sectoriel).

Procédure de mise en conformité — 8 étapes

1. Cartographie (responsable : DSI/dirigeant, délai : J+5) — Inventorier tous les traitements confiés à ce prestataire : catégories de données, volumes, fréquence, localisation des serveurs. Consulter la Sub-processor List.
2. Évaluation juridique (responsable : juriste ou avocat mandaté, délai : J+10) — Vérifier si la société américaine est certifiée DPF ou si une voie de garantie alternative existe (BCR, clauses types). Résultat probable ici : aucune garantie existante.
3. Négociation d'un DPA (responsable : dirigeant + juriste, délai : J+20) — Soumettre un projet de DPA incluant les clauses types publiées par le PFPDT ou les SCCs de l'UE adaptées au contexte suisse, si l'éditeur les accepte. Si refus : passer à l'étape 4.
4. Évaluation de l'impact du transfert (TIA) (responsable : DSI/RSSI, délai : J+25) — Documenter les lois américaines applicables (CLOUD Act, FISA §702) et leur impact sur l'accès potentiel par des autorités américaines. Conclure si le niveau de protection est substantiellement équivalent à la nLPD.
5. Décision de go/no-go (responsable : dirigeant, délai : J+30) — Si le TIA conclut à un risque résiduel élevé et que l'éditeur refuse un DPA conforme : migration vers un prestataire en Suisse ou dans un État adéquat. Budget estimatif pour migration et reparamétrage : CHF 3 000 à 8 000 selon le volume documentaire.
6. Notification PFPDT si clauses ad hoc (responsable : juriste, délai : avant tout transfert) — Si des clauses ad hoc non standard sont adoptées, notification préalable au PFPDT selon art. 16 al. 2 let. d nLPD.
7. Mise à jour du registre des activités de traitement (responsable : DSI, délai : J+35) — Documenter le traitement, la base légale du transfert, les garanties mises en place, la date de mise en conformité.
8. Révision annuelle (responsable : DSI/dirigeant) — Contrôler annuellement la liste des sous-traitants ultérieurs, les certifications, et tout changement de localisation des données.

Coûts et gain

Coût total de mise en conformité estimé pour ce cabinet : CHF 4 500 à 12 000 (honoraires juridiques CHF 2 000-4 000, migration/reparamétrage CHF 2 500-8 000). Coût d'une infraction pénale intentionnelle : jusqu'à CHF 250 000 d'amende personnelle pour le dirigeant, sans compter la perte de mandats.

Récapitulatif opérationnel

• Cartographier immédiatement tous les prestataires SaaS/IaaS traitant des données personnelles : localisation réelle des serveurs, y compris les sous-traitants en cascade.
• Vérifier la liste d'adéquation du Conseil fédéral pour chaque pays tiers impliqué. Ne pas confondre « siège UE » et « hébergement UE ».
• Exiger un DPA signé pour tout sous-traitant traitant des données personnelles, même dans un État adéquat. Intégrer les clauses minimales listées ci-dessus.
• Documenter un TIA pour tout transfert vers un État non adéquat (États-Unis non DPF, Inde, Chine, etc.) avant de l'autoriser.
• Notifier le PFPDT si des clauses contractuelles ad hoc non standard sont utilisées comme base du transfert.
• Intégrer une clause de notification de violation ≤ 24 h dans tout DPA, pour respecter le délai légal de 72 h vers le NCSC et le PFPDT en cas d'incident.
• Maintenir un registre des activités de traitement à jour, incluant la base légale de chaque transfert international et la date de dernière vérification.
• Auditer annuellement la Sub-processor List de chaque prestataire critique et réagir contractuellement à tout ajout de sous-traitant ultérieur vers un pays non adéquat.
• Prévoir une clause de résiliation dans les contrats SaaS en cas de non-conformité persistante du sous-traitant, avec délai de portabilité des données défini (recommandé : 30 jours).
• Former le dirigeant et le DSI sur leur responsabilité pénale personnelle sous l'art. 60 nLPD — c'est eux, pas l'entité juridique, qui sont exposés.

Les outils MDM et de gestion des endpoints peuvent aider à contrôler quelles applications accèdent aux données et vers quels services elles communiquent — SynGuard accompagne les PME romandes sur ce volet technique dans le cadre d'une démarche de conformité plus large.

Sources

• Loi fédérale sur la protection des données (nLPD), fedlex.admin.ch — Texte consolidé de la nLPD en vigueur depuis le 01.09.2023, incluant les art. 9, 16, 17, 24 et 60-63.
• Préposé fédéral à la protection des données et à la transparence (PFPDT) — Orientations officielles sur les transferts internationaux, clauses contractuelles types et procédures de notification.
• Centre national pour la cybersécurité (NCSC) — Procédures de signalement d'incidents et conseils aux PME suisses.
• CIS Benchmarks, Center for Internet Security — Référentiels de configuration sécurisée pour endpoints, utilisables comme base de garanties techniques dans les DPA.