Un sous-traitant SaaS américain suffit à déclencher une obligation de conformité nLPD
Une PME romande sur trois héberge au moins une application métier chez un fournisseur SaaS dont les serveurs sont localisés hors de Suisse et hors de l'Espace économique européen — CRM, ticketing RH, plateforme de signature électronique, backup cloud. Dès que ce prestataire traite des données personnelles pour votre compte, l'nLPD (RS 235.1), en vigueur depuis le 01.09.2023, vous impose des obligations contractuelles précises et une évaluation du niveau de protection du pays destinataire.
Cadre légal : ce que la nLPD impose réellement
La notion de communication de données à l'étranger
L'art. 16 nLPD définit la communication transfrontalière comme tout transfert de données personnelles à un destinataire situé à l'étranger, qu'il s'agisse d'un tiers indépendant ou d'un sous-traitant (art. 9 nLPD). La distinction est importante : même un mandataire technique qui n'exploite pas les données pour son propre compte doit respecter les mêmes règles de transfert. L'hébergement d'un fichier RH sur un tenant Azure dont la région principale est East US constitue bien une communication au sens de la loi si Microsoft Ireland n'assure pas la souveraineté exclusive des données.
Pays reconnus comme offrant un niveau de protection adéquat
Le Conseil fédéral publie la liste des États reconnus comme adéquats à l'annexe 1 de l'OPDo (RS 235.11). Cette liste inclut les 27 États membres de l'UE, l'EEE, le Royaume-Uni, le Canada (secteur privé), le Japon, Israël, la Nouvelle-Zélande et quelques autres. Les États-Unis ne figurent pas sur cette liste en tant que tels : seule la certification sous le Swiss-U.S. Data Privacy Framework (DPF), reconnu adéquat par décision du Conseil fédéral de septembre 2024, permet un transfert simplifié vers des entreprises américaines certifiées. Si votre prestataire SaaS américain n'est pas certifié DPF, vous devez recourir aux garanties de substitution de l'art. 16 al. 2 nLPD.
Garanties de substitution : les trois voies admises
En l'absence de reconnaissance d'adéquation, la nLPD admet trois mécanismes :
- Clauses contractuelles types (CCT) approuvées par le PFPDT ou reconnues équivalentes — actuellement, les CCT de la Commission européenne (décision d'exécution 2021/914) sont acceptées avec adaptation suisse (annexe spécifique CH).
- Règles d'entreprise contraignantes (BCR) pour les groupes multinationaux, approuvées par le PFPDT.
- Garanties ad hoc soumises à approbation préalable du PFPDT (art. 16 al. 2 let. d nLPD) — rarement pertinentes pour une PME.
Les exceptions de l'art. 17 nLPD (consentement explicite, exécution de contrat, intérêt public, etc.) ne constituent pas une base régulière pour des transferts récurrents et systématiques vers un sous-traitant commercial. Elles sont réservées aux transferts ponctuels et justifiés.
Obligations contractuelles avec le sous-traitant hors UE/CH
Clauses minimales exigées par l'art. 9 nLPD
Tout accord de sous-traitance doit formaliser par écrit :
- La liste exhaustive des catégories de données traitées et la finalité exclusive du traitement pour le compte du responsable.
- L'interdiction de sous-traiter à un tiers sans autorisation préalable écrite (sous-traitance en cascade, particulièrement fréquente chez les éditeurs SaaS qui délèguent l'infrastructure à AWS, GCP ou Azure).
- Les mesures techniques et organisationnelles (MTO) : chiffrement au repos (AES-256 minimum), chiffrement en transit (TLS 1.2+), gestion des accès, journalisation, délais de suppression.
- L'obligation d'assistance lors d'un exercice de droits d'accès ou d'effacement par un individu (délai de réponse : 30 jours au sens de l'art. 25 nLPD).
- La notification d'une violation de données dans un délai permettant au responsable de respecter ses propres obligations (recommandation : 48 h contractuelles, la nLPD n'imposant pas de délai chiffré mais renvoyant à une notification « sans délai » au NCSC dès qu'il y a risque élevé pour les personnes concernées).
- Le droit d'audit ou d'inspection du responsable, ou à défaut, la fourniture de rapports de certification tiers (ISO/IEC 27001, SOC 2 Type II).
Articulation avec les CCT UE et le module applicable
Les CCT 2021/914 comportent quatre modules selon le flux :
- Module 1 : responsable → responsable
- Module 2 : responsable → sous-traitant (cas le plus fréquent pour un SaaS)
- Module 3 : sous-traitant → sous-traitant
- Module 4 : sous-traitant → responsable
Pour un transfert vers un prestataire américain non certifié DPF, vous signez le Module 2 en ajoutant l'annexe CH publiée par le PFPDT. Vérifiez que le prestataire accepte de signer ces clauses telles quelles — certains éditeurs proposent leurs propres DPA (Data Processing Agreement) qui ne couvrent pas toutes les exigences suisses. Une revue juridique de 2 à 3 heures par un juriste spécialisé est recommandée avant signature.
Évaluation de l'impact du transfert (TIA)
À l'instar de la pratique post-Schrems II en droit européen, le PFPDT attend que le responsable suisse documente une Transfer Impact Assessment lorsque les CCT sont le seul fondement. Cette évaluation analyse : le droit applicable dans le pays destinataire (surveillance étatique, ordres de divulgation), les mesures techniques complémentaires envisagées (chiffrement côté client, pseudonymisation, tokenisation), et la probabilité réelle d'accès par les autorités étrangères compte tenu de la nature des données. Pour des données de paie ou médicales, le seuil de risque acceptable est bas.
Risques et sanctions
Sanctions pénales directement applicables aux personnes physiques
Contrairement au RGPD qui sanctionne l'entreprise, la nLPD punit la personne physique responsable : jusqu'à CHF 250 000 d'amende (art. 60–63 nLPD) pour violation intentionnelle des obligations d'information, de sécurité ou de communication illicite à l'étranger. En pratique, cela désigne le DSI ou le membre de direction ayant signé le contrat de sous-traitance sans vérification.
Risque opérationnel : l'incident hors périmètre contractuel
Si votre prestataire subit une fuite de données et qu'aucune clause de notification ne figure dans le contrat, vous découvrez l'incident via la presse ou un client — et votre fenêtre de réaction s'effondre. La notification au NCSC, la communication aux personnes concernées et l'ouverture d'un dossier d'incident doivent intervenir dans les heures suivant la détection, pas les semaines.
Cas pratique : fiduciaire vaudoise, 45 employés
Contexte
Une fiduciaire établie à Lausanne (45 collaborateurs, ~3 200 dossiers clients actifs, données fiscales et salariales) utilise les outils suivants hébergés hors CH/UE :
- CRM commercial : serveurs au Canada (adéquat OPDo — OK sans CCT).
- Outil de signature électronique : siège aux États-Unis, infrastructure AWS us-east-1 — non certifié DPF.
- Backup automatique de postes Windows 11 23H2 : solution d'un éditeur australien, serveurs Sydney — Australie non listée à l'annexe 1 OPDo.
Analyse de risque
Deux transferts sont non conformes : l'outil de signature et la solution de backup. Les données concernées incluent des numéros AVS, des bilans d'entreprises, des fiches de salaire — catégories sensibles au sens de l'art. 5 let. c nLPD. En cas de violation, le risque pour les personnes concernées est élevé (usurpation d'identité, atteinte fiscale).
Procédure de mise en conformité — 8 étapes
- DSI + juriste (J+0) : cartographier tous les flux sortants via le registre des activités de traitement (art. 12 nLPD). Identifier les pays de destination réels (pas seulement les sièges sociaux des éditeurs).
- DSI (J+3) : vérifier la certification DPF de l'éditeur de signature sur le registre officiel du DPF (dpf.gov). Si absent, activer la procédure CCT.
- Juriste (J+5) : envoyer au prestataire américain un DPA basé sur les CCT 2021/914 Module 2 + annexe CH PFPDT. Délai de réponse contractuel demandé : 15 jours ouvrables.
- DSI + RSSI (J+7) : rédiger la TIA pour le transfert vers les États-Unis. Évaluer la sensibilité des données transmises (uniquement métadonnées de signature ou contenu complet du document ?). Si contenu complet transmis, envisager chiffrement côté client avant upload.
- DSI (J+10) : pour le backup australien, évaluer deux alternatives : migration vers un hébergeur CH ou UE, ou signature de garanties ad hoc soumises au PFPDT. Compte tenu du délai (3 à 6 mois pour approbation PFPDT), la migration technique est recommandée. Coût estimé : CHF 1 200 à 2 400/an pour un volume de 2 To chez un hébergeur certifié ISO 27001 en Suisse.
- RSSI (J+15) : mettre à jour le registre des traitements avec les nouveaux fondements juridiques et archiver les CCT signées.
- Direction (J+20) : valider la mise à jour des mentions d'information aux clients (site web, mandats clients) indiquant les transferts internationaux résiduels et leur fondement.
- DSI (J+30) : programmer un audit annuel des certifications DPF et ISO 27001 des prestataires concernés. Les certifications DPF sont renouvelables annuellement.
Coût total de mise en conformité estimé
Révision juridique des contrats : CHF 1 500 à 3 000 (2 à 4 heures avocat spécialisé). Migration backup : CHF 1 200 à 2 400/an. Temps interne DSI/RSSI : 15 à 20 heures sur 4 semaines. Total ponctuel : CHF 3 000 à 6 000, hors migration. À comparer aux CHF 250 000 d'amende maximale ou au coût d'un incident de fuite sur 3 200 dossiers clients.
Récapitulatif opérationnel
- Cartographier tous les sous-traitants qui accèdent à des données personnelles, y compris les sous-traitants en cascade des éditeurs SaaS (AWS, GCP, Azure comme infrastructure sous-jacente).
- Vérifier le statut de chaque pays destinataire dans l'annexe 1 OPDo avant tout contrat — ne pas confondre siège social de l'éditeur et localisation réelle des serveurs.
- Exiger un DPA conforme pour chaque sous-traitant hors CH/UE : CCT 2021/914 Module 2 + annexe CH pour les destinations hors liste adéquate, vérification DPF pour les États-Unis.
- Rédiger une TIA documentée pour chaque transfert reposant sur les CCT : nature des données, cadre juridique du pays destinataire, mesures techniques complémentaires.
- Inclure une clause de notification d'incident sous 48 h dans tout contrat de sous-traitance, et tester la chaîne de notification au moins une fois par an.
- Auditer annuellement les certifications des prestataires (DPF, ISO 27001, SOC 2 Type II) — une certification peut expirer ou être révoquée.
- Former les acheteurs et responsables métier : tout nouveau contrat SaaS doit passer par une validation DSI/juridique avant signature, même pour un outil de 50 CHF/mois.
- Documenter chaque décision dans le registre des traitements (art. 12 nLPD) avec le fondement juridique, la date et la référence du contrat signé.
SynGuard accompagne les équipes IT romandes dans l'inventaire des endpoints et des flux de données sortants, étape préalable à toute démarche de conformité nLPD.
Sources
- Loi fédérale sur la protection des données (nLPD, RS 235.1) — Texte consolidé en vigueur depuis le 01.09.2023, fedlex.admin.ch.
- Ordonnance sur la protection des données (OPDo, RS 235.11) — Annexe 1 : liste des États reconnus comme offrant un niveau de protection adéquat.
- Préposé fédéral à la protection des données et à la transparence (PFPDT) — Recommandations sur les transferts internationaux et les clauses contractuelles types.
- NCSC — Signalement d'incidents de cybersécurité — Portail de notification pour les violations de données à risque élevé.