- La certification Swiss-US Data Privacy Framework est généralement reconnue comme un niveau suffisant de protection des données pour la Confédération, les cantons et les communes, mais la responsabilité juridique des autorités demeure.
- Avant la transmission à des organisations américaines : Vérifier le statut du certificat, tenir compte de la possibilité de révocation et convenir de scénarios de sortie contraignants ainsi que de clauses contractuelles standard.
privatim, la Conférence des Commissaires suisses à la protection des données, a publié des recommandations sur ” la protection des données “.Transfert de données personnelles à des organisations aux États-Unis sur la base du Swiss-US Data Privacy Framework” publié (PDF).
Les recommandations commencent par affirmer que les organisations certifiées doivent “disposer d’un système de gestion des données approprié”.niveau de protection des données”. C’est le cas pour la Confédération selon l’art. 16 al. 1 LPD et l’art. 8 al. 1 OLPD. Les cantons renvoient souvent aux décisions du Conseil fédéral relatives à l’adéquation (par exemple Bâle-Ville : § 23 al. 1 let. a LDI et § 11 al. 1 ODI ; Zurich : § 19 let. a LDI et § 22 al. 1 ODI).
En conséquence, une Certification selon le CH-US DPF (DPF), en règle générale, également selon les droits cantonaux de protection des données comme suffisamment:
Pour les organes publics des cantons et des communes, l’attestation [d’une protection adéquate des données pour les entreprises certifiées selon le Swiss‑U.S. DPF ] n’est pas toujours directement contraignante sur le plan juridique, mais est généralement considérée comme une base suffisante pour la reconnaissance d’un niveau adéquat de protection des données pour les communications ainsi que comme critère possible pour l’évaluation d’impact sur la protection des données pour les externalisations transfrontalières de traitements de données. Cependant, les organes publics des cantons et des communes restent juridiquement responsables de l’évaluation des risques dans chaque cas particulier.
Il est toutefois indéniable que le DPF a des pieds d’argile, notamment en raison de l’affaiblissement du PCLOB américain (Privacy and Civil Liberties Oversight Board) et de l’examen en suspens devant le TPI de l’adéquation du DPF UE-US (affaire Latombe v Commission, Rs. T‑553/23).
privatim donne donc trois recommandations pour les Externalisation des données vers des organisations certifiées :
- VérifierAu moment où il est prévu de transférer des données personnelles vers une organisation privée aux États-Unis, la situation juridique dans le domaine du Swiss-US DPF à vérifier (https://www.dataprivacyframework.gov/list);
- Certificat de qualitéIl convient de noter que la rétractation ou le non-renouvellementLe destinataire des données peut à tout moment retirer le certificat ;
- Scénario de sortieEn cas d’externalisation du traitement de données personnelles à des une organisation certifiée Swiss‑U.S. DPF, des scénarios de sortie doivent être planifiés.nes.
Ces recommandations sont certainement correctes sur le fond et correspondent à ce que l’on conseille également aux entreprises privées d’exporter vers les Etats-Unis. Il est judicieux, par exemple, de Accord sur les clauses contractuelles types avec l’importateur américain (avec les adaptations à la Suisse demandées par le PFPDT), avec application directe ou avec application à la condition que le DPF ne soit plus efficace pour l’exportation vers l’importateur.