Récupération de données en Suisse : comment vérifier votre prestataire

Lisez les mentions légales, pas la page d'accueil

L'impressum identifie l'exploitant du site. Le cocontractant de votre mandat est, lui, désigné par les conditions générales ou le contrat : les deux ne coïncident pas toujours, vérifiez chacun. Un site en .ch peut être exploité par une société inscrite dans un autre pays : c'est écrit, mais en bas de page.

Vérifiez l'entreprise sur Zefix.ch : gratuit et officiel

Le registre central du commerce (zefix.ch) vous dit en dix secondes si l'entreprise est inscrite en Suisse, sous quelle forme juridique, depuis quand, et qui la représente. L'inscription n'est pas obligatoire pour toutes les activités (une raison individuelle en dessous d'un certain chiffre d'affaires peut ne pas y figurer) ; mais sans inscription, vous ne pouvez pas vérifier l'entité par cette voie officielle, et c'est en soi une information.

Cherchez le for juridique dans les conditions générales

Le for juridique désigne le tribunal compétent en cas de litige. Lisez la clause correspondante avant d'envoyer votre support : elle indique aussi le droit applicable au contrat. Sa portée n'est pas absolue : elle dépend des règles impératives applicables, notamment en matière de contrats conclus avec des consommateurs. Elle indique néanmoins où et selon quel droit le prestataire entend voir régler les litiges.

Cherchez la clause de transfert et de sous-traitance

C'est la clause qui autorise l'envoi de votre support à des laboratoires partenaires ou à des sous-traitants, parfois sans limite géographique. Les smartphones, les puces mémoire et les configurations RAID complexes sont les supports les plus fréquemment concernés.

Distinguez ce qui est vérifiable de ce qui est déclaré

Une salle blanche avec une classe ISO, une certification, un taux de réussite : demandez le certificat, l'organisme émetteur, le périmètre et la date de validité. Une garantie « pas de données, pas de frais » peut être assortie d'exceptions dans les conditions générales (frais d'analyse, formules express, certains types de cas) : lisez les conditions exactes.

Santé : médecins, hôpitaux, pharmacies, laboratoires

Les données de patients sont des données personnelles sensibles (art. 5 let. c LPD) et relèvent du secret médical (art. 321 CP), qui couvre aussi les auxiliaires du professionnel.

Les prestataires informatiques peuvent, selon les circonstances, être qualifiés d'auxiliaires au sens de l'art. 321 CP. Le recours à un prestataire ou à une chaîne de sous-traitance à l'étranger n'est pas automatiquement interdit, mais il exige une analyse renforcée : secret professionnel, accès aux données, engagements contractuels, droit applicable et règles de transfert international de la LPD. Pour les données de patients, le PFPDT recommande notamment, par prudence, d'éviter le recours à un prestataire cloud à l'étranger.

Banques et établissements soumis à la FINMA

Le secret bancaire (art. 47 LB) sanctionne pénalement la révélation de données de clients. Selon la nature et l'importance du mandat, les règles prudentielles de la FINMA relatives aux externalisations (circulaire 2018/3) peuvent également être pertinentes : les établissements concernés doivent notamment assurer une gestion adéquate des risques, des droits de contrôle et d'audit suffisants et, en cas de traitement à l'étranger, tenir compte des risques supplémentaires liés à cette localisation.

Avocats et notaires

L'art. 321 CP protège le secret professionnel de l'avocat et du notaire, et l'art. 13 LLCA impose à l'avocat de veiller à ce que ses auxiliaires le respectent. Une chaîne de traitement intégralement suisse, sans accès depuis l'étranger, évite en principe la problématique du transfert international de données ; le cocontractant, le droit applicable et le for doivent toutefois être vérifiés séparément, et le professionnel reste tenu de vérifier les engagements de confidentialité et de sécurité du prestataire. Pour les fiduciaires et autres professions du chiffre, les obligations peuvent découler notamment de la LPD, du contrat et, selon l'activité exercée, d'autres règles sectorielles.

Administrations publiques, communes, écoles

Le secret de fonction (art. 320 CP) et les lois cantonales sur la protection des données s'appliquent aux organes publics. Le recours à une entité étrangère peut imposer des exigences supplémentaires ou, selon la législation applicable et la nature des données, limiter les solutions utilisables : la conformité s'analyse au cas par cas (autorité concernée, loi cantonale, type de données, garanties contractuelles et de sécurité, pays de destination).

Mandats sensibles de la Confédération

Depuis le 1er janvier 2024, la Loi sur la sécurité de l'information (LSI) régit le traitement des informations classifiées de la Confédération. Lorsqu'un mandat implique une activité sensible, il passe par la procédure de sécurité relative aux entreprises (PSE), qui peut aboutir à une déclaration de sécurité relative aux entreprises (DSE).

Tesweb SA a passé la procédure de sécurité relative aux entreprises (PSE) et détient une déclaration de sécurité relative aux entreprises (DSE). Les collaborateurs qui traitent ces mandats et accèdent au laboratoire sécurisé sont au bénéfice d'une habilitation de niveau « SECRET » délivrée par le Secrétariat d'État à la politique de sécurité (SEPOS). Le document peut être présenté sur demande dans le cadre d'un mandat.

Toutes les entreprises : la LPD

Depuis le 1er septembre 2023, la LPD révisée encadre la communication de données personnelles à l'étranger (art. 16-17). Elle peut notamment reposer sur la reconnaissance d'un niveau de protection adéquat ou, à défaut, sur les garanties prévues par la loi ; l'art. 17 prévoit en outre certaines exceptions dans des situations déterminées. Le responsable doit par ailleurs maîtriser sa chaîne de sous-traitance (art. 9) : un sous-traitant ne peut engager un autre sous-traitant qu'avec l'autorisation préalable du responsable ; cette autorisation peut être générale, auquel cas le sous-traitant doit annoncer tout changement afin que le responsable puisse s'y opposer.

Certaines violations intentionnelles des obligations de la LPD, notamment de devoirs de diligence relatifs à la sous-traitance, à la sécurité ou à la communication de données à l'étranger, sont pénalement sanctionnées ; la peine maximale prévue par la LPD est une amende de CHF 250'000 et vise en premier lieu la personne physique responsable (art. 60 ss LPD).