Suisse et Union européenne : quand les deux régimes de protection des données s’appliquent ensemble

Une entreprise établie en Suisse qui exploite un site, envoie une lettre d’information et travaille avec un prestataire allemand pose invariablement la même question au moment de signer : de quel droit relevons-nous ? La réponse la plus fréquente sur le marché, « le RGPD ne vous concerne pas, vous êtes en Suisse », est fausse dans la majorité des cas. La deuxième réponse la plus fréquente, « il faut tout faire deux fois », l’est également.

Ce qui déclenche la loi suisse

La loi fédérale sur la protection des données s’applique aux traitements de données personnelles concernant des personnes physiques, effectués par des personnes privées ou par des organes fédéraux. Son champ territorial est défini par les effets : elle s’applique aux états de fait qui déploient des effets en Suisse, même s’ils se sont produits à l’étranger.¹

Une entreprise suisse qui traite des données depuis la Suisse y est donc soumise sans discussion possible. Un prestataire étranger dont le traitement produit des effets en Suisse l’est également, et la loi lui impose, dans certaines configurations, de désigner un représentant en Suisse.²

Ce qui déclenche le règlement européen

Le règlement s’applique d’abord au traitement effectué dans le cadre des activités d’un établissement d’un responsable ou d’un sous-traitant sur le territoire de l’Union, que le traitement ait lieu ou non dans l’Union.³

Il s’applique ensuite, et c’est le canal qui concerne les entreprises suisses, au traitement des données de personnes se trouvant sur le territoire de l’Union par un responsable ou un sous-traitant qui n’y est pas établi, lorsque les activités de traitement sont liées à l’offre de biens ou de services à ces personnes, qu’un paiement soit exigé ou non, ou au suivi de leur comportement, dans la mesure où il s’agit d’un comportement qui a lieu au sein de l’Union.⁴

Deux mots méritent d’être pesés. « Offre » suppose une intention de cibler : le considérant 23 du règlement écarte la simple accessibilité d’un site depuis l’Union, et retient des indices comme l’emploi d’une langue ou d’une monnaie d’un État membre avec la possibilité de commander dans cette langue, ou la mention de clients établis dans l’Union. « Suivi du comportement » vise notamment le pistage des personnes sur internet aux fins de profilage, ce qui inclut les usages courants de mesure d’audience et de reciblage.

Il existe enfin un troisième canal, indirect mais très fréquent : votre prestataire. Un réseau publicitaire, une plateforme d’envoi ou un hébergeur établi dans l’Union est soumis au règlement pour son propre compte, et il vous impose contractuellement les obligations correspondantes. Vous n’êtes alors pas soumis au règlement par la loi, vous l’êtes par le contrat, ce qui produit à peu près le même travail.

La superposition, et pourquoi elle ne double pas la charge

Les deux textes procèdent de la même génération et partagent l’essentiel de leur architecture : licéité et proportionnalité, transparence, sécurité, droits des personnes, encadrement de la sous-traitance, encadrement des communications à l’étranger. Le réflexe efficace consiste à traiter le plus exigeant des deux comme la norme de travail, et à ne vérifier séparément que les points où le droit suisse ajoute ou diverge.

Ces points sont peu nombreux, et ce sont eux qui justifient l’existence de cet article.

Le registre des activités de traitement

Les deux régimes l’imposent, mais l’exemption diffère. Le règlement dispense les organisations de moins de 250 employés, sauf si le traitement est susceptible de comporter un risque pour les droits et libertés des personnes, s’il n’est pas occasionnel, ou s’il porte sur des catégories particulières de données ou sur des condamnations pénales.⁵ Cette triple exception est si large que l’exemption ne joue presque jamais pour une activité en ligne régulière.

La loi suisse prévoit également une exemption pour les entreprises de moins de 250 collaborateurs dont les traitements présentent un risque limité d’atteinte à la personnalité, dont le Conseil fédéral fixe les conditions.⁶

Conclusion pratique : une entreprise suisse de petite taille peut être dispensée par le droit suisse et tenue par le droit européen, pour le même traitement. Le registre se tient donc, et il se tient une fois.

L’annonce des violations de la sécurité des données

Le règlement impose une notification à l’autorité de contrôle dans les 72 heures suivant la connaissance de la violation, sauf lorsqu’elle est peu susceptible d’engendrer un risque pour les droits et libertés.⁷

La loi suisse impose au responsable du traitement d’annoncer les violations au Préposé fédéral dans les meilleurs délais, lorsqu’elles entraînent vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée.⁸ Ni délai chiffré, ni même seuil de déclenchement.

Une entreprise soumise aux deux régimes se cale donc sur 72 heures et sur le seuil européen, plus bas. C’est le cas type où le plus exigeant absorbe l’autre.

La communication de données à l’étranger

Ici, les deux systèmes fonctionnent de façon symétrique. La loi suisse subordonne la communication de données à l’étranger à ce que l’État destinataire assure un niveau de protection adéquat, la liste des États concernés figurant en annexe de l’ordonnance ; à défaut, la communication suppose des garanties appropriées, clauses types, règles d’entreprise contraignantes ou traité international, ou l’une des exceptions prévues par la loi.⁹

Le règlement fait de même avec ses décisions d’adéquation, ses garanties appropriées et ses dérogations.¹⁰

Dans le sens Union vers Suisse, la question est réglée depuis longtemps : la Commission a reconnu que la Suisse assure un niveau de protection adéquat par sa décision 2000/518/CE. Cette décision n’a pas été remplacée lors du réexamen conduit par la Commission ; le rapport COM(2024) 7 final du 15 janvier 2024 a confirmé que le niveau de protection demeure adéquat et que les décisions concernées restent en place.¹¹ Un flux de données d’un prestataire européen vers une entreprise suisse ne demande donc aucun instrument de transfert supplémentaire.

Dans le sens inverse, la même logique joue : les États de l’Espace économique européen figurent parmi ceux dont la législation assure une protection adéquate au sens du droit suisse.

Reste le troisième cas, le seul qui demande du travail : le prestataire européen qui sous-traite hors de l’Espace économique européen. La chaîne se déplace alors d’un cran, et c’est au contrat de la couvrir.

Les données sensibles

La loi suisse définit les données sensibles de manière proche mais non identique à celle du règlement. Elle y range notamment les données sur les opinions ou activités religieuses, philosophiques, politiques ou syndicales, sur la santé, la sphère intime ou l’appartenance à une race ou à une ethnie, les données génétiques, les données biométriques identifiant une personne physique de manière univoque, les données sur des poursuites ou sanctions pénales et administratives, ainsi que les données sur des mesures d’aide sociale.¹² Cette dernière catégorie n’a pas d’équivalent exact dans la liste de l’article 9 du règlement.

Pour un site d’information ou de services, la conséquence est limitée mais réelle : un formulaire qui recueille une situation d’aide sociale traite une donnée sensible en droit suisse, avec les conséquences qui s’y attachent, sans nécessairement en traiter une au sens du droit européen.

La sanction, et qui la subit

C’est la divergence la plus mal comprise, et la plus importante à énoncer clairement.

Le règlement prévoit des amendes administratives infligées à l’entreprise, pouvant atteindre vingt millions d’euros ou quatre pour cent du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.¹³

Le droit suisse ne fonctionne pas ainsi. Il prévoit des sanctions pénales, prononcées sur plainte, d’un montant maximal de 250 000 francs, et elles visent la personne physique responsable de l’infraction, non l’entreprise.¹⁴ L’entreprise elle-même n’est condamnée, à une amende plafonnée bien plus bas, que lorsque l’identification de la personne punissable exigerait des mesures d’instruction disproportionnées.¹⁵

Le montant maximal suisse est donc très inférieur, et le risque personnel très supérieur. Un dirigeant qui compare les deux plafonds et en conclut que le droit suisse est plus doux se trompe de comparaison : il regarde la somme et pas le destinataire.

Une méthode, pour finir

Trois gestes suffisent à tenir les deux régimes sans les tenir deux fois.

Premier geste, qualifier une fois pour toutes. Déterminer, par écrit, si l’activité relève du règlement au titre de l’article 3, paragraphe 2, et pour quelle raison. Cette note d’une page est ce qui vous évitera de rouvrir le débat à chaque nouveau prestataire.

Deuxième geste, tenir un seul jeu de documents, calibré sur l’exigence la plus haute : un registre, une politique de confidentialité, une procédure de réponse aux demandes, une procédure de violation à 72 heures.

Troisième geste, isoler les quatre points où le droit suisse ne se laisse pas absorber : la définition des données sensibles, le représentant en Suisse pour les prestataires étrangers, l’annonce au Préposé fédéral, et la nature pénale de la sanction. Ce sont les seuls endroits où une conformité européenne ne suffit pas.

Notes

1. Loi fédérale sur la protection des données (RS 235.1), art. 2 et 3. ↩

2. Loi fédérale sur la protection des données (RS 235.1), art. 14. ↩

3. Règlement (UE) 2016/679, art. 3, par. 1. ↩

4. Règlement (UE) 2016/679, art. 3, par. 2. ↩

5. Règlement (UE) 2016/679, art. 30, par. 5. ↩

6. Loi fédérale sur la protection des données (RS 235.1), art. 12, al. 5, et ordonnance sur la protection des données (RS 235.11). ↩

7. Règlement (UE) 2016/679, art. 33, par. 1. ↩

8. Loi fédérale sur la protection des données (RS 235.1), art. 24, al. 1. ↩

9. Loi fédérale sur la protection des données (RS 235.1), art. 16 et 17, et ordonnance sur la protection des données (RS 235.11), annexe 1. ↩

10. Règlement (UE) 2016/679, art. 45, 46 et 49. ↩

11. Décision 2000/518/CE, et rapport de la Commission COM(2024) 7 final du 15 janvier 2024. ↩

12. Loi fédérale sur la protection des données (RS 235.1), art. 5, let. c. ↩

13. Règlement (UE) 2016/679, art. 83, par. 5. ↩

14. Loi fédérale sur la protection des données (RS 235.1), art. 60 à 63. ↩

15. Loi fédérale sur la protection des données (RS 235.1), art. 64. ↩