Envoyer des données à une IA à l'étranger : ce que la nLPD exige
Le mécanisme, en deux étapes
La nLPD pose d'abord un principe : une communication de données personnelles à l'étranger suppose que l'État de destination assure une protection adéquate. La liste des États concernés est établie par le Conseil fédéral ; elle n'est pas laissée à l'appréciation de l'exportateur.
À défaut d'adéquation, le transfert reste possible moyennant des garanties particulières — clauses types, règles d'entreprise contraignantes, et les autres instruments prévus par la loi. Ce sont des dispositifs contractuels et organisationnels, à documenter.
Le piège de l'adéquation partielle
Une reconnaissance d'adéquation peut être limitée à certains destinataires seulement. C'est le cas de l'arrangement conclu avec les États-Unis : la protection adéquate ne vaut que pour les organisations certifiées sous le cadre correspondant, et non pour toute entreprise américaine.
La conséquence pratique est qu'on ne peut pas conclure d'un « le fournisseur est américain, et les États-Unis sont adéquats » — il faut vérifier la certification du destinataire précis, et le rester dans le temps.
Une adéquation, par ailleurs, se retire. Elle est une décision, pas une propriété du pays.
Ce que l'adéquation ne règle pas
L'adéquation traite la protection des données. Elle ne traite pas le secret professionnel : un transfert parfaitement conforme aux art. 16 et 17 nLPD peut rester une révélation au sens de l'art. 321 CP. Les deux régimes se superposent, ils ne se substituent pas.
Elle ne traite pas non plus la portée extraterritoriale : un destinataire adéquat au sens de la protection des données peut rester une entité contraignable par une autorité étrangère.
Enfin, les données sensibles — santé, opinions, mesures d'aide sociale, poursuites — appellent un régime renforcé indépendamment de la question du transfert.
Ce qui change quand il n'y a pas de transfert
Si les données ne sortent pas de l'organisation, les conditions posées aux art. 16 et 17 ne trouvent tout simplement pas à s'appliquer : il n'y a pas de communication à l'étranger à justifier, pas d'adéquation à surveiller, pas de garanties à renouveler.
Le reste des obligations demeure : finalité, proportionnalité, sécurité, information des personnes concernées, droits d'accès. Ce qui disparaît, c'est une catégorie entière de destinataires à documenter.
Les textes cités
Art. 16 nLPD — Communication de données personnelles à l'étranger : l'État de destination doit assurer une protection adéquate, selon une liste fixée par le Conseil fédéral.
Art. 17 nLPD — Dérogations et garanties particulières, à défaut d'adéquation.
Art. 5 let. c nLPD — Données sensibles : santé, opinions et activités religieuses, philosophiques, politiques ou syndicales, données génétiques et biométriques, poursuites et sanctions, mesures d'aide sociale.
Chaque référence est donnée avec sa portée, sans interprétation. Le sens à lui donner dans votre situation relève de votre conseil.