Reconnaissance par la Suisse d’Etats garantissant un niveau de protection des données adéquat
Conformément à la LPD en vigueur dès le 1er septembre 2023, le Conseil fédéral est chargé de décider si un Etat, un territoire, un secteur spécifique d'un Etat ou une organisation internationale offre un niveau de protection des données adéquat. La tâche d'évaluer le caractère adéquat du niveau de protection incombe à l'Office fédéral de la justice.
L’art. 8 OPDo définit plusieurs critères qui devront être en particulier pris en compte dans les évaluations, à savoir :
a. les engagements internationaux, notamment en matière de protection des données ;
b. l'état de droit et le respect des droits humains ;
c. la législation applicable, notamment en matière de protection des données, de même que sa mise en œuvre et la jurisprudence y relative ;
d. la garantie effective des droits des personnes concernées et des voies de droit ;
e. le fonctionnement effectif d’une ou de plusieurs autorités indépendantes chargées de la protection des données, disposant de pouvoirs et de compétences suffisants.
L’annexe 1 à l’OPDo contient la liste des Etats qui disposent d'un niveau de protection des données adéquat. Cette liste, qui a force obligatoire, est reproduite ci-après sous forme de tableau.
A noter que sous le régime de la LPD en vigueur jusqu’en août 2023, le Préposé fédéral à la protection des données et à la transparence (PFPDT) avait établi une liste indicative des Etats qui offraient un niveau adéquat de protection des données, mais il incombait toujours à l'exportateur de données d'évaluer si et de s'assurer que les données étaient protégées de manière adéquate dans un Etat tiers. Ce n’est plus le cas avec le nouveau régime.
Liste des Etats, territoires, secteurs déterminés dans un Etat et organismes internationaux dans lesquels un niveau de protection adéquat des données est garanti
* L'évaluation du niveau de protection adéquat inclut les transferts de données selon la Directive (UE) 2016/680 (Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil, JO L 119 du 4.5.2016, p. 89).
** L'évaluation du niveau de protection adéquat inclut les transferts de données en vertu d'une décision d'exécution de la Commission européenne constatant le caractère adéquat du niveau de protection des données selon la Directive (UE) 2016/680.
*** L'évaluation du niveau de protection adéquat n'inclut pas les transferts de données dans le cadre de la coopération prévue par la Directive (UE) 2016/680.
Tableau : état au 15 septembre 2024