nLPD et RGPD : ce que doit couvrir le contrat de sous-traitance de votre fournisseur d’IA
Les règles suisses et européennes de sous-traitance côte à côte, les transferts à l’étranger (dont le Swiss-US DPF) et pourquoi un DPA ne règle pas à lui seul le secret professionnel.
À titre informatif uniquement, ne constitue pas un avis juridique. Les résultats reflètent les déclarations publiques des fournisseurs à la date de vérification et nos règles de notation. Vérifiez vous-même les contrats avant d’utiliser un outil avec des données clients.
Droit suisse (nLPD, en vigueur depuis le 1er septembre 2023)
L’art. 9 nLPD permet de confier un traitement à un sous-traitant si un contrat ou la loi le prévoit, si seuls sont effectués les traitements que le responsable serait en droit d’effectuer lui-même et si aucune obligation légale ou contractuelle de garder le secret ne l’interdit. Le responsable doit s’assurer que le sous-traitant est en mesure de garantir la sécurité des données ; le sous-traitant ne peut sous-traiter qu’avec l’autorisation préalable du responsable.
La communication à l’étranger (art. 16) est permise sans garanties supplémentaires lorsque le Conseil fédéral a constaté un niveau de protection adéquat (annexe 1 de l’ordonnance sur la protection des données). Depuis le 15 septembre 2024, les États-Unis y figurent uniquement pour les organisations certifiées selon le Swiss-US Data Privacy Framework.
Droit de l’UE (RGPD)
L’art. 28 RGPD exige un contrat écrit avec le sous-traitant et en fixe le contenu minimal (instructions, confidentialité, sécurité, autorisation des sous-traitants ultérieurs, assistance, suppression, audits). Les transferts hors EEE relèvent du chapitre V (art. 44 ss). La Commission européenne a confirmé en janvier 2024 que la Suisse continue d’offrir une protection adéquate.
Check-list pratique du DPA
- Mentionne la nLPD en plus du RGPD, si vous êtes une étude suisse.
- Liste les sous-traitants et leur localisation, avec droit d’approbation ou d’opposition.
- Indique le mécanisme de transfert pour tout traitement hors Suisse/EEE.
- Contient des clauses de confidentialité adaptées aux données couvertes par le secret (voir le guide art. 321).
- Couvre la suppression, la conservation par les fournisseurs de modèles et les droits d’audit.
L’art. 9 nLPD réservant les obligations de secret, un DPA standard ne répond pas à lui seul à la question du secret professionnel.