Où héberger un site ou une application en conformité avec la nLPD ?
La nLPD n’impose pas d’héberger les données en Suisse. Elle admet leur communication vers les États dont le Conseil fédéral reconnaît le niveau de protection, comme l’Allemagne et les autres États de l’Union européenne. L’important est de savoir où sont vos données, qui les traite et sur quel contrat.
En bref
- nLPD en vigueur depuis le 1er septembre 2023
- Pays reconnus : annexe 1 de l’ordonnance OPDo
- Contrat de sous-traitance avec l’hébergeur (art. 9 nLPD)
- Information des personnes sur les pays de destination (art. 19 nLPD)
- ark.swiss : production dans l’UE, secours et sauvegardes en Suisse
Ce que la loi demande
L’article 16 de la nLPD autorise la communication de données vers un État au niveau de protection adéquat.
Ces États sont listés à l’annexe 1 de l’ordonnance sur la protection des données (OPDo).
Votre hébergeur agit comme sous-traitant : un contrat doit encadrer ce qu’il fait de vos données.
Votre déclaration de confidentialité doit indiquer les pays où les données sont communiquées.
Les questions à poser à votre prestataire
Dans quel pays se trouvent les serveurs de production et les sauvegardes ?
Qui peut accéder aux données, et depuis où ?
Le contrat de sous-traitance est-il signé ?
Comment récupérez-vous vos données en fin de contrat ?
Notre infrastructure
Nos applications tournent en production dans l’Union européenne.
Un secours chaud et des sauvegardes indépendantes sont tenus en Suisse.
Ce guide donne des repères généraux. Pour un cas particulier, consultez un juriste.