Les entreprises internationales sont de plus en plus nombreuses à centraliser leurs divisions des ressources humaines. Leurs filiales suisses se voient ainsi de plus en plus souvent priées de communiquer les données personnelles concernant leurs employés à la société-mère qui se trouve à l’étranger.
Beaucoup d'entreprises internationales ont aujourd'hui tendance à n'avoir qu'un seul service du personnel ou, pour le moins, à confier certaines parties de l'administration de leur personnel à un service central. De nombreux collaborateurs chargés de l'administration du personnel dans les filiales suisses ont été confrontés à ce nouvel état de fait et nous ont demandé si et à quelles conditions la transmission de données personnelles à l'étranger est autorisée.
La communication de données personnelles d'une filiale à la société-mère constitue une communication de données à une tierce personne et il faut, dans ce cas, que les règles de la loi fédérale sur la protection des données relatives à la communication transfrontière de données personnelles soient respectées. Selon l'emplacement de la société-mère, la communication de données à partir de la Suisse doit faire l'objet de différentes mesures. Lorsque les données sont envoyées aux États-Unis (ce qui était souvent le cas dans les demandes qui nous ont été adressées), l'une des trois conditions suivantes doit être remplie car les États-Unis ne garantissent pas une protection des données suffisantes: soit l'entreprise réceptionnant les données s'est enregistrée auprès du Département américain du Commerce conformément à l'accord Suisse/États-Unis établissant une sphère de sécurité en matière de protection des données («US-Swiss Safe Harbor Framework»), soit un contrat garantissant une protection des données adéquate a été conclu, soit les personnes concernées ont donné leur accord. Si l'entreprise en question se trouve dans un État garantissant un niveau adéquat de protection des données, la communication des données à partir de la Suisse peut se faire sans ces mesures. Le principe de transparence est toutefois aussi applicable dans ce cas. Les employés de la filiale suisse doivent être informés de la communication à l'étranger de données les concernant.