02.05.17 - Les entreprises américaines peuvent se faire certifier au «Swiss-US Privacy Shield» (bouclier de protection des données personnelles) depuis le 12 avril 2017. Il leur suffit de s'enregistrer en ligne auprès du Département du commerce des États-Unis (DOC) sur le site www.privacyshield.gov/PrivacyShield/ApplyNow et de se conformer aux obligations prévues.
Les entreprises suisses devraient à cet égard observer les points suivants :
- Une entreprise suisse qui souhaite transmettre des données personnelles à une entreprise américaine ne pourra bénéficier des conditions facilitées prévues par le Swiss-US Privacy Shield que si cette dernière est certifiée en conséquence et reconnaît par conséquent le PFPDT comme autorité de surveillance. Une certification au EU-US Privacy Shield ne suffit pas.
- Une entreprise suisse qui souhaite transmettre des données personnelles à une entreprise américaine doit d'abord s'assurer que celle-ci est certifiée au Swiss-US Privacy Shield. Pour faciliter la recherche dans la liste des entreprises certifiées qu'il publie, le DOC propose un filtre (cliquer sur le bouton « Advanced »).
Si cette entreprise américaine n'est pas certifiée, il appartient à l'entreprise suisse de prendre d'autres mesures propres à garantir que les données concernées feront l'objet d'une transmission conforme à la loi sur la protection des données (LPD), parmi lesquelles on peut citer les garanties contractuelles ou les règles d'entreprise contraignantes (voir l'art. 6, al. 2, LPD). - Les autorités ne peuvent se faire certifier au Swiss-US Privacy Shield.
Dans le secteur privé, seules peuvent se faire certifier les entreprises soumises à la surveillance de la Commission fédérale du commerce des États-Unis (Federal Trade Commission, FTC) et du Département des transports des États-Unis (Department of Transportation, DOT). De manière générale, les banques, les compagnies d'assurance et les entreprises de télécommunication ne peuvent se faire certifier. Si une entreprise suisse a l'intention de transmettre des données personnelles à une entreprise américaine active dans l'un de ces domaines, elle devra régler préalablement, par ex. par contrat, la question de leur protection (voir l'art. 6, al. 2, let. a, LPD).
Conseils pratiques supplémentaires des autorités américaines: