Le RGPD s’applique-t-il en Suisse ?

• Établissement (article 3(1)). Si vous avez une filiale, une succursale ou une autre installation stable dans l’UE, le RGPD s’applique aux traitements effectués dans le cadre de ses activités, où qu’ils aient lieu.
• Ciblage (article 3(2)). Sans établissement dans l’UE, le RGPD s’applique quand même si vous offrez des biens ou des services à des personnes dans l’UE, payants ou gratuits, ou si vous suivez leur comportement dans l’UE, par exemple par du traçage en ligne ou du profilage.

Les lignes directrices 3/2018 du CEPD sur le champ d’application territorial expliquent le critère du ciblage : une langue ou une monnaie de l’UE, une livraison vers des pays de l’UE ou un marketing visant des utilisateurs de l’UE indiquent un ciblage. Un site simplement accessible depuis l’UE ne suffit pas à lui seul.

Une entreprise suisse visée par l’article 3(2) doit désigner un représentant dans un État membre où se trouvent les personnes concernées (article 27). L’obligation ne s’applique pas à un traitement occasionnel qui ne porte pas à grande échelle sur des catégories particulières de données ou des données pénales et qui n’est pas susceptible d’engendrer un risque pour les personnes.

La Commission européenne reconnaît depuis 2000 que la Suisse offre une protection adéquate (décision 2000/518/CE), et l’a confirmé lors de son réexamen de 2024. Les données personnelles peuvent aller de l’UE vers la Suisse sans garantie supplémentaire. La Suisse reconnaît de son côté les États de l’UE et de l’EEE comme adéquats au sens de la nLPD.

Dans Data Privacy d’Acuna GRC, vous sélectionnez les lois applicables, le RGPD, la nLPD ou les deux, et chaque activité de traitement enregistre une base légale pour chaque loi concernée. Les transferts portent une garantie par destinataire, de l’adéquation aux clauses contractuelles types, et les violations suivent le délai de 72 heures du RGPD. Voir la gestion de la protection des données et le guide nLPD.