REP27 · Suisse
Article 27 GDPR · Suisse
La Suisse est entourée d'États membres, dispose d'une décision d'adéquation et a sa propre loi moderne sur la protection des données. Ces trois faits amènent les entreprises suisses à penser que la question européenne est réglée. Ce n'est pas le cas : la géographie, l'adéquation et la conformité nationale résolvent chacune quelque chose de différent de l'Article 27, qui demande seulement si quelqu'un à l'intérieur de l'Union peut être contacté.
La Commission a reconnu que la Suisse offrait une protection adéquate, et cette reconnaissance a été maintenue après l'entrée en vigueur de la nFADP. Cette décision régit les transferts.
L'Article 27 régit la contactabilité. Il exige une désignation par écrit nommant une entité établie dans l'Union, afin qu'un sujet de données à Lisbonne et l'autorité à Lisbonne aient tous deux un endroit où écrire. Aucune décision d'adéquation ne crée cette adresse, c'est pourquoi le Japon, le Canada, le Royaume-Uni et la Suisse — tous adéquats — sont tous concernés.
Le profil typique suisse est une marque de montres ou de biens de luxe expédiant à travers la frontière, une fintech avec des utilisateurs européens, un fournisseur pharmaceutique ou medtech avec des partenaires cliniques de l'UE, ou une banque privée dont le site est consulté à travers l'Europe.
| Pays | Statut | Représentant de l'Article 27 |
|---|---|---|
| Allemagne, France, Italie, Autriche | État membre de l'UE | Non nécessaire |
| Norvège, Islande, Liechtenstein | EEE — le GDPR s'applique directement | Non nécessaire |
| Suisse | Hors UE et EEE, adéquate | Requis |
| Royaume-Uni | Hors de l'UE, adéquat | Requis |
Le Liechtenstein est le cas instructif : un voisin plus petit, également hors de l'UE, mais à l'intérieur de l'EEE — et donc exempt là où la Suisse ne l'est pas.
Le Liechtenstein est l'illustration la plus claire de pourquoi la géographie ne décide pas cela. Il est plus petit que la plupart des cantons suisses, n'est pas un État membre de l'UE, partage une monnaie et une zone douanière avec la Suisse, et pourtant ses entreprises n'ont pas besoin de représentant au titre de l'Article 27 — parce qu'il a rejoint l'Espace économique européen, et le RGPD s'applique directement là-bas.
La Suisse a négocié des accords bilatéraux au lieu d'adhérer à l'EEE, et la protection des données n'a jamais fait partie de ce paquet. Le résultat est que deux pays voisins, étroitement intégrés l'un à l'autre, se trouvent de part et d'autre de l'Article 3(2). Une entreprise à Vaduz traitant des données de personnes en Allemagne se trouve à l'intérieur du territoire du RGPD ; une entreprise située à vingt kilomètres à Buchs est un contrôleur de pays tiers.
La conséquence pratique pour les groupes suisses avec une entité liechtensteinoise mérite d'être vérifiée attentivement : si l'entité de l'EEE effectue réellement le traitement, il peut y avoir un établissement dans la zone de protection des données de l'Union et aucune désignation n'est nécessaire. Si c'est une coquille de holding, il n'y en a pas, et la société mère suisse est clairement dans le champ d'application.
L'adéquation signifie que les données personnelles peuvent circuler de l'Union vers la Suisse sans Clauses contractuelles types. Cela ne dit rien sur la possibilité pour une personne en Espagne ou en Pologne de vous contacter. L'Article 27 concerne la contactabilité, et il s'applique à chaque entreprise établie hors de l'Union, indépendamment de l'adéquation.
Non. La Norvège, l'Islande et le Liechtenstein sont dans l'EEE et appliquent le RGPD directement, donc leurs entreprises n'ont pas besoin de représentant. La Suisse est en dehors de l'UE et de l'EEE, c'est pourquoi les entreprises suisses sont dans exactement la même position que celles japonaises ou canadiennes.
Non. La nFADP est une loi suisse, supervisée par le Commissaire fédéral à la protection des données et à l'information. Le RGPD est une loi de l'UE, supervisée par vingt-sept autres autorités. Les programmes de conformité conçus pour l'un ne déchargent pas l'autre.
La langue seule n'est pas décisive lorsqu'elle est également votre langue nationale. Ce qui compte, c'est de savoir si l'offre est destinée aux personnes dans l'Union : prix en euros, options d'expédition vers des adresses de l'UE, publicité ciblée vers l'UE, ou profilage analytique des visiteurs européens.
Seulement s'il a un établissement dans un État membre. Un cabinet basé à Zurich ou à Genève ne peut pas être désigné en vertu de l'Article 27, car le représentant doit être établi là où se trouvent les personnes concernées.
La nFADP a ses propres règles pour les contrôleurs étrangers ayant un lien suisse. C'est une obligation distincte avec un point de contact séparé, et cela n'interagit pas avec votre désignation au titre de l'Article 27.
Seulement si vous ciblez également des personnes au Royaume-Uni. Depuis 2021, c'est un troisième régime avec son propre régulateur, nécessitant sa propre désignation.
Nous lisons votre avis public sur la confidentialité et vous disons en dix secondes si un représentant est nommé.
Effectuez la vérification gratuite Voir les prix