Dans le bassin genevois, des dizaines de milliers d’entreprises travaillent des deux côtés d’une frontière qui, pour les données personnelles, n’en est presque plus une. Presque. Le reste tient en trois règles que la plupart des dirigeants n’ont jamais eu l’occasion de se faire expliquer.
Nous écrivons cet article depuis Feigères, en Haute-Savoie, à quinze kilomètres de Genève, avec des clients des deux côtés. Les questions qui suivent, nous nous les sommes posées pour nous-mêmes avant de les poser pour d’autres.
Trois sujets, dans l’ordre où ils se présentent : le transfert des données, la loi applicable, et l’obligation de représentation que presque personne ne connaît.
1. Le transfert n’est pas le problème
Commençons par la bonne nouvelle, parce qu’elle est large et qu’elle règle la crainte la plus répandue. Les données personnelles circulent librement entre la France et la Suisse, dans les deux sens, sans clause contractuelle type ni analyse d’impact du transfert.
Côté suisse, les États de l’Espace économique européen figurent à l’annexe 1 de l’ordonnance sur la protection des données : le transfert vers la France ne demande aucune formalité. Côté européen, la Commission a confirmé le 15 janvier 2024 que la Suisse offre un niveau de protection adéquat, à l’issue du réexamen de onze décisions d’adéquation existantes. Les flux de l’Union vers la Suisse continuent donc sans garanties supplémentaires.
Figure 1. Ce qui circule, et à quelles conditions
La situation franco-suisse est l’une des plus simples qui soient. Le contraste avec les États-Unis est instructif.
Annexe 1 OPDo : les États de l’EEE figurent parmi ceux à protection adéquate.
Décision d’adéquation de la Commission européenne, confirmée le 15 janvier 2024.
Cadre d’adéquation si l’entité destinataire est certifiée ; sinon clauses contractuelles types et analyse d’impact.
Clauses contractuelles types, plus évaluation du droit local. C’est là que les dossiers s’enlisent.
Sources : annexe 1 OPDo ; décision de la Commission européenne du 15 janvier 2024
2. Les deux lois s’appliquent en même temps
C’est ici que la plupart des raisonnements dérapent. Beaucoup de dirigeants cherchent quelle loi s’applique à leur entreprise, comme s’il fallait en choisir une. La question est mal posée : les deux textes se déclenchent sur les personnes concernées, pas sur le siège de l’entreprise.
Une société française qui traite des données de personnes se trouvant en Suisse entre dans le champ de la nLPD. Une société suisse qui traite des données de personnes se trouvant dans l’Union entre dans le champ du RGPD. Une PME frontalière avec des clients des deux côtés relève donc, en pratique, des deux régimes simultanément.
Figure 2. Quatre situations frontalières
Le siège de l’entreprise ne détermine rien. Ce sont les personnes concernées qui décident.
| Entreprise | Personnes concernées | Régime |
|---|---|---|
| Française | Clients français uniquement | RGPD |
| Française | Clients suisses également | RGPD + nLPD |
| Suisse | Clients suisses uniquement | nLPD |
| Suisse | Clients dans l’Union également | nLPD + RGPD |
En pratique, un socle commun couvre l’essentiel des deux textes : registre des traitements, information des personnes, contrats de sous-traitance, procédure en cas de violation. Les différences sont réelles mais portent sur des points précis, pas sur l’architecture. Construire deux dispositifs séparés est une erreur coûteuse.
3. L’obligation que personne ne connaît
L’article 14 de la LPD impose à un responsable de traitement privé établi à l’étranger de désigner un représentant en Suisse lorsqu’il traite des données de personnes se trouvant en Suisse. L’obligation existe aussi en miroir dans le RGPD, à son article 27, pour les responsables établis hors de l’Union.
Côté suisse, quatre conditions doivent être réunies cumulativement. C’est ce caractère cumulatif qui sauve la plupart des PME — et qui fait que celles qui sont concernées ne s’en doutent généralement pas.
Figure 3. Les quatre conditions de l’article 14 LPD
Les quatre doivent être remplies ensemble. Une seule qui manque, et l’obligation ne s’applique pas.
Détail qui compte : le caractère « à risque élevé » s’apprécie sans tenir compte des mesures que l’entreprise prend pour réduire ce risque. Autrement dit, bien se protéger ne fait pas sortir du champ. Le représentant, lorsqu’il est requis, est le point de contact des personnes concernées et du Préposé fédéral ; son nom et son adresse doivent être publiés, typiquement dans la déclaration de protection des données.
Source : art. 14 LPD ; PFPDT, information sur la représentation des responsables du traitement
Note méthodologique
Cet article décrit le cadre applicable au 14 septembre 2026, tel qu’il résulte de la loi fédérale suisse sur la protection des données et de son ordonnance, du règlement général européen sur la protection des données, et des décisions d’adéquation en vigueur de part et d’autre. Les notions de « grande échelle » et de « risque élevé » de l’article 14 LPD ne sont pas définies par des seuils chiffrés : elles s’apprécient au cas par cas, et le tableau de la figure 2 est une grille de lecture, non une qualification juridique. Une décision d’adéquation peut être réexaminée et modifiée. Pour une situation engageante, faites valider votre cas par un conseil qualifié des deux côtés de la frontière.
Conclusion
La frontière franco-suisse est, pour les données personnelles, l’une des plus perméables qui soient. Les deux sens sont ouverts, sans formalité, et cette situation est confirmée par des décisions récentes de part et d’autre. La crainte du transfert, qui occupe l’essentiel des conversations, n’a pratiquement pas lieu d’être.
Ce qui demande de l’attention, c’est la superposition des régimes. Une PME frontalière relève souvent des deux, et l’erreur coûteuse consiste à construire deux dispositifs parallèles. Un socle commun — registre, information, contrats, procédure d’incident — couvre l’essentiel ; les spécificités se traitent ensuite, par exception.
Quant au représentant de l’article 14, la plupart des PME n’y sont pas soumises, précisément parce que les quatre conditions sont cumulatives. Mais celles qui le sont l’ignorent presque toujours. Une demi-heure suffit à trancher la question ; ne pas se la poser du tout coûte nettement plus cher.
Sources
- Loi fédérale sur la protection des données (LPD), en vigueur depuis le 1er septembre 2023 — art. 3 (champ d’application), art. 14 (représentation des responsables du traitement établis à l’étranger), art. 16 ss (communication à l’étranger).
- Ordonnance sur la protection des données (OPDo), annexe 1 — liste des États assurant un niveau de protection adéquat, dont les États de l’Espace économique européen.
- Commission européenne, décision du 15 janvier 2024 confirmant l’adéquation du niveau de protection assuré par la Suisse, à l’issue du réexamen de onze décisions d’adéquation adoptées sous la directive antérieure au RGPD.
- Règlement (UE) 2016/679 (RGPD) — art. 3 (champ d’application territorial), art. 27 (représentant des responsables du traitement non établis dans l’Union).
- Préposé fédéral à la protection des données et à la transparence (PFPDT), information publiée sur l’obligation de désigner un représentant au sens de l’art. 14 LPD.
Vos clients sont des deux côtés de la frontière ?
Nous cartographions vos traitements, identifions lesquels relèvent de quel régime, et posons le socle commun plutôt que deux dispositifs parallèles. Basés à quinze kilomètres de Genève, nous travaillons des deux côtés au quotidien.
En parler avec nous