Oui, mais deux conditions doivent être vraies en même temps, et la première ne parle pas des États-Unis.
La première est l'article 9 alinéa 1 lettre b LPD : un traitement ne peut être confié à un tiers que si «aucune obligation légale ou contractuelle de garder le secret ne l'interdit». Cette question précède toute considération sur le pays, et pour beaucoup de mandats fiduciaires la réponse figure dans le mandat lui-même.
La seconde est l'article 16 LPD : des données personnelles peuvent être communiquées à l'étranger si le Conseil fédéral a constaté un niveau de protection adéquat. Pour les États-Unis, il l'a constaté — mais uniquement envers les entreprises certifiées dans le cadre de protection des données Suisse–États-Unis, depuis le 15 septembre 2024. Si le fournisseur n'est pas certifié, cette base n'existe pas, et il faut une garantie de l'art. 16 al. 2 ou une dérogation de l'art. 17.
La question qui vient avant le pays
Le réflexe est de demander où sont les serveurs. Le droit suisse suit un autre ordre. L'art. 9 al. 1 LPD (RS 235.1) dit, mot pour mot :
«Le traitement de données personnelles peut être confié à un sous-traitant pour autant qu'un contrat ou la loi le prévoie et que les conditions suivantes soient réunies : a. seuls sont effectués les traitements que le responsable du traitement serait en droit d'effectuer lui-même ; b. aucune obligation légale ou contractuelle de garder le secret ne l'interdit.»
Deux mots font le travail : légale ou contractuelle. L'article ne distingue pas. Une obligation de confidentialité née d'une clause du mandat pèse ici autant qu'une obligation née de la loi.
Si c'est une avocate, un notaire ou un contrôleur astreint au secret en vertu du code des obligations qui charge, l'obligation légale existe et porte un nom : art. 321 du Code pénal (RS 311.0), qui punit — sur plainte, d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire — celui qui révèle un secret «à eux confié en vertu de leur profession ou dont ils ont eu connaissance dans l'exercice de celle-ci». La liste du ch. 1 est fermée : ecclésiastiques, avocats, défenseurs en justice, notaires, conseils en brevet, contrôleurs astreints au secret professionnel en vertu du code des obligations, et les professions de santé.
Si c'est une fiduciaire au sens courant qui charge — comptabilité, déclarations, conseil fiscal, administration —, il faut dire ce que beaucoup de documents commerciaux évitent : l'art. 321 CP ne la nomme pas. Lui dire que «le secret professionnel vous oblige à l'on-premise», c'est lui attribuer une norme pénale qui ne s'applique pas à elle.
Ce n'est pas une échappatoire, c'est un déplacement — et il va vers elle. Hors de la liste pénale, la fiduciaire reste responsable du traitement au sens de la LPD — celle qui «détermine les finalités et les moyens du traitement de données personnelles» (art. 5 let. j) —, et l'art. 9 al. 2 exige qu'elle «doit en particulier s'assurer que le sous-traitant est en mesure de garantir la sécurité des données». Il reste son mandat : s'il contient une clause de confidentialité, l'obligation est contractuelle et l'art. 9 ne lui fait aucune remise. Et il reste l'art. 162 CP, qui punit «quiconque révèle un secret de fabrication ou un secret commercial qu'il est tenu de garder en vertu d'une obligation légale ou contractuelle» — et la comptabilité d'une entreprise est l'endroit où se trouvent ses secrets commerciaux.
Où se lit la réponse, donc. Dans deux contrats : celui signé avec le client et celui signé avec le fournisseur du service. La question à poser au prochain rendez-vous est unique : la clause de confidentialité de ce mandat permet-elle de confier le traitement à un tiers ? Si la réponse est non, ou s'il n'y a pas de réponse écrite, la question des États-Unis ne se pose pas encore.
Le pays : l'art. 16, et pourquoi les États-Unis n'y sont qu'à moitié
Le premier passage franchi, vient le second. L'art. 16 al. 1 LPD :
«Des données personnelles peuvent être communiquées à l'étranger si le Conseil fédéral a constaté que l'État concerné dispose d'une législation assurant un niveau de protection adéquat ou qu'un organisme international garantit un niveau de protection adéquat.»
Pour les États-Unis, ce constat existe, et c'est là que la réponse change. Le Préposé fédéral à la protection des données et à la transparence l'a annoncé le 15 août 2024 :
«Celui-ci garantit à partir du 15.09.2024 un niveau de protection des données adéquat lors de l'échange de données personnelles entre la Suisse et des entreprises américaines certifiées.»
— PFPDT, 15.08.2024
Certifiées. Pas «américaines» : certifiées dans le cadre Suisse–États-Unis. La protection adéquate n'est pas une propriété du pays, c'est une propriété de l'entreprise qui s'y est inscrite. La vérification est courte — la liste des entreprises certifiées est publique — avec deux réserves :
- la certification est par entité juridique, et le nom sur le contrat n'est pas toujours celui qu'on cherche dans la liste ;
- la certification peut être retirée ou expirer : c'est un état, pas une attestation.
Si le fournisseur n'est pas certifié, restent les garanties de l'art. 16 al. 2 : un traité international ; des clauses contractuelles préalablement communiquées au PFPDT ; des garanties spécifiques ; des clauses type préalablement approuvées, établies ou reconnues par le PFPDT ; des règles d'entreprise contraignantes préalablement approuvées. Le mot qui revient est préalablement : ce sont des chemins à parcourir avant de charger, pas après.
Les dérogations de l'art. 17, et pourquoi le consentement est plus étroit qu'il n'y paraît
L'art. 17 al. 1 LPD énumère les cas où l'on peut communiquer à l'étranger en dérogation à l'art. 16. Le premier est celui auquel on pense : «a. la personne concernée a expressément donné son consentement à la communication». Dans une étude, trois choses le restreignent.
Le consentement de qui. Un bilan ne contient pas que les données du client : il y a ses employés, ses fournisseurs, ses débiteurs. Le consentement de celui qui signe le mandat est celui d'une personne concernée, pas de toutes.
«Expressément». Une ligne au bas des conditions générales n'est pas un terrain sur lequel construire un processus qui se répétera chaque jour pendant des années.
Le consentement de l'art. 17 LPD n'est pas celui de l'art. 321 CP. L'art. 321 ch. 2 prévoit que «la révélation n'est pas punissable si elle est faite avec le consentement de l'intéressé ou si, sur la proposition du détenteur du secret, l'autorité supérieure ou l'autorité de surveillance l'autorise par écrit». Pour qui figure sur la liste, consentement au transfert et consentement à la révélation se traitent séparément.
Les autres lettres de l'art. 17 al. 1 — contrat, intérêt public prépondérant, droit devant un tribunal, vie et intégrité corporelle, données rendues accessibles à tout un chacun, registres publics — visent des situations précises. Aucune ne vise «utiliser un service informatique».
Ce que nous ne pouvons pas vous promettre
Nous ne vous disons pas que le cloud est illégal. Il ne l'est pas : les deux conditions de cette page peuvent être remplies, et beaucoup d'études les remplissent.
Nous ne vous disons pas qu'une machine au bureau règle tout. Une machine locale écarte l'art. 16 — pas de communication à l'étranger — et simplifie l'art. 9, faute de sous-traitant externe. Elle ne vous dispense pas des autres obligations de la LPD : sécurité des données, information, registre des activités de traitement, droits des personnes concernées. Elles restent toutes, et elles restent les vôtres.
Nous ne vous disons pas que l'art. 321 CP vous oblige, si vous êtes une fiduciaire. Votre obligation, s'il y en a une, est dans le mandat.
Nous ne sommes pas vos conseillers juridiques. Cette page cite les articles pour que vous les ouvriez avec votre avocat ou votre réviseur. Elle ne remplace pas une évaluation de votre cas.
La question à poser aujourd'hui
Ouvrez le mandat de votre plus gros client et cherchez la clause de confidentialité. Permet-elle de confier le traitement à un tiers ? Cette ligne décide plus que n'importe quel comparatif de fournisseurs.
Si la réponse est non — ou si vous préférez ne pas devoir la chercher à chaque nouveau mandat : avec AG Core, l'intelligence artificielle travaille sur une machine dans votre bureau, le traitement ne quitte pas l'étude et la question des États-Unis ne se pose pas. Nous vous le montrons en direct, sur vos types de documents.
Ou écrivez-nous sur WhatsApp +41 79 863 37 88 ou appelez le +41 91 814 86 00.
Sources
LPD (RS 235.1), art. 5, 9, 16, 17 — Fedlex, état le 1er septembre 2023 ·
Code pénal (RS 311.0), art. 162 et 321 — Fedlex, état le 1er janvier 2026 ·
PFPDT — Nouveau cadre de protection des données entre la Suisse et les États-Unis, 15.08.2024
Toutes les sources rouvertes le 31.10.2026.