Literature Review : Esther Zysset, Data Protection and Provenance Research Esther Zysset, Data Protection and Provenance Research : Solving the Conundrum, in : Vanessa Rüegger et al. (ed.), Art & Law, Conference Proceedings 2025, Basel 2025, pp. 99 – 120 Cyber Resilience Act : la cybersécurité des produits numériques Le règlement européen sur la cyberrésilience imposera de nouvelles exigences aux produits numériques commercialisés dans l’Union européenne. Si l’essentiel de ses dispositions s’appliquera à compter du 11 décembre 2027, certaines obligations de notification des vulnérabilités et des incidents entrent en vigueur dès le 11 septembre 2026. La révision de la LPrD vaudoise et le rôle du conseiller à la protection des données La Chancellerie d’État vaudoise a mis en consultation une révision de la loi cantonale sur la protection des données, qui courrait jusqu’en juin dernier. Cette révision concerne notamment la fonction de conseiller à la protection des données. La décision France Travail, ou le prix du risque identifié mais non traité Le 22 janvier 2026, la CNIL a infligé une amende de EUR 5 millions à FRANCE TRAVAIL pour plusieurs défauts de sécurité que l’opérateur avait lui-même identifiés, sans les corriger à temps. L’occasion de revenir sur cette décision au vu de la récente cyberattaque révélée cette mi-août contre la DGFiP Gestion d’entrepôt de données de santé : la CNIL sanctionne IQVIA à hauteur de 5 millions d’euros La CNIL rend une décision majeure relative aux entrepôts de données de santé, dans un contexte marqué par l’entrée en vigueur du règlement relatif à l’Espace européen des données de santé et par les enjeux croissants liés à l’anonymisation des données, notamment à la suite de la publication des lignes directrices du CEPD en la matière. Elle rappelle à cette occasion que l’autorisation délivrée pour la création d’un entrepôt de données de santé fixe le périmètre et les conditions de traitement, dont le respect doit être assuré de manière continue par le responsable de traitement. Le non-respect de ces conditions, même en l’absence d’observation préalable de la CNIL, est susceptible de caractériser un manquement au RGPD et/ou à la LIL et d’entraîner une sanction. Trump v. Slaughter, quel avenir pour le EU-US Data Privacy Framework ? La Cour suprême des États-Unis a jugé inconstitutionnelle les protections d’indépendance dont bénéficiaient la FTC face au Président, fragilisant l’un des piliers du Data Privacy Framework et ravivant les questions d’indépendance qui avaient déjà emporté le Safe Harbor et le Privacy Shield. Clarification des conditions d’exploitation de données récoltées à l’étranger par le biais de mesures de surveillance techniques Les autorités suisses peuvent demander l’autorisation d’exploiter des données récoltées à l’étranger par le biais de mesures de surveillance secrètes si (1) la demande d’entraide indique que la Suisse ne peut pas accorder la réciprocité, et (2) qu’elle est envoyée dès la prise de connaissance du franchissement de la frontière. Prospection commerciale : France et Suisse face au consentement À compter du 11 août 2026, la France soumet la prospection téléphonique des consommateurs au consentement préalable. L’occasion de comparer, de façon pratique, les régimes français et suisse de la prospection commerciale, entre opt-in et opt-out, Loi Informatique et Libertés et LPD. CJUE et directive sur le commerce électronique – Partie 2 : Interdire la rediffusion de messages par un service de géolocalisation Un État membre de l’UE peut interdire à des prestataires de services d’aide à la conduite par géolocalisation de rediffuser des messages d’utilisateurices susceptibles de révéler la localisation de certains contrôles. CJUE et directive sur le commerce électronique – Partie 1 : Vérification de l’âge sur les sites pornographiques La CJUE a affirmé qu’un État membre de l’UE avait le droit d’imposer à des exploitants de site pornographique ayant leur siège dans un autre État membre des obligations de vérification d’âge moyennant le respect des conditions légales. L’agenda Outlook d’un procureur, un « document officiel » ? Examen au cas par cas Le TF confirme que l’agenda Outlook d’un procureur utilisé uniquement comme aide-mémoire personnel ne constitue pas un document officiel accessible, de sorte que le requérant ne peut pas y avoir accès. Fournisseur de service : se tromper sur son rôle de responsable coûte cher L’Autorité de protection des données belge impose une amende de 120’000 EUR à une société ayant violé plusieurs dispositions du RGPD, dont la qualification erronée de la société comme sous-traitant. Les images truquées et les données personnelles à caractère sensible L’exploitant d’une place de marché en ligne est tenu, en tant que responsable du traitement de prendre les mesures techniques et organisationnelles appropriées avant la publication des annonces afin de garantir le traitement licite des données personnelles (notamment sensibles) des personnes. Prise de position sur l’avant-projet de Loi fédérale sur les plateformes de communication et les moteurs de recherche Le Conseil fédéral a mis en consultation fin octobre 2025 un avant-projet de loi visant à réglementer les réseaux sociaux et moteurs de recherches. Protection des données dans la proposition de règlement sur la cybersécurité 2 Le 18 mars 2026, le Comité européen de la protection des données et le Contrôleur européen de la protection des données ont publié leur opinion jointe sur la protection des données dans le projet de CSA2 et les modifications proposées à la directive NIS2. Renforcement de la transparence institutionnelle : une logique de circulation de l’information plutôt que de protection du processus décisionnel Le Tribunal fédéral consacre une conception extensive de la transparence administrative en jugeant que des courriels échangés dans l’accomplissement d’une tâche publique constituent des documents officiels accessibles, indépendamment de leur caractère préparatoire. Il privilégie ainsi la transparence institutionnelle au détriment de la protection du processus décisionnel. L’utilisation de l’adresse e‑mail professionnelle à des fins privées : gouverner, c’est prévoir Les recommandations du PFPDT relatives à l’accès à la messagerie professionnelle des travailleurs sortants s’appliquent par analogie aux membres des organes qui n’ont aucun contrôle sur la société. Il convient de leur offrir la possibilité de copier leurs données personnelles avant de couper l’accès à leur messagerie. Des intérêts prépondérants peuvent néanmoins justifier une restriction du droit d’accès. Concurrence et RGPD : la CJUE valide la communication du VIN à des tiers La CJUE précise que le numéro d’identification du véhicule (VIN) constitue une donnée personnelle dès lors qu’elle peut être associé à une personne physique via des documents d’immatriculation. Son partage avec les opérateurs indépendants est licite car imposé par une obligation légale du droit de l’Union. Consentement aux cookies et protection de la vie privée : l’exigence d’effectivité En sanctionnant plusieurs manquements relatifs au dépôt, à l’information et à l’effectivité du refus et du retrait du consentement, la décision de la CNIL précise les exigences découlant de l’art. 82 LIL en matière de cookies. Cette approche, centrée sur l’effectivité des mécanismes mis en place, présente des convergences avec le cadre suisse issu de la LPD, de la LTC et du Guide du PFPDT. Protection des données et jeux vidéo : Ubisoft accusé de collecter des données de manière illicite Plainte de NOYB à l’encontre d’Ubisoft pour collecte de données abusives auprès de l’autorité de protection des données autrichienne. Administrations publiques : et si le vrai danger pour les données des administré(e)s n’était pas le cloud, mais l’inaction numérique ? La résolution de privatim du 18 novembre 2025 considère que l’externalisation par les organes publics du traitement de données personnelles sensibles ou soumises à une obligation légale de garder le secret dans des solutions cloud proposées par des fournisseurs dits internationaux n’est pas admissible dans la plupart des cas. Selon les autrices et auteurs de la présente contribution, la résolution n’est pas suffisamment nuancée, ne repose pas sur le cadre juridique de lege lata et ne tient pas compte de l’ensemble des risques en présence. Violation de données : La CNIL sanctionne les sociétés FREE MOBILE et FREE à hauteur de 42 millions d’euros À la suite d’une violation de données massive touchant 24 millions de contrats d’abonnés, de nombreuses plaintes, ainsi qu’à un contrôle mené par la CNIL, cette dernière a prononcé deux sanctions à l’égard des sociétés FREE MOBILE et FREE. Les montants particulièrement élevés sont motivés par la conservation excessive de données de contrats résiliés, des mesures de sécurité insuffisantes pour prévenir et détecter les accès non autorisés, ainsi que par une information incomplète transmise aux personnes concernées. Digital Omnibus de l’UE : simplifier le droit numérique sans affaiblir la protection des données ? Analyse des avis conjoints du CEPD et EDPS Après avoir multiplié les textes réglementaires, du RGPD à l’AI Act, l’UE cherche désormais à les rendre plus cohérents, lisibles et opérationnels afin de simplifier la mise en conformité, réduire la charge administrative et renforcer la compétitivité européenne. Retour sur les deux avis rendus par le CEPD et EDPS. Bodycams et obligation d’information : souriez, vous êtes filmés ! Selon la Cour de justice de l’Union européenne, lorsque des données personnelles sont collectées au moyen de caméras-piétons portées par des contrôleurs dans les transports publics, l’information de ces personnes est régie par l’art. 13 RGPD et non par son art. 14. L’accès aux documents contractuels de l’EPFL avec des entreprises israéliennes Le Préposé fédéral invite l’EPFL à accorder l’accès aux documents contractuels conclus avec des entreprises israéliennes. Il recommande toutefois l’anonymisation des données personnelles non publiques de ses chercheurs et représentants, afin de protéger leur personnalité et droits fondamentaux. Proportionnalité et opinion religieuse : le TAF donne raison au PFPDT Le TAF confirme la décision du PFPDT ordonnée à l’encontre du Forum Civique Suisse. Le jugement procède à un examen détaillé de la conformité d’une banque de donnée et constate l’illicéité du traitement. État des lieux de la surveillance de masse La récente décision du TAF rendue sur la question spécifique de l’exploration du réseau câblé, prend le contrepied d’une décision antérieure du TF sur un autre régime de surveillance de masse : la rétention indiscriminée des métadonnées. Illicéité de la surveillance par exploration du réseau câblé Le TAF considère que le régime de surveillance par exploration du réseau câblé opéré par le service de renseignement de la confédération n’offre pas des garanties juridiques suffisantes pour protéger les droits fondamentaux et doit être revu. Die interkantonale Dimension des Öffentlichkeitsprinzips Kantonal-zürcherisches Öffentlichkeitsrecht ist auch auf Dokumente mit Bezug auf interkantonale Konferenzen anwendbar. Im Rahmen der Interessensabwägung kommt dem öffentlichen Interesse am Schutz der Beziehungen zwischen den Gliedstaaten jedoch ein grosses Gewicht zu. Primauté de la conservation des données policières face au droit à l’oubli ? Dans l’arrêt du 11 juin 2024 de la Cour de droit administratif et public du canton de Vaud (CDAP), la Cour refuse d’effacer les données d’un individu qui figurent dans le journal des événements de police (JEP), au motif que même après plusieurs années, ces données conservent un intérêt important pour les opérations des polices communales et cantonales. Le responsable du traitement qui ne définissait ni les finalités, ni les moyens du traitement La CJUE précise la notion de responsable du traitement lorsque que les finalités et les moyens du traitement sont déterminés par le droit national. Prévue à l’art. 4 par. 7 du RGPD, cette possibilité n’a pas d’équivalent en droit suisse. Logiciels de rajeunissement et pornographie enfantine : le TF tranche Le TF confirme la condamnation pour pornographie dure et représentation de la violence d’une personne ayant reçu et envoyé une vidéo pornographique impliquant une personne adulte rajeunie numériquement par un filtre la faisant passer pour une personne prépubère. Les mesures de surveillance secrètes à l’aune de la LTrans Le Tribunal fédéral confirme que la sécurité intérieure et extérieure de la Suisse constitue une exception à la divulgation du logiciel (GovWare) utilisé par les autorités de poursuite pénale suisses dans le cadre des mesures de surveillance secrète prévues par le CPP CEPD c/ CRU : la consécration d’une définition dynamique de la notion de données personnelles La Cour de justice de l’Union européenne offre une clé d’interprétation de la notion de données personnelles en retenant une approche relative de celle-ci. Selon la Cour, la pseudonymisation de données personnelles peut conduire à leur anonymisation et requiert une appréciation in concreto du point de vue du tiers. Simple algorithme d’aide à la décision ou décision automatisée ? Une délimitation subtile Le Tribunal administratif fédéral autrichien confirme que le modèle prédictif AMAS, utilisé par l’Agence publique pour l’emploi pour classer les demandeurs d’emploi selon leurs chances de réinsertion, ne rend pas de décision individuelle automatisée au sens de l’art. 22 RGPD. Le score oriente l’évaluation, mais ne remplace pas l’appréciation du conseiller, qui reste déterminante. Autodétermination informationnelle d’une société dans une procédure d’assistance administrative en matière fiscale ? Oui, mais non Compte tenu de l’inapplicabilité de la LPD aux personnes morales, et de l’adoption de l’art. 57t LOGA, le droit à l’autodétermination informationnelle est régi, pour cette catégorie de personnes, par les règles de procédure. L’exercice de ces droits dans les procédures d’assistance administrative en matière fiscale se complique, d’autant plus que l’AFC n’a pas l’obligation d’admettre leur qualité de partie. Saisie de courriels sans autorisation préalable en procédure administrative Dans ses conclusions du 23 octobre 2025, l’Avocate générale Medina affirme que les articles 7 et 8 de la Charte n’imposent pas d’autorisation judiciaire préalable pour les inspections des autorités de concurrence. Elle propose une lecture fonctionnelle du droit à la protection des données, fondée sur la proportionnalité et la nature de la procédure. L’intérêt prépondérant à la remise à un employé d’un rapport le concernant Un professeur dispose d’un intérêt prépondérant à recevoir les extraits d’un rapport d’enquête interne le concernant. Certains passages exempts de données personnelles doivent également être communiqués afin de permettre au professeur de comprendre la finalité du traitement. Une SA investie d’une tâche publique : assujettissement à la LInfo ? Un centre sportif intercommunal, constitué en la forme d’une SA peut être considéré comme un organisme investi d’une tâche publique et se trouver ainsi soumis à Loi sur l’information vaudoise. Déchets et automatisation : un tri difficile Le Tribunal administratif allemand de Brême se penche sur la question de la guérison d’une décision individuelle automatisée illicite. Les appels à la Centrale d’appels de la police genevoise : répondez, vous êtes enregistrés ! Il n’existe pas d’obligation pour les autorités cantonales genevoises de limiter à trois mois la durée de conservation des enregistrements de la Centrale d’engagement et de communication de la police genevoise. Data Processing Agreement : un outil clé pour encadrer et sécuriser la sous-traitance de données personnelles en pratique Si les Data Processing Agreements sont indispensables pour encadrer la sous-traitance de données personnelles, la pratique démontre qu’ils sont encore trop souvent incomplets et négligent des points essentiels, exposant ainsi les responsables du traitement et les personnes concernées à des risques pourtant aisément évitables. Data Protection in Credit Scoring by Credit Information Agencies Simon Henseler, Datenschutz beim Kreditscoring von Auskunfteien, Eine Untersuchung zum Profiling (mit hohem Risiko) und zur automatisierten Entscheidung, Zurich 2025. Available as open access publication. Le Préposé, une autorité de recours compétente dans la LInfo vaudoise ? Quand une société est soumise à la Loi sur l’information vaudoise (LInfo), le Préposé constitue une autorité de recours compétente pour juger du caractère confidentiel des informations litigieuses. Il bénéficie par ailleurs d’un droit d’accès aux documents officiels au sens de l’art. 27b LInfo. Swissprivacy x Jusletter L’équipe de Swissprivacy a le plaisir d’annoncer la nouvelle édition Jusletter spéciale « Protection des données ». Les services d’agents de footballeurs, un marché sous (hyper-)surveillance ? Dans ses conclusions, l’avocat général souligne que la règlementation de la FIFA sur la profession d’agent, bien qu’animée par des intérêts a priori légitimes, nécessite une analyse circonstanciée de chacun des traitements envisagés pour qu’ils puissent valablement reposer sur un intérêt légitime (art. 6 par. 1 let. f RGPD). Conservation des données des employés : oui, mais pas Milan Le Garante italien s’est prononcé sur la conservation des métadonnées de messagerie et des journaux de navigation par la Région Lombardie. L’Autorité a considéré que ces pratiques, en l’absence d’accord syndical et de limitation stricte des durées, constituaient un contrôle illicite de l’activité des employés. Gateway Basel Nord – navigation en eaux troubles Que reste-t-il de la transparence lorsque les secrets d’affaires prennent le dessus ? Dans l’affaire Gateway Basel Nord, le Tribunal fédéral refuse l’accès à des documents clés de la COMCO, affirmant que la loi ne permet aucune mise en balance avec l’intérêt public. Une décision qui redéfinit les contours du droit de savoir dans les affaires économiques d’envergure. L’intérêt prépondérant à la confidentialité du peer review L’EPFL peut refuser à une professeure l’accès aux rapports confidentiels d’experts ayant évalué sa demande de promotion. L’intérêt prépondérant à la confidentialité des évaluateurs est essentiel au bon fonctionnement du système d’évaluation par les pairs (peer review) 32e Rapport d’activités du PFPDT – Partie transparence Le 32e rapport d’activités du PFPDT revient sur une année d’activité de l’autorité durant laquelle la transparence a été victime de son succès. 32e Rapport d’activités du PFPDT – Partie protection des données Le 32e rapport annuel du PFPDT revient sur une année d’activité de l’autorité, axée sur le renforcement des mesures contre les violations de la LPD. Données « en tant que telles » et délai de réponse du droit d’accès Le PFPDT a publié une première décision en matière de droit d’accès au sens de la LPD. Il prononce un avertissement à l’encontre d’une banque qui ne respectait pas les délais légaux pour répondre à une telle demande et ne remettait pas les données en tant que telles mais se contentait d’une réponse standardisée. Répondre à moitié, risquer le tout : responsabilité pénale et droit d’accès selon la LPD Le 4 mars 2025, le Statthalteramt Bezirk Zürich a infligé une amende de CHF 600.- à un juriste d’entreprise de TX Group SA pour avoir répondu de façon incomplète à une requête d’accès au sens de l’art. 25 LPD. Cette décision met en lumière plusieurs enjeux pratiques et juridiques déclenchés par les dispositions pénales de la LPD. L’accessibilité des données issues de l’« Event Data Recorder » en procédure pénale L’Event Data Recorder est un outil capable d’enregistrer des informations cruciales en cas d’accident. La présente contribution analyse son accessibilité en procédure pénale. Dossier médical du salarié consulté par l’employeur : jusqu’où va la souplesse du RGPD ? Une supérieure hiérarchique accède au dossier médical d’une employée avant de la licencier. L’autorité de protection des données tranche : l’employeur n’est pas responsable, l’absence de notification de la violation ne lui est pas reprochée. Une décision qui interroge les fondements mêmes de la responsabilité de l’employeur. Transparence de la FINMA : Bientôt la fin d’une exception ? Des parlementaires proposent de soumettre la FINMA à la loi sur la transparence. Ce bref commentaire expose l’origine et les conséquences d’une telle modification législative. Vérifier la légalité du chalet voisin : un intérêt privé prépondérant Le Tribunal cantonal valaisan reconnaît l’intérêt prépondérant de propriétaires à accéder à la documentation relative aux autorisations de construire concernant des biens-fonds voisins, lorsqu’une telle demande vise à vérifier la légalité des constructions au regard de la loi cantonale sur l’information au public, la protection des données et l’archivage (LIPDA/VS). AP-LOGA : nouveau cadre légal pour le traitement de données concernant les personnes morales par la Confédération Le 21 mai 2025, le Conseil fédéral a mis en consultation un avant-projet visant à régir durablement le traitement de données concernant les personnes morales par la Confédération. Le droit transitoire, qui règle actuellement la question, ne sera plus applicable à partir du 1er septembre 2028. Les preuves exigibles pour la reconnaissance de l’identité de genre La CJUE consacre le droit des personnes trans à la rectification de leur genre dans les registres publics sans exigence de preuve chirurgicale. Guide du CEPD en matière de législation : éléments centraux et pertinence en Suisse Le Contrôleur européen de la protection des données (CEPD) a publié au mois de mai 2025 un guide à destination des législateurs de l’Union européenne (UE) pour leur servir de base dans l’élaboration d’actes législatifs prévoyant le traitement de données personnelles. Pages : 1234567Load More
