Célian Hirsch

41 articles

Célian Hirsch est professeur de droit commercial à l’Université de Lausanne (HEC Lausanne et École de droit). Il est également chercheur affilié au Centre de droit bancaire et financier et au Digital Law Center de l’Université de Genève. Sa thèse de doctorat, publiée en 2023, porte sur le devoir d’informer lors d’une violation de la sécurité des données. Il a ensuite poursuivi ses recherches au Georgetown Law Center, à la Stanford Law School et à la House of Finance de Francfort, avec le soutien du Fonds national suisse. Ses domaines de recherche sont la protection des données, le droit bancaire et financier, le droit des sociétés et le droit de l’intelligence artificielle. Avocat indépendant à Genève, il a cofondé swissprivacy.law et LawInside.ch.

Ses publications :

Swissprivacy x Jusletter

L’équipe de Swissprivacy a le plaisir d’annoncer la nouvelle édition Jusletter spéciale « Protection des données ».

Transparence de la FINMA : Bientôt la fin d’une exception ?

Des parlementaires proposent de soumettre la FINMA à la loi sur la transparence. Ce bref commentaire expose l’origine et les conséquences d’une telle modification législative.

Algorithmes et décisions automatisées : un secret possible, mais une explication obligatoire

La société de credit scoring doit expliquer à la personne concernée la procédure et les principes concrètement appliqués pour établir son profil de solvabilité. En outre, le secret d’affaires de la société ne s’oppose pas à la communication des informations à l’autorité ou au tribunal.

TikTok : La souveraineté des données à l’agenda américain

Dans l’arrêt TikTok v. Garland, la Cour Suprême des Etats-Unis conclut à l’unanimité que l’interdiction par le Congrès du réseau social TikTok ne cherchait pas à restreindre un type de contenu en particulier, mais répondait à la nécessité de légiférer sur les risques liés à un accès aux données personnelles des Américains par le Gouvernement chinois.

Le PFPDT guide les responsables du traitement quant à leur devoir d’informer des violations de la sécurité des données

Une violation de la sécurité des données peut imposer au responsable du traitement d’en informer tant le PFPDT que les personnes concernées. Le guide du PFPDT précise la vision de l’autorité quant à l’application de ce devoir d’informer.

Swissprivacy x Jusletter

L’équipe de Swissprivacy a le plaisir d’annoncer son partenariat avec la Jusletter pour son édition spéciale « Protection des données ».

La protection des données au secours de l’ayant droit économique

Le RGPD protège aussi les données bancaires de personnes morales lorsque l’ayant droit économique s’oppose au transfert des données au Department of Justice.

Conflits familiaux, family office et LPD : une requête en droit d’accès jugée abusive

Le droit d’accès au sens de la LPD est exercé de manière abusive lorsqu’une personne l’invoque à l’encontre d’un family office pour obtenir des informations concernant un trust et la situation financière de son père

Pas de transparence pour l’or importé en Suisse

Le secret fiscal constitue une lex specialis au principe de la transparence.

Les sanctions américaines et l’assurance cyberattaque

L’assureur qui veut s’opposer au paiement de la prestation d’assurance suite à une cyberattaque, en invoquant les sanctions américaines, doit prouver que la cyberattaque a servi les intérêts d’une entité visée par ces sanctions et qu’il risque ainsi concrètement d’être réprimandé par l’autorité américaine compétente. Le simple fait que le type de logiciel utilisé pour la cyberattaque en question soit habituellement déployé par un groupe de cyberpirates sous sanction (in casu Evil Corp) ne suffit pas pour refuser le paiement de la prestation d’assurance.

Un licenciement fondé sur les données GPS conforme à la CEDH ?

L’art. 8 CEDH est respecté lorsque l’employeur se fonde sur les données d’un GPS pour licencier un employé qui indiquait de faux kilométrages parcourus avec sa voiture de fonction, alors qu’il savait que sa voiture contenait un GPS.

Cyberattaques : vers une nouvelle obligation d’annonce

Le 2 décembre 2022, le Conseil fédéral a proposé au Parlement d’introduire une obligation de signaler les cyberattaques dans les 24 heures au Centre national suisse pour la cybersécurité.

La CJUE limite la publicité du registre des bénéficiaires effectifs

Un accès par le grand public au registre des bénéficiaires effectifs viole le droit à la protection de la vie privée et le droit à la protection des données personnelles.

Un droit d’accès à l’identité du dénonciateur ?

Si la personne dénoncée rend vraisemblable qu’elle a subi un dommage en raison d’une dénonciation, elle peut disposer d’un intérêt prépondérant à se voir communiquer le nom du dénonciateur, en particulier si ce dernier semble avoir agi dans le but de nuire aux intérêts de la personne dénoncée

L’obligation de déréférencement comme atteinte légitime à la liberté d’expression ?

L’obligation à charge d’un éditeur d’un journal en ligne de déréférencer un article porte atteinte à sa liberté d’expression. L’atteinte peut cependant se justifier à l’aune de trois critères.

Le RGPD s’oppose-t-il à l’obligation de publier sur Internet une déclaration d’intérêts afin de lutter contre la corruption ?

La publication sur Internet d’une déclaration d’intérêts n’est pas forcément proportionnée. Elle viole donc le RGPD. Par ailleurs, les données nominatives sur le conjoint, concubin ou partenaire, contenues dans la déclaration, permettent de déduire l’orientation sexuelle du déclarant. Elles constituent donc des données sensibles.

Une date de naissance (manifestement) fictive sur son SwissPass ?

Il ne peut être exigé des CFF d’émettre un SwissPass avec une date de naissance manifestement fictive.

Une class action RGPD ?

Le RGPD ne s’oppose pas à une règlementation nationale qui permet une action représentative pour violation du RGPD.

L’étude d’avocats victime d’une cyberattaque

Une cyberattaque réussie contre une étude d’avocats peut attirer l’attention de l’autorité compétente que la confidentialité des données n’est pas respectée.

Le dommage moral en raison d’une fuite de données ? EUR 2’500.- !

Le Landgericht de Munich a condamné un responsable du traitement à payer EUR 2’500.- comme dommage moral à un client en raison d’une fuite des données, en plus du dommage matériel que le client pourra éventuellement subir à l’avenir.

Les données de douze millions de consommateurs en libre accès

Laisser en libre accès sur Internet les données de douze millions de personnes constitue une violation de la sécurité des données (art. 32 RGPD), même s’il n’est pas avéré qu’un accès mal intentionné à ces données a eu lieu

Une interdiction de publicité directe dans la messagerie électronique ?

Une publicité qui s’affiche dans le même format que les messages électroniques privés est interdite, sauf consentement préalable.

Facebook et la publicité ciblée sans consentement

Dans un projet de décision, l’autorité de protection des données irlandaise analyse les pratiques de Facebook en matière de publicité ciblée. Elle considère que le réseau social peut recourir à la clause de nécessité prévue par l’art. 6 par. 1 let. b RGPD. Elle n’a donc pas besoin d’obtenir le consentement de ses utilisateurs. Elle examine également les devoirs d’information et de transparence de la société de Zuckerberg et propose une amende de plusieurs dizaines de millions d’euros en raison de la violation de ces devoirs.

Une annonce (très) rapide d’une fuite de données ou une amende salée

Le responsable du traitement qui est raisonnablement certain qu’une violation de données a eu lieu doit annoncer la violation à l’autorité compétente dans un délai de 72 heures. Il ne peut pas procéder à des investigations internes avant d’effectuer l’annonce.

Deux courriels au mauvais destinataire peuvent coûter cher

L’envoi d’un courriel à un mauvais destinataire constitue une violation de la sécurité des données s’il contient des données personnelles. Lorsque ces données sont sensibles, on retiendra plus facilement un risque élevé pour la personne concernée par la violation de confidentialité. Il en découle un devoir d’informer l’autorité, voire la personne concernée, selon le RGPD.

Le rapport 2020 de la Federal Trade Commission américaine en matière de Privacy and Data Security

Dans son rapport 2020 sur la privacy and data security, la Federal Trade Commission américaine offre un aperçu de ses récentes décisions en la matière.

L’accès au dossier d’une procédure pénale administrative

Lorsqu’une procédure judiciaire est close à l’égard d’une personne, mais poursuit son cours à l’égard d’autres personnes, la LPD trouve partiellement application : elle s’applique aux données relatives à la personne pour laquelle la procédure est close, mais elle ne s’applique pas aux données qui servent encore à la poursuite de la procédure (art. 2 al. 2 let. c LPD).

La conservation des données de cartes de crédit : est-ce licite ?

La conservation de données de cartes de crédit par un commerce en ligne après une transaction unique nécessite le consentement de la personne concernée (art. 6 par. 1 let. a RGPD). En effet, les autres motifs justificatifs prévus par l’art. 6 par. 1 RGPD ne peuvent pas s’appliquer dans une telle situation.

Recension : Les dispositions pénales de la nLPD, par David Rosenthal et Seraina Gubler

Le premier numéro 2021 de la Revue suisse de droit des affaires et du marché financier est consacré principalement à la nLPD. Parmi les diverses contributions, nous exposons quelques éléments qui ressortent de l’article rédigé par David Rosenthal et Seraina Gubler.

Condamnation de Marriott pour une fuite de données

Dans sa Penalty Notice, l’Information Commissioner’s Office anglais sanctionne le groupe hôtelier Marriott pour n’avoir pas pris les mesures de sécurité adéquate (art. 32 RGPD). Ses manquements ont permis à des pirates d’obtenir les données d’environ 339 millions de clients.

Le devoir d’informer l’autorité et le principe nemo tenetur

Selon l’autorité néerlandaise de protection des données, l’obligation de lui transmettre le rapport d’une fuite de données n’est pas contraire au principe nemo tenetur.

Le séquestre de données en entraide pénale internationale : qui peut s’y opposer ?

Seule la société qui dispose de l’accès physique aux data rooms est titulaire de la qualité pour recourir en matière d’entraide pénale internationale. Le déposant ou la personne qui détient des droits civils sur les données ne peut pas recourir contre l’ordonnance de clôture.

Fuite de données pour Marriott : pas d’action civile en Californie

En droit californien, seule une fuite de données qui concerne des informations sensibles permet aux victimes de saisir les tribunaux compétents. Une simple atteinte au right to privacy est insuffisante.

Le droit d’accès abusif

Une demande de droit d’accès qui ne vise qu’à se procurer des preuves en vue d’une procédure civile est contraire au but de l’art. 8 LPD et constitue ainsi un abus de droit (art. 2 al. 2 CC).

Des dommages-intérêts en raison d’une réponse tardive à une requête d’accès aux données ?

L’Arbeitsgericht de Düsseldorf a condamné un employeur à verser EUR 5’000.- à un ancien employé qui avait dû patienter plusieurs mois avant de recevoir sa réponse à une demande d’accès à ses données personnelles, laquelle était en plus incomplète.

Recension : La nouvelle loi sur la protection des données par David Rosenthal

David Rosenthal a publié dans la Jusletter du 16 novembre 2020 une première analyse approfondie de la nouvelle loi sur la protection des données (nLPD). Dans cette contribution de 75 pages, l’auteur examine méticuleusement les diverses modifications apportées par la nLPD en les comparant avec l’actuelle LPD et avec le RGPD

Rapport MELANI 2020/1 – Quelques recommandations afin de déjouer les cyberattaques

Le Rapport semestriel 2020/1 de MELANI sur la sûreté de l’information présente les diverses cybermenaces qui ont pesé sur la Suisse durant la première moitié de l’année 2020. Dû à la crise du coronavirus, les cyberattaques ont été particulièrement plus nombreuses comparées aux années précédentes.

British Airways condamnée à une amende de £20’000’000.- pour violation de la sécurité des données

British Airways écope d’une amende de £ 20’000’000.- en raison de la violation de l’intégrité et la confidentialité des données traitées, ainsi qu’en raison de l’absence de mesures techniques et organisationnelles appropriées, ce qui a conduit à une violation de la sécurité des données (data breach).

Recension : L’obligation de « privacy by design » en Suisse et son implémentation dans les études d’avocats

Dans son fascicule 10 de l’année 2020, la Revue de l’avocat a publié un article de Me Deborah Lechtman sur l’obligation de « privacy by design » en Suisse et son implémentation dans les études d’avocats (Revue de l’avocat 2020, p. 403 ss).

Le mot de passe insuffisant : une violation de l’art. 32 RGPD

Une société dont le site Internet exige un mot de passe composé d’au moins six caractères sans nécessairement contenir plusieurs types de caractère viole l’art. 32 RGPD.

Fuite de données, confidentialité et droit d’accès

Les conseils donnés par le Préposé aux particuliers conformément à l’art. 28 LPD sont en principe soumis au principe de transparence. Un accord exprès de confidentialité peut néanmoins s’opposer à la transparence (art. 7 al. 1 let. h LTrans).