Michael Montavon, auteur sur swissprivacy.law

Michael Montavon

14 articles

Michael Montavon est docteur en droit. Il a rédigé sa thèse sur la cyberadministration et la protection des données et détient un certificat en science des données de l’Extension School de l’EPFL. Durant 7 ans, il a travaillé comme juriste puis comme conseiller juridique auprès du Service de législation de l’Etat de Fribourg. Il a notamment dirigé les travaux relatifs à la révision totale de la loi cantonale fribourgeoise sur la protection des données et mené en parallèle plusieurs projets législatifs relatifs à l’usage des technologies numériques dans le fonctionnement et l’organisation de l’Etat. Il a ensuite été conseiller juridique IT et Privacy au sein d’une institution financière avant de rejoindre l’Office fédéral de la justice en mai 2025 où il s’occupe principalement de protection des données et d’intelligence artificielle. Michael Montavon donne régulièrement des cours dans les Universités et les Hautes écoles de Suisse romande sur la protection des données et le droit des nouvelles technologies. Il est lecteur à l’Université de Fribourg.

Ses publications :

Données « en tant que telles » et délai de réponse du droit d’accès

Le PFPDT a publié une première décision en matière de droit d’accès au sens de la LPD. Il prononce un avertissement à l’encontre d’une banque qui ne respectait pas les délais légaux pour répondre à une telle demande et ne remettait pas les données en tant que telles mais se contentait d’une réponse standardisée.

La Commission européenne définit ce qu’elle entend par système d’IA

La Commission européenne a publié en février 2025 ses lignes directrices sur la définition des systèmes d’IA. Celle-ci s’articule autour de sept caractéristiques plus ou moins précises visant à distinguer les systèmes d’IA des logiciels traditionnels.

Usage de l’intelligence artificielle dans un call center

L’Autorité de protection des données danoise s’est penchée sur le cas de l’utilisation d’un logiciel d’IA pour enregistrer et retranscrire les conversations téléphoniques d’une assurance avec ses assurés. Si l’usage d’un tel logiciel est autorisé, un soin particulier doit être accordé à la récolte du consentement de la personne concernée.

Les résultats et les suites de l’enquête administrative dans l’affaire Xplain

L’affaire Xplain a mis en évidence toutes les difficultés liées à la gestion d’un projet informatique complexe mené entre différents acteurs publics et privés. Plusieurs leçons ont pu être tirées pouvant certainement s’appliquer à d’autres situations comparables, quels que soient les acteurs concernés. Tour d’horizon des erreurs commises et des mesures ayant été prises

Le secteur du cloud computing au prisme du droit de la concurrence

Le secteur du cloud computing soulève des préoccupations en matière de droit de la concurrence. En 2023, deux études menées par les autorités françaises et anglaises ont mis en évidence certaines pratiques jugées problématiques des fournisseurs de services cloud.

DORA, le règlement européen sur la résilience opérationnelle numérique du secteur financier

Nouvelle pierre à l’édifice numérique européen, DORA vise à renforcer la résilience du secteur financier face aux cybermenaces. Il impose la mise en place de mesures pour gérer les risques liés aux TIC, et de préserver la continuité des services en cas d’incident.

Courriel sur la réforme des retraites : détournement de finalité et communication à caractère politique selon la CNIL

Suite à un courriel adressé aux agents de la fonction publique concernant la réforme des retraites, la CNIL a formulé un rappel à l’ordre contre le Ministère de la Transformation et de la Fonction publique et le Ministère de l’Économie, des Finances et de la Souveraineté industrielle et numérique. La CNIL leur reproche d’avoir utilisé un fichier administratif à des fins politiques.

La CJUE serre la vis au traitement des données par les sociétés de fourniture de renseignements commerciaux 

La CJUE a rendu deux arrêts de principe sur les activités des sociétés qui fournissent des renseignements commerciaux. Elle juge notamment que ces sociétés ne peuvent pas conserver les données provenant de registres publics plus longtemps que leur durée de publication officielle et que l’attribution d’un score de solvabilité constitue déjà une décision individuelle automatisée.

Big Data, un outil d’influence en période électorale

Grâce à l’usage du Big Data et des algorithmes dans les campagnes électorales et de votation, il devient possible d’influencer le comportement des électeurs et le résultat d’un suffrage. Cela soulève la question du droit à l’autodétermination des individus mais aussi des peuples.

Public Clouds Confédération, la saga continue

Quatre, c’est le nombre d’arrêts rendus dans une même affaire à propos de l’utilisation par l’administration fédérale de services cloud proposés par des fournisseurs étrangers. Aucun de ces arrêts n’a toutefois encore tranché la question au fond. Il faudra pour cela attendre le prochain arrêt du Tribunal administratif fédéral.

Droit à l’intégrité numérique : une réponse dans l’air du temps ?

La Confédération et quelques cantons envisagent d’intégrer au sein de leur Constitution un droit à l’intégrité numérique. Encore inconnu en Suisse, ce concept reste largement indéterminé. Il est cependant dans l’air du temps. Mais s’agit-il d’une bonne réponse ?

Protection des données et archivage : la fin de la quadrature du cercle ?

Tandis que la législation sur la protection des données exige la suppression des données personnelles qui ne sont plus nécessaires au regard des finalités du traitement, celle sur l’archivage demande, au contraire, qu’elles soient conservées en faveur des générations futures. Comment concilier dès lors ces deux principes ?

L’Oberlandesgericht de Karlsruhe confirme la licéité d’un contrat cloud passé entre un organe public et un fournisseur de service américain

La Cour d’appel de Karlsruhe a jugé que le seul fait qu’un fournisseur de services cloud soit une filiale d’un groupe américain soumis aux lois américaines ne suffit pas pour conclure à une violation de la protection des données selon le droit européen.

Données personnelles : une approche dynamique, contextuelle et pragmatique

Formulée de manière volontairement large, la définition de ce qu’est une donnée personnelle n’en appelle pas moins une analyse circonstanciée. La jurisprudence montre en effet que la question de l’application de la loi sur la protection des données dépend aussi du contexte et des circonstances autour d’un traitement de données. Cela va dans le sens de la nouvelle approche de la protection des données « fondée sur les risques ».