Philipp Fischer

14 articles

Philipp Fischer est titulaire d’une licence en droit de l’Université de Genève (2004) et du brevet d’avocat genevois (2007). Il a obtenu un Master of Laws (LL.M.) de la Harvard Law School (2009). Après avoir travaillé au sein d’études d’avocats à New York, Zurich et Genève (2010 – 2016), il a co-fondé l’étude OBERSON ABELS SA en 2016. Il pratique le droit bancaire et financier, ainsi que le droit de la protection des données.

Ses publications :

La nouvelle obligation d’annonce des cyberattaques

L’obligation d’annonce des cyberattaques, introduite par les articles 74a et seq. de la Loi sur la sécurité de l’information (LSI) et précisée par la nouvelle ordonnance sur la cybersécurité (OCyS), entrera en vigueur le 1 avril 2025.

Swiss-US Data Privacy Framework : un premier pas vers une approche plus pragmatique ?

L’entrée en force du Swiss‑U.S. DPF a offert un cadre juridique plus solide aux entreprises et organismes publics suisses utilisant des services cloud américains. Les auteurs de cette contribution argumentent qu’au-delà des cas de transferts « directs » de données personnelles à des entreprises américaines certifiées (soit le scénario expressément visé par le Swiss‑U.S. DPF), la reconnaissance de ce mécanisme a une portée plus large et assure une sécurité juridique dans d’autres situations.

La nouvelle LIPAD — Comment se préparer à sa mise en œuvre ?

Le Grand Conseil genevois a adopté le 3 mai 2024 la révision de la LIPAD. Elle a pour but d’aligner la législation genevoise sur les évolutions technologiques et les standards en matière de protection des données apportés par, entre autres, le RGPD et la nouvelle LPD. De ce fait, la systématique de la LIPAD se rapproche de plus en plus du droit fédéral, tout en gardant quelques particularités propres qui sont détaillées dans la présente contribution.

Comment obtenir une certification au Data Privacy Framework ?

Le Swiss-US Data Privacy Framework, qui est le pendant suisse du EU-US Data Privacy Framework, est effectif depuis le 17 juillet 2023. Nous analysons brièvement dans cette contribution quelles sont les conditions que doivent remplir les sociétés américaines pour être affiliées au Data Privacy Framework.

Le EU‑U.S. Data Privacy Framework déploie (enfin!) ses effets

Mettant fin à une attente de plus d’une année, la Commission européenne a décidé le 10 juillet 2023 que les États-Unis garantissent un niveau de protection adéquat pour les données personnelles transférées de l’UE vers les entreprises américaines qui adhèreront au EU‑U.S. Data Privacy Framework

Toute personne a le droit de savoir à qui ses données personnelles ont été communiquées : comment mettre en œuvre cette obligation ?

La CJUE a tranché que le droit d’accès permet à la personne concernée de demander au responsable du traitement qu’il lui indique l’identité des destinataires auxquelles des données sont communiquées. Les auteurs proposent plusieurs pistes de réflexion destinées dans la mise en œuvre de cette nouvelle obligation que la jurisprudence a tiré du RGPD.

Toute personne a le droit de savoir à qui ses données personnelles ont été communiquées : une analyse sous l’angle du droit suisse

La CJUE est d’avis que le droit d’accès permet de solliciter du responsable du traitement qu’il lui indique l’identité des destinataires auxquelles des données sont ou ont été communiquées. Après une interprétation s’inspirant d’un pluralisme pragmatique, les auteurs sont d’avis qu’une solution identique devrait en principe prévaloir à l’aune de la nLPD.

Toute personne a le droit de savoir à qui ses données personnelles ont été communiquées

Lorsque des données personnelles sont communiquées à des destinataires, le responsable du traitement doit fournir à la personne concernée, sur sa demande, l’identité des destinataires. Ce n’est que lorsqu’il n’est pas (encore) possible d’identifier ces destinataires que celui-ci peut se limiter à indiquer uniquement les catégories de destinataires.

Peut-on encore, en Suisse, recourir à des services cloud offerts par Microsoft ?

Dans une prise de position publiée le 13 juin 2022, le Préposé fédéral à la protection des données et à la transparence a estimé que le recours aux services cloud M365 de Microsoft serait susceptible de violer la Loi fédérale sur la protection des données.

US CLOUD Act – un aperçu

Depuis son adoption en mars 2018, le US CLOUD Act a déjà fait couler beaucoup d’encre. La publication, le 17 septembre 2021, par l’Office fédéral de la justice d’un rapport (le « Rapport ») qui analyse la compatibilité du US CLOUD Act avec le droit suisse, en particulier la règlementation en matière de protection des données, offre l’occasion de revenir sur cette législation américaine

La CNIL sanctionne une banque pour des atteintes à la protection des données

Aux termes de sa délibération du 18 novembre 2020 (n° SAN-2020–009) concernant Carrefour Banque (la Banque), la Commission Nationale de l’Informatique et des Libertés (CNIL) a prononcé une décision portant amende de EUR 800’000 en application du Règlement général sur la protection des données (RGPD) et de la loi française dite « informatique et libertés ».

Mesures techniques, contractuelles et organisationnelles à observer suite à l’arrêt Schrems II

Le 10 novembre 2020, le Comité européen de la protection des données (CEPD) a publié ses Recommandations 01/2020 sur les mesures supplémentaires quant aux outils de transfert de données personnelles en dehors de l’Union européenne. Elles font suite à l’arrêt Schrems II et offrent un aperçu des diverses mesures techniques, contractuelles et organisationnelles permettant de pallier les lacunes de protection des pays de destination.

On Cloud Number Nine : un bref survol des enjeux juridiques et règlementaires du cloud banking

Alors que de plus en plus d’entreprises recourent à une infrastructure cloud, que ce soit pour le stockage ou le traitement de données, il peut être utile de rappeler les trois axes principaux qu’une banque doit prendre en compte en amont du lancement d’un projet de coopération avec un prestataire de services cloud (un cloud service provider, « CSP »).

Schrems II ou la quadrature du cercle

Le 16 juillet 2020, la Cour de justice de l’Union européenne (la « CJUE ») a rendu sa décision (n° C‑311/18) dans le cadre de l’affaire dite Schrems II, du nom de Maximilian Schrems, un juriste autrichien qui, pour la deuxième fois après 2015 (arrêt de la CJUE du 6 octobre 2015 dans la cause n° C‑362/2014), obtient l’invalidation judiciaire d’un mécanisme de transmission de données personnelles vers les États-Unis.