Les preuves exigibles pour la reconnaissance de l’identité de genre La CJUE consacre le droit des personnes trans à la rectification de leur genre dans les registres publics sans exigence de preuve chirurgicale. Guide du CEPD en matière de législation : éléments centraux et pertinence en Suisse Le Contrôleur européen de la protection des données (CEPD) a publié au mois de mai 2025 un guide à destination des législateurs de l’Union européenne (UE) pour leur servir de base dans l’élaboration d’actes législatifs prévoyant le traitement de données personnelles. L’accès aux dossiers d’une enquête pénale : entre transparence et confidentialité Le Tribunal fédéral autorise l’accès aux dossiers anonymisés d’une enquête pénale à l’entreprise requérante, tout en refusant à l’entreprise mise en cause d’anonymiser son propre nom. Recension : Édition spéciale Ex Ante sur la protection des données En collaboration avec Swissprivacy, la revue des jeunes chercheurs en droit « Ex Ante » a publié une édition spéciale consacrée à la protection des données. Principe de transparence et relations internationales Le système de peer review du Forum mondial fait de la relation aux Etats partenaires un enjeu crucial en matière d’entraide fiscale, en vertu duquel le principe de transparence peut être limité. Les modèles de prix confidentiels soumis au principe de la transparence ? Sous réserve d’exceptions au principe de la transparence, la LTrans a pour conséquence que des clauses contractuelles que les parties déclarent confidentielles, en particulier celles relatives aux modèles de prix, pourraient ne pas le rester en raison de leur communication à l’Office fédéral de la santé publique. Transparence à géométrie variable : le malaise vaudois Adoptée à l’unanimité, une motion du Grand Conseil vaudois demande au Conseil d’État de garantir explicitement l’accès des commissions de surveillance aux informations publiques obtenues via la Loi vaudoise sur l’information. Votre carte d’identité comme carte de fidélité RGPD L’autorité de protection des données belge s’est intéressée au recours à la carte d’identité nationale électronique en tant que substitut à la carte de fidélité. Dans ce cadre, le recueil d’un consentement valide, la garantie de la transparence des traitements de données ainsi que le respect des principes de minimisation et de responsabilité revêtent une importance cardinale. Les limites du secret d’affaires : Analyse des recommandations du PFPDT par le TAF Dans l’affaire opposant une entreprise de livraison à domicile à la Commission fédérale de la poste (PostCom), relative à l’étendue de l’accès à donner à un rapport d’expertise élaboré par cette dernière, le TAF est amené à revoir les recommandations du PFPDT, et tranche en désaccord avec certaines d’entre elles. Scraping en masse : la Cour fédérale allemande admet le préjudice indemnisable Le Bundesgerichtshof (BGH) juge que la simple perte de contrôle sur ses données personnelles constitue un préjudice immatériel indemnisable au sens de l’art. 82 par. 1 RGPD. À la suite de la fuite massive de données de 533 millions d’utilisateurs de Facebook, le BGH estime que le requérant n’a pas à prouver de conséquences concrètes pour obtenir la réparation du dommage causé. Collectes de données personnelles par des étudiants dans le cadre de travaux académiques : qui est responsable du traitement ? Identifier le responsable du traitement de données personnelles permet de fixer le cadre juridique applicable et de préciser les obligations qui en découlent. Dans la recherche et l’enseignement universitaires, cette détermination peut toutefois se révéler complexe. La présente contribution examine plusieurs scénarios, de l’étudiant au chercheur. La LPD refoulée en clinique : des sanctions pénales plus théoriques que pratiques La Cour de Justice du canton de Genève a rendu un arrêt le 26 mars 2025 au sujet des dispositions pénales de la nouvelle LPD. Cet arrêt figure parmi les premiers du genre après l’entrée en vigueur de la nouvelle LPD en septembre 2023. La protection des personnes physiques à l’égard du traitement des données à caractère personnel en vertu de l’art. 58 par. 2 RGPD Une autorité est disposée à ordonner au responsable du traitement ou sous-traitant d’effacer des données à caractère personnel ayant fait l’objet d’un traitement illicite et ce, sans qu’une demande n’a été présentée à cet effet par la personne concernée. 2e révision des ordonnances de la LSCPT : vers une surveillance de tout un chacun toujours plus intrusive pour l’internet suisse Le Conseil fédéral a récemment ouvert une seconde consultation relative à la révision partielle des ordonnances liées à la Loi fédérale du 18 mars 2016 sur la surveillance de la correspondance par poste et télécommunication (LSCPT). Sous couvert de clarifier les définitions des fournisseurs et de leurs obligations, le projet cherche à largement étendre les obligations de rétention de données aux fournisseurs de service de communication dérivés en Suisse. Recension : Protection des données, « litera B » Recension de Sandra Husi-Stämpfli, Anne-Sophie Morand, Ursula Sury, Livio di Tria, David Dias Matos, Protection des données, « litera B », Genève/Zürich 2024, Schulthess Éditions Romandes. La nouvelle obligation d’annonce des cyberattaques L’obligation d’annonce des cyberattaques, introduite par les articles 74a et seq. de la Loi sur la sécurité de l’information (LSI) et précisée par la nouvelle ordonnance sur la cybersécurité (OCyS), entrera en vigueur le 1 avril 2025. La Suisse signe la Convention du Conseil de l’Europe sur l’intelligence artificielle Le Conseiller fédéral Albert Rösti signera aujourd’hui à Strasbourg la Convention-cadre du Conseil de l’Europe sur l’intelligence artificielle. Par cet acte, la Suisse rejoint les États signataires d’un premier instrument juridiquement contraignant au niveau international visant à encadrer le développement et l’utilisation de l’IA dans le respect des droits fondamentaux La Commission européenne définit ce qu’elle entend par système d’IA La Commission européenne a publié en février 2025 ses lignes directrices sur la définition des systèmes d’IA. Celle-ci s’articule autour de sept caractéristiques plus ou moins précises visant à distinguer les systèmes d’IA des logiciels traditionnels. Algorithmes et décisions automatisées : un secret possible, mais une explication obligatoire La société de credit scoring doit expliquer à la personne concernée la procédure et les principes concrètement appliqués pour établir son profil de solvabilité. En outre, le secret d’affaires de la société ne s’oppose pas à la communication des informations à l’autorité ou au tribunal. TikTok : La souveraineté des données à l’agenda américain Dans l’arrêt TikTok v. Garland, la Cour Suprême des Etats-Unis conclut à l’unanimité que l’interdiction par le Congrès du réseau social TikTok ne cherchait pas à restreindre un type de contenu en particulier, mais répondait à la nécessité de légiférer sur les risques liés à un accès aux données personnelles des Américains par le Gouvernement chinois. Transfers of personal data upon foreign authorities’ requests – the EDPB’s guidelines The EDPB has published guidelines on art. 48 GDPR often used in the context of transfers of personal data to foreign authorities. The guidelines aim at clarifying the conditions for such a transfer to be lawful. 4,75 millions d’euros d’amende pour Netflix, entre transparence et simplicité il faut choisir Selon l’Autorité néerlandaise de protection des données, entre 2018 et 2020, Netflix n’a pas fourni à ses utilisateurs suffisamment d’informations sur le traitement de leurs données personnelles. Le PFPDT guide les responsables du traitement quant à leur devoir d’informer des violations de la sécurité des données Une violation de la sécurité des données peut imposer au responsable du traitement d’en informer tant le PFPDT que les personnes concernées. Le guide du PFPDT précise la vision de l’autorité quant à l’application de ce devoir d’informer. Le Conseil fédéral révèle sa feuille de route pour l’intelligence artificielle en Suisse Le Conseil fédéral a révélé le 12 février 2025 sa feuille de route pour l’intelligence artificielle en Suisse. Fidèle à son approche pragmatique, il mise sur une régulation sectorielle et différenciée, évitant ainsi toute inflation législative qui pourrait freiner l’innovation. L’objectif est clair : préserver l’attractivité économique du pays tout en assurant un encadrement proportionné des risques liés à l’IA. L’intérêt légitime au sens de l’art. 6 par. 1 let. f RGPD : un examen en trois étapes Pour fonder un traitement de données personnelles sur un intérêt légitime (art. 6 par. 1 let. f RGPD), le responsable du traitement doit vérifier que le traitement soit nécessaire pour réaliser cet intérêt – qui peut tout à fait être un intérêt commercial –, puis pondérer les intérêts en présence. Recension : Générateur de visages crée par l’intelligence artificielle David Knabe, Générateur de visages crée par l’intelligence artificielle : analyse en droit suisse de la protection des données personnelles et en droit civil. Disponible en open access. Normes lucernoises de surveillance policière : surveiller c’est risqué ! Le Tribunal fédéral admet partiellement un recours contre l’introduction de mesures de surveillance prévues par la révision de la loi sur la police lucernoise du 27 janvier 1988. Il abroge deux dispositions : l’une autorisant la recherche automatique de véhicules, et l’autre organisant l’intégration du canton de Lucerne dans un réseau de systèmes d’information de police reliant la Confédération et les cantons. Dark patterns à l’œuvre ? L’Oberlandsgericht de Cologne se prononce sur la question de l’utilisation de bannières de cookies recueillant le consentement des utilisateurs pour des cookies non essentiels sans option de refus dès la première couche de la bannière. Swiss-US Data Privacy Framework : un premier pas vers une approche plus pragmatique ? L’entrée en force du Swiss‑U.S. DPF a offert un cadre juridique plus solide aux entreprises et organismes publics suisses utilisant des services cloud américains. Les auteurs de cette contribution argumentent qu’au-delà des cas de transferts « directs » de données personnelles à des entreprises américaines certifiées (soit le scénario expressément visé par le Swiss‑U.S. DPF), la reconnaissance de ce mécanisme a une portée plus large et assure une sécurité juridique dans d’autres situations. Transparence et caviardage — un exercice délicat Le Tribunal fédéral est d’avis que la transmission d’un procès-verbal du Comité de la Caisse de pension de l’État de Genève contenant les noms des membres de ce dernier n’est pas nécessairement constitutive d’une atteinte à la sphère privée. La technologie au service des escroqueries par téléphone Le 7 novembre 2024, l’OFCS a publié dans un rapport son analyse des escroqueries par téléphone signalées ces derniers mois dans le domaine cyber. 31e Rapport d’activités du PFPDT – Un survol (Partie 2 : Transparence) La seconde partie du rapport 2023/2024 du PFPDT revient sur les activités de transparence, en revenant sur des statistiques de demandes d’accès, les médiations effectuées, les interventions sur le plan du processus législatif et les dispositions spéciales ayant eu un impact sur l’application de la LTrans. Adresse e‑mail professionnelle et licenciement : ne pas traîner pour couper le cordon Garder active une adresse e‑mail professionnelle d’un employé après son départ expose l’entreprise à des sanctions. C’est ce qu’estime la Chambre Contentieuse de l’APD belge qui s’est prononcée sur le cas d’un employé dont le traitement de l’adresse électronique a perduré cinq mois après son départ. Une décision qui donne également des pistes pratiques sur la gestion des données au sein des ressources humaines. La nouvelle LIPAD — Comment se préparer à sa mise en œuvre ? Le Grand Conseil genevois a adopté le 3 mai 2024 la révision de la LIPAD. Elle a pour but d’aligner la législation genevoise sur les évolutions technologiques et les standards en matière de protection des données apportés par, entre autres, le RGPD et la nouvelle LPD. De ce fait, la systématique de la LIPAD se rapproche de plus en plus du droit fédéral, tout en gardant quelques particularités propres qui sont détaillées dans la présente contribution. La nouvelle LIPAD – Tour d’horizon des nouveautés Le Grand Conseil genevois a adopté le 3 mai 2024 la révision de la LIPAD. Elle a pour but d’aligner la législation genevoise sur les évolutions technologiques et les standards en matière de protection des données apportés par, entre autres, le RGPD et la nouvelle LPD. De ce fait, la systématique de la LIPAD se rapproche de plus en plus du droit fédéral, tout en gardant quelques particularités propres qui sont détaillées dans la présente contribution. Commerçants en ligne, prudence ? Les commerçants en ligne doivent faire preuve de prudence à double titre. D’une part, leurs traitements de données personnelles peuvent être dénoncés par leurs concurrents. D’autre part, la CJUE interprète largement la notion de données sensibles (art. 9 par. 1 RGPD). Géolocalisation des taxis : approbation de normes cantonales par le Tribunal fédéral Le Tribunal fédéral confirme sa jurisprudence et valide les mesures de géolocalisation des taxis et VTC à Genève lors d’un contrôle abstrait de la loi et du règlement sur les taxis et voitures de transport avec chauffeur (LTVTC/GE et RTVTC/GE). Il estime que ces mesures respectent les exigences légales et constitutionnelles, tout en garantissant une protection suffisante de la sphère privée des professionnels concernés. L’anonymisation, une fausse bonne idée ? La CNIL observe et retient le caractère non anonyme des données de santé traitées par une société spécialisée dans l’édition et la vente de logiciels de gestion à destination de professionnels de la santé. Il en résulte des manquements à l’obligation d’effectuer les formalités préalables dans le domaine de la santé, à savoir de formuler une demande d’autorisation auprès de la CNIL ou lui adresser une déclaration de conformité à l’un de ses référentiels, ainsi qu’à l’obligation de traiter les données de manière licite, lesquels sont lourdement sanctionnés. Contours des notions de « responsables de traitement conjoints » et de « sous-traitant » La demande de décision préjudicielle porte sur l’interprétation des notions de « responsables conjoints » et de « sous-traitant » (art. 4 points 2 et 7 et art. 26 par. 1 RGPD) ainsi que des conditions pour admettre l’imposition d’une amende administrative aux « responsables de traitement » (art. 83 par. 1 RGPD). Extraterritorial Scope of EU Digital Strategy The new regulations of the EU digital strategy, above all the AI Act, Digital Services Act, Data Act and Digital Markets Act, may also impact companies outside the EEA. Swiss companies, in particular, need to prepare for compliance. The flowcharts attached to this article will help guide you through the process. Économiser sur le DPO a un prix Le DPO, même désigné pour un groupe d’entreprises, doit être associé précocement aux questions relatives à la protection des données personnelles et doit disposer des ressources nécessaires à l’exercice de ses fonctions. Recension : Consentement aux traitements de données en cabinet médical Frédéric Erard/Livio di Tria, Consentement aux traitements de données en cabinet médical. Ni libre, ni éclairé, ni nécessaire ? Jusletter 23 septembre 2024. Disponible à cette adresse. Swissprivacy x Jusletter L’équipe de Swissprivacy a le plaisir d’annoncer son partenariat avec la Jusletter pour son édition spéciale « Protection des données ». Usage de l’intelligence artificielle dans un call center L’Autorité de protection des données danoise s’est penchée sur le cas de l’utilisation d’un logiciel d’IA pour enregistrer et retranscrire les conversations téléphoniques d’une assurance avec ses assurés. Si l’usage d’un tel logiciel est autorisé, un soin particulier doit être accordé à la récolte du consentement de la personne concernée. Dark patterns : wait & see Le Conseil fédéral a présenté son rapport « Dark patterns. Documenter la nébuleuse ». La présente contribution a vocation à en restituer les grandes lignes sous l’angle de la LPD et offre un survol de la pratique relative aux dark patterns dans le cadre des bannières cookies au sein de l’Union européenne, ainsi qu’un aperçu de la situation outre-Atlantique. L’accès aux données personnelles, et c’est tout ? La personne concernée n’a pas le droit d’accéder à la copie des documents dans lesquels ses données personnelles sont contenues, la transmission d’un tableau récapitulatif étant en principe suffisante. Dans des circonstances exceptionnelles, un accès aux documents peut néanmoins être octroyé. 31e Rapport d’activités du PFPDT – Un survol (Partie 1 : Protection des données) Le 31e rapport annuel du PFPDT permet de plonger dans les activités de cette autorité, de passer en revue les différentes décisions importantes rendues ainsi que les travaux effectués. Data Privacy Framework À l’occasion d’un communiqué de presse publié le 14 août 2024, le Conseil fédéral a approuvé le Swiss‑U.S. Data Privacy Framework (Swiss‑U.S. DPF) et arrêté son en vigueur au 15 septembre 2024. Selon cette décision, les entreprises américaines participant au Swiss‑U.S. DPF garantissent un niveau adéquat de protection des données en vertu de la LPD, de sorte que les données personnelles peuvent être transférées aux entreprises américaines participantes sans avoir à conclure de clauses contractuelles types adoptées par la Commission Européenne (SCC) et sans qu’il soit nécessaire de procéder à une analyse d’impact du transfert de données. Cher réseau, … La Cour de justice du canton de Genève a ordonné à une ex-employée de modifier les informations relatives à un ancien poste figurant sur son profil LinkedIn. Quand des buzzwords conduisent à une fraude à l’investissement L’action intentée par la SEC contre Ilit Raz de Joonko Diversity Inc. démontre que l’utilisation trompeuse de buzzwords comme « intelligence artificielle » pour lever des fonds peut entraîner des poursuites. Obtenir l’effacement de données d’une plateforme d’évaluation, plus difficile qu’il n’y paraît Le droit général à l’effacement des données d’une personne morale, de même que la suppression de certains commentaires négatifs sur une plateforme d’évaluation, supposent la prise en compte de l’ensemble des intérêts en présence, en particulier l’intérêt des consommateurs à l’information. Mauvaise utilisation du pixel Meta : fuite de données bancaires et lourde amende pour une banque Pixel Meta : l’autorité suédoise de protection des données (IMY) sanctionne une banque pour une fuite de données bancaires causée par la mauvaise configuration du pixel Metal sur son site web et application d’e‑banking. La protection des données au secours de l’ayant droit économique Le RGPD protège aussi les données bancaires de personnes morales lorsque l’ayant droit économique s’oppose au transfert des données au Department of Justice. Les données de géolocalisation des agents de police genevoise : pas de conservation au-delà de 24 heures Un logiciel qui permet de conserver les données de géolocalisations de policiers en service pendant 100 jours n’est pas conforme aux exigences de restrictions des droits fondamentaux (art. 36 Cst). Les résultats et les suites de l’enquête administrative dans l’affaire Xplain L’affaire Xplain a mis en évidence toutes les difficultés liées à la gestion d’un projet informatique complexe mené entre différents acteurs publics et privés. Plusieurs leçons ont pu être tirées pouvant certainement s’appliquer à d’autres situations comparables, quels que soient les acteurs concernés. Tour d’horizon des erreurs commises et des mesures ayant été prises WHO Guidelines on AI in Health : Impacts on privacy and regulatory considerations The WHO released various guidelines and recommendations regarding the use of artificial intelligence for health. Among the covered topics, data protection is regularly addressed. These aspects will be developed in this contribution. Un communiqué de presse pas si anonyme que ça…. L’entité qui publie un communiqué de presse sur une personne non nommée divulgue néanmoins des données personnelles si cette personne peut être identifiée par des informations supplémentaires, à condition que cet appariement de données constitue un « moyen susceptible d’être raisonnablement mis en œuvre ». Vente aux enchères de données personnelles à des fins publicitaires et respect du RGPD La CJUE retient qu’une chaîne composée d’une combinaison de lettres et de caractères qui capte les préférences des utilisateurs est une donnée personnelle au sens du RGPD. La nouvelle identité électronique étatique suisse Après avoir été rejetée aux urnes le 7 mars 2021, la réglementation sur l’identité électronique renaît de ses cendres avec une nouvelle approche qui donne le rôle principal à l’État comme exploitant d’une infrastructure de confiance et comme émetteur de l’e‑ID. La nouvelle infrastructure permet également aux acteurs publics et privé d’émettre d’autres justificatifs électroniques. Le nouveau projet de loi est actuellement entre les mains du Parlement fédéral. Le secteur du cloud computing au prisme du droit de la concurrence Le secteur du cloud computing soulève des préoccupations en matière de droit de la concurrence. En 2023, deux études menées par les autorités françaises et anglaises ont mis en évidence certaines pratiques jugées problématiques des fournisseurs de services cloud. Pages : 123456Load More
