Blog

Le 25 septembre 2026, le Conseil fédéral a mandaté le DDPS pour élaborer d’ici juin 2027 un avant-projet de loi fédérale sur la cybersécurité. Ce projet sera soumis à la consultation (voir le communiqué de presse). Ainsi, la Suisse disposerait d’une loi qui imposerait des règles de cybersécurité aux entreprises privées de manière transversale. Le texte devra aborder trois volets requis par le Parlement : la sûreté des articles numériques (logiciels et matériel), la garde des informations numériques les plus précieuses du pays et le rôle des hébergeurs et des fournisseurs de cloud face aux assauts informatiques. Il intégrera également l’obligation (définie dans la loi fédérale sur la sécurité de l’information) de déclarer les attaques informatiques ciblant les infrastructures critiques, qui est entrée en vigueur le 1er avril 2025. ...

Note liminaire Cet article réagit à l’actualité, il n’attaque et ne défend personne. J’ai voulu examiner le régime juridique applicable aux antécédents pénaux dans l’accès à la fonction publique, cantonale en l’occurrence, à la suite de la nomination genevoise du délégué au numérique qui fait débat depuis le début du mois d’août. Plusieurs positions ont circulé dans les médias et sur les blogs. La première tient au signal envoyé aux victimes de violences, et elle attribue à la fonction de délégué au numérique des missions qu’elle n’a pas. La deuxième fait le procès de la moraline et traite une demande de règles comme une lubie. La troisième, la plus sérieuse à mon sens, ne porte ni sur l’homme ni sur les mœurs : elle soutient que l’État doit expliquer une décision publique et que son silence abime la confiance. ...

TL;DR L’arrêt Trump v. Slaughter (Cour suprême des États-Unis, 29 juin 2026), qui abroge Humphrey’s Executor, fragilise juridiquement le socle du Data Privacy Framework (DPF) : l’indépendance de la Federal Trade Commission (FTC), du Privacy and Civil Liberties Oversight Board (PCLOB) et, par ricochet, de la Data Protection Review Court (DPRC). À ce jour pourtant, ni la Commission européenne ni le Conseil fédéral n’ont retiré leur décision d’adéquation : le EU-US DPF et le Swiss-US DPF demeurent en vigueur. La thèse selon laquelle « l’adéquation américaine n’a plus de sens » se défend sur le fond, mais se heurte à des contre-arguments qui expliquent l’obstination des autorités. Localiser les données en Europe (EU Data Boundary, cloud souverain) réduit fortement le risque sans l’éliminer : tant que le fournisseur reste sous contrôle américain, le CLOUD Act et d’autres législations américaines peuvent contraindre la société mère à produire des données stockées dans l’UE ou en Suisse. La localisation relève donc de l’atténuation du risque ; elle ne referme pas la question juridique du transfert. Pour une entité suisse, la posture raisonnable ne se résume ni au « tout adéquation » ni au « tout localisation ». Elle consiste en une architecture à plusieurs couches : le DPF quand il s’applique, les clauses contractuelles types (CCT) accompagnées d’un Transfer Impact Assessment (TIA) en repli documenté, un chiffrement dont les clés restent détenues par le client, et la localisation UE/CH pour les données les plus sensibles. Reprenons la chronologie avant d’en tirer les conséquences juridiques. ...

Le 8 juin 2026, lors de sa grand-messe annuelle (la WWDC), Apple dévoile « Siri AI », la refonte complète de son assistant vocal. Le même jour, par voie de communiqué, l’entreprise annonce que les Européens, eux, n’y auront pas droit. La cause désignée ? Le Digital Markets Act. C’est une manière assez habile de nommer le coupable avant même l’ouverture du procès. L’affaire mérite qu’on s’y attarde, car elle condense à peu près toutes les tensions du moment : régulation européenne ex ante, souveraineté numérique, sécurité informatique, et bras de fer transatlantique. Tentons d’y voir clair, étape par étape. ...

Quatre interventions traitées en parallèle par les Chambres fédérales entre novembre 2025 et mars 2026 dessinent, en creux, la position helvétique sur la régulation du numérique : prudence sur la conservation des traces, attentisme sur le contrôle à l’exportation, observation sur la simplification européenne, préférence pour le modèle UE en matière d’accès transfrontalier aux preuves. Ces interventions méritent une lecture analytique afin d’en comprendre les fondements et leurs effets. Motion 25.4411 — La suppression des messageries inactives de la Confédération Ce que demande la CdG-E La motion 25.4411, déposée le 11 novembre 2025 par la Commission de gestion du Conseil des États, demande au Conseil fédéral un projet législatif fixant un délai de suppression différencié des messageries professionnelles des magistrats et collaborateurs fédéraux après leur départ. Le délai actuel (45 jours de désactivation suivis de 90 jours de récupération, soit 135 jours au total) serait porté à au moins un an pour les magistrats et les cadres au-dessus d’un certain niveau hiérarchique (à définir), et adéquatement prolongé pour les autres fonctions. La motion trouve racine dans l’inspection sur les indiscrétions COVID-19 (FF 2024 335) et dans le constat que le délai de 135 jours n’a aucune base légale. ...

Chères lectrices, Chers lecteurs, Vous ne les verrez pas tout de suite, mais plusieurs choses ont changé sur le blog. Ce sont des modifications “sous le capot” qui améliorent légèrement votre navigation. Voilà pour la forme. En ce qui concerne le fond, un nouvel article est en préparation. Abonnez-vous à ma newsletter pour ne pas le rater ! A bientôt et merci de votre fidélité ! François Glossaire J’ai créé un glossaire qui permet d’afficher des infobulles explicatives dans les articles. Le domaine technicojuridique est complexe, et même en tenant de vulgariser, je ne peux pas échapper au jargon et à certains acronymes. Désormais, ils seront expliqués avec des textes personnalisés. ...

Introduction Le 5 mars 2026, le site swissprivacy.law a publié une contribution signée par plusieurs praticiens critiquant la résolution de privatim du 18 novembre 2025 sur l’externalisation du traitement des données dans le cloud public. En substance, les auteurs reprochent à privatim une approche « peu nuancée », « déconnectée du droit en vigueur » et insuffisamment attentive aux réalités technologiques et économiques des administrations publiques. La contribution a par ailleurs été reprise dans les colonnes du quotidien Le Temps. ...

Ce qui s’est passé et pourquoi Le 9 février 2026, OpenAI a officiellement lancé des publicités dans ChatGPT aux États-Unis. Les annonces apparaissent dans la version gratuite et pour les abonnés à l’offre Go (8 $/mois), mais pas pour les abonnés Plus, Pro, Business ou Entreprise. L’annonce initiale remonte au 16 janvier 2026, lorsqu’OpenAI a confirmé son intention de tester la publicité sur le marché américain. La décision ne tombe pas du ciel. OpenAI dépense environ 1,69 $ pour chaque dollar de revenu. Les coûts d’inférence se chiffraient à 8,4 milliards de dollars en 2025, avec une projection à 14,1 milliards en 2026. Sur plus de 800 millions d’utilisateurs hebdomadaires, environ 50 millions paient un abonnement — soit un taux de conversion d’à peine 5 %. Les pertes cumulées projetées atteignent 115 milliards de dollars d’ici 2029. L’entreprise vise 280 milliards de dollars de revenus d’ici 2030 et prévoit environ 600 milliards de dollars de dépenses d’infrastructure sur la même période. ...

Le Tribunal fédéral vient de franchir un pas important dans l’adaptation du droit pénal aux réalités technologiques contemporaines. Dans son arrêt 6B_122/2024 du 20 novembre 2025 (destiné à publication aux ATF), la haute cour s’est prononcée sur la qualification juridique de ce qu’elle appelle la « pseudo-pornographie infantine » (Scheinkinderpornografie) – soit des contenus pornographiques mettant en scène des personnes majeures dont l’apparence a été artificiellement modifiée pour les faire paraître mineures. ...

Le 18 décembre 2025, une motion 25.4715 a été déposée au Conseil national. Son titre, ambitieux, promet de « renforcer la cybersécurité » tout en « réduisant la bureaucratie » grâce à « des voies de notification harmonisées pour la Suisse numérique ». Voici l’argumentaire en substance : le 20 août 2025, le Conseil fédéral a chargé le Département fédéral de la défense, de la protection de la population et des sports (DDPS), le Département fédéral de l’environnement, des transports, de l’énergie et de la communication (DETEC) et le Département fédéral de l’économie, de la formation et de la recherche (DEFR) d’élaborer une base légale pour la cyberrésilience des produits numériques. Cependant, l’Union européenne a, quant à elle, franchi un cap décisif avec le Cyber Resilience Act (CRA) et le projet Digital Omnibus, dont l’un des objectifs affichés est précisément de réduire les charges administratives et de consolider les procédures de notification. ...