La nouvelle loi fédérale sur la protection des données - Lukas Bühlmann, LL.M, Partner & Cornelia Mattig, LL.M, Associate

La nouvelle loi fédérale sur la protection des données

Meyerlustenberger Lachenal Ltd. / Froriep Legal Ltd.
Lukas Bühlmann, LL.M, Partner & Cornelia Mattig, LL.M, Associate

12. février 2021

Agenda

1. Pourquoi une révision?
2. Qu’est-ce qui change?
3. Comment les changements
   peuvent-ils être mis en œuvre ?

3

Questions et discussion

“ ?                       Vous pouvez poser des questions via la
                          function de chat ou verbalement à la fin du
                          webinaire

                     ”

4

1 h est à la fois longue et courte:
plus de détails sur: www.mll-news.com

Pourquoi une révision?

6

Déroulement des consultations sur le revLPD

                            Septembre 2017:                       Jusqu‘en septembre 2020:
                            Message du                            Élimination des
    Décembre 2016:          Conseil fédéral   De mi à fin 2019:   divergences            Entrée en
    Mise en                                   Déliberations                              vigueur prévue
    consultation de                           parlementaires                             2022
    l’avant-projet de
    révision totale de la
    LPD

Qu’est-ce qui change?

Modification du champ d’application
et des principes généraux

9

Champ d’application
 En principe: revLPD régit le traitement de données
  concernant les personnes physiques (art. 2 revLPD):
     Personnes physiques
     Organes fédéraux

 Application extraterritorial (art. 3 revLPD): revLPD
  s’applique aux faits, qui ont un effet en Suisse, même
  s’ils se passent à l’étranger

 RGPD: effet extraterritorial concernant le suivi du
  comportement et l’offre de biens ou de services aux
  personnes concernées dans l’Union (art. 3 RGPD)

10

Que sont les données personnelles respectivement les données
personnelles sensibles?
    Données personelles = toutes les informations concernant une personne physique identifiée ou identifiable (art. 4
     let. a revLPD)
    Personne concernée (art. 4 let. b revLPD): seulement les pesonnes physique

     revLPD (art. 5 let. c) «données personnelles             RGPD (art. 9) «les catégories particulières de
     sensibles»                                               données à caractère personnel»
     Les donées sur les opinions ou activités religieuses,    Les données sur les opinions politiques, les convictions
     philosophiques, politiques ou syndicales                 religieuses, philosophiques ou l’appartenance syndicale
     Les données sur la santé, sur la sphère intime ou sur    Les données sur l’origine raciale ou ethnique
     l’origine raciale ou ethnique
     Les données génétiques, les données biométriques         Les données biométriques aux fins d'identifier une
     identifiant une personne physique                        personne physique de manière unique, les données
                                                              concernant la santé ou les données concernant la vie
                                                              sexuelle ou l'orientation sexuelle d'une personne
                                                              physique
     Les données sur des poursuites ou sanctions pénales et   -
     administratives
     Les données sur des mesures d’aide sociale               -

    Nouveau: Restriction aux personnes physiques et adaption du catalogue des données personnelles sensibles

11

Les principes de base de la LPD (art. 6 revLPD)

                                                Transparence
                                  Légalité

                 Exactitude des
                                                         Proporitionnalité
                   données

                                             Limitation du but
                             La bonne foi
                                               de traitement

12

Consentement
 revLPD (art. 6 al. 6 et 7)                                            LPD (art. 4 al. 5)

 Lorsque le consentement de la personne concernée est                  Lorsque son consentement est requis pour justifier le
 requis, celle-ci ne consent valablement que si elle exprime           traitement de données personnelles la concernant, la
 librement sa volonté concernant un ou plusieurs                       personne concernée ne consent valablement que si elle
 traitements déterminés et après avoir été dûment informée.            exprime sa volonté librement et après avoir été dûment
                                                                       informée.
 Le consentement doit être explicite dans les cas suivants:            Lorsqu’il s’agit de données sensibles et de profils de la
 a. un traitement de données sensibles;                                personnalité, son consentement doit être au surplus
 b. un profilage à risque élevé effectué par une personne privée; ou   explicite.
 c. un profilage effectué par un organe fédéral.

    Consentement explicit est obligatoire (art. 6 al. 7 revLPD):
          un traitement de données sensibles;
          un profilage à risque élevé effectué par une personne privée;
          un profilage effectué par un organe fédéral.
    Nouveau: Formulation (le rapprochement avec le RGDP n’est pas clair) et consentement explicite pour le
     profilage à risque élevé effectué ainsi que pour le traitement de données personnelles particulièrement sensibles
    Important: «lorsque le consentement est requis» – Le consentement ou toute autre justification n’est pas à
     chaque fois requis (situation différent: RGPD)
    Mais: Il n’est pas clair si dans les cas mentionnés à l’alinéa 7 il faut toujours un consentement explicite ou –
     conformément à la loi actuelle – uniquement, si dans ces cas, un consentement est requis

13

Qu'est-ce que le profilage ?
 Définition (art. 5 let. f revLPD): Le profilage est le
  traitement automatisé de données
  personnelles consistant à utiliser ces données
  pour évaluer certains aspects personnels relatifs à
  une personne physique, notamment pour analyser
  ou prédire des éléments concernant le rendement
  au travail, la situation économique, la santé, les
  préférences personnelles, les intérêts, le
  comportement, la localisation ou les déplacements
  de cette personne physique
 Par exemple: vérification de la solvabilité, création
  de profils d'utilisateurs ou analyses CRM si
  nécessaire
 Nouveau: Le profilage au lieu du profil de
  personnalité - adaptation à la réglementation
  internationale - le profilage est un processus, alors
  que le profil de personnalité était le résultat d'un
  traitement de données
 Si le profilage que comporte un risque élevé pour la
  personnalité ou pour les droits fondamentaux de la
  personne concernée  le consentement exprès
  est requis

Autres changements principaux

Devoirs et processus nouveaux

16

Devoir d’informer (art. 19 revLPD)

    LPD actuelle: Pas de devoir d’informer pour les données
     personnelles «normales» – l’obligation de transparence est
     applicable
    revLPD: Le responsable du traitement informe la personne
     concernée de manière adéquate de la collecte au minimum sur:
          l’identité et les coordonnées du responsable du traitement;
          la finalité du traitement;
          le cas échéant, les destinataires ou les catégories de
           destinataires auxquels des données personnelles sont
           transmises
    RGDP: Le catalogue est plus détaillé
 Le devoir d’informer s’applique également concernant les
  données collectées auprès d’un tiers (art. 19 al. 3/5 revLPD)
          Au plus tard un mois après l’obtention des données personnelles
          En plus: Informations sur les catégories de données personnelles
           traités
    Nouveau: Réglementation détaillée avec obligation d’informer
     minimale (transparence): punissable

17

Devoir d’information – décision individuelle automatisée
(art. 21 revLPD)
 «de toute décision qui est prise exclusivement sur la base d’un traitement de
  données personnelles automatisé et qui a des effets juridiques pour elle ou l’affecte
  de manière significative»
 Automatisée: L'appréciation matérielle des faits sur lesquels la décision est fondée
  se fait sans l'intervention d'une personne physique et, en outre, la décision prise sur
  la base de cette appréciation n'est pas prise par une personne physique
 Conséquence juridique: conséquences directes, prévues par la loi, pour la
  personne concernée (par exemple, la conclusion d'un contrat)
 Atteinte significative: La personne concernée est affectée de manière durable, par
  exemple dans ses intérêts économiques ou personnels
 Conséquences: La personne concernée peut demander que le responsable du
  traitement lui donne la possibilité de faire valoir son point de vue et exiger que la
  décision individuelle automatisée soit revue par une personne physique
 Exceptions: La décision individuelle automatisée est en relation directe avec la
  conclusion ou l’exécution d’un contrat entre le responsable du traitement et la
  personne concernée et la demande de cette dernière sera acceptée; consentement
  exprès

18

Registre des activités de traitement (art. 12 revLPD)

 Le point essentiel de la conformité relative à
  la protection des données
 Nouveau: Obligation de tenir un registre des
  activités de traitement de données
  personnelles et contenu minimum imposé
  (responsable du traitement et sous-traitant)
 Le régistre doit être tenu par le responsable et
  le sous-traitant sous forme condensée
 Exceptions prévues par le Conseil fédéral:
      pour les entreprises qui emploient moins de
       250 collaborateurs et
      dont le traitement de données présente un
       risque limité d’atteinte à la personnalité
 Conseil pratique: Utilisation d’un logiciel
  spécifique

19

Registre des activités de traitement - Contenu
 revLPD (art. 12; exigences minimales)                       RGPD (art. 30; obligatoire)

 L’identité du responsable du traitement                     Le nom et les coordonnées du responsable du traitement et,
                                                             le cas échéant, le responsable conjoint du traitement, le
                                                             représentant du responsable du traitement et le délégué à la
                                                             protection des données

 La finalité du traitement                                   Les finalités du traitement

 Une description des catégories de personnes concernées et   Une description des catégories de personnes concernées et
 des catégories de données personnelles traitées             des catégories de données à caractère personnel

 Les catégories de destinataires                             Les catégories de destinataires

 Dans la mesure du possible, le délai de conservation des    Si possible, les délais prévus pour l'effacement des
 données personnelles ou les critères pour déterminer la     différentes catégories de données
 durée de conservation
 Dans la mesure du possible, une description générale des    Si possible, une description générale des mesures de
 mesures visant à garantir la sécurité des données           sécurité techniques et organisationnelles

 en cas de communication de données personnelles à           Le cas échéant, les transferts de données à caractère
 l’étranger, le nom de l’État concerné et les garanties      personnel vers un pays tiers, y compris l’identification de ce
                                                             pays tiers, et les documents attestant de l’existence de
                                                             garanties appropriées

20

Communication de données personnelles à l’étranger (art. 16
revLPD)
    Principe: La communication de données personelles est autorisée
    Mais: Le Conseil fédéral doit constater que l’État concerné dispose
     d’une législation assurant un niveau de protection adéquat
    En cas d’absence de décision d'adéquation du Conseil fédéral :
          Existence d’un traité international;
          Clauses de protection des données au sein d’un contrat conclu
           entre le responsable du traitement ou le sous-traitant et son
           cocontractant, préalablement communiquées au PFPDT
          Garanties spécifiques élaborées par l’organe fédéral compétent et
           préalablement communiquées au PFPDT
          Clauses type de protection des données préalablement
           approuvées, établies ou reconnues par le PFPDT
          Règles d’entreprise contraignantes préalablement approuvées par
           le PFPDT ou par une autorité chargée de la protection des
           données relevant d’un État qui assure un niveau de protection
           adéquat
 Certaines exceptions (art. 17 revLPD): Par example la personne
  concernée a expressément donné son consentement à la
  communication; conclusion/exécution d'un contrat, etc.
 Nouveau: Le Conseil fédéral décide d'un niveau de protection des
  données adéquat à l'étranger, et non plus le PFPDT ; punissable par
  la loi

21

Sous-traitance (art. 9 revLPD)

 La sous-traitance est basé sur un contrat (ou une
  disposition légale)
 Contrat comme preuve centrale
 Le sous-traitant doit être obligé de traiter les données
  uniquement de la même manière que le responsable
  du traitement et d'assurer la sécurité des données -
  devoir de diligence
 Aucune obligation légale ou contractuelle de
  confidentialité ne l’interdit pas
 Le sous-traitant ne peut lui-même sous-traiter un
  traitement à un tiers qu’avec l’autorisation préalable du
  responsable du traitement
 RGPD: Autres exigences minimales relatives au
  contenu du contrat
 Nouveau: Règlement concernant les sous-traitants
 Important: La violation de l'art. 9 al. 1 et 2 revLPD est
  sanctionnée par la loi - Augmente l'importance de l
  ’obligation de diligence en comparaison avec le droit
  existant

22

Analyse d’impact relative à la protection des données
(art. 22 s. revLPD)
    Objectif: Évaluation préalable et, si nécessaire, réduction des risques pour la
     protection des données liés à un nouveau traitement de données.

    Avant l'activité de traitement des données

    Obligation de procéder à une évaluation d'impact sur la protection des données en
     cas de risque accru pour la personnalité ou les droits fondamentaux de la personne
     concernée

    Contenu:
           une description du traitement envisagé
           une évaluation des risques pour la personnalité les droits fondamentaux de la
            personne concernée
           ainsi que les mesures prévues pour réduire ces risques
    Pas nécessaire dans le cas des certifications approuvées par le PFPDT (art. 13
     revLPD) ou Codes de conduite (art. 11 revLPD) ou en cas de traitement de données
     effectué par des personnes privées afin de respecter une obligation légale de la part
     du responsable du traitement
    Le cas échéant, obligation de consultation préalable du PFPDT (art. 23 revLPD)

    RGPD: prévoit une réglementation comparable, mais plus détaillée

    Nouveau: analyse d’impact relative à la protection des données personnelles
     obligatoire

23

Notification des violations de la protection des données (art. 24
revLPD)
 Définition juridique de la violations de la protection
  des données:
     «(…) toute violation de la protection des données
     entraînant de manière accidentelle ou illicite la perte de
     données personnelles, leur modification, leur
     effacement ou leur destruction, leur divulgation ou un
     accès non autorisés à ces données;»
 Le responsable du traitement notifie sans délai au
  PFPDT toute violation de la protection des données
  entraînant vraisemblablement un risque élevé pour
  la personnalité ou les droits fondamentaux de la
  personne concernée
 «sans délai»: Pas de spécification temporelle
  explicit  référence à la RGPD (72h) judicieux
 RGPD: Même contenu, mais délai de notification
  exact de 72 heures
 Nouveau: Obligation d’annonce des violations de la
  protection des données

24

Droits de la personne concernée

 Renforcer les droits de la personne concernée
 Objet: permettre un meilleur contrôle par les
  personnes concernées
 Droits (art. 25 ff. revLPD i.V.m. art. 32 revLPD):
      droit d’accès
      droit de rectification
      droit à l'effacement et à la destruction
      droit de limiter le traitement des données
      droit à la remise ou à la transmission des
       données personnelles
      droit d'interdire certaines divulgations de
       données à caractère personnel à des tiers
      droit de révoquer son consentement
      Droit requérir la mention du caractère litigieux
       («Swiss Finish»)

Sanctions

26

Les pouvoirs du PFPDT (art. 49 ff. revLPD)

 Développement des compétences et des pouvoirs
 Pouvoir de disposition suite à la clôture d'une enquête ouverte d'office ou sur
  dénonciation (art. 49 revLPD)
 Caractère contraignant de l'ordonnance (plus de simples recommandations)
 Obligation étendue de coopérer de la personne concernée durant l'enquête
 Peut échanger des informations ou des données personnelles avec des
  autorités de contrôle étrangères à certaines conditions (notamment la
  réciprocité)
 RGPD: très similaire mais le PFPDT n’est pas compétant pour imposer des
  amendes
 Nouveau: Le PFPDT a la possibilité de se prononcer; non-respect
  sanctionné par la loi

27

Dispositions pénales (art. 60 ss revLPD)

 "Auteurs« / punissables: Principalement des personnes physiques.
        Principalement des «cadres»
        Conseil fédéral: «La crainte que n’importe quel employé d’une entreprise traitant des données puisse être
         condamné est infondée. La plupart des comportements punissables concernent en effet le responsable du
         traitement. Lorsque ce dernier est une entreprise, l’infraction est alors imputée aux représentants des
         organes dirigeants, en application de l’art. 29 CP. Il en va notamment ainsi en cas d’insoumission à une
         décision du préposé: est alors punissable la personne responsable qui, au sein de l’entreprise, aurait
         dû faire exécuter la décision administrative du préposé.»
 Violation des obligations d’informer, de renseigner, de collaborer et des devoirs de
  diligence
 Violation du devoir de discrétion (art. 62 revLPD)  données personnelles secrètes
 Seuls les manquements intentionnels aux obligations peuvent être sanctionnés
 Amendes jusqu'à 250 000 CHF
 Le PFPDT n'est pas compétent pour imposer des amendes (demandeur privé)
 La poursuite et le jugement des infractions incombent aux cantons (Ministère public; art.
  65 revLPD)
 En outre, des poursuites civiles pour violation des droits de la personnalité sont toujours
  possibles (art. 32 revLPD)

28

Dispositions pénales (1)

 Quels sont les manquements au devoir qui sont punissables?
      Informations intentionnellement inexacts ou incomplets (art. 60 revLPD):
          aux personnes concernées conformément à l'obligation d'informer (art. 19 revLPD resp. art. 21
           revLPD)
          aux personnes concernées dans l'exercice de leurs droits (art. 25 - 27 revLPD)
          au PFPDT (art. 49 revLPD)
      Omettent intentionnellement:(art. 60 revLPD):
          obligation d'informer (art. 19 revLPD resp. art. 21 revLPD)
          l'information minimale (art. 19 al. 2 reLPD)
      Violation intentionnelle du devoir de diligence (art. 61 revLPD):
          communiquent des données personnelles à l’étranger en violation de l’art. 16, al. 1 et 2, et sans
           que les conditions de l’art. 17 soient remplies
          confient le traitement de données personnelles à un sous-traitant sans que les conditions de
           l’art. 9 al. 1 et 2 soient remplies (art. 9 al. 1 et 2 revLPD)
          ne respectent pas les exigences minimales techniques et organisationelles en matière de
           sécurité des données édictées par le Conseil fédéral selon l’art. 8 al. 3 revLPD

29

Dispositions pénales (2)

 Quels sont les comportements punissables?
      Violation intentionnelle du secret professionel (art. 62 revLPD)
      Insoumission à une décision du PFPDT (art. 63 revLPD)
 L’intention comme une limitation valable en pratique?
      Une démarcation difficile en rapport avec les obligations découlant de la
       législation sur la protection des données
      Influence décisive des autorités cantonales de poursuite pénale sur la pratique
      (Probablement) des différences d'interprétation entre les cantons

En outre: Les actions civiles pour violation des droits de la personnalité restent
possibles (art. 32 revLPD)

Dispositions transitoires

31

Dispositions transitoires
(art. 69 ss revLPD)
 Pas de dispositions transitoires
 Les nouvelles règles s'appliquent
  dès leur entrée en vigueur
 Il est important d'agir en temps utile

Comment les changements peuvent-ils
         être appliqués en pratique ?

Mise en œuvre d'un projet typique

34

Vos prochaines étapes

     Décision sur l'exécution du projet
     concernant la mise en œuvre des                                      Clarification du statut de base et
exigences en matière de protection des                                    sensibilisation dans l'entreprise
                              données

                                             DÉCISION   SENSIBILISATION

                                          EVALUATION      SURVEILLANCE

      Évaluation interne concernant la
       mise en œuvre du respect de la                                     Suivre l'évolution du
               protection des données                                     processus législatif

35

Procédure du projet - vue d'ensemble

                     Inventaire /                     Établissement                      Monitoring,
                     statu quo                        des priorités et                   mise à jour,
     Travaux                        Analyse des       mise en œuvre      Définir le      formation
     préparatoires                  besoins           des mesures        processus de
                                    d'action                             monitoring et
                                    (évaluation des                      de révision
                                    lacunes)

Lukas Bühlmann, LL.M.                     Cornelia Mattig, LL.M.

                   Head Digital, Data Privacy & E-Commerce
                   Partner, Zürich                           Associate, Zürich
                   lukas.buehlmann@mll-legal.com             cmattig@froriep.ch
                   www.mll-legal.com | www.mll-news.com      www.froriep.com

Merci

Merci pour votre temps et votre intérêt

12. février 2021

About MLL

38

About MLL

     110+
      talented lawyers          working with

                                35
                                expert partners
                   in

              4
          major cities          advising
          (+ 3 foreign desks)   across

                                14
                                core
                                services

39

Office Locations

                   Zurich                          Geneva
                   Schiffbaustrasse 2              65 rue du Rhône
                   P.O. Box 1765                   P.O. Box 3199
                   8031 Zurich                     1211 Geneva 3
                   Switzerland                     Switzerland
                   Tel: +41 44 396 91 91           Tel: +41 22 737 10 00
                   Email: zurich@mll-legal.com     Email: geneva@mll-legal.com

                   Lausanne                        Zug
                   1 rue du Grand-Chêne            Grabenstrasse 25
                   Case postale 5379               6340 Baar/Zug
                   1003 Lausanne                   Switzerland
                   Switzerland                     Tel: +41 41 768 1111
                   Tel: +41 21 310 40 20           Email: zug@mll-legal.com
                   Email: lausanne@mll-legal.com

40

Our Strategic Positioning and Strength:
Intersection of high tech, IP rich and regulated industries

              HIGH TECH                                REGULATED
                            Pharma, Life Science,
                                Health Care

                          Real Estate & Construction
                              Financial Services

                             Digital, Technology,
                             Telecommunications

                               Retail & Luxury

                                 IP RICH

41

 Our Core Values

    Efficiency, straightforwardness
  and transparency (including costs)                                        Your needs are at the center of our
is key for us when providing solutions                                      business philosophy, operations,
                     to your questions                                      ideas and solutions

                                         TARGET-ORIENTED   CLIENT-CENTRIC

                                         ENTREPRENEURIAL    INNOVATIVE

         We create added value for
      you and stand readily available                                       We develop creative and
                    at your disposal                                        tailor-made solutions for you

Services / Experiences

43

Practice Areas

     Banking & Finance          Tax             IT, Data Privacy       Real Estate &
                                                & E-Commerce           Construction

      Private Clients     Corporate & M&A      Employment Law         Dispute Resolution
                                               & Social Security

       Restructuring        Competition,      Intellectual Property    Capital Markets
       & Insolvency      Trade & Regulatory

44

Industry Groups

     Financial Services                 Digital, Technology &                     DLT | Blockchain &                Life Sciences &
                                         Telecommunication                         Cryptocurrencies                    Healthcare

                          Real Estate                           Retail & Luxury                        MLL Start!

45

Experience

Unparalleled experience in life         Leading position in new                  Leading ICT & Data Privacy              Market leader in ecommerce and
sciences IP litigation                  technologies                             Practice                                digital business

MLL is the Swiss firm involved in the   MLL is the leading Swiss law firm at     One of the largest teams in             MLL handles the highest volume of
highest number of Swiss IP              the interface of intellectual property   Switzerland advising on ICT, data       national and international ecommerce
infringement proceedings in the life    and new technologies.                    privacy and security issues. MLL        projects. MLL is the most trusted law
sciences sector. For example, MLL       MLL is representing a patent holder in   advised on more than 100 GDPR           firm for major Swiss ecommerce and
represented Gilead in a landmark        one of the first patent infringement     implementation projects across many     retail associations. MLL also advises
patent dispute concerning Gilead’s      proceedings in Europe concerning a       industry sectors. MLL advises the       one of the largest Swiss luxury brands
SPC for the blockbuster product         blockchain application.                  Swiss public transport sector with      in building its international
Truvada® .                                                                       regard to shared data strategy.         ecommerce platform.

Trusted advisor in finance              Capital market expertise                 Powerful M&A team                       Outstanding competition team
transactions
                                        We advise issuers and investment         16 partners and around 25 associates    Clients laud MLL's competition, trade
Our firm is advising lenders and        banks on all types of capital market     work in our M&A team which has a        and regulatory team as being 'highly
borrowers in all types of financing     transactions, including IPOs, private    leading position for mid-sized          experienced and professional‘. With
transactions. Our expertise is also     placements, rights offerings, debt       transactions in Switzerland. The team   its extensive experience in all aspects
shown by the appointments of MLL to     offerings and exchange offers. In        advises on public as well as private    of Swiss competition law, distribution
the panels of Credit Suisse, Société    2019 we advised Poenina Holding AG       M&A transactions with a focus on        law and matters arising at the
Générale, Raiffeisen Bank and Wells     (construction) in its IPO at SIX Swiss   fintech, financing and banking,         interface of regulated markets and
Fargo Bank.                             Exchange and Spital Männedorf AG         renewable energy, real-estate, life-    competition law, the team is a go-to
                                        in its first listing of a bond at SIX    sciences, healthcare and machinery.     address in Switzerland.
                                        Swiss Exchange.

46

Our Experience in Digital & ICT Matters

 Very experienced, large ICT team with the following main focuses:
      Data protection and data security (Swiss Data Protection Act, EU GDPR)
      Information technology, software law and IT procurement
      Media law (focus on new media, distribution of content through streaming and
       sharing platforms, social media)
      Digital commerce and multichannel retail (especially cross-border)
      Regulation of the internet and consumer protection
      Advertising law (online and offline), direct marketing and unfair competition
      E-commerce logistics (incl. customs clearance)
 Industry experience: e-commerce, retail, luxury goods, direct marketing, data
  analytics, ad industry, health, tourism, software & SaaS, logistics, content
  sharing platforms and streaming platforms

47

Key Contacts

                                 Digital, Data Privacy & E-Commerce                                                      Digital, Data Privacy & E-Commerce

                                 Lukas Bühlmann                                                                          Michael Reinle

                                 Head Digital, Data Privacy & E-Commerce                                                 Partner, Zürich
                                 Partner, Zürich                                                                         T +41 44 396 92 33
                                 T +41 44 396 91 17                                                                      michael.reinle@mll-legal.com
                                 lukas.buehlmann@mll-legal.com

     “He is an extremely far-    Lukas Bühlmann leitet die Praxisgruppe „Digital, Data                The “available,    Michael Reinle ist Mitglied der Praxisgruppe IT,
          sighted lawyer who     Privacy & E-Commerce“ und berät ein breites Spektrum                responsive and      Datenschutz & E-Commerce. Seine Schwerpunkte liegen
      always tries to keep an    von schweizerischen und internationalen Klienten im             business-oriented”      im Bereich des Datenschutzrechts und im IT sowie
            eye on the whole     Internet- und E-Commerce-Bereich, im                        Michael Reinle, who “is     Technologierecht. Michael Reinle verfügt zudem über
                                 Gesundheitswesen, in der Tourismusbranche sowie                                         umfangreiche Erfahrungen in regulatorischen Fragen in
      picture and take future                                                                    a true expert in his
                                 Anbieter des öffentlichen Verkehrs tätig. Er berät                                      den Bereichen Lebensmittel, Konsumgüter und
           developments into                                                                                   field”.
                                 regelmässig Klienten in den Bereichen IT-, E-Commerce-,                                 Medizinprodukte. Darüber hinaus berät und vertritt er
                     account.”   Datenschutz- und Werberechts. Lukas Bühlmann verfügt                                    Klienten aus einer Vielzahl von Branchen in Fragen des
                                                                                              Legal 500, TMT, 2020
      Chambers, TMT, 2020        über besonders breite Erfahrungen in der rechtlichen                                    gewerblichen Rechtsschutzes, des unlauteren
                                 Beratung von Klienten, die im internationalen,              Michael Reinle is “quick    Wettbewerbs- und des Werberechts. Er spricht fliessend
       “Mr Lukas Bühlmann        grenzüberschreitenden E-Commerce tätig sind, sowie in                and efficient”.    Deutsch, Englisch, Französisch und ist
            reflects the high    Rechtsfragen an der Schnittstelle des Wettbewerbsrechts                                 konversationssicher in Spanisch.
      standards of the firm.     und allen Bereichen des digitalen Handels.                   Legal 500, TMT, 2019
     Especially in matters of                                                                                            Michael Reinle war Mitglied des Ständigen Ausschusses
                                                                                                  “Michael Reinle is
          international data     Lukas Bühlmann ist ein international anerkannter Experte                                der AIPPI für Markenrecht (Q212). Er arbeitete in diversen
                                 für die digitale Wirtschaft und wurde im vergangenen Jahr
                                                                                                    competent data       nationalen Studiengruppen der AIPPI mit, zum Beispiel in
                  protection.”                                                                 protection specialist”.
                                 zum Rechtsexperten des International Trade Center (ITC)                                 der Studiengruppe betreffend Immaterialgüterrechte und
      Legal 500, TMT, 2020       in Genf im Bereich des Datenschutzes sowie                   Legal 500, TMT, 2018       Lizenzverträge in Konkurs- und Reorganisationsverfahren
                                 Cybersecurity ernannt. Er publiziert regelmässig, hält                                  sowie in derjenigen betreffend Urheberrechte an AI
                                 Vorträge und ist auch als Branchenexperte für digitale                                  generierten Werken. Darüber hinaus referiert er
                                 Werbung und Direktmarketing bei der Schweizerischen                                     regelmässig in seinen Schwerpunktgebieten.
                                 Lauterkeitskommission tätig.

48

Digital, Data Privacy & E-Commerce – Team Contacts

          Lukas Bühlmann                            Michael Reinle
          Head Digital, Data Privacy & E-Commerce   Partner, Zürich
          Partner, Zürich                           T +41 44 396 92 33
          T +41 44 396 91 17                        michael.reinle@mll-legal.com
          lukas.buehlmann@mll-legal.com

         Reinhard Oertli                            Marco S. Meier
         Partner, Zürich                            T +41 44 396 91 08
         T +41 44 396 91 67                         marco.meier@mll-legal.com
         reinhard.oertli@mll-legal.com

         Michael Schüepp                            Marion Lagler                  Damian George
         T +41 44 396 91 53                         T +41 44 396 91 34             T +41 44 396 91 34
         michael.schueepp@mll-legal.com             marion.lagler@mll-legal.com    damian.george@mll-legal.com

What clients say about us

          An outstanding IP team – or        In-depth know-how about e-commerce as a
          maybe better: THE outstanding IP   business model. You do not have to explain
          team in Switzerland.               them in long hours what the situation is. Of
                                             course they are always up to date
          The Legal 500, 2020, IP            monitoring jurisdiction and political
                                             processes (legislation). They inform
                                             proactively in case there is anything
    Response time is extremely short         important to know.
    and they have a very pragmatic
    approach.                                The Legal 500, 2020, TMT
    Chambers 2020, Corporate/M&A

International Recognition:
Legal 500

                Year after year we are recognized as a leading Swiss business law firm by
                independent, international rating agencies.

                Legal 500 EMEA, 2020 (selection):             Excellent knowledge of broad data protection and
                 FinTech: Tier 1                             privacy related topics. Ability to put regulatory and
                                                              legal topics in context of new developments (e.g.
                 Banking and finance: Tier 3                 artificial intelligence). Size and experience to handle
                 Capital markets: Tier 2                     large data protection projects .
                 Commercial, corporate and M&A: Tier 3       Data privacy and data protection
                 Competition: Tier 2
                                                              MLL Team has a long experience in e-commerce
                 Data privacy and data protection: Tier 2    and is driving the topic within Switzerland with
                 Litigation: Tier 3                          blogs, events, experience-exchanges, videos etc.
                                                              The team has grown over the past years and the
                 Employment: Tier 2                          experts remain on board and enhances the scope
                 Intellectual Property: Tier 1               of offers constantly. It is dedicated to all “new”
                 Insolvency and corporate recovery: Tier 4   questions around being an online-shop such as
                                                              data protection, IP rights of text, pictures, products,
                 Private client: Tier 2                      cross border issues, online price declaration,
                 Tax: Tier 4                                 marcom, etc
                 TMT: Tier 2                                 TMT

International Recognition:
Chambers and Partners

                Year after year we are recognized as a leading Swiss business law firm by
                independent, international rating agencies.

                Chambers and Partners, 2020:               They are pragmatic, efficient and easy to work with,
                 Banking & Finance: Band 4                they won't get bogged down by unwarranted things.
                                                           They are just really easy to deal with.
                 Capital Markets: Band 3
                                                           Intellectual Property
                 Competition/Antitrust: Band 3
                 Corporate/M&A: Band 3                    MLL were very experienced when it came to speaking
                 Employment: Band 4                       before FINMA and that experience is vital in such a
                                                           novel legal area. In these sorts of matters, I like that as
                 FinTech: Band 3                          a team they're not afraid to think. That's very
                 Intellectual Property: Band 1            important.
                 Life Sciences: Band 2                    FinTech
                 Litigation: Band 4                       The team sees the economic problems, so they
                 Private Wealth Law: Band 3               always find good solutions we can use in real-world
                 Real Estate: Band 3                      scenarios.
                                                           TMT
                 Tax: Band 4
                 TMT: Band 3

International Recognition:
Digital, Data Privacy & E-Commerce

                Year after year we are recognized as a leading Swiss business law firm by
                independent, international rating agencies such as The Legal500, Chambers
                and Partners, IFLR1000.

                "MLL were responsive and pragmatic throughout – effectively          “Well versed in data protection and data privacy
                navigating the nuances associated with international compliance      matters, including GDPR and compliance issues.
                work, and presenting advice in a way that was clear and easily       Represents clients in the negotiation of IT outsourcing
                understood by the client. An excellent team."                        agreements. Noted for advising on e-commerce and
                "Quick answers, very easy to reach. Deep and accurate                unfair competition regulation. Also experienced in
                knowledge yet offering practical solutions."                         disputes concerning allegations of false advertising.
                The Legal 500, TMT, 2020                                             Strengths One client highlights the team's commercial
                                                                                     awareness: "The team sees the economic problems,
                                                                                     so they always find good solutions we can use in real-
                 Another source says: "They are super-fast in getting back to us,"   world scenarios."
                 while also being "very diligent in checking each and every          Chambers and Partners, TMT, 2020
                 paragraph for the detail."
                 Chambers and Partners, TMT, 2020