Auteur/autrice : admin4461

La CNIL a publié un article pour encadrer les pratiques dans les secteurs de l’audiovisuel et du jeu vidéo, rappelant aux responsables de traitement leurs obligations en matière de durées de conservation. De nombreux services permettent l’achat de contenus dématérialisés (jeux, films, livres, logiciels) reposant sur la création de comptes utilisateurs : la durée de conservation des comptes inactifs devient alors centrale.

L’article 5.1.e du RGPD pose le principe de limitation de la conservation : les données ne peuvent être conservées sous une forme identifiante que pendant une durée n’excédant pas celle nécessaire aux finalités. Les responsables de traitement doivent donc définir une durée précise — ou des critères pour la déterminer — justifiée et proportionnée.

Un compte inactif est un compte sans activité ni connexion pendant une certaine période. La CNIL considère que deux ans d’inactivité constituent une durée raisonnable, au-delà de laquelle elle recommande d’informer la personne avant l’échéance pour lui laisser le choix de conserver ou supprimer son compte. Pour les services liés à des achats numériques, certaines données peuvent toutefois être conservées plus longtemps (adresse e-mail, pseudonyme, identifiants, sauvegardes de jeux) afin de permettre l’accès aux contenus acquis. En revanche, les données non nécessaires (statistiques, comportementales, prospection commerciale) doivent être supprimées ou anonymisées une fois la durée justifiée atteinte.

La CNIL impose d’informer clairement les utilisateurs des durées de conservation et des critères d’inactivité (politique de confidentialité ou CGU), et de formaliser une politique interne distinguant les phases de conservation (base active, archivage intermédiaire, suppression). Plusieurs décisions récentes illustrent les risques : en janvier 2024, la société PAP a été condamnée à 100 000 euros pour avoir conservé des données au-delà des durées annoncées.

Source : CNIL — Durée de conservation des comptes inactifs.

Le 16 septembre 2025, la Commission européenne et la Personal Information Protection Commission (PIPC) de Corée du Sud ont annoncé la finalisation d’un régime d’adéquation mutuelle, permettant la libre circulation des données personnelles entre l’Union européenne et la République de Corée, sans garanties supplémentaires. Cette annonce prolonge la décision d’adéquation unilatérale de l’UE de 2021 et la réforme coréenne de la PIPA, qui a instauré un mécanisme de « reconnaissance d’équivalence ».

Dans le cadre du RGPD, la décision d’adéquation est l’acte par lequel la Commission constate qu’un pays tiers assure un niveau de protection essentiellement équivalent à celui de l’UE (article 45). Son effet est déterminant : les transferts vers ce pays peuvent intervenir sans autorisation individuelle ni clauses contractuelles types supplémentaires, comme s’il s’agissait d’un transfert intra-UE. Pour les organisations, cela signifie une sécurité juridique renforcée, une réduction des charges de conformité et une plus grande fluidité des échanges transfrontières.

La réforme de mars 2023 de la PIPA avait introduit un mécanisme d’« equivalency recognition » inspiré de l’adéquation européenne. En septembre 2025, les deux autorités ont finalisé l’adéquation mutuelle : l’UE confirme sa décision de 2021 et la PIPC reconnaît officiellement l’UE comme destination adéquate au regard du droit coréen, l’arrangement couvrant les secteurs public et privé.

Outre la Corée, l’UE a reconnu l’adéquation de plusieurs pays ou territoires : Andorre, Argentine, Canada (organisations commerciales), Îles Féroé, Guernesey, Israël, Île de Man, Japon, Jersey, Nouvelle-Zélande, Suisse, Royaume-Uni, Uruguay, ainsi que les États-Unis (dans le cadre du Data Privacy Framework).

Source : Chosun Biz.

Depuis deux ans, l’intelligence artificielle occupe le devant de la scène technologique. On la présente comme un outil capable de remplacer l’humain sur certaines tâches, de transformer radicalement les métiers et de réduire les coûts. Chaque semaine, de nouvelles annonces prédisent une révolution du travail et de l’économie par l’IA.

Mais derrière l’enthousiasme, la réalité est plus nuancée : une majorité des projets d’IA ne dépassent pas la phase de test ou échouent à produire la valeur attendue. La complexité technique, les biais des données, l’intégration dans les processus existants et les questions éthiques ou juridiques freinent souvent l’industrialisation des solutions.

Cette effervescence rappelle celle de la blockchain il y a quelques années : on voulait l’intégrer partout, quitte à forcer son usage, avant que la « hype » ne retombe. La blockchain n’a pas disparu pour autant — elle est devenue un outil technique solide, utilisé là où elle a une réelle pertinence (traçabilité, certification, finance décentralisée). L’IA connaîtra probablement un chemin similaire : après l’emballement, elle trouvera sa place non comme solution miracle, mais comme un outil puissant sur des usages bien identifiés (automatisation de tâches répétitives, aide à la décision, génération de contenu, analyse de données massives).

En tant que DPO, il est important de rappeler que cette maturité passera aussi par une intégration responsable de l’IA, respectueuse de la protection des données, de la transparence et des droits des personnes. La véritable valeur de l’IA ne résidera pas dans la promesse de remplacer l’humain, mais dans sa capacité à l’augmenter intelligemment, dans un cadre de confiance.

Le Data Privacy Framework (DPF), adopté en juillet 2023 par la Commission européenne, constitue le troisième mécanisme encadrant les transferts de données personnelles entre l’Union et les États-Unis, après l’invalidation du Safe Harbor (Schrems I, 2015) et du Privacy Shield (Schrems II, 2020). Il a été conçu pour répondre aux préoccupations de la CJUE, notamment en instaurant une Data Protection Review Court (DPRC) aux États-Unis, destinée à offrir un recours aux citoyens européens.

Le litige

Dans l’affaire T-553/23, Philippe Latombe, député français et membre de la CNIL, a introduit un recours en annulation contre la décision d’adéquation, en sa qualité de citoyen européen. Il invoquait une violation des articles 7 et 8 de la Charte (surveillance de masse), une atteinte au droit à un recours effectif (article 47 de la Charte, article 45(2) du RGPD, le DPRC ne présentant pas selon lui les garanties d’indépendance requises), un défaut de garanties sur les décisions automatisées (article 22) et une insuffisance des mesures de sécurité (article 32).

La solution du Tribunal

Par arrêt du 3 septembre 2025, le Tribunal de l’Union européenne a rejeté le recours, jugeant qu’à la date d’adoption de la décision, les États-Unis assuraient un niveau de protection adéquat (article 45). S’agissant de la surveillance américaine, il a estimé que les activités de renseignement faisaient désormais l’objet d’un contrôle a posteriori par la DPRC, offrant des garanties suffisantes au regard du droit de l’Union.

Portée et perspectives

L’arrêt apporte une sécurité juridique bienvenue aux acteurs recourant aux transferts transatlantiques (banques, laboratoires, entreprises technologiques…). Le litige n’est toutefois pas clos : un pourvoi devant la CJUE reste possible, et celle-ci avait déjà annulé les deux précédents mécanismes. En cas de censure, une crise « Schrems III » pourrait fragiliser l’ensemble des transferts, obligeant les entreprises à recourir aux clauses contractuelles types ou aux règles d’entreprise contraignantes (BCR). L’affaire illustre la tension persistante entre exigences européennes de protection des données et impératifs de sécurité nationale américains.

Sources : Zonebourse ; Hogan Lovells.

L’ACPR (Autorité de contrôle prudentiel et de résolution) est l’autorité compétente pour faire respecter le règlement européen sur l’intelligence artificielle (« IA Act ») dans le secteur financier. L’IA y est notamment utilisée pour l’évaluation de la solvabilité dans l’octroi de crédit aux personnes physiques, ainsi que pour l’évaluation des risques et la tarification en assurance santé et assurance-vie.

L’ACPR se prépare à exercer ces nouvelles missions en veillant « à ajouter le moins possible au fardeau réglementaire des établissements », via une approche par les risques — proportionnant les moyens aux résultats attendus — et en exploitant les synergies avec ses contrôles habituels.

Plusieurs questions restent en suspens. L’ACPR travaille sur cinq axes : la conciliation du règlement avec les autres réglementations propres au secteur financier ; les questions liées à l’audit de l’IA ; la coordination aux niveaux national et européen avec les autres autorités ; l’organisation interne de l’ACPR ; et la communication à mettre en place auprès du secteur. L’objectif est une application cohérente du règlement, en collaboration avec les acteurs financiers.

Source : ACPR — Banque de France.

Le 24 juillet 2025, la Commission européenne a publié une « notice explicative » accompagnée d’un modèle obligatoire pour les fournisseurs de modèles d’IA à usage général (General-Purpose AI, GPAI), destiné à clarifier le contenu utilisé pour entraîner ces systèmes. L’initiative découle de l’article 53(1)(d) du règlement (UE) 2024/1689 (« IA Act ») et complète les lignes directrices du 18 juillet ainsi que le code de conduite du 10 juillet ; les règles relatives aux GPAI s’appliquent à partir du 2 août 2025.

Les GPAI sont des systèmes polyvalents, pré-entraînés sur un grand volume de données variées et utilisables dans de multiples contextes (GPT-4 d’OpenAI, Llama de Meta…). L’IA Act impose à leurs fournisseurs de produire un « résumé public détaillé » des données d’entraînement, suivant le modèle de la Commission, afin de favoriser la transparence et l’exercice des droits fondamentaux (propriété intellectuelle, protection des données, lutte contre les discriminations). Tous les types de contenus doivent être inclus (textes, images, audio, vidéo), ainsi que leur origine : données publiques, privées, licenciées, collectées par scraping, issues d’interactions utilisateur ou générées de façon synthétique.

Le modèle tente d’équilibrer transparence et protection des secrets commerciaux : informations générales sur les grandes bases publiques, mais détails limités sur les données privées ou licenciées. Ce choix, justifié par une interprétation restrictive de l’article 53(1)(d), fait courir le risque d’un manque d’effectivité pour les titulaires de droits. Le non-respect des obligations de transparence peut entraîner des sanctions allant jusqu’à 3 % du chiffre d’affaires mondial ou 15 millions d’euros, mais la portée réelle dépendra des capacités d’inspection de l’AI Office, aucune vérification systématique n’étant prévue.

Source : Commission européenne — Notice explicative et modèle de résumé public (IA Act, art. 53).

Depuis juillet 2025, WeTransfer a mis à jour ses conditions générales d’utilisation. Parmi les changements, un point soulève de sérieuses préoccupations pour les professionnels soucieux de la protection des données : WeTransfer se réserve désormais le droit d’utiliser les fichiers transférés pour entraîner ses algorithmes d’intelligence artificielle.

Dans sa nouvelle politique, l’entreprise indique pouvoir utiliser les contenus transmis pour améliorer ses services via des technologies d’IA. Des documents contenant des données personnelles, des informations confidentielles ou des secrets professionnels seraient donc potentiellement concernés. WeTransfer précise que seule une partie des fichiers pourrait être utilisée (notamment ceux transmis sans chiffrement ou mesures de protection), mais l’ambiguïté reste préoccupante pour les entreprises, les administrations et les professions réglementées.

Ce changement interpelle à plusieurs titres : une finalité de traitement élargie sans consentement explicite, un accès potentiel à des données personnelles (CV, dossiers RH, fichiers médicaux, données clients, documents juridiques) et une perte de maîtrise du cycle de vie de l’information une fois le fichier transmis. L’IA n’atténue pas les obligations du RGPD : les finalités doivent rester déterminées, explicites et légitimes, les données ne peuvent être réutilisées sans base légale, le principe de minimisation s’applique, et le responsable de traitement demeure responsable de l’usage fait des données par ses sous-traitants.

Nos recommandations : éviter de transférer via WeTransfer des fichiers contenant des données sensibles ; privilégier des outils professionnels hébergés en Europe, chiffrés de bout en bout, avec une politique interdisant toute utilisation secondaire ; lire les CGU avant de recourir à un outil cloud ou IA (ce qui est « gratuit » peut coûter cher en exposition de données) ; et mettre à jour sa politique de sécurité des systèmes d’information (PSSI) pour encadrer l’usage des outils tiers. La vigilance autour des outils utilisés pour transférer des données personnelles doit être permanente : l’IA ne peut justifier un contournement des principes fondamentaux de la protection des données.

Source : Les Numériques.

La CNIL, en partenariat avec l’ANSSI, le Pôle d’expertise de la régulation numérique (PEReN) et le projet IPoP du PEPR « Cybersécurité », a engagé le développement du projet PANAME (Privacy Auditing of AI Models). Ce projet vise à mettre à disposition des acteurs publics et privés un outil d’évaluation de la confidentialité des modèles d’intelligence artificielle, au regard notamment des exigences du RGPD.

Le dispositif s’inscrit dans un contexte renforcé par l’avis adopté en décembre 2024 par le Comité européen de la protection des données (CEPD), qui rappelle que les modèles d’IA, en raison de leurs facultés de mémorisation, peuvent relever du RGPD lorsqu’ils sont entraînés sur des données à caractère personnel. Établir l’anonymisation effective suppose alors de démontrer la résistance du modèle à des attaques portant atteinte à la confidentialité.

PANAME prévoit, dans un horizon de 18 mois, le développement d’une bibliothèque logicielle, en partie open source, intégrant des méthodes standardisées d’évaluation technique. Elle facilitera les analyses de conformité liées aux articles 5, 25 et 32 du RGPD (minimisation, protection des données dès la conception, sécurité). Le projet répond à plusieurs obstacles : une littérature académique foisonnante et difficile d’accès, des outils expérimentaux peu adaptés à la production, et l’absence de cadre standardisé pour les tests.

La gouvernance est partagée : la CNIL assure le pilotage stratégique et l’encadrement juridique, l’ANSSI apporte son expertise en cybersécurité (modèles de menace, scénarios d’attaque), le PEReN développe la bibliothèque logicielle, et le projet IPoP en assure la direction scientifique. Des phases de test en conditions opérationnelles seront menées avec des acteurs publics et privés. Le projet s’intègre au plan France 2030 et vise à renforcer la sécurité juridique et technique entourant l’usage des modèles d’IA.

Source : CNIL — PANAME.

Depuis le Brexit, le Royaume-Uni a conservé une législation inspirée du RGPD. Cette continuité a permis à la Commission européenne de rendre, en 2021, une décision d’adéquation (article 45), autorisant les flux de données entre l’UE et le Royaume-Uni sans garanties supplémentaires. Cette décision, révisée tous les quatre ans, arrive à échéance fin 2025.

Le Data Use and Access Act 2025 (DUA), qui ajuste la loi britannique sur la protection des données, a été adopté par le Parlement le 11 juin 2025 et a reçu l’assentiment royal le 19 juin 2025. Parmi ses principales nouveautés : une « liste blanche » d’activités dispensées d’analyse d’impact (marketing direct, transferts intragroupe administratifs, sécurité des réseaux…) ; un assouplissement de l’interdiction des décisions automatisées (article 22 UK-RGPD), désormais limitée aux décisions reposant sur des données sensibles ; des demandes d’accès devant rester « raisonnables et proportionnées » ; une définition très large de la recherche scientifique (publique ou privée, commerciale ou non), le consentement suffisant pour y traiter des données sensibles ; le remplacement de l’ICO par une « Information Commission » dirigée par un conseil, avec obligation de réclamation préalable auprès du responsable de traitement ; et une approche fondée sur les risques pour les transferts (un « data protection test » exigeant que la protection du pays tiers ne soit pas « sensiblement inférieure » à celle du Royaume-Uni).

Le DUA cherche à stimuler l’innovation tout en conservant des garde-fous, mais il met sous pression le statut d’adéquation accordé par l’UE. Le critère « sensiblement inférieur » représente une régression par rapport au standard d’équivalence actuel, et des ONG (EDRi, Open Rights Group) dénoncent un affaiblissement des garanties et demandent son retrait. Si la Commission ne renouvelait pas l’adéquation, les transferts UE–Royaume-Uni deviendraient bien plus complexes : recours aux clauses contractuelles types, aux règles d’entreprise contraignantes (BCR) et aux analyses d’impact des transferts, avec des coûts accrus, une insécurité juridique et un traitement du Royaume-Uni comme pays tiers — y compris pour la coopération judiciaire et policière.

Sources : National Law Review ; Lexology.