Décryptages, analyses et retours d’expérience sur le RGPD, la cybersécurité, l’IA et les enjeux de conformité.
Par l’arrêt C-21/23 (4 octobre 2024), la CJUE admet qu’un concurrent puisse invoquer une violation du RGPD dans une action en concurrence déloyale, et confirme que les données d’une commande de médicaments en ligne sont des données de santé. Le RGPD devient une arme concurrentielle.
Par l’arrêt C-638/23 (27 février 2025), la CJUE renforce le droit à l’explication des décisions automatisées : données utilisées, logique de l’algorithme et critères doivent être communiqués, le secret des affaires ne pouvant plus servir de barrière absolue.
La CJUE condamne (6 mars 2025) cinq États membres — Allemagne, République tchèque, Hongrie, Estonie, Luxembourg — pour non-transposition de la directive sur la protection des lanceurs d’alerte, avec des amendes allant jusqu’à 34 M€ et une astreinte journalière pour l’Estonie.
L’AMF publie un dossier sur le règlement DORA (en vigueur depuis le 17 janvier 2025) : gouvernance du risque TIC, continuité d’activité, déclaration des incidents majeurs et encadrement contractuel des prestataires tiers pour le secteur financier.
La CNIL publie un bilan 2024 marqué par une hausse des manquements et dévoile son plan stratégique 2025-2028 autour de quatre priorités : cybersécurité, intelligence artificielle, protection des mineurs et applications mobiles.
Faute de moyens et en tant que « maillon faible » des chaînes d’approvisionnement, les TPE et PME sont des cibles privilégiées des cyberattaques. Même une petite base de données a une valeur marchande : vigilance sur la sécurité et sur la réutilisation des bases s’imposent.
Le 27 janvier 2025, l’Assemblée nationale adopte une loi instaurant le consentement préalable (opt-in) pour le démarchage téléphonique, en remplacement de Bloctel : interdiction dans certains secteurs, extension aux SMS et e-mails, et sanctions alourdies.
La CNIL rappelle (23 janvier 2025) les vérifications à mener avant de réutiliser une base de données personnelles : s’assurer qu’elle n’est pas manifestement illicite et encadrer contractuellement la relation avec le détenteur initial des données.
La directive NIS 2 renforce la cybersécurité des infrastructures critiques, mais sa transposition est inégale : la France accuse un retard, l’Italie progresse via l’ACN et la Belgique fait figure d’avance avec le CCB. Tour d’horizon et conseils pratiques.
La CNIL condamne Kaspr à 240 000 € pour scraping illégal de données sur LinkedIn : absence de base légale, défaut d’information des personnes, conservation excessive et sécurité insuffisante. Le caractère public des données ne les soustrait pas au RGPD.
La CNIL inflige 50 M€ à Orange : publicités déguisées en e-mails dans « Mail Orange » sans consentement, et poursuite de la lecture de cookies après retrait du consentement. Une décision qui rappelle les règles sur la prospection électronique et les traceurs.
La CNIL met en demeure plusieurs éditeurs dont les bannières cookies rendent le refus plus difficile que l’acceptation (« dark patterns »). Rappel des règles : refus aussi simple que l’acceptation, boutons équivalents, information claire et consentement prouvable.
Pas de spam, juste les analyses qui comptent : réglementation, cybersécurité, IA, retours d’expérience.