Catégorie : Veille

Le 17 juin 2026, le groupe européen de coopération NIS a publié un nouveau document de référence consacré aux mesures de sécurité applicables aux organisations relevant de la directive NIS2.

La directive NIS2 constitue l’un des piliers du nouveau cadre européen de cybersécurité. Elle élargit le nombre de secteurs et d’entités concernés, distingue les entités, et renforce les obligations relatives à la sécurité des réseaux et systèmes d’information. Le nouveau document de référence vise à aider les organisations à mieux comprendre les objectifs de cybersécurité attendus au titre de l’article 21 de NIS2, relatif aux mesures de gestion des risques, ainsi que de l’article 20, relatif à la responsabilité des organes de direction.

NIS2 repose sur une logique de « minimum harmonisation » : chaque État membre transpose la directive dans son droit national et peut prévoir des exigences supplémentaires. Le document de référence permet de mieux comprendre les convergences entre les approches nationales et d’identifier les grands domaines dans lesquels des mesures de sécurité doivent être envisagées.

Ce document expose trois principes. Premièrement, les mesures doivent être fondées sur les risques : les organisations doivent tenir compte de leur taille, de leur exposition, de la probabilité et de la gravité des incidents, ainsi que de leur impact économique et sociétal. Deuxièmement, il adopte une approche « tous risques », couvrant non seulement les cybermenaces mais aussi les risques physiques et environnementaux (pannes, incendies, inondations, erreurs humaines ou accès non autorisés). Troisièmement, il rappelle qu’il n’existe pas de solution unique : les mesures doivent être adaptées au contexte de chaque entité, en tenant compte de l’état de l’art, des standards européens et internationaux et du coût de mise en œuvre.

Le document est organisé autour de quatorze domaines thématiques : engagement et responsabilité de la direction, politiques de sécurité des réseaux et systèmes d’information, gestion des risques, gestion des incidents, continuité d’activité, gestion de crise, sécurité de la chaîne d’approvisionnement, sécurité dans l’acquisition, le développement et la maintenance des systèmes, évaluation de l’efficacité des mesures, cyberhygiène, formation, cryptographie, sécurité des ressources humaines, contrôle d’accès, gestion des actifs et sécurité physique et environnementale.

Les entités doivent connaître leurs fournisseurs et prestataires directs, maintenir un registre à jour et intégrer des exigences de sécurité dans leurs relations contractuelles et opérationnelles. Cette exigence reflète l’importance croissante des dépendances numériques et des risques liés aux prestataires ICT et OT.

Le document facilite enfin l’alignement avec des référentiels largement utilisés, tels qu’ISO/IEC 27001, ISO/IEC 27002, IEC 62443 et le NIST Cybersecurity Framework 2.0 — une correspondance précieuse pour les organisations disposant déjà d’un système de management de la sécurité de l’information ou souhaitant démontrer leur maturité.

Source : Centre pour la Cybersécurité Belgique.

Par une décision du 26 mai 2026, la CNIL a prononcé une sanction de 5 millions d’euros à l’encontre d’IQVIA Operations France, acteur mondial spécialisé dans la recherche clinique, l’analyse de données de santé et les études de marché pharmaceutiques. Cette décision apporte d’importantes précisions sur le régime juridique applicable aux données pseudonymisées et aux entrepôts de données de santé.

IQVIA exploite notamment des bases de données alimentées par plusieurs milliers de pharmacies et de médecins, permettant la réalisation d’études statistiques et d’analyses destinées aux acteurs du secteur de la santé. À l’issue de plusieurs contrôles, la CNIL a relevé différents manquements relatifs à l’information des personnes concernées, à l’exercice du droit d’opposition ainsi qu’à certaines mesures de sécurité.

L’un des principaux enseignements concerne la distinction entre anonymisation et pseudonymisation. La société soutenait que les données traitées étaient anonymes et ne relevaient donc plus du RGPD. La CNIL a rejeté cette analyse, considérant que les données demeuraient des données personnelles dès lors qu’une réidentification des personnes concernées restait raisonnablement possible. La pseudonymisation constitue une mesure de protection, mais ne remet pas en cause la qualification de données personnelles lorsque le responsable de traitement conserve des moyens d’identification, directs ou indirects.

La décision rappelle également l’importance de l’effectivité des obligations du RGPD : le responsable de traitement ne peut se contenter de prévoir contractuellement l’information des personnes ou les modalités d’exercice de leurs droits ; il doit démontrer que ces dispositifs fonctionnent concrètement.

Enfin, cette affaire illustre le niveau d’exigence croissant de la CNIL à l’égard des traitements portant sur des données de santé. Une autorisation préalable accordée pour un entrepôt de données de santé ne constitue pas une garantie définitive de conformité : les organismes concernés doivent assurer un contrôle continu de leurs pratiques, en matière de gouvernance, de sécurité et de respect des droits des personnes.

Source : CNIL — Données de santé : sanction de 5 millions d’euros à l’encontre d’IQVIA.

La Commission européenne a publié le 10 juin 2026 la version finale du code de bonnes pratiques sur le marquage et l’étiquetage des contenus générés par l’intelligence artificielle (IA).

Ce code est destiné à aider les fournisseurs et déployeurs de systèmes d’IA générative à respecter leurs obligations de transparence prévues par le RIA (règlement européen sur l’IA), entrant en vigueur le 2 août prochain. À partir de cette date, le RIA impose un étiquetage clair dans certains cas essentiels.

Dans son communiqué, la Commission précise que « les hypertrucages (deepfakes) ainsi que les textes générés ou manipulés par l’IA publiés sur des sujets d’intérêt public devront être clairement signalés. Les utilisateurs devront également être informés lorsqu’ils interagissent avec un système d’IA interactif, tel qu’un agent conversationnel (chatbot) ». L’objectif est de réduire les risques de manipulation des citoyens et de tromperie.

Le code se compose de deux parties. Pour les fournisseurs, il impose des obligations garantissant que les contenus générés ou manipulés par l’IA soient marqués sous une forme lisible par une machine et puissent être détectés comme tels. Pour les déployeurs, il explique comment étiqueter clairement les hypertrucages et les textes générés ou manipulés par l’IA lorsqu’aucune vérification humaine ni aucun contrôle éditorial n’ont été effectués.

La prochaine étape est la signature du code, la Commission ayant invité fournisseurs et déployeurs à y adhérer. Il sera ensuite complété par des lignes directrices précisant le champ d’application des obligations juridiques et aidant les acteurs à respecter les exigences de transparence.

Source : Commission européenne (communiqué IP/26/1328).

Publié en mai 2026, le rapport annuel 2025 de la CNIL dresse le bilan d’une année marquée par l’accélération de la transformation numérique, l’essor de l’intelligence artificielle et l’intensification des enjeux de cybersécurité. À travers ses missions d’accompagnement, de contrôle, de sanction et de sensibilisation, l’autorité confirme son rôle clé dans la protection des données. L’année 2025 apparaît comme un tournant stratégique avec l’entrée en application progressive du règlement européen sur l’IA (RIA), qui confère à la CNIL de nouvelles responsabilités.

Une mobilisation accrue pour accompagner les acteurs du numérique

La CNIL a publié de nombreux guides pratiques, recommandations et outils opérationnels, tout en développant des dispositifs de concertation et des consultations publiques : six fiches pratiques destinées aux partis politiques et à leurs sous-traitants en vue des élections municipales de 2026, et une mise à jour des recommandations relatives aux applications mobiles pour mieux encadrer les permissions d’accès aux données.

Une hausse continue des plaintes

Les sollicitations adressées à la CNIL progressent : plus de 20 000 plaintes reçues, 323 contrôles réalisés et 83 sanctions prononcées. Deux sanctions ont particulièrement marqué l’année : SHEIN (150 millions d’euros) et Google (323 millions d’euros), pour des manquements liés aux cookies.

Une nouvelle priorité stratégique : l’intelligence artificielle

Avec l’entrée en application du règlement européen sur l’IA, la CNIL voit son rôle évoluer. Elle a publié plusieurs recommandations encadrant le développement des systèmes d’IA, participé au Sommet pour l’action sur l’IA à Paris, et doit désormais accompagner les entreprises, contrôler certains systèmes d’IA à risque élevé et veiller au respect des droits fondamentaux (vie privée, transparence, non-discrimination).

Une sensibilisation accrue des publics et la protection des mineurs

La CNIL a poursuivi ses actions auprès du grand public et des jeunes : lancement du manga pédagogique L’Agence Privacy et de l’application FantomApp pour accompagner les adolescents, et publication d’une vidéo de sensibilisation sur le sharenting (sur-partage parental de photos et vidéos de mineurs).

Une vigilance accrue sur la cybersécurité

Une hausse des violations de données a été enregistrée, avec plus de 6 100 notifications. Le premier secteur touché est l’administration publique, devant la santé humaine et l’action sociale, puis les activités financières et d’assurance. La CNIL a renforcé ses recommandations de sécurité et annoncé de nouveaux contrôles sur les grandes bases de données.

Une coopération renforcée aux échelles nationale et européenne

La CNIL a développé ses coopérations avec les autres autorités françaises et européennes : participation à la déclaration d’Helsinki visant à améliorer l’application du RGPD, et renforcement des échanges avec l’ARCOM, l’ARCEP et la DGCCRF sur les enjeux du numérique et de l’IA.

Sources : CNIL — Rapport annuel 2025 ; Vie-publique.fr.

Actions coordonnées du CEPD pour 2026

Le Comité européen de la protection des données (CEPD/EDPB) a lancé son action d’application coordonnée pour 2026. Cette année, 25 autorités de protection (dont la CNIL) mèneront des contrôles simultanés sur le droit à l’information. La cible : les politiques de confidentialité des entreprises, jugées souvent trop complexes ou incomplètes. Le secteur de l’éducation (plateformes scolaires, applications de cours en ligne) est particulièrement visé.

Un modèle européen d’AIPD en consultation publique

Le CEPD a adopté un modèle d’analyse d’impact relative à la protection des données (AIPD), visant à structurer et harmoniser les rapports, conformément à la déclaration d’Helsinki. Son utilisation n’est pas obligatoire, mais il incite à des réponses complètes et structurées. Mis en consultation publique jusqu’au 9 juin, il a vocation à devenir un « méta-modèle » d’alignement pour les modèles nationaux. L’AIPD reste obligatoire en cas de risque élevé.

Sanction d’une fintech belge pour mauvaise qualification de responsable de traitement (120 000 €)

Entre octobre 2020 et mars 2023, une fintech a exploité un service d’authentification auprès de partenaires, collectant un ensemble très étendu de données (nom, adresse, numéro de registre national, date et lieu de naissance, photo de la carte d’identité électronique). Un utilisateur ayant exercé son droit d’accès n’a pas obtenu de réponse, la société estimant agir comme sous-traitante. La Chambre contentieuse de l’APD a constaté que la société avait elle-même conçu, paramétré et exploité le service en déterminant les finalités et moyens essentiels : elle aurait donc dû se reconnaître responsable de traitement. Cette qualification erronée a entraîné en cascade plusieurs manquements (défaut d’information, absence de réponse aux demandes d’accès, collecte excessive).

Conservation de la boîte mail d’un salarié après son départ (≈ 176 000 €)

L’APD belge a infligé une amende totale d’environ 176 000 € à une grande entreprise technologique pour n’avoir pas supprimé en temps utile la boîte mail d’une ancienne employée, toujours active plus d’un an après son départ. La Chambre contentieuse a retenu un traitement illicite (l’intérêt légitime de conserver une boîte mail se limite à environ un mois après le départ), un manquement à l’obligation de transparence, l’absence de mesures techniques et organisationnelles pour l’effacement, et le non-respect du droit d’accès.

Sources : EDPB ; APD — décision 103/2026 ; APD — décision 101/2026.

Le Conseil de l’Union européenne et le Parlement européen sont parvenus à un accord provisoire visant à simplifier certaines règles relatives à l’intelligence artificielle. Cette décision s’inscrit dans le cadre du paquet législatif « Omnibus VII », qui fait partie de l’agenda européen de simplification réglementaire. L’objectif : alléger les charges administratives pesant sur les entreprises tout en garantissant une application harmonisée et efficace de la législation sur l’IA.

Selon la présidence du Conseil, l’accord constitue une avancée importante pour les entreprises européennes : réduction des coûts administratifs récurrents, sécurité juridique accrue, renforcement de la compétitivité et de la souveraineté numérique de l’Union, ainsi qu’une meilleure protection des enfants face aux risques liés à certains systèmes d’IA.

La Commission avait initialement proposé d’adapter le calendrier d’application des règles concernant les systèmes d’IA à haut risque, en reportant leur mise en œuvre jusqu’à ce que les normes et outils nécessaires soient disponibles. Les colégislateurs ont finalement retenu un calendrier précis : application à partir du 2 décembre 2027 pour les systèmes d’IA à haut risque autonomes, et à partir du 2 août 2028 pour ceux intégrés dans des produits.

L’accord introduit également une nouvelle interdiction : il sera interdit d’utiliser l’IA pour générer des contenus sexuels ou intimes non consentis, ainsi que du matériel pédopornographique. Les fournisseurs devront enregistrer dans la base de données européenne les systèmes qu’ils considèrent comme exemptés de la classification « à haut risque ». L’accord rétablit aussi le principe de nécessité pour le traitement de catégories particulières de données lorsqu’il s’agit de détecter ou de corriger des biais.

Les autorités nationales disposeront de plus de temps pour mettre en place des « bacs à sable réglementaires » dédiés à l’IA (échéance au 2 août 2027). En revanche, le délai accordé aux fournisseurs pour appliquer des solutions de transparence sur les contenus générés artificiellement est réduit de six à trois mois, avec une date limite fixée au 2 décembre 2026. L’accord clarifie enfin les compétences du Bureau de l’IA et prévoit des compromis pour éviter les chevauchements avec les réglementations sectorielles (dispositifs médicaux, jouets, machines, embarcations).

L’accord doit encore être approuvé formellement par le Conseil et le Parlement européen avant son adoption définitive.

Source : Conseil de l’Union européenne.

La publication, le 24 avril 2026, par la CNIL de sa recommandation actualisée relative à la sécurité des systèmes de vote par correspondance électronique constitue une étape déterminante dans l’encadrement juridique de ces dispositifs. Adoptée par délibération du 19 mars 2026, cette mise à jour s’inscrit dans un contexte marqué par la diffusion croissante du vote électronique et par l’intensification des risques de cybersécurité.

Ce texte ne se limite pas à une simple actualisation du référentiel de 2019 : il recompose le cadre applicable en articulant plus étroitement les exigences issues du droit des données personnelles avec les contraintes techniques formulées par l’ANSSI, avec des effets significatifs sur les analyses d’impact comme sur la conception et l’exploitation des logiciels de vote.

De la prescription à l’obligation de démonstration

Là où la version antérieure reposait sur une logique prescriptive, le nouveau texte privilégie une approche fondée sur des objectifs de sécurité. Il ne s’agit plus d’imposer des moyens déterminés, mais d’exiger des acteurs qu’ils démontrent que les principes fondamentaux du vote — secret du suffrage, sincérité du scrutin, transparence du processus — sont effectivement garantis. La conformité ne peut donc plus être présumée : elle doit être établie, documentée et justifiée. Tout écart significatif est susceptible d’être interprété comme un manquement à l’obligation de sécurité du RGPD.

Le rôle central de l’analyse d’impact

Compte tenu de la nature des données traitées et des risques pour les droits et libertés, ces dispositifs relèvent désormais, de manière quasi systématique, des traitements nécessitant une analyse d’impact (AIPD). Celle-ci devient un véritable instrument d’aide à la décision, permettant d’évaluer l’opportunité même du recours au vote électronique, et doit démontrer concrètement la capacité du système à garantir les principes fondamentaux du vote. Les mesures techniques préconisées par l’ANSSI (chiffrement, authentification, gestion des clés) y sont intégrées : l’AIPD devient un document hybride, à la croisée du droit et de la cybersécurité.

Conséquences sur la conception des logiciels

Les logiciels de vote ne peuvent plus être appréhendés comme de simples outils, mais comme des systèmes critiques intégrant dès l’origine la sécurité et la protection des données. La recommandation consacre une exigence accrue de transparence (documentation détaillée de l’architecture, accès au code source dans les cas sensibles) et place la vérifiabilité au centre : vérification individuelle par l’électeur de la prise en compte de son vote, et vérification globale du bon déroulement du scrutin. Les audits et expertises indépendants sont renforcés, faisant de la sécurité un processus continu et responsabilisant fortement les éditeurs.

Le vote électronique apparaît ainsi comme un domaine emblématique de la convergence entre droit des données personnelles et cybersécurité.

Source : CNIL — Recommandation vote électronique.

Un phénomène désormais massif est apparu dans la vie numérique de millions d’internautes : l’utilisation quotidienne d’outils d’intelligence artificielle tels qu’OpenAI et son agent conversationnel. Ces outils servent à obtenir des conseils médicaux, analyser des situations personnelles, produire des documents professionnels ou interpréter des résultats complexes — mais cette utilisation s’accompagne d’un niveau extrêmement faible de vigilance sur les données saisies.

De cet usage massif découle une dérive préoccupante : l’insertion de données de santé non anonymisées. En pratique, de nombreux utilisateurs saisissent directement des résultats d’analyses médicales, des diagnostics, des ordonnances, des comptes rendus hospitaliers, voire des informations identifiantes complètes (nom, date de naissance). Ces données relèvent pourtant des données sensibles au sens du RGPD et sont souvent transmises sans aucune anonymisation, exposant les personnes à des risques d’atteinte à la vie privée, d’exploitation secondaire et de perte de contrôle.

Une réalité technique souvent ignorée : la destination des données. Contrairement à une perception répandue, les données saisies ne restent pas sur l’ordinateur de l’utilisateur : elles sont transmises aux serveurs de l’éditeur. Selon les conditions d’utilisation, elles peuvent être stockées temporairement ou durablement, analysées, et parfois utilisées pour améliorer les modèles. Des données médicales extrêmement sensibles peuvent ainsi être intégrées dans des systèmes d’apprentissage algorithmique.

En Europe, ces pratiques entrent en tension directe avec le RGPD et les autorités de contrôle (notamment la CNIL), qui posent des principes stricts : minimisation des données, limitation des finalités, encadrement renforcé des données de santé, et encadrement des transferts hors UE (clauses contractuelles types, décisions d’adéquation). Or l’usage d’IA grand public échappe souvent à ces cadres et repose sur une initiative individuelle non maîtrisée, entraînant des transferts potentiels hors Union européenne.

Enfin, les données saisies peuvent faire l’objet d’analyses automatisées, de corrélations avec d’autres sources et, potentiellement, de signalements aux autorités. L’usage de l’IA ne relève alors plus uniquement du traitement de données : il peut s’inscrire dans des logiques de surveillance et de détection comportementale.

Meta vient d’être condamné par un jury du Nouveau-Mexique, à Santa Fe, au paiement de 375 millions de dollars d’amende civile. Le jury a considéré que Meta avait violé la loi de l’État dans le cadre d’un procès intenté par le procureur général, qui accusait la société d’avoir trompé les utilisateurs sur la sécurité de Facebook, Instagram et WhatsApp et d’avoir permis l’exploitation sexuelle d’enfants sur ces plateformes.

Après avoir délibéré moins d’une journée, le jury a conclu que Meta avait violé la loi sur la protection des consommateurs du Nouveau-Mexique. Le procureur général a qualifié le verdict de « victoire historique pour tous les enfants et toutes les familles qui ont payé le prix du choix de Meta de privilégier les profits au détriment de la sécurité des enfants ».

Le procureur accusait également Meta de permettre à des prédateurs un accès illimité à des utilisateurs mineurs et de les mettre en contact avec des victimes, conduisant à des abus réels et à la traite des personnes. Meta fait par ailleurs l’objet de milliers de poursuites l’accusant, avec d’autres entreprises de médias sociaux, d’avoir intentionnellement conçu leurs produits pour créer une dépendance chez les jeunes.

En France, une proposition de loi visant à protéger les mineurs des risques liés aux réseaux sociaux est en cours d’adoption au Sénat : elle entend interdire l’accès aux réseaux sociaux aux mineurs de moins de 15 ans lorsqu’ils sont susceptibles de nuire à leur épanouissement physique, mental ou moral.

Sources : Le Monde.

L’arrêt rendu le 5 mars 2026 par la cour d’appel de Paris présente un intérêt particulier pour la veille en droit social et en protection des données. Saisi d’un litige relatif au licenciement d’un directeur général adjoint chargé des stratégies financières et du « business support », le juge d’appel devait apprécier la portée de ses responsabilités dans un contexte de compromission du site marchand de l’entreprise.

L’affaire trouve son origine dans la découverte, en janvier 2020, d’un piratage affectant le site e-commerce du groupe depuis juillet 2019 : plusieurs millions de coordonnées de personnes, dont des numéros de cartes bancaires, avaient été extraites. La directrice générale a mis en place une cellule de crise, suspendu les paiements par carte bancaire, puis mandaté un expert ; la CNIL a procédé à un contrôle en mars 2020. Ces éléments sont examinés non comme une violation autonome du RGPD, mais comme le contexte des griefs reprochés au salarié.

La cour relève que le contrat du directeur lui confiait la stratégie informatique du groupe et le respect des normes et procédures, et qu’il bénéficiait d’une délégation de pouvoir lui permettant de signer les documents nécessaires à la mise en conformité au RGPD pour son périmètre. Elle juge donc qu’il ne pouvait soutenir que la sécurité du site marchand ou la gestion des données clients échappaient à ses responsabilités.

L’arrêt est également éclairant sur l’articulation entre la fonction de DPO et la responsabilité managériale : la nomination d’un délégué à la protection des données en 2018 n’avait pas remis en cause la délégation de pouvoir du dirigeant ni sa responsabilité informatique. La désignation d’un DPO ne transfère donc pas, à elle seule, la responsabilité opérationnelle ou hiérarchique des dirigeants.

Sur le fond, la cour retient le grief principal lié au piratage : le salarié ne justifie d’aucune action concrète déterminante, hormis un courriel jugé trop vague. Le manquement réside dans une insuffisance de réaction, d’alerte et de pilotage. La cour refuse toutefois la qualification de faute grave : le licenciement repose sur une cause réelle et sérieuse, ce qui permet au salarié de conserver son indemnité de préavis et son indemnité conventionnelle.

L’intérêt de l’arrêt est précis : une délégation de pouvoir en matière de conformité ou de sécurité des données n’est pas neutre en contentieux social. Sans poser de responsabilité automatique du dirigeant, la cour confirme qu’un défaut de réaction face à une compromission majeure peut justifier un licenciement lorsque le périmètre de responsabilité est clairement établi.

Source : Clubic.