Catégorie : Veille

La CNIL a sanctionné, le 24 décembre 2025, la société Nexpublica France pour défaut de sécurité des données dans son logiciel PCRM, un outil de gestion de la relation avec les usagers dans le domaine social. L’amende s’élève à 1 700 000 euros.

Dans les faits, des usagers du logiciel avaient procédé à des notifications de violation de données auprès de la CNIL fin novembre 2022, en raison d’un accès non autorisé à des documents concernant des tiers. À l’issue de ses contrôles, la CNIL a constaté l’insuffisance des mesures techniques et organisationnelles permettant d’assurer la sécurité des données dans le logiciel PCRM. Des audits de sécurité avaient pourtant identifié des manquements, mais la société n’avait pas mis en place les mesures nécessaires pour y remédier : les failles n’ont été corrigées qu’après la violation.

Le montant de la sanction a été déterminé en fonction des capacités financières de la société, de la méconnaissance des principes élémentaires de sécurité des données, du nombre de personnes concernées et de la sensibilité des données traitées (susceptibles de révéler un handicap).

Source : CNIL — Sanction de 1 700 000 euros à l’encontre de Nexpublica France.

Le 5 décembre 2025, la plateforme X a été condamnée à une amende de 120 millions d’euros par la Commission européenne. Il s’agit de la première décision formelle de non-conformité adoptée en vertu du DSA (règlement sur les services numériques).

X, anciennement Twitter, est qualifiée de très grande plateforme en ligne au sens du DSA en raison du nombre d’utilisateurs actifs dans l’Union. Les griefs portent sur trois séries de manquements : une interface susceptible de tromper les utilisateurs quant à l’authenticité des comptes, l’insuffisance structurelle de la transparence publicitaire, et les entraves à l’accès des chercheurs aux données publiques de la plateforme.

Concernant le premier point, la Commission a analysé l’usage du « badge bleu » associé aux comptes « vérifiés ». En permettant à tout utilisateur d’acquérir ce statut moyennant paiement, tout en conservant une symbolique historiquement associée à l’authenticité, la plateforme a induit les utilisateurs en erreur quant à la nature des comptes avec lesquels ils interagissent.

Le deuxième grief concerne la transparence publicitaire : le DSA impose des répertoires publicitaires accessibles et suffisamment détaillés pour permettre un contrôle par la société civile. Le dispositif de X a été jugé insuffisant (restrictions d’accès, délais injustifiés, absence d’informations comme l’identité de l’annonceur ou la thématique des publicités), une opacité qui compromet la détection des campagnes frauduleuses.

Le troisième grief porte sur l’accès des chercheurs agréés aux données publiques, droit consacré par le DSA pour favoriser l’analyse indépendante des risques systémiques : en limitant contractuellement certaines méthodes de collecte et en instaurant des procédures dissuasives, X aurait vidé ce droit de sa substance. Du point de vue RGPD, les pratiques de conception trompeuses peuvent affecter la validité du consentement, tandis que l’opacité publicitaire entrave la compréhension des mécanismes de ciblage fondés sur des données personnelles.

Source : Commission européenne (IP/25/2964).

Une importante fuite de données personnelles a touché environ 1 300 mairies en France. Cette violation découle d’un incident de sécurité ayant affecté les plateformes « Synbird » et « RDV360 », utilisées pour les démarches administratives — dépôt de demandes de renouvellement ou d’obtention de documents (passeport, carte d’identité) et transmission des pièces justificatives. Des communes comme La Rochelle, Clichy et Brest ont été directement affectées. Au total, des centaines de milliers de données (noms, prénoms, dates de naissance, numéros de téléphone, adresses) ont été exposées, augmentant les risques de phishing, d’usurpation d’identité et d’escroqueries ciblées.

En tant que prestataires, Synbird et RDV360 interviennent comme sous-traitants au sens du RGPD. À ce titre, ils doivent garantir des mesures de sécurité appropriées, préserver la confidentialité des données, notifier tout incident et se conformer strictement à leurs obligations contractuelles. Si la fuite résulte d’un défaut de sécurité, leur responsabilité peut être engagée, tant sur le plan contractuel qu’au regard du RGPD, aux côtés des mairies qui demeurent responsables du traitement. Les communes doivent donc s’assurer de la conformité de leurs prestataires et veiller à ce que les contrats prévoient des garanties solides.

Pour prévenir de telles fuites, plusieurs mesures s’imposent : renforcer la sécurité informatique, réaliser régulièrement des audits pour identifier et corriger les vulnérabilités, former le personnel à la gestion sécurisée des données et aux bonnes pratiques (gestion des accès, détection du phishing), sensibiliser les citoyens, et disposer d’un plan de réponse aux incidents permettant une notification rapide à la CNIL et aux personnes concernées.

Sources : Le Parisien ; Banque des Territoires.

La Commission européenne a présenté le 19 novembre 2025 le paquet législatif « Digital Omnibus », destiné à harmoniser et moderniser la régulation numérique européenne. Malgré une communication centrée sur la simplification, ce projet opère une refonte substantielle du RGPD, de la directive ePrivacy et de certaines dispositions de l’IA Act, avec des implications fortes pour la protection des données et la gouvernance de l’IA.

Le texte introduit une extension notable de l’« intérêt légitime » comme fondement juridique pour l’entraînement des systèmes d’IA sur des données personnelles. Cette évolution permettrait des traitements sans consentement explicite, sous réserve de garanties (minimisation, droit d’opposition renforcé). Plusieurs associations, dont NOYB et EDRi, alertent sur le risque d’une collecte massive de données échappant à la maîtrise des individus, en contradiction avec la philosophie initiale du RGPD. Le projet prévoit également une exception permettant de conserver des données sensibles apparaissant fortuitement dans les jeux d’entraînement, lorsque leur suppression serait jugée disproportionnée.

La réforme redéfinit par ailleurs le périmètre des données sensibles : seules seraient protégées celles révélant directement une caractéristique (santé, religion, origine ethnique), excluant les informations permettant de déduire ces attributs par corrélation — d’où un risque d’élargissement des pratiques de profilage fondées sur des données apparemment neutres, échappant au régime renforcé de l’article 9.

Le Digital Omnibus reconfigure aussi la gestion des cookies en transférant la régulation d’ePrivacy vers le RGPD : le consentement explicite serait remplacé par un système d’opposition a posteriori, appuyé sur une transmission automatique des préférences par les navigateurs, entraînant la disparition progressive des bannières (seuls les médias pourraient continuer à exiger un consentement explicite). Enfin, le texte repousse certaines obligations de l’IA Act pour les systèmes à haut risque.

Ces orientations divisent les États membres : l’Allemagne et la Finlande soutiennent une approche tournée vers l’innovation, tandis que la France, l’Autriche ou la Slovénie mettent en garde contre un affaiblissement du modèle européen. L’adoption du projet transformerait durablement l’équilibre entre compétitivité technologique et respect des droits fondamentaux.

Sources : Le Monde Informatique ; Siècle Digital.

Le Centre for Cybersecurity Belgium a introduit un référentiel dénommé CyberFundamentals, à destination des petites et moyennes entreprises, afin de les aider à réduire leurs vulnérabilités et à augmenter leur résilience face aux cybermenaces.

CyberFundamentals édicte un ensemble de bonnes pratiques à implémenter : mise en place de politiques de cybersécurité, sensibilisation des équipes, gestion des accès, utilisation de matériels sécurisés et à jour, ou encore politiques de gestion des incidents. Le programme est structuré en quatre niveaux, la Belgique privilégiant une approche pratique et progressive.

L’objectif est de protéger les entreprises par des mesures proactives afin de limiter la surface d’attaque et de réduire les risques (phishing, rançongiciels, logiciels malveillants). Sa mise en place constitue un premier pas vers la cybersécurité et permet d’anticiper l’arrivée de la future loi de résilience en France. Il s’agit néanmoins d’un premier niveau, beaucoup moins contraignant que les exigences de la norme ISO/IEC 27001.

Sources : CyberFundamentals Framework (CCB) ; Cyberday.ai.

Quatre sportifs professionnels autrichiens, sanctionnés pour violation des règles antidopage, ont contesté devant les juridictions nationales la publication de leurs données personnelles sur Internet. En vertu du droit autrichien, les noms des sportifs suspendus, leur discipline, la durée et les motifs de leur suspension doivent être rendus publics sur les sites de l’agence autrichienne antidopage (NADA Austria) et du comité juridique antidopage (ÖADR).

Cette publication poursuit deux objectifs : dissuader le recours au dopage et informer les sponsors, fédérations et clubs afin d’éviter que des athlètes suspendus ne contournent les règles. Les sportifs concernés estiment toutefois que cette pratique viole le RGPD, notamment les principes de proportionnalité et de minimisation des données (article 5). Le tribunal autrichien a donc saisi la Cour de justice de l’Union européenne.

Dans ses conclusions, l’avocat général Dean Spielmann a exprimé de sérieux doutes quant à la nécessité d’une publication intégrale : les objectifs de prévention et de transparence pourraient être atteints par des moyens moins intrusifs (diffusion limitée aux autorités sportives, publication sous pseudonyme). Une publication systématique, automatique et nominative risquerait de porter une atteinte disproportionnée au droit fondamental à la protection des données (articles 7 et 8 de la Charte). Le RGPD impose en effet une mise en balance entre l’intérêt public (la lutte contre le dopage) et les droits individuels, la publication n’étant admissible que si elle reste proportionnée quant à sa durée, à la quantité d’informations divulguées et aux circonstances de chaque affaire.

En France, la lutte contre le dopage est encadrée par le Code du sport et l’AFLD, selon un système similaire : l’Agence publie sur son site les décisions de sa commission des sanctions, de manière nominative (sauf pour les mineurs), pour une durée qui ne peut excéder celle de l’interdiction prononcée ni être inférieure à un mois (article L. 232-23-6 du Code du sport).

Source : CJUE — communiqué de presse.

Le Conseil constitutionnel, dans une décision du 8 août 2025 (n° 2025-1154 QPC), a jugé que la procédure de sanction de la CNIL méconnaissait le droit de se taire, principe fondamental découlant de la présomption d’innocence.

Jusqu’alors, les personnes mises en cause — responsables de traitement ou sous-traitants — étaient invitées à présenter des observations ou à être entendues par la formation restreinte sans être informées de leur droit de ne pas s’auto-incriminer. Le Conseil a estimé qu’une telle absence d’information pouvait conduire les intéressés à reconnaître les manquements reprochés.

Les dispositions de l’article 22 de la loi « Informatique et Libertés » ont donc été déclarées contraires à la Constitution, avec une abrogation différée au 1er octobre 2026. D’ici là, la CNIL devra notifier aux personnes mises en cause leur droit au silence avant toute audition ou dépôt d’observations.

Cette décision marque une évolution majeure dans la procédure répressive des autorités administratives indépendantes : elle consacre explicitement le droit au silence des personnes physiques comme morales, alignant la pratique de la CNIL sur les garanties offertes en matière pénale.

Source : Dalloz IP/IT 2025, p. 401.

En septembre 2025, la CNIL a infligé une amende de 100 000 euros à la société Samaritaine SAS pour plusieurs manquements au RGPD, à la suite de l’installation de caméras dissimulées dans les réserves de son magasin parisien.

En août 2023, pour faire face à des vols de marchandises, la société avait installé des caméras déguisées en détecteurs de fumée, munies de micros enregistrant sons et images, sans information des salariés. Découvertes par les employés et retirées un mois plus tard, ces caméras ont conduit la CNIL à ouvrir une enquête à la suite d’un article de presse et d’une plainte.

La Commission a retenu un manquement au principe de loyauté et de responsabilité (articles 5-1-a et 5-2), en raison de l’absence d’analyse d’impact, de consultation du DPO et de documentation sur le caractère temporaire du dispositif. Elle a également constaté une violation du principe de minimisation (article 5-1-c), l’enregistrement sonore étant jugé excessif au regard de la finalité de prévention des vols. Enfin, la société n’avait pas associé le délégué à la protection des données avant l’installation (article 38-1).

Rappelant la jurisprudence de la Cour européenne des droits de l’homme, la CNIL a précisé que la vidéosurveillance dissimulée ne peut être mise en œuvre que dans des circonstances exceptionnelles, sous réserve d’être temporaire, proportionnée et justifiée. Faute de respecter ces conditions, la société a été sanctionnée pour atteinte disproportionnée à la vie privée des salariés.

Source : CNIL — Caméras dissimulées : sanction de la Samaritaine.

L’Agence européenne pour la cybersécurité (ENISA) a publié un rapport sur les menaces qui pèsent sur le territoire européen. L’Agence observe que l’administration publique demeure le secteur le plus ciblé par les cyberattaques.

Les administrations publiques subissent différentes sortes d’attaques, notamment des dénis de service et des rançongiciels. Elles doivent aussi faire face à la montée de la manipulation de l’information, qui amplifie la guerre informationnelle en ligne. L’ENISA constate également des activités contre les États, menées par des groupes tels qu’APT28, APT29 et Sandworm ; les administrations sont visées, mais aussi des secteurs clés comme la défense et les infrastructures de transport (aérien, logistique, maritime).

Enfin, l’Agence relève que les cybercriminels utilisent de plus en plus l’intelligence artificielle pour automatiser les intrusions, optimiser leurs campagnes et générer des contenus frauduleux.

Source : Siècle Digital.

La CNIL a publié un article pour encadrer les pratiques dans les secteurs de l’audiovisuel et du jeu vidéo, rappelant aux responsables de traitement leurs obligations en matière de durées de conservation. De nombreux services permettent l’achat de contenus dématérialisés (jeux, films, livres, logiciels) reposant sur la création de comptes utilisateurs : la durée de conservation des comptes inactifs devient alors centrale.

L’article 5.1.e du RGPD pose le principe de limitation de la conservation : les données ne peuvent être conservées sous une forme identifiante que pendant une durée n’excédant pas celle nécessaire aux finalités. Les responsables de traitement doivent donc définir une durée précise — ou des critères pour la déterminer — justifiée et proportionnée.

Un compte inactif est un compte sans activité ni connexion pendant une certaine période. La CNIL considère que deux ans d’inactivité constituent une durée raisonnable, au-delà de laquelle elle recommande d’informer la personne avant l’échéance pour lui laisser le choix de conserver ou supprimer son compte. Pour les services liés à des achats numériques, certaines données peuvent toutefois être conservées plus longtemps (adresse e-mail, pseudonyme, identifiants, sauvegardes de jeux) afin de permettre l’accès aux contenus acquis. En revanche, les données non nécessaires (statistiques, comportementales, prospection commerciale) doivent être supprimées ou anonymisées une fois la durée justifiée atteinte.

La CNIL impose d’informer clairement les utilisateurs des durées de conservation et des critères d’inactivité (politique de confidentialité ou CGU), et de formaliser une politique interne distinguant les phases de conservation (base active, archivage intermédiaire, suppression). Plusieurs décisions récentes illustrent les risques : en janvier 2024, la société PAP a été condamnée à 100 000 euros pour avoir conservé des données au-delà des durées annoncées.

Source : CNIL — Durée de conservation des comptes inactifs.