Catégorie : Veille

Le 16 septembre 2025, la Commission européenne et la Personal Information Protection Commission (PIPC) de Corée du Sud ont annoncé la finalisation d’un régime d’adéquation mutuelle, permettant la libre circulation des données personnelles entre l’Union européenne et la République de Corée, sans garanties supplémentaires. Cette annonce prolonge la décision d’adéquation unilatérale de l’UE de 2021 et la réforme coréenne de la PIPA, qui a instauré un mécanisme de « reconnaissance d’équivalence ».

Dans le cadre du RGPD, la décision d’adéquation est l’acte par lequel la Commission constate qu’un pays tiers assure un niveau de protection essentiellement équivalent à celui de l’UE (article 45). Son effet est déterminant : les transferts vers ce pays peuvent intervenir sans autorisation individuelle ni clauses contractuelles types supplémentaires, comme s’il s’agissait d’un transfert intra-UE. Pour les organisations, cela signifie une sécurité juridique renforcée, une réduction des charges de conformité et une plus grande fluidité des échanges transfrontières.

La réforme de mars 2023 de la PIPA avait introduit un mécanisme d’« equivalency recognition » inspiré de l’adéquation européenne. En septembre 2025, les deux autorités ont finalisé l’adéquation mutuelle : l’UE confirme sa décision de 2021 et la PIPC reconnaît officiellement l’UE comme destination adéquate au regard du droit coréen, l’arrangement couvrant les secteurs public et privé.

Outre la Corée, l’UE a reconnu l’adéquation de plusieurs pays ou territoires : Andorre, Argentine, Canada (organisations commerciales), Îles Féroé, Guernesey, Israël, Île de Man, Japon, Jersey, Nouvelle-Zélande, Suisse, Royaume-Uni, Uruguay, ainsi que les États-Unis (dans le cadre du Data Privacy Framework).

Source : Chosun Biz.

Depuis deux ans, l’intelligence artificielle occupe le devant de la scène technologique. On la présente comme un outil capable de remplacer l’humain sur certaines tâches, de transformer radicalement les métiers et de réduire les coûts. Chaque semaine, de nouvelles annonces prédisent une révolution du travail et de l’économie par l’IA.

Mais derrière l’enthousiasme, la réalité est plus nuancée : une majorité des projets d’IA ne dépassent pas la phase de test ou échouent à produire la valeur attendue. La complexité technique, les biais des données, l’intégration dans les processus existants et les questions éthiques ou juridiques freinent souvent l’industrialisation des solutions.

Cette effervescence rappelle celle de la blockchain il y a quelques années : on voulait l’intégrer partout, quitte à forcer son usage, avant que la « hype » ne retombe. La blockchain n’a pas disparu pour autant — elle est devenue un outil technique solide, utilisé là où elle a une réelle pertinence (traçabilité, certification, finance décentralisée). L’IA connaîtra probablement un chemin similaire : après l’emballement, elle trouvera sa place non comme solution miracle, mais comme un outil puissant sur des usages bien identifiés (automatisation de tâches répétitives, aide à la décision, génération de contenu, analyse de données massives).

En tant que DPO, il est important de rappeler que cette maturité passera aussi par une intégration responsable de l’IA, respectueuse de la protection des données, de la transparence et des droits des personnes. La véritable valeur de l’IA ne résidera pas dans la promesse de remplacer l’humain, mais dans sa capacité à l’augmenter intelligemment, dans un cadre de confiance.

Le Data Privacy Framework (DPF), adopté en juillet 2023 par la Commission européenne, constitue le troisième mécanisme encadrant les transferts de données personnelles entre l’Union et les États-Unis, après l’invalidation du Safe Harbor (Schrems I, 2015) et du Privacy Shield (Schrems II, 2020). Il a été conçu pour répondre aux préoccupations de la CJUE, notamment en instaurant une Data Protection Review Court (DPRC) aux États-Unis, destinée à offrir un recours aux citoyens européens.

Le litige

Dans l’affaire T-553/23, Philippe Latombe, député français et membre de la CNIL, a introduit un recours en annulation contre la décision d’adéquation, en sa qualité de citoyen européen. Il invoquait une violation des articles 7 et 8 de la Charte (surveillance de masse), une atteinte au droit à un recours effectif (article 47 de la Charte, article 45(2) du RGPD, le DPRC ne présentant pas selon lui les garanties d’indépendance requises), un défaut de garanties sur les décisions automatisées (article 22) et une insuffisance des mesures de sécurité (article 32).

La solution du Tribunal

Par arrêt du 3 septembre 2025, le Tribunal de l’Union européenne a rejeté le recours, jugeant qu’à la date d’adoption de la décision, les États-Unis assuraient un niveau de protection adéquat (article 45). S’agissant de la surveillance américaine, il a estimé que les activités de renseignement faisaient désormais l’objet d’un contrôle a posteriori par la DPRC, offrant des garanties suffisantes au regard du droit de l’Union.

Portée et perspectives

L’arrêt apporte une sécurité juridique bienvenue aux acteurs recourant aux transferts transatlantiques (banques, laboratoires, entreprises technologiques…). Le litige n’est toutefois pas clos : un pourvoi devant la CJUE reste possible, et celle-ci avait déjà annulé les deux précédents mécanismes. En cas de censure, une crise « Schrems III » pourrait fragiliser l’ensemble des transferts, obligeant les entreprises à recourir aux clauses contractuelles types ou aux règles d’entreprise contraignantes (BCR). L’affaire illustre la tension persistante entre exigences européennes de protection des données et impératifs de sécurité nationale américains.

Sources : Zonebourse ; Hogan Lovells.

L’ACPR (Autorité de contrôle prudentiel et de résolution) est l’autorité compétente pour faire respecter le règlement européen sur l’intelligence artificielle (« IA Act ») dans le secteur financier. L’IA y est notamment utilisée pour l’évaluation de la solvabilité dans l’octroi de crédit aux personnes physiques, ainsi que pour l’évaluation des risques et la tarification en assurance santé et assurance-vie.

L’ACPR se prépare à exercer ces nouvelles missions en veillant « à ajouter le moins possible au fardeau réglementaire des établissements », via une approche par les risques — proportionnant les moyens aux résultats attendus — et en exploitant les synergies avec ses contrôles habituels.

Plusieurs questions restent en suspens. L’ACPR travaille sur cinq axes : la conciliation du règlement avec les autres réglementations propres au secteur financier ; les questions liées à l’audit de l’IA ; la coordination aux niveaux national et européen avec les autres autorités ; l’organisation interne de l’ACPR ; et la communication à mettre en place auprès du secteur. L’objectif est une application cohérente du règlement, en collaboration avec les acteurs financiers.

Source : ACPR — Banque de France.

Le 24 juillet 2025, la Commission européenne a publié une « notice explicative » accompagnée d’un modèle obligatoire pour les fournisseurs de modèles d’IA à usage général (General-Purpose AI, GPAI), destiné à clarifier le contenu utilisé pour entraîner ces systèmes. L’initiative découle de l’article 53(1)(d) du règlement (UE) 2024/1689 (« IA Act ») et complète les lignes directrices du 18 juillet ainsi que le code de conduite du 10 juillet ; les règles relatives aux GPAI s’appliquent à partir du 2 août 2025.

Les GPAI sont des systèmes polyvalents, pré-entraînés sur un grand volume de données variées et utilisables dans de multiples contextes (GPT-4 d’OpenAI, Llama de Meta…). L’IA Act impose à leurs fournisseurs de produire un « résumé public détaillé » des données d’entraînement, suivant le modèle de la Commission, afin de favoriser la transparence et l’exercice des droits fondamentaux (propriété intellectuelle, protection des données, lutte contre les discriminations). Tous les types de contenus doivent être inclus (textes, images, audio, vidéo), ainsi que leur origine : données publiques, privées, licenciées, collectées par scraping, issues d’interactions utilisateur ou générées de façon synthétique.

Le modèle tente d’équilibrer transparence et protection des secrets commerciaux : informations générales sur les grandes bases publiques, mais détails limités sur les données privées ou licenciées. Ce choix, justifié par une interprétation restrictive de l’article 53(1)(d), fait courir le risque d’un manque d’effectivité pour les titulaires de droits. Le non-respect des obligations de transparence peut entraîner des sanctions allant jusqu’à 3 % du chiffre d’affaires mondial ou 15 millions d’euros, mais la portée réelle dépendra des capacités d’inspection de l’AI Office, aucune vérification systématique n’étant prévue.

Source : Commission européenne — Notice explicative et modèle de résumé public (IA Act, art. 53).

Depuis juillet 2025, WeTransfer a mis à jour ses conditions générales d’utilisation. Parmi les changements, un point soulève de sérieuses préoccupations pour les professionnels soucieux de la protection des données : WeTransfer se réserve désormais le droit d’utiliser les fichiers transférés pour entraîner ses algorithmes d’intelligence artificielle.

Dans sa nouvelle politique, l’entreprise indique pouvoir utiliser les contenus transmis pour améliorer ses services via des technologies d’IA. Des documents contenant des données personnelles, des informations confidentielles ou des secrets professionnels seraient donc potentiellement concernés. WeTransfer précise que seule une partie des fichiers pourrait être utilisée (notamment ceux transmis sans chiffrement ou mesures de protection), mais l’ambiguïté reste préoccupante pour les entreprises, les administrations et les professions réglementées.

Ce changement interpelle à plusieurs titres : une finalité de traitement élargie sans consentement explicite, un accès potentiel à des données personnelles (CV, dossiers RH, fichiers médicaux, données clients, documents juridiques) et une perte de maîtrise du cycle de vie de l’information une fois le fichier transmis. L’IA n’atténue pas les obligations du RGPD : les finalités doivent rester déterminées, explicites et légitimes, les données ne peuvent être réutilisées sans base légale, le principe de minimisation s’applique, et le responsable de traitement demeure responsable de l’usage fait des données par ses sous-traitants.

Nos recommandations : éviter de transférer via WeTransfer des fichiers contenant des données sensibles ; privilégier des outils professionnels hébergés en Europe, chiffrés de bout en bout, avec une politique interdisant toute utilisation secondaire ; lire les CGU avant de recourir à un outil cloud ou IA (ce qui est « gratuit » peut coûter cher en exposition de données) ; et mettre à jour sa politique de sécurité des systèmes d’information (PSSI) pour encadrer l’usage des outils tiers. La vigilance autour des outils utilisés pour transférer des données personnelles doit être permanente : l’IA ne peut justifier un contournement des principes fondamentaux de la protection des données.

Source : Les Numériques.

La CNIL, en partenariat avec l’ANSSI, le Pôle d’expertise de la régulation numérique (PEReN) et le projet IPoP du PEPR « Cybersécurité », a engagé le développement du projet PANAME (Privacy Auditing of AI Models). Ce projet vise à mettre à disposition des acteurs publics et privés un outil d’évaluation de la confidentialité des modèles d’intelligence artificielle, au regard notamment des exigences du RGPD.

Le dispositif s’inscrit dans un contexte renforcé par l’avis adopté en décembre 2024 par le Comité européen de la protection des données (CEPD), qui rappelle que les modèles d’IA, en raison de leurs facultés de mémorisation, peuvent relever du RGPD lorsqu’ils sont entraînés sur des données à caractère personnel. Établir l’anonymisation effective suppose alors de démontrer la résistance du modèle à des attaques portant atteinte à la confidentialité.

PANAME prévoit, dans un horizon de 18 mois, le développement d’une bibliothèque logicielle, en partie open source, intégrant des méthodes standardisées d’évaluation technique. Elle facilitera les analyses de conformité liées aux articles 5, 25 et 32 du RGPD (minimisation, protection des données dès la conception, sécurité). Le projet répond à plusieurs obstacles : une littérature académique foisonnante et difficile d’accès, des outils expérimentaux peu adaptés à la production, et l’absence de cadre standardisé pour les tests.

La gouvernance est partagée : la CNIL assure le pilotage stratégique et l’encadrement juridique, l’ANSSI apporte son expertise en cybersécurité (modèles de menace, scénarios d’attaque), le PEReN développe la bibliothèque logicielle, et le projet IPoP en assure la direction scientifique. Des phases de test en conditions opérationnelles seront menées avec des acteurs publics et privés. Le projet s’intègre au plan France 2030 et vise à renforcer la sécurité juridique et technique entourant l’usage des modèles d’IA.

Source : CNIL — PANAME.

Depuis le Brexit, le Royaume-Uni a conservé une législation inspirée du RGPD. Cette continuité a permis à la Commission européenne de rendre, en 2021, une décision d’adéquation (article 45), autorisant les flux de données entre l’UE et le Royaume-Uni sans garanties supplémentaires. Cette décision, révisée tous les quatre ans, arrive à échéance fin 2025.

Le Data Use and Access Act 2025 (DUA), qui ajuste la loi britannique sur la protection des données, a été adopté par le Parlement le 11 juin 2025 et a reçu l’assentiment royal le 19 juin 2025. Parmi ses principales nouveautés : une « liste blanche » d’activités dispensées d’analyse d’impact (marketing direct, transferts intragroupe administratifs, sécurité des réseaux…) ; un assouplissement de l’interdiction des décisions automatisées (article 22 UK-RGPD), désormais limitée aux décisions reposant sur des données sensibles ; des demandes d’accès devant rester « raisonnables et proportionnées » ; une définition très large de la recherche scientifique (publique ou privée, commerciale ou non), le consentement suffisant pour y traiter des données sensibles ; le remplacement de l’ICO par une « Information Commission » dirigée par un conseil, avec obligation de réclamation préalable auprès du responsable de traitement ; et une approche fondée sur les risques pour les transferts (un « data protection test » exigeant que la protection du pays tiers ne soit pas « sensiblement inférieure » à celle du Royaume-Uni).

Le DUA cherche à stimuler l’innovation tout en conservant des garde-fous, mais il met sous pression le statut d’adéquation accordé par l’UE. Le critère « sensiblement inférieur » représente une régression par rapport au standard d’équivalence actuel, et des ONG (EDRi, Open Rights Group) dénoncent un affaiblissement des garanties et demandent son retrait. Si la Commission ne renouvelait pas l’adéquation, les transferts UE–Royaume-Uni deviendraient bien plus complexes : recours aux clauses contractuelles types, aux règles d’entreprise contraignantes (BCR) et aux analyses d’impact des transferts, avec des coûts accrus, une insécurité juridique et un traitement du Royaume-Uni comme pays tiers — y compris pour la coopération judiciaire et policière.

Sources : National Law Review ; Lexology.

Le 15 mai 2025, la CNIL a sanctionné la société Solocal Marketing Services au paiement d’une amende de 900 000 euros pour avoir démarché des prospects sans leur consentement et transmis leurs données à des partenaires sans base légale valable.

La CNIL avait contrôlé la collecte de données personnelles de prospects effectuée auprès de courtiers en données, d’éditeurs de sites de jeux-concours et de tests de produits, en vue de démarchage par SMS ou courrier électronique pour le compte de clients annonceurs. La Commission a considéré que la société avait manqué à ses obligations, prévues par le code des postes et des communications électroniques et par le RGPD, en matière de recueil de la preuve du consentement.

Pour fixer le montant, la CNIL a tenu compte du nombre très élevé de personnes concernées (plusieurs millions), de la position historique de la société sur le marché, de l’avantage financier tiré des manquements, mais aussi des mesures prises depuis les contrôles pour se mettre en conformité.

Cette décision est cohérente avec la décision Kaspr et sa position sur la licéité de la base légale de collecte. En cas d’achat de bases de données auprès de data brokers, il est essentiel de s’assurer auprès d’eux de la licéité de la collecte et de l’obtention d’un consentement libre et univoque des personnes concernées.

Source : CNIL — Sanction de 900 000 euros à l’encontre de Solocal Marketing Services.

À l’heure où l’intelligence artificielle s’impose dans les mécanismes de décision bancaire, la CNIL a mis en consultation publique un projet de référentiel sur l’évaluation de la solvabilité, établissant un cadre contraignant pour les établissements de crédit. L’enjeu : sécuriser l’usage des données personnelles dans l’octroi automatisé de crédit, en plaçant l’analyse d’impact (AIPD) au centre de la conformité.

L’AIPD, pilier de la régulation algorithmique

Toute utilisation d’un système de scoring automatisé — notamment fondé sur l’IA — doit faire l’objet d’une AIPD préalable. Ce document doit démontrer la pertinence des données collectées, l’absence de biais discriminants, la capacité à expliquer les décisions automatisées et l’existence d’un recours humain efficace, afin que l’algorithme ne devienne ni un juge opaque ni une source d’exclusion sociale.

Finalité, données et droit à l’oubli bancaire

La seule finalité admise est l’évaluation de la capacité de remboursement ; toute réutilisation commerciale ou comportementale est proscrite sauf base légale distincte. Seules les données strictement nécessaires peuvent être traitées (revenus, charges, logement, situation familiale, incidents de paiement passés), dans le respect de durées de conservation précises : six mois pour un dossier de rejet de crédit ou une défaillance régularisée, cinq ans pour une défaillance non régularisée — afin d’éviter les effets de liste noire indéfinie. Le fondement juridique repose sur l’article 6.1.b du RGPD (mesures précontractuelles) ; la consultation du FICP est obligatoire, celle du FCC facultative.

Décision automatisée sous contrôle humain et sécurité

Les décisions fondées exclusivement sur des algorithmes doivent être explicables et contestables, avec un recours humain permettant une réévaluation équitable. La CNIL recommande même des simulateurs interactifs pour tester l’impact des données sur le score. Le référentiel impose enfin un haut niveau de sécurité (chiffrement, authentification forte, restriction des accès, clauses précises avec les sous-traitants) et rappelle les délais en cas de fuite (72 heures pour alerter la CNIL). L’évaluation de la solvabilité devient ainsi un champ de responsabilité juridique et éthique, l’AIPD en étant l’instrument central.

Source : CNIL — Projet de référentiel sur l’octroi de crédit.