Catégorie : Veille

Meta — maison mère de Facebook, Instagram et WhatsApp — avait annoncé en avril 2025 qu’à compter du 27 mai, l’ensemble des contenus publics de ses utilisateurs en Europe (sauf WhatsApp) pourraient être exploités pour entraîner ses systèmes d’IA générative, à moins que les utilisateurs ne s’y opposent explicitement (opt-out). Plutôt que de recueillir le consentement de chacun, l’entreprise entend fonder ce traitement massif sur son « intérêt légitime » (article 6(1)(f) du RGPD).

Le 14 mai 2025, l’ONG autrichienne NOYB (« None of Your Business ») a adressé à Meta une mise en demeure dénonçant ce projet, y voyant une violation du RGPD et des droits fondamentaux, et menaçant d’une action collective paneuropéenne. Meta assure que certaines données seraient exclues (messages privés, comptes de mineurs) et qu’un mécanisme d’opposition a été mis en place, mais par défaut tous les autres contenus publics deviendraient des données d’entraînement — une collecte touchant potentiellement 400 millions d’utilisateurs européens par mois.

NOYB et de nombreux experts jugent ce procédé abusif : une alternative conforme existe (demander clairement le consentement), et même si une fraction des abonnés acceptait, cela fournirait amplement de données. Meta affirme de son côté avoir consulté les autorités, notamment le régulateur irlandais, et estime son approche conforme aux lignes directrices du CEPD.

Ce n’est pas la première confrontation : dès juin 2024, NOYB avait déposé onze plaintes simultanées et obtenu, sous la pression des régulateurs, le report du projet. L’initiative pourrait inaugurer l’une des premières actions collectives d’ampleur européenne en matière de données, sur le fondement de la directive (UE) 2020/1828 (actions représentatives, sans visée lucrative). À court terme, NOYB vise une injonction de suspension qui, si elle était prononcée, pourrait contraindre Meta à cesser le traitement et à supprimer les modèles déjà entraînés. L’affaire illustre la tension entre innovation technologique et protection des droits fondamentaux en Europe.

Sources : NOYB ; Notre Temps / AFP.

Dans un contexte d’enjeux sécuritaires et de sophistication technologique, la reconnaissance faciale devient peu à peu un outil de surveillance de masse. Qu’il s’agisse de réguler l’accès à des bâtiments sensibles, d’identifier des suspects dans l’espace public ou de fluidifier des parcours dans les transports ou le commerce, ces caméras fascinent autant qu’elles inquiètent. Derrière l’innovation se cache un véritable défi juridique et éthique, en particulier au regard du RGPD.

La reconnaissance faciale repose sur le traitement de données biométriques (article 4.14 du RGPD), particulièrement sensibles, dont le traitement est en principe interdit sauf exceptions strictement encadrées par l’article 9. Pour être licite, un tel traitement suppose une base légale claire (consentement explicite ou motif d’intérêt public encadré par le droit), une finalité précise, légitime et proportionnée, des mesures de sécurité renforcées et une analyse d’impact (AIPD) obligatoire.

Les risques pour les droits et libertés sont nombreux : identification à distance et sans consentement, erreurs d’identification (notamment pour les personnes racisées ou les enfants, avec un risque de discrimination), profilage automatisé, atteintes à la liberté d’aller et venir, à l’anonymat dans l’espace public et à la liberté de manifestation. Ces enjeux ont conduit plusieurs autorités, dont la CNIL, à freiner ou strictement encadrer ces technologies.

Le règlement européen sur l’IA (AI Act) classe la reconnaissance faciale dans l’espace public à des fins de maintien de l’ordre parmi les cas à haut risque, voire interdits sauf exceptions étroites. La France a autorisé de manière dérogatoire la vidéosurveillance algorithmique pour les Jeux Olympiques 2024, non sans critiques. En pratique, tout dispositif doit faire l’objet d’un encadrement juridique solide, d’une AIPD et d’une information claire des personnes ; le consentement libre et éclairé est difficilement atteignable lorsqu’on ne peut refuser sans conséquence. Ce n’est pas parce qu’une technologie existe qu’elle doit être déployée.

Dans un jugement du 20 mars 2025, le tribunal judiciaire de Marseille a admis qu’une société titulaire de droits patrimoniaux sur des vêtements puisse obtenir gain de cause dans une action en contrefaçon grâce à des preuves fondées sur la blockchain.

En l’espèce, la société AZ Factory, spécialisée dans la création artistique et la distribution de produits de haute couture, reprochait à la société Valeria Moda des actes de contrefaçon de ses droits d’auteur, par l’offre à la vente de vêtements reprenant la combinaison de caractéristiques originales de ses œuvres. Le tribunal a fait droit à ses demandes.

L’intérêt de la décision réside dans le mode de preuve : les croquis et images des vêtements avaient fait l’objet d’un ancrage dans la blockchain via la solution Blockchain your IP. Le pyjama « Love from Alber », créé le 1er décembre 2020, avait vu l’empreinte numérique de ses dessins ancrée le 5 mai 2021, ancrage constaté par huissier le 19 octobre 2022. Le tribunal a jugé ces éléments probants pour établir l’antériorité et l’originalité des œuvres.

La société contrefactrice a été condamnée au paiement de dommages et intérêts, à la destruction des vêtements contrefaisants et à la publication du communiqué du tribunal dans trois journaux ou magazines professionnels. Ce jugement marque une avancée dans la reconnaissance juridique de la blockchain comme preuve en matière de propriété intellectuelle.

Source : Legalis.

Dans une mise à jour de sa politique de confidentialité d’avril 2025, Meta a annoncé qu’à compter de la fin mai, les contenus publics publiés par les utilisateurs adultes de Facebook et Instagram dans l’Union européenne seraient utilisés pour l’entraînement de ses systèmes d’IA, dont le modèle de langage Llama. Cette évolution intervient après une suspension du projet en 2024, consécutive aux réserves de la Data Protection Commission irlandaise, en lien avec la CNIL et les autres autorités européennes.

Le traitement inclut les publications, photos et commentaires publics des utilisateurs majeurs, ainsi que les interactions directes avec Meta AI. Sont exclus les contenus de mineurs et les messages privés (y compris WhatsApp). Meta justifie ce traitement par la nécessité d’entraîner ses modèles sur des données représentatives des langues et cultures européennes.

Le traitement repose sur l’intérêt légitime (article 6(1)(f) du RGPD). Les utilisateurs peuvent exercer leur droit d’opposition via un formulaire en ligne, sans justification, avant le 27 mai 2025. Si les comptes Facebook et Instagram sont liés au sein du « centre de comptes », une seule opposition suffit ; un formulaire est aussi prévu pour les non-utilisateurs dont les données apparaîtraient dans des publications de tiers.

Une fois intégrées à un modèle, les données deviennent difficilement supprimables, rendant le droit à l’effacement (article 17) quasi inapplicable — ce qui soulève des interrogations sur l’effectivité des droits dans le cadre des traitements IA. Des acteurs comme Proton appellent à la prudence et à exercer le droit d’opposition par précaution. Cette initiative s’inscrit dans un contexte de surveillance réglementaire accrue, l’Irlande ayant ouvert une enquête similaire sur Grok (plateforme X).

Source : CNIL — Meta : entraînement de l’IA sur les données des utilisateurs.

Le 10 avril 2025, le Comité européen de la protection des données (EDPB / CEPD) a publié un rapport intitulé « AI Privacy Risks & Mitigations – Large Language Models », dans le cadre de son programme de soutien des experts. Il fournit aux développeurs, utilisateurs et décideurs des recommandations pour identifier, évaluer et gérer les risques de confidentialité liés aux grands modèles de langage (LLM), face aux préoccupations croissantes de conformité au RGPD et à l’AI Act.

Le rapport souligne que des risques apparaissent à chaque étape du cycle de vie d’un LLM : inclusion d’informations personnelles dans les données d’entraînement, mémorisation et restitution ultérieure de ces données dans les réponses, fourniture de données privées par les utilisateurs en phase d’exploitation, et accumulation de données identifiantes dans les journaux d’usage.

Il recommande une évaluation structurée des risques inspirée de l’analyse d’impact (AIPD) du RGPD — sans s’y substituer — consistant à inventorier les risques propres aux LLM (fuite, réidentification, usage illicite), puis à estimer leur gravité et leur probabilité, dans une logique d’anticipation dès la conception.

Sur le plan technique, l’EDPB préconise le chiffrement des données en transit et au repos, des contrôles d’accès et une authentification forte, la sécurisation des interfaces du LLM, la minimisation et la pseudonymisation des données, l’optimisation de la confidentialité et le filtrage des sorties du modèle. Sur le plan organisationnel, il recommande une approche de « protection des données dès la conception et par défaut », avec des politiques de cycle de vie (durée de conservation limitée, suppression sécurisée). Plusieurs cas concrets illustrent ces principes (chatbot de support connecté à un CRM, outil éducatif manipulant des données de mineurs, assistant de voyage).

Source : EDPB — AI Privacy Risks & Mitigations: Large Language Models.

La CNIL a annoncé le 21 mars 2025 les thématiques prioritaires de ses contrôles pour l’année : les données collectées via les applications mobiles, la cybersécurité des collectivités territoriales et les traitements opérés par l’administration pénitentiaire. Ces thèmes représenteront à eux seuls environ un quart des contrôles menés cette année.

Concernant les applications mobiles, la CNIL ciblera les éditeurs d’applications et les fournisseurs de kits de développement logiciel (SDK), en s’intéressant particulièrement au paramétrage des SDK, à la gestion des permissions et à l’accès aux données du téléphone. Les services publics proposant des applications ne seront pas épargnés.

S’agissant de la cybersécurité des collectivités territoriales, la CNIL souligne leur vulnérabilité alors qu’elles traitent un volume important de données sensibles (état civil, prestations sociales, paiement de contraventions en ligne). Ces contrôles s’inscrivent dans une logique d’anticipation de la directive NIS2, en cours de transposition en France.

Enfin, l’administration pénitentiaire traite des données particulièrement sensibles liées à la vie en détention et à la réinsertion. La CNIL souhaite vérifier les conditions de traitement des données des personnes incarcérées et les mesures de sécurité mises en œuvre. Ces priorités traduisent une volonté de renforcer la protection des données dans des secteurs à forts enjeux sociaux, techniques et juridiques.

Source : CNIL — Thématiques prioritaires de contrôle 2025.

Par un arrêt du 4 octobre 2024 (affaire C-21/23), la Cour de justice de l’Union européenne a précisé l’articulation entre droit des données personnelles et droit de la concurrence, en validant la possibilité pour un concurrent de saisir les juridictions civiles sur le fondement de la concurrence déloyale lorsqu’il estime qu’une entreprise enfreint le RGPD.

L’affaire opposait deux pharmaciens allemands : l’un commercialisait des médicaments via Amazon sans recueillir valablement le consentement de ses clients pour le traitement de leurs données ; l’autre a engagé une action en cessation pour pratiques commerciales déloyales. La CJUE a jugé qu’une telle action privée est compatible avec le RGPD et en renforce même l’efficacité.

L’apport est notable : le RGPD ne relève pas exclusivement des autorités de contrôle ou des personnes concernées ; les États membres peuvent prévoir des recours complémentaires. Violer le RGPD n’expose donc plus seulement à une sanction administrative, mais aussi à une action de ses concurrents. La Cour confirme par ailleurs que les données saisies lors d’une commande de médicaments en ligne, même non soumis à prescription, constituent des données de santé : le lien entre le médicament commandé et l’état de santé déduit suffit, ce qui impose un cadre de traitement particulièrement strict (consentement explicite).

À retenir : un concurrent peut invoquer une violation du RGPD dans une action en concurrence déloyale ; les informations issues d’une commande de médicaments en ligne relèvent des données de santé ; les entreprises opérant en ligne doivent intégrer dans leur stratégie juridique non seulement le regard des autorités, mais aussi celui de leurs concurrents. Le RGPD devient aussi une arme de concurrence.

Source : CJUE, affaire C-21/23, arrêt du 4 octobre 2024 (Dalloz IP/IT).

L’intelligence artificielle est omniprésente dans nos environnements professionnels : entreprises et administrations l’utilisent pour analyser des données et prendre des décisions aux effets concrets. Ces processus, souvent perçus comme des « boîtes noires », soulèvent des enjeux de transparence. Par un arrêt du 27 février 2025 (affaire C-638/23), la Cour de justice de l’Union européenne a réaffirmé le droit des individus à obtenir des explications sur les décisions automatisées les concernant.

À l’origine de la décision : une citoyenne autrichienne s’est vu refuser un contrat de téléphonie mobile en raison d’une évaluation de solvabilité automatisée réalisée par Dun & Bradstreet Austria. La CJUE a confirmé que l’entreprise avait violé le RGPD en ne justifiant pas suffisamment sa décision.

La Cour précise que toute entreprise utilisant un algorithme pour une décision affectant un individu doit fournir des informations claires et compréhensibles sur les données personnelles utilisées, la logique sous-jacente de l’algorithme et les critères appliqués. Ces explications doivent être accessibles et pédagogiques. L’arrêt limite par ailleurs la possibilité d’invoquer le secret des affaires : en cas de données jugées confidentielles, l’entreprise doit les soumettre à l’autorité compétente, qui tranchera entre transparence et protection des intérêts commerciaux.

Les conséquences sont majeures pour les sociétés recourant à des algorithmes de notation (crédit, assurance, recrutement, santé) : elles doivent documenter précisément leurs modèles, en expliquer le fonctionnement aux personnes concernées, mettre en place des procédures de réponse aux demandes d’explication et garantir l’absence de biais discriminatoires. L’arrêt rappelle que, même à l’ère de l’IA, les droits des citoyens doivent primer sur les logiques purement commerciales.

Source : Solutions Numériques.

La Cour de justice de l’Union européenne a rendu, le 6 mars 2025, une série d’arrêts attendus concernant la transposition de la directive (UE) 2019/1937 relative à la protection des lanceurs d’alerte. Cette directive vise à instaurer un niveau élevé de protection pour les personnes signalant des violations du droit de l’Union dans le cadre de leurs activités professionnelles ; les États membres devaient la transposer au plus tard le 17 décembre 2021.

Constatant que l’Allemagne, la République tchèque, la Hongrie, l’Estonie et le Luxembourg n’avaient pas respecté ce délai, la Commission avait saisi la Cour. Les arguments avancés (réformes législatives complexes, processus électoraux) n’ont pas convaincu la CJUE, qui a rappelé que les exigences de l’Union prévalent sur les aléas nationaux et que le retard porte atteinte à la protection des lanceurs d’alerte.

La Cour a jugé indispensable d’imposer des sanctions financières dissuasives. Les montants : 34 millions d’euros pour l’Allemagne, 2,3 millions pour la République tchèque, 1,75 million pour la Hongrie, 500 000 euros pour l’Estonie (assortis d’une astreinte de 1 500 euros par jour de retard supplémentaire) et 375 000 euros pour le Luxembourg — proportionnés à la gravité, à la durée du manquement et aux capacités de paiement de chaque État.

Pour mémoire, la directive impose aux personnes morales de plus de 50 salariés de mettre en place des canaux de signalement internes et externes, et protège les lanceurs d’alerte contre les représailles (article 11 de la Charte des droits fondamentaux). En France, ce cadre avait été anticipé par la loi Sapin II (2016) puis renforcé par la loi Waserman (2022), qui a élargi le champ des personnes protégées et clarifié les voies de recours.

Source : CJUE — arrêts du 6 mars 2025.

L’AMF a publié le 26 février 2025 un dossier consacré au règlement sur la résilience opérationnelle numérique du secteur financier (DORA), rappelant sa définition, son périmètre, son calendrier et ses principales mesures. Entré en vigueur le 17 janvier 2025, DORA définit les règles applicables aux entités financières en matière de cybersécurité et de gestion des risques informatiques (TIC).

Le règlement s’applique aux sociétés de gestion de portefeuille, aux infrastructures de marché, aux entreprises d’investissement et aux prestataires de services sur crypto-actifs, ainsi qu’aux prestataires de services TIC considérés comme critiques (désignés par l’ESMA, l’EBA et l’EIOPA).

Parmi les mesures à mettre en place : un cadre de gouvernance et de contrôle interne assorti d’une stratégie de résilience opérationnelle numérique ; l’identification et l’évaluation annuelle des risques liés aux TIC ; une politique de sécurité de l’information protégeant disponibilité, authenticité, intégrité et confidentialité des données ; une politique de continuité d’activité avec procédures de sauvegarde et tests réguliers ; des mécanismes d’examen post-incident ; et des plans de communication de crise. Les entités doivent classifier les incidents et déclarer les incidents majeurs à l’autorité compétente (pour l’AMF, via la messagerie sécurisée Sesterce).

Les entités financières restent responsables du respect de DORA par leurs prestataires tiers : les contrats doivent intégrer les clauses minimales de l’article 30, un registre d’information (RoI) des accords doit être tenu à jour et communiqué à l’autorité au moins une fois par an (via l’interface ROSA), des audits précontractuels doivent être réalisés, et des stratégies de sortie prévues pour les services soutenant des fonctions critiques. DORA constitue ainsi un socle réglementaire central pour renforcer la résilience opérationnelle du secteur financier européen face au risque cyber.

Source : AMF — Dossier DORA.