Actions coordonnées du CEPD pour 2026
Le Comité européen de la protection des données (CEPD/EDPB) a lancé son action d’application coordonnée pour 2026. Cette année, 25 autorités de protection (dont la CNIL) mèneront des contrôles simultanés sur le droit à l’information. La cible : les politiques de confidentialité des entreprises, jugées souvent trop complexes ou incomplètes. Le secteur de l’éducation (plateformes scolaires, applications de cours en ligne) est particulièrement visé.
Un modèle européen d’AIPD en consultation publique
Le CEPD a adopté un modèle d’analyse d’impact relative à la protection des données (AIPD), visant à structurer et harmoniser les rapports, conformément à la déclaration d’Helsinki. Son utilisation n’est pas obligatoire, mais il incite à des réponses complètes et structurées. Mis en consultation publique jusqu’au 9 juin, il a vocation à devenir un « méta-modèle » d’alignement pour les modèles nationaux. L’AIPD reste obligatoire en cas de risque élevé.
Sanction d’une fintech belge pour mauvaise qualification de responsable de traitement (120 000 €)
Entre octobre 2020 et mars 2023, une fintech a exploité un service d’authentification auprès de partenaires, collectant un ensemble très étendu de données (nom, adresse, numéro de registre national, date et lieu de naissance, photo de la carte d’identité électronique). Un utilisateur ayant exercé son droit d’accès n’a pas obtenu de réponse, la société estimant agir comme sous-traitante. La Chambre contentieuse de l’APD a constaté que la société avait elle-même conçu, paramétré et exploité le service en déterminant les finalités et moyens essentiels : elle aurait donc dû se reconnaître responsable de traitement. Cette qualification erronée a entraîné en cascade plusieurs manquements (défaut d’information, absence de réponse aux demandes d’accès, collecte excessive).
Conservation de la boîte mail d’un salarié après son départ (≈ 176 000 €)
L’APD belge a infligé une amende totale d’environ 176 000 € à une grande entreprise technologique pour n’avoir pas supprimé en temps utile la boîte mail d’une ancienne employée, toujours active plus d’un an après son départ. La Chambre contentieuse a retenu un traitement illicite (l’intérêt légitime de conserver une boîte mail se limite à environ un mois après le départ), un manquement à l’obligation de transparence, l’absence de mesures techniques et organisationnelles pour l’effacement, et le non-respect du droit d’accès.
Sources : EDPB ; APD — décision 103/2026 ; APD — décision 101/2026.