Décrypter la conformité, la sécurité et l'IA.
Nos DPO et CISO partagent ici régulièrement leur lecture de l'actualité réglementaire et technique : nouvelles lignes directrices CNPD, sanctions notables, retours d'expérience d'incidents, évolutions AI Act, NIS 2, DORA. Pour aller au-delà du communiqué de presse.
61 articles trouves · #cnpd
Cass. soc. 18 mars 2026 — Géolocalisation et temps de travail
La Cour de cassation admet la géolocalisation pour mesurer le temps de travail si aucun autre moyen objectif, fiable et accessible n’existe, et si les salariés n’ont pas de liberté d’organisation. Focus Luxembourg: base légale, nécessité, AIPD.
CJUE C‑199/24: la dérogation « journalisme » n’écarte pas le RGPD
La CJUE juge que la mise en ligne payante de décisions pénales ne relève pas « en principe » d’une finalité journalistique (art. 85 RGPD). Les droits et recours RGPD demeurent ouverts si l’activité n’est pas authentiquement journalistique.
CNPD vs CNIL: 8 jours ou 1 mois pour conserver les images au travail ?
Vérifiable: la CNPD fixe 8 jours par principe (30 jours à titre exceptionnel), quand la CNIL tolère jusqu’à un mois. Enjeu: aligner la purge vidéo sur l’art. 5(1)(e) RGPD et L. 261‑1 du Code du travail.
CJUE C‑414/24 (18 juin 2026) : recours RGPD parallèles, non exclusifs
La CJUE confirme que les recours RGPD par plainte à l’autorité (art. 77) et devant les tribunaux (art. 79) sont parallèles et non exclusifs. Une autorité ne peut pas rejeter une plainte au seul motif d’une action judiciaire pendante.
Article 32 RGPD: une petite amende italienne, de grandes obligations
Le Garante a infligé 8 600 € le 29/04/2026 pour des failles de sécurité (art. 5 et 32 RGPD), dont un stockage de mots de passe non conforme. Au Luxembourg, prouver la proportionnalité et l’état de l’art demeure déterminant.
Vidéosurveillance au travail: sanction du Garante et leçons pour le Luxembourg
Le Garante italien inflige 2 000 € à un commerce pour vidéosurveillance sans information ni autorisation travail. Au Luxembourg, L.261‑1, information en 2 niveaux et conservation courte s’imposent.
Amazon vs CNPD (12/03/2026) : amende annulée, méthode d’amende recentrée
Le 12 mars 2026, la Cour administrative luxembourgeoise a annulé l’amende de 746 M€ contre Amazon, tout en confirmant l’essentiel des constats. Message-clé: appliquer la CJUE (Deutsche Wohnen/Nacionalinis) et motiver la méthodologie d’amende.
Art. 28 RGPD: amende du Garante à Velletri pour la sous-traitance
Le Garante a sanctionné Velletri Servizi (12/02/2026) pour des contrats de sous-traitance non conformes à l’art. 28(4) RGPD et un manque de surveillance. Enjeu: documenter et auditer toute la chaîne de sous-traitance.
Transferts hors UE: EDPB vs ICO — équivalence essentielle ou test de risque ?
L’ICO (15/01/2026) adopte un « three‑step test » et un TRA simplifié, en divergence avec l’approche EDPB/CNPD fondée sur l’« équivalence essentielle » et les mesures supplémentaires. Conséquence: des parcours de conformité distincts UE vs UK.
Registre RGPD: CNPD sanctionne un ROPA insuffisant, ICO plus souple
Le 16 décembre 2025, la CNPD a sanctionné un registre des activités « insuffisant » (art. 30 RGPD). À l’inverse, l’ICO a mis à jour en juin 2026 une guidance plus flexible. Ce décalage impacte les groupes UE–UK.
Géolocalisation des véhicules au Luxembourg: exigences CNPD 2024
Le 10 avril 2024, la CNPD a actualisé ses lignes directrices: pas de traque en continu ni hors temps de travail, AIPD souvent requise, conservation en principe 2 mois, et obligations L. 261‑1 du Code du travail.
CNPD: enregistrement des réunions privées — intérêt légitime sous conditions
La CNPD juge le consentement rarement valable en réunion et admet l’intérêt légitime seulement après un test strict de nécessité et de mise en balance. Les enregistrements doivent être supprimés dès approbation du procès-verbal.