Décrypter la conformité, la sécurité et l'IA.
Nos DPO et CISO partagent ici régulièrement leur lecture de l'actualité réglementaire et technique : nouvelles lignes directrices CNPD, sanctions notables, retours d'expérience d'incidents, évolutions AI Act, NIS 2, DORA. Pour aller au-delà du communiqué de presse.
170 articles trouves · #rgpd
UniCredit Roumanie: 12 000 € d’amende RGPD — éviter l’envoi erroné
Le 29 mai 2026, l’ANSPDCP a sanctionné UniCredit Bank SA pour défaut de sécurité (art. 32) et notification tardive (art. 33) après des envois à de mauvais destinataires. Voici la DLP concrète qui évite cela et prouve la conformité.
Intérêt légitime vs consentement: CNPD/EDPB durcissent, ICO plus souple
La Cour administrative a confirmé l’analyse de la CNPD dans l’affaire Amazon: l’intérêt légitime n’était pas justifié. Pendant que l’EDPB resserre l’article 6(1)(f), l’ICO le présente comme la base la plus flexible.
ShinyHunters exploite un 0‑day Oracle: NAIC touchée, 100+ organisations
Oracle a confirmé un 0‑day PeopleSoft (CVE‑2026‑35273) exploité par ShinyHunters. La NAIC reconnaît un accès non autorisé; 3,1 To volés et plus de 100 organisations compromises.
Charter/Spectrum : vishing, Entra, Salesforce — la MFA FIDO2 comme parade RGPD/NIS 2
ShinyHunters aurait vishé un employé de Charter/Spectrum, pris un compte Microsoft Entra et exfiltré des données Salesforce. Une MFA résistante au phishing (FIDO2/WebAuthn) répond à l’art. 32 RGPD et coupe l’accès initial.
Enregistrer réunions et appels: 250 000 € — cadrage CNPD 2026
Le 16/10/2025, la CNIL a sanctionné un centre d’appels de 250 000 € pour enregistrements mal encadrés. Depuis avril 2026, la CNPD publie un référentiel dédié aux enregistrements de réunions: base légale, information, durées, sécurité, AIPD.
EDPB actualise son digest Opposition & Effacement et lance un formulaire
Le 25 juin 2026, l’EDPB a mis à jour son digest OSS sur les droits d’opposition (art. 21) et d’effacement (art. 17) et, le 24 juin, a lancé un formulaire pour signaler des divergences d’interprétation du RGPD.
AIPD obligatoire: CNPD vs CNIL — géolocalisation, deux seuils
Au Luxembourg, la CNPD exige une AIPD pour tout suivi systématique de la localisation. En France, la CNIL ne l’impose qu’en cas de traitement de données de localisation à large échelle.
Démarchage: le Conseil constitutionnel coupe court au triple risque
Le 25 juin 2026, le Conseil constitutionnel a censuré la possibilité de poursuites parallèles CNIL/ARCOM/DGCCRF pour le même démarchage électronique (art. L.34‑5 CPCE). Abrogation au 31 octobre 2027, mais effet immédiat: plus de doubles procédures.
Transferts hors UE: EDPB vs ICO sur l’évaluation de risque (TRA)
L’ICO (15/01/2026) assouplit sa Transfer Risk Assessment, s’écartant de l’EDPB qui maintient un test d’« équivalence essentielle ». Pour les acteurs luxembourgeois, garder une analyse conforme EDPB reste clé.
Italie — AgID sanctionnée 55 000 € pour défaut de transparence INAD/INI‑PEC
Le Garante inflige 55 000 € à l’AgID pour des manquements de transparence et de privacy‑by‑design lors du transfert d’adresses PEC de l’INI‑PEC vers l’INAD. Signal d’alerte pour les registres publics et la réutilisation de données.
Roumanie: 125 000 € contre Renault pour défauts de sécurité (art. 32 RGPD)
Le 25 mars 2026, l’ANSPDCP a sanctionné Renault Commercial Roumanie (~125 000 €) pour défauts à l’article 32 RGPD et gouvernance des sous-traitants. Une DLP moderne prouve des mesures « appropriées » et limite les transferts non maîtrisés.
Article 6 RGPD: leçon Intesa/Isybank sur intérêt légitime vs consentement
Le Garante a infligé 17,6 M€ à Intesa pour un transfert de ~2,4 M de clients vers Isybank sans base légale valable. Enseignement clé: l’intérêt légitime ne remplace ni un consentement valable ni la stricte nécessité contractuelle.