Cette newsletter LAVOIX présente une sélection des actualités de juillet à septembre 2026 dans le domaine de la protection des données personnelles.
1. Délibérations de la CNIL
Non-respect du droit à l’effacement : sanction de 300 000 euros à l’encontre de la société EXTIA
Par une délibération du 21 juillet 2026, la CNIL a sanctionné la société EXTIA à hauteur de 300 000 euros pour plusieurs manquements relatifs à l’exercice du droit à l’effacement. L’autorité a notamment relevé que de nombreuses demandes n’avaient pas fait l’objet d’une information appropriée auprès des personnes concernées quant au traitement de leur demande.
La CNIL rappelle que le responsable de traitement demeure tenu d’informer les personnes concernées des suites données à leurs demandes et de respecter les obligations prévues aux articles 12 et 17 du RGPD. Cette décision souligne l’importance de documenter les procédures internes de gestion des droits et de conserver une traçabilité des réponses apportées aux demandeurs.
Données de santé : amende de 500 000 euros pour défaut de mesures de sécurité
Par une délibération du 21 juillet 2026, la CNIL a infligé une amende de 500 000 euros à l’Hôpital Privé de la Loire à la suite d’une violation de données ayant affecté plus de 524 867 dossiers patients.
L’autorité a relevé l’absence de plusieurs mesures élémentaires de sécurité, notamment en matière d’authentification et de détection des accès anormaux. Elle rappelle que les organismes traitant des données de santé doivent mettre en œuvre des mesures techniques et organisationnelles adaptées aux risques encourus afin de garantir un niveau de sécurité adapté aux risques, conformément à l’article 32 du RGPD.
Cette décision souligne l’attention particulière portée par la CNIL à la sécurisation des systèmes contenant des données sensibles.
Décisions automatisées : amende de 825 millions d’euros à l’encontre d’Uber
L’autorité néerlandaise, en collaboration avec la CNIL, a prononcé une amende de 825 millions d’euros à l’encontre d’Uber pour des traitements impliquant des décisions automatisées affectant les chauffeurs de la plateforme.
L’autorité reproche notamment l’absence de garanties suffisantes entourant certaines décisions ayant des conséquences significatives pour les personnes concernées, ainsi qu’un défaut d’intervention humaine effective.
Cette décision souligne l’importance, pour les organisations recourant à des outils automatisés de décision, de documenter les mécanismes de contrôle humain et les voies de contestation ouvertes aux personnes concernées.
2. Documentation de la CNIL
Facturation électronique : la CNIL rappelle les exigences en matière de données personnelles
À l’occasion de la généralisation progressive de la facturation électronique, la CNIL a publié le 10 septembre 2026 un document présentant les principaux enjeux de protection des données associés à cette réforme.
L’autorité rappelle notamment les règles applicables en matière de responsabilités des différents acteurs, de durée de conservation des données, de sécurité des traitements et d’information des personnes concernées.
Les entreprises engagées dans la mise en œuvre de la facturation électronique ont ainsi intérêt à vérifier la conformité de leurs processus aux exigences du RGPD dès les phases de déploiement.
DPO : la CNIL précise les mesures de prévention des conflits d’intérêts
Dans une recommandation publiée le 10 août 2026, la CNIL rappelle les conditions dans lesquelles des missions complémentaires peuvent être confiées à un délégué à la protection des données.
L’autorité insiste sur la nécessité d’identifier en amont les situations susceptibles de créer un conflit d’intérêts, notamment lorsque le DPO participe à la détermination des finalités ou des moyens des traitements.
La CNIL recommande de documenter cette analyse et de la réexaminer régulièrement afin de préserver l’indépendance du DPO.
Pixels de suivi : la CNIL publie une FAQ à destination des professionnels
À la suite de sa recommandation publiée en avril 2026 sur les pixels de suivi dans les courriels, la CNIL a mis en ligne durant l’été un webinaire ainsi qu’une FAQ destinés aux fournisseurs de solutions d’e-mailing et à leurs clients.
Les organisations recourant à des dispositifs de mesure d’ouverture des courriels gagneront à vérifier la conformité de leurs pratiques à la recommandation de la CNIL et aux exigences relatives au recueil du consentement.
La CNIL et le CNIAM alertent sur les enjeux pour la protection des données eu égard au développement de l’IA agentique.
Dans une note publiée le 20 juillet 2026, la CNIL et le Conseil de l’IA et du Numérique (CIANum) analysent les enjeux soulevés par le développement des systèmes d’IA agentique, c’est-à-dire des systèmes capables d’exécuter de manière autonome certaines tâches en interaction avec leur environnement.
La note souligne que l’autonomie croissante de ces systèmes est susceptible d’entraîner des traitements plus complexes de données personnelles, notamment en matière de collecte, de réutilisation des données, de supervision humaine et d’attribution des responsabilités.
Les auteurs invitent ainsi les organisations à intégrer ces enjeux dès la conception de leurs outils afin de garantir le respect des principes du RGPD et une gouvernance adaptée des traitements mis en œuvre.
3. Actualités légales et jurisprudentielles – France
Demande d’effacement : cassation pour défaut de communication des réquisitions
Par un arrêt du 8 septembre 2026, la Cour de cassation a annulé une ordonnance rejetant une demande d’effacement de données figurant dans un fichier d’antécédents judiciaires.
Elle relève que les réquisitions du procureur général n’avaient pas été communiquées au requérant avant que le recours ne soit examiné. Elle juge qu’une telle situation méconnaît le principe du contradictoire ainsi que les droits de la défense.
Cette décision rappelle que les procédures relatives à l’effacement des données figurant dans les fichiers de police doivent respecter les garanties procédurales permettant aux personnes concernées de faire valoir utilement leurs observations (Cour de cassation, 8 septembre 2026, pourvoi n° 25-87.632).
Le Conseil d’État rappelle la notion de « personne concernée »
Par une décision du 27 août 2026, le Conseil d’État a confirmé qu’une réclamation introduite sur le fondement de l’article 77 du RGPD ne peut être exercée que par une personne concernée par les données en cause.
Un médecin libéral contestait le refus de la CNIL d’intervenir à l’encontre d’un prestataire détenant les données de ses patients. Le Conseil d’État a jugé que ce mécanisme n’avait pas vocation à permettre à un responsable de traitement de défendre ses propres intérêts, ni au responsable de traitement de se substituer aux personnes concernées.
La décision rappelle ainsi les limites de l’action ouverte par le RGPD auprès des autorités de contrôle.
Rappel des conditions de contestation des délibérations de la CNIL devant le juge administratif
Par une décision du 27 août 2026, le Conseil d’État a rejeté le recours de l’association Dataring dirigé contre le refus de la CNIL d’abroger sa délibération du 21 décembre 2023 autorisant la Plateforme des données de santé à mettre en œuvre l’entrepôt de données de santé « EMC² ».
Le Conseil d’État rappelle que cette autorisation constitue une décision individuelle créatrice de droits. En application de l’article L. 242-1 du code des relations entre le public et l’administration (« CRPA »), une telle décision ne peut être retirée ou abrogée que si elle est illégale et dans un délai de quatre mois suivant son adoption. La demande d’abrogation ayant été présentée plus d’un an après la délibération initiale, la CNIL était fondée à la rejeter.
Cette décision rappelle que les autorisations individuelles délivrées par la CNIL bénéficient d’une certaine stabilité juridique une fois expiré le délai de quatre mois prévu par le CRPA (Conseil d’Etat, 10e chambre, 27 août 2026, n° 505676).
4. Actualités légales et jurisprudentielles – Europe/International
Liberté d’expression : la CJUE encadre l’exemption journalistique prévue par le RGPD
Dans l’affaire Legal Newsdesk Sweden, la CJUE était saisie de la question de savoir si la publication de condamnations pénales pouvait bénéficier de l’exception applicable aux traitements mis en œuvre à des fins journalistiques, en application de l’article 85 du RGPD.
La Cour rappelle que la simple mise à disposition payante de décisions judiciaires ne suffit pas à caractériser une finalité journalistique. Il convient d’y adjoindre un travail éditorial répondant à l’objectif d’information du public. En l’absence de telles garanties, les traitements demeurent soumis aux exigences du RGPD.
Cette décision confirme que les dérogations prévues au titre de la liberté d’expression doivent faire l’objet d’une interprétation stricte et que les responsables de traitement doivent pouvoir justifier concrètement de la finalité journalistique invoquée (CJUE, 9 juillet 2026, C 199/24 – Legal Newsdesk Sweden AB).
Rappel de la méthode d’appréciation de la licéité du traitement de données (article 6, §1, f) du RGPD)
Dans l’affaire RRC Sports, la CJUE rappelle les trois conditions cumulatives permettant de fonder un traitement sur l’intérêt légitime : existence d’un intérêt légitime poursuivi ; nécessité du traitement ; mise en balance avec les droits et libertés de la personne concernée.
La Cour souligne que cette analyse doit être menée de manière concrète et documentée avant la mise en œuvre du traitement.
Cette décision constitue un rappel de la méthodologie applicable à l’une des bases légales les plus fréquemment invoquées, en l’appliquant concrètement à la publication de données imposée par les règles de la FIFA (CJUE, 16 juillet 2026, C‑209/23 – RRC Sports).
Divulgation légale de données personnelles : exigence de garanties suffisantes
Dans l’affaire Jautiva, la CJUE était saisie de la compatibilité avec le RGPD d’une législation nationale imposant la publication, dans un registre accessible au public, d’informations relatives aux actionnaires de certaines sociétés.
La Cour rappelle que lorsqu’une législation prévoit la divulgation de données à caractère personnel, celle-ci doit être accompagnée de garanties suffisantes permettant de prévenir les risques d’abus et d’assurer une protection effective des personnes concernées. En l’absence de telles garanties, notamment lorsque les informations sont librement accessibles en ligne, l’ingérence dans les droits garantis par le RGPD et la Charte des droits fondamentaux de l’Union européenne peut apparaître disproportionnée.
Cette décision confirme que les objectifs d’intérêt général poursuivis par le législateur ne dispensent pas de mettre en place des mécanismes appropriés de protection des données personnelles (CJUE, 3 septembre 2026, C-798/24, Jautiva).
IA : le CEPD publie des orientations sur le traitement des plaintes
Le Contrôleur européen de la protection des données (CEPD) a publié des informations relatives au traitement des plaintes introduites sur le fondement de l’AI Act. Ce dispositif permet aux personnes physiques ou morales de signaler de possibles manquements aux dispositions du règlement dans les cas relevant de la compétence du CEPD.
Le document précise notamment les conditions de recevabilité des plaintes, les informations pouvant être transmises à l’autorité ainsi que les modalités d’instruction des signalements reçus.
Sanctions RGPD : le CEPD précise sa méthodologie de calcul des amendes
Le 17 septembre 2026, le Comité européen de la protection des données a adopté de nouvelles lignes directrices relatives à l’exercice du pouvoir de sanction des autorités nationales.
Le document formalise une méthodologie avec les différentes étapes devant conduire à la détermination du montant d’une amende et vise à favoriser une application plus harmonisée du RGPD au sein de l’Union européenne.
Ces lignes directrices contribuent à renforcer la prévisibilité des sanctions prononcées par les autorités de contrôle.
Projet d’une base légale commune dans le sens d’une collaboration entre les régulateurs européens du numérique
Le 17 juillet dernier, le CEPD a appelé la Commission européenne à instaurer une base légale permettant le partage d’informations entre les autorités de régulation intervenant dans différents domaines numériques.
Face à l’augmentation et la complexité des dossiers, notamment liés à l’IA, le CEPD estime qu’une telle coopération, y compris pour les informations confidentielles, renforcerait l’efficacité des enquêtes et la cohérence de l’application du RGPD.
Cette initiative témoigne du rapprochement entre les différentes régulations numériques européennes, notamment en matière de protection des données, d’intelligence artificielle et de services numériques.
Le CEPD précise les conditions de conformité de la blockchain au RGPD
Le CEPD a adopté, le 7 juillet 2026, ses lignes directrices sur le traitement des données personnelles via les technologies blockchain.
Le Comité rappelle que le recours à une blockchain ne dispense aucunement du respect du RGPD et recommande notamment de limiter le stockage de données personnelles directement sur la chaîne.
Il insiste également sur l’importance de mécanismes permettant de respecter les principes de minimisation des données et les droits des personnes concernées.
Lignes directrices du CEPD sur l’anonymisation
Le 8 juillet 2026, le CEPD a adopté des lignes directrices relatives à l’anonymisation des données à caractère personnel. Celles-ci précisent dans quelles conditions des données peuvent être considérées comme véritablement anonymes pour ainsi déroger à l’application du RGPD.
Le Comité propose trois critères d’évaluation reposant sur l’absence d’isolement, de corrélation et d’inférence. Ces lignes directrices constituent un outil utile pour apprécier si des données peuvent réellement être considérées comme sorties du champ d’application du RGPD.
Ces lignes directrices s’inscrivent dans la continuité de la jurisprudence récente de la CJUE exigeant qu’une réidentification des personnes demeure raisonnablement impossible (voir notre newsletter précédente).
L’Autorité irlandaise sanctionne Google à hauteur de 403 millions d’euros pour plusieurs manquements au RGPD
Le 21 septembre 2026, l’autorité irlandaise de protection des données a infligé une amende de 403 millions d’euros à Google à l’issue d’une enquête portant sur le traitement de données de localisation.
L’autorité a relevé plusieurs manquements aux principes de licéité, de transparence et de limitation de la durée de conservation.
Cette décision rappelle que les traitements de géolocalisation nécessitent une information particulièrement claire des utilisateurs ainsi qu’un encadrement rigoureux des durées de conservation et des bases légales mobilisées.
Défaut de configuration : sanction pour divulgation non autorisée de données de candidats
Le 18 septembre dernier, l’autorité espagnole de protection des données a sanctionné un organisme à la suite d’une erreur de configuration ayant permis l’accès non autorisé à des documents transmis dans le cadre d’un recrutement.
L’enquête a montré que certains documents étaient rendus publics par défaut, exposant des informations personnelles de plusieurs centaines de personnes.
Cette décision rappelle qu’une erreur de paramétrage est susceptible d’engager la responsabilité du responsable de traitement lorsqu’elle conduit à une divulgation non autorisée de données personnelles.
Sanction à l’encontre du groupe HD Hyundai pour insuffisance des mesures de sécurité
Le 27 août 2026, l’autorité sud-coréenne a sanctionné deux sociétés du groupe HD Hyundai à hauteur de 78,3 millions de Wons (environ 49 000 €), HD Construction Equipment et HD Korea Shipbuilding & Offshore Engineering, pour manquements aux mesures de sécurités des données personnelles.
L’enquête a révélé qu’un pirate avait exploité une vulnérabilité non corrigée sur un serveur de gestion, puis profité de l’absence de cloisonnement entre les systèmes des deux sociétés. Cette infiltration lui a permis d’avoir accès aux données personnelles de 9 503 salariés et partenaires.
Cette décision rappelle l’importance de la gestion des vulnérabilités, du cloisonnement des systèmes d’information et du maintien à jour des correctifs de sécurité.
Article rédigé par : Jeanne BRETON, Pierre-Emmanuel MEYNARD et Camille PECNARD