Newsletter Données Personnelles – Juillet 2026

Le CEPD publie de nouvelles orientations sur l’anonymisation, le web scraping et la blockchain

Le 8 juillet 2026, le CEPD a adopté deux projets de lignes directrices consacrés à l’anonymisation (lignes directrices 02/2026) et au web scraping utilisé pour le développement de systèmes d’IA générative (lignes directrices 03/2026), soumis à consultation publique jusqu’au 30 octobre 2026. Il a également adopté la version définitive de ses lignes directrices relatives à la blockchain (lignes directrices 02/2025).

En matière d’anonymisation, le CEPD s’inscrit dans le prolongement de l’arrêt CJUE, 4 septembre 2025, EDPS c. SRB, C-413/23 P, et retient une approche contextualisée : le caractère anonyme des données dépend des moyens raisonnablement susceptibles d’être utilisés par l’entité concernée pour identifier une personne. L’efficacité de l’anonymisation doit notamment être appréciée au regard des risques d’individualisation, de corrélation et d’inférence.

Concernant le web scraping, le CEPD confirme que la collecte de données publiquement accessibles à des fins d’entraînement de modèles d’IA demeure soumise au RGPD. Les organisations doivent notamment porter une attention particulière à la base juridique du traitement, à la limitation des finalités, à la transparence, à l’exactitude et à la minimisation des données.

Enfin, les lignes directrices sur la blockchain formulent seize recommandations destinées à aider les organisations à assurer la conformité de leurs traitements au RGPD. Elles recommandent notamment d’éviter, dans la mesure du possible, le stockage direct de données personnelles « on-chain ».

Pour plus d’informations : cliquez ici (lignes directrices 02/2026), ici (lignes directrices 03/2026) et ici (lignes directrices 02/2025)

Le CEPD poursuit l’harmonisation des outils de conformité RGPD avec deux nouveaux modèles européens

Le CEPD a publié deux nouveaux modèles destinés à harmoniser la documentation RGPD à l’échelle européenne : un modèle d’analyse d’impact relative à la protection des données (AIPD), publié le 14 avril 2026, et un modèle de notification de violation de données personnelles, publié en juin 2026 :

• Le modèle d’AIPD vise à aider les organisations à structurer et documenter leurs analyses d’impact de manière plus homogène, en couvrant les principaux éléments attendus au titre du RGPD. Il met également l’accent sur la justification des choix opérés et l’implication du DPO ainsi que, le cas échéant, des personnes concernées. Le modèle est accompagné d’un guide explicatif et devrait, à terme, servir de référence commune pour la documentation des AIPD dans l’UE.
• Le modèle de notification de violation de données personnelles poursuit la même logique d’harmonisation. Ce template vise à harmoniser la collecte d’informations auprès des responsables de traitement lors d’un incident, en couvrant l’ensemble des exigences du RGPD. Le modèle intègre également des champs spécifiques pour les notifications transfrontalières, la gestion des parties impliquées (sous-traitants, co-responsables), et la documentation des mesures correctives et préventives. Il est conçu pour faciliter l’analyse par les autorités nationales et renforcer la cohérence des procédures à l’échelle européenne.

Le modèle d’AIPD était soumis à consultation publique jusqu’au 9 juin 2026, tandis que celui de notification est encore en consultation publique jusqu’au 5 août 2026.

Pour plus d’informations : cliquez ici (projet de modèle d’AIPD) et ici (projet de modèle de notification de violation).

Approbation du label européen Europrivacy : un nouveau mécanisme de certification RGPD et de transfert international

Le 15 avril 2026, le CEPD a adopté deux avis relatifs au label européen Europrivacy.

Le premier avis (avis 14/2026) approuve la mise à jour des critères de certification Europrivacy en tant que label européen de protection des données (« European Data Protection Seal ») au sens de l’article 42 du RGPD. Ce label permet aux responsables de traitement et sous-traitants de démontrer un niveau élevé de conformité au RGPD via un mécanisme reconnu dans toute l’UE. La version actualisée du schéma Europrivacy élargit son champ d’application aux responsables du traitement et sous-traitants établis en dehors de l’UE / EEE lorsqu’ils sont soumis au RGPD, et introduit des exigences renforcées sur la gestion des sous-traitants, la documentation des obligations nationales et la coopération avec les autorités. L’adhésion à la certification reste volontaire et n’exonère pas les acteurs de leurs responsabilités.

Le second avis (avis 15/2026) valide l’extension du label Europrivacy comme outil de transfert international au sens de l’article 46(2)(f) du RGPD. Les importateurs de données situés hors EEE pourront ainsi s’appuyer sur cette certification, sous réserve d’engagements contractuels contraignants, offrant ainsi une alternative complémentaire aux clauses contractuelles types pour les transferts hors UE.

Pour plus d’informations : cliquez ici (avis 14/2026) et ici (avis 15/2026).

Sanction de 5 millions d’euros contre IQVIA pour manquements dans la gestion d’entrepôts de données de santé

Le 26 mai 2026, la CNIL a sanctionné la société IQVIA OPERATIONS FRANCE d’une amende de 5 millions d’euros pour non-respect des garanties imposées dans la gestion de deux entrepôts de données de santé, alimentés par des données issues de pharmacies et de médecins. Les contrôles ont révélé des manquements à l’information des personnes, à l’exercice effectif du droit d’opposition, et à la sécurité des données, notamment l’absence d’authentification multi-facteur et de journalisation régulière.

La CNIL a également estimé que les données traitées étaient pseudonymisées et non anonymes, la réidentification restant possible avec des moyens raisonnables. Compte tenu de la sensibilité des données, du nombre élevé de personnes concernées (plusieurs dizaines de millions de patients en France) et de la gravité des manquements, la sanction a été assortie d’injonctions de mise en conformité sous six mois, sous peine d’astreinte.z

Pour plus d’informations : cliquez ici.

Mise à jour des méthodologies de référence MR-001 et MR-003 : élargissement et nouvelles exigences pour la recherche en santé

Le 26 mai 2026, la CNIL a publié une version actualisée des méthodologies de référence MR-001 et MR-003 applicables aux recherches en santé.
Elles sont accompagnées de deux annexes sur la sécurité et le contrôle qualité. Cette mise à jour étend leur champ d’application aux recherches menées à l’étranger, aux études sur les produits de santé et aux bases de données médico-administratives. Elles introduisent également la possibilité de responsabilité conjointe, précisent les conditions de licéité, et ajoutent de nouvelles catégories de données (orientation sexuelle, origine géographique, revenus, etc.).

Les modalités d’information sont renforcées (information différée en cas d’urgence, dématérialisation), tout comme les exigences de sécurité (authentification multi-facteur obligatoire dès 2027, audit des sous-traitants, gestion des transferts hors UE).

Toutes les recherches initiées depuis le 23 mai 2026 doivent impérativement s'aligner sur ces nouvelles exigences. La CNIL précise toutefois qu’une déclaration de conformité déjà réalisée au titre de la précédente version de la MR n’a pas à être renouvelée systématiquement.

Pour plus d’informations : cliquez ici.

Données de santé : une nouvelle obligation de mise à disposition des données en cas d’autorisation ou de conformité CNIL

La loi de simplification de la vie économique du 26 mai 2026 introduit plusieurs mesures intéressant directement les acteurs de la recherche, de l’innovation et des données de santé.

L’un des principaux apports du texte réside dans la modification de l’article 66 de la loi Informatique et Libertés. Désormais, lorsqu’un responsable de traitement disposera d’une autorisation de la CNIL ou a réalisé un engagement de conformité à un référentiel ou à une méthodologie de référence, le détenteur des données concernées devra les mettre à disposition dans un délai de trois mois, renouvelable une fois.

Cette nouvelle disposition entre en vigueur le 26 novembre 2027.

Elle préfigure les mécanismes qui devront être mis en place au titre du futur Espace Européen des Données de Santé (EHDS).

Pour plus d’informations : cliquez ici.

Rapport annuel 2025 : hausse des plaintes, cybersécurité et IA au cœur des priorités

Le 18 mai 2026, la CNIL a publié son rapport annuel 2025, marqué par une forte intensification de son activité : 20 150 plaintes reçues (soit 10 % de plus qu’en 2024), 83 sanctions prononcées pour près de 487 millions d’euros d’amendes, et un niveau record de 6 167 notifications de violations de données.

La cybersécurité ressort comme le principal point d’attention, représentant un tiers des contrôles et près de 30 % des sanctions en 2025, avec un accent particulier sur la sécurisation des grandes bases de données et la gestion des incidents impliquant des prestataires. Face à la hausse des incidents, souvent liés à des piratages, la CNIL annonce qu’elle consacrera en 2026 la moitié de ses contrôles et actions répressives à la sécurité des données.

A ce titre, la CNIL recommande notamment de sécuriser les accès externes au moyen d’une authentification multifacteur. Elle préconise également de journaliser et d’analyser les flux, afin de détecter les accès ou extractions inhabituels. Les organismes doivent régulièrement sensibiliser leurs collaborateurs, dirigeants, développeurs et prestataires aux risques cyber. Enfin, ils doivent mieux encadrer la sécurité mise en œuvre par leurs sous-traitants.

Le rapport souligne également la montée en puissance de l’IA dans les priorités de la CNIL, dans le contexte de l’entrée en application progressive du règlement européen sur l’IA.

Pour plus d’informations : cliquez ici.

Recommandation sur les pixels de suivi dans les emails : nouvelles exigences de consentement et de transparence

Le 14 avril 2026, la CNIL a publié sa recommandation finale sur l’utilisation des pixels de suivi dans les courriels, à l’issue d’une consultation publique. Ces pixels, souvent invisibles pour l’utilisateur, permettent notamment de savoir si un courriel a été ouvert ou de mesurer l’engagement des destinataires. La CNIL rappelle que leur utilisation doit être encadrée, et distingue les usages nécessitant le consentement préalable du destinataire (analyse de performance des campagnes, profilage, détection de fraude) de ceux pouvant en être exemptés (sécurisation de l’authentification, mesure du taux d’ouverture afin d’identifier des problèmes de délivrabilité).

La CNIL précise que le consentement doit être libre, spécifique, éclairé et univoque, et recommande de le recueillir lors de la collecte de l’adresse email. Les personnes concernées doivent être clairement informées de la finalité des pixels, y compris pour les usages exemptés, et pouvoir retirer leur consentement (lorsque ce dernier est requis) facilement et à tout moment. Les acteurs disposent d’un délai de trois mois pour informer les destinataires déjà présents dans leurs bases et leur permettre de s’opposer à l’utilisation des pixels pour les futurs envois.

Pour plus d’informations : cliquez ici.

Lunettes connectées : la CNIL appelle à la vigilance et publie ses premières recommandations

Le 11 mai 2026, la CNIL a alerté sur les risques majeurs que présentent les lunettes connectées pour la vie privée, en particulier la captation quasi invisible de l’image et de la voix de tiers, le risque de surveillance généralisée et les enjeux éthiques et sociétaux associés. Selon une enquête menée début 2026, 67 % des personnes interrogées considèrent ces dispositifs comme une menace pour la vie privée.

La CNIL rappelle que l’utilisation des lunettes connectées implique de nombreux traitements de données personnelles soumis au RGPD et à la loi Informatique et Libertés. Elle insiste sur la nécessité d’informer les personnes à proximité, de désactiver les fonctions de captation lorsqu’elles ne sont pas nécessaires, d’éviter leur usage dans les lieux où l’intimité est attendue, et d’obtenir le consentement des personnes filmées ou enregistrées. La CNIL lance également un plan d’action et prévoit d’aborder ce sujet lors de ses prochains événements.

Pour plus d’informations : cliquez ici.

Données personnelles et lutte contre le piratage : le Conseil d’État annule partiellement le décret « réponse graduée » contre le piratage en ligne

Le 30 avril 2026, le Conseil d’État a annulé partiellement le décret du 5 mars 2010 encadrant le traitement automatisé de données personnelles dans le cadre de la procédure de « réponse graduée » contre le piratage en ligne.

La réponse graduée est la procédure par laquelle l’ARCOM avertit progressivement un abonné dont la connexion internet est utilisée pour du piratage. Après deux premiers avertissements, si les manquements continuent, le dossier peut être transmis au procureur de la République. Cette étape nécessite l’identification de l’abonné grâce au rapprochement entre l’adresse IP signalée et les données d’identité civile détenues par son fournisseur d’accès à internet (FAI).

S’appuyant sur la jurisprudence de la CJUE, la haute juridiction exige le cloisonnement strict des adresses IP par les FAI et interdit à l'ARCOM de croiser plus de deux fois les données d'un abonné avec ses infractions supposées sans l'autorisation préalable d’une juridiction ou d’une autorité indépendante et impartiale.

Le Conseil d’État juge en conséquence que l’accès répété à ces données, dans un contexte susceptible de porter atteinte à la vie privée, doit être soumis à un contrôle indépendant afin d’assurer la conformité au droit de l’UE. L’ARCOM devra s’abstenir d’appliquer les dispositions annulées et suspendre le traitement des troisièmes manquements dans l’attente d’un nouveau décret modificatif conforme pris par le Gouvernement.

Pour plus d’informations : cliquez ici.

La Commission européenne précise progressivement les modalités d’application du Règlement sur l’IA

Par plusieurs initiatives récentes, la Commission européenne précise progressivement les modalités d’application du Règlement sur l’IA afin d’accompagner les fournisseurs et les déployeurs dans la mise en œuvre de leurs obligations.

• Projet de lignes directrices sur la mise en œuvre des obligations de transparence pour certains systèmes d’IA au titre de l’article 50 du Règlement sur l’IA. Le 8 mai 2026, la Commission européenne a publié un projet de lignes directrices précisant les obligations de transparence applicables à certains systèmes d’IA. Ces obligations concernent notamment l’information des personnes lorsqu’elles interagissent avec un système d’IA, le marquage des contenus générés ou manipulés par IA, ainsi que l’information des personnes exposées à des deepfakes, à certains contenus textuels générés par IA sur des sujets d’intérêt public, ou à des systèmes de reconnaissance des émotions ou de catégorisation biométrique.

Pour plus d’informations: cliquez ici

• Projet de lignes directrices sur la classification des systèmes d’IA à haut risque. Le 19 mai 2026, la Commission a également publié un projet de lignes directrices destiné à aider les fournisseurs et les déployeurs à déterminer si un système d’IA doit être classé comme système à haut risque au sens de l’article 6 du Règlement sur l’IA. Le projet distingue les deux catégories prévues par le règlement : les systèmes d’IA intégrés à des produits soumis à une législation européenne d’harmonisation en matière de sécurité des produits, et les systèmes relevant des cas d’usage listés à l’annexe III.

Pour plus d’informations: cliquez ici.

• Publication du Code de bonnes pratiques sur le marquage et l’étiquetage des contenus générés par IA. Le 10 juin 2026, la Commission européenne a publié la version finale de ce Code, destiné à accompagner les fournisseurs et les déployeurs dans la mise en œuvre des obligations de transparence prévues à l’article 50 du Règlement sur l’IA applicables à partir du 2 août 2026. L’adhésion au Code est volontaire, mais facilite la démonstration de conformité aux exigences de transparence du Règlement sur l’IA.

Pour plus d’informations: cliquez ici.