IA Act, AI Omnibus, cyberattaques... : les actualités Data de juillet et août 2026
Chaque mois, nous vous livrons l’essentiel de l’actualité data dans la newsletter Data4Coffee. Ne passez pas à côté des infos clés !
Pour la recevoir, merci de bien vouloir remplir ce formulaire.
I. FRANCE
1.1. Régulation des services en ligne : le DSA comme outil de régulation de l’IA
[16 juin – 7 juillet 2026] L’Arcom a publié la première édition du Baromètre de l’audience des services d’intelligence artificielle. Cet instrument fournit toute une série de statistiques sur l’utilisation des services d’IA chez les mineurs et les jeunes et met en lumière le recours massif à ces services dans cette catégorie de la population. Comme relevé par certains commentateurs, à travers la publication de ce baromètre, l'Arcom semble vouloir utiliser progressivement le DSA comme un levier de régulation des systèmes d'IA intégrés aux plateformes en ligne. Grâce aux pouvoirs que lui confère le DSA, elle peut demander des informations, mener des enquêtes et contrôler le respect des obligations de certaines plateformes. La régulation de l’IA devra donc désormais également être envisagée sous l’angle du DSA, comme en témoigne la récente désignation de ChatGPT en tant que très grand moteur de recherche au sens du règlement.
Sources :
1.2. Interdiction des réseaux sociaux aux mineurs de moins de quinze ans : la loi française n’est pas pleinement conforme
[6 juillet – 14 août 2026] Le 6 juillet 2026, la Commission européenne a émis un avis circonstancié concernant la proposition de loi visant à protéger les mineurs des risques auxquels les expose l'utilisation des réseaux sociaux, dans sa version issue du Sénat. La Commission a considéré que ce texte n’était pas pleinement compatible avec le droit de l'Union, dans la mesure où les pouvoirs de supervision accordés à l’Arcom empièteraient sur le mécanisme de coopération harmonisé du DSA. La Commission observe également que des obligations de vérification de l’âge ou de consentement parental imposées aux plateformes feraient double emploi avec les exigences relatives à la protection des mineurs établies par le DSA (articles 28, 34 et 35), et se heurteraient à l’article 8 du DSA, qui interdit toute obligation générale de surveillance. A la suite de cet avis, le texte a été modifié et une nouvelle version a été adoptée par le Parlement. Cette nouvelle version du dispositif a toutefois été censurée par le Conseil constitutionnel, saisi par 60 députés. Dans sa décision, le Conseil constitutionnel a considéré que l'interdiction générale prévue par le texte porte une atteinte disproportionnée à la liberté d'expression et de communication, notamment en raison de la portée générale de l’interdiction visant tous les réseaux sociaux, et que le législateur n'avait pas prévu les garanties suffisantes pour assurer le respect de la vie privée. Un dispositif français d’interdiction de certains réseaux sociaux aux mineurs de moins de quinze ans reste donc juridiquement possible, mais la marge de manœuvre du législateur est doublement limitée : d’une part, par le droit européen et l’harmonisation opérée par le DSA, et d’autre part, par les droits fondamentaux garantis par la Constitution et l’exigence de proportionnalité de toute atteinte qui leur est portée.
Sources :
1.3. Sanctions de la CNIL : la vidéosurveillance, les cookies et les droits des personnes sont particulièrement concernés
[6 juillet 2026] La CNIL a annoncé avoir prononcé 23 sanctions depuis janvier 2026 dans le cadre de la procédure simplifiée, pour un total de 133 750 euros d'amendes. Les manquements portent principalement sur la vidéosurveillance des salariés, les cookies et le respect des droits des personnes (accès, effacement). Sur 23 sanctions, 8 concernent le non-respect des droits d’accès ou d’effacement de plaignants, dont 4 sont associées à un défaut de coopération avec la CNIL. La CNIL a notamment prononcé des amendes contre des sociétés n’ayant pas répondu à des demandes de droit d’accès ou d’effacement ou ayant mis trop longtemps à y répondre. Ceci constitue un rappel utile que l’absence de réponse, tout comme la réponse tardive aux demandes d’exercice des droits, sont régulièrement sanctionnées.
Source : La CNIL a prononcé 23 nouvelles sanctions depuis janvier au titre de la procédure simplifiée | CNIL
1.4. Surveillance des salariés : trois conditions cumulatives pour un contrôle licite
[9 juillet 2026] Si le pouvoir de direction de l’employeur lui permet d’encadrer et de vérifier l’activité de son personnel, la CNIL rappelle les trois conditions cumulatives de licéité des dispositifs de contrôle susceptibles d’être mis en œuvre. Premièrement, la justification et la proportionnalité du dispositif au regard des droits et intérêts respectifs. L’employeur doit définir clairement l'objectif et le périmètre du contrôle, identifier les risques d'atteinte aux droits des personnes, vérifier qu'aucun moyen moins intrusif n'existe et déterminer les données strictement nécessaires, leur durée de conservation et les personnes habilitées à y accéder. La CNIL rappelle qu’une surveillance constante est en principe excessive. Ensuite, la consultation préalable des instances représentatives du personnel, à savoir le CSE pour les entreprises de plus de 50 salariés, pour tout dispositif de contrôle déployé. Enfin, l’information des personnes. Au titre des obligations de loyauté et de transparence, l’employeur doit porter à la connaissance des salariés l’existence du dispositif préalablement à sa mise en place. Ces recommandations ne sont pas nouvelles mais consolident l’articulation entre protection des données et droits des salariés, qui doit être documentée par les employeurs.
Source : Travail, ressources humaines : le contrôle de l’activité des personnes employées | CNIL
1.5. IA agentique et données personnelles : la CNIL et le Conseil de l’IA et du Numérique publient une note exploratoire
[20 juillet 2026] La CNIL et le Conseil de l’IA et du Numérique ont préparé une note visant à examiner l’application du RGPD à l’IA agentique. La note met l’accent sur les nouveaux enjeux et risques que présente l’IA agentique, en insistant notamment sur ses capacités de déduction permettant de collecter et traiter toujours plus d’informations sur la vie privée de l’utilisateur. Elle souligne également que l’autonomie de ces systèmes est susceptible de conduire à une prise de décision automatisée au sens de l’article 22 du RGPD, et que le simple fait qu’un humain intervienne en bout de chaîne décisionnelle ne suffit pas nécessairement à écarter cette qualification. La note formule certaines recommandations générales afin de concilier l’usage de l’IA agentique et le respect du RGPD, comme le cloisonnement de la mémoire des agents. Elle explore également l’opportunité d’émettre des recommandations spécifiquement destinées aux développeurs ou déployeurs d’IA agentiques ou précisant l’application du régime des décisions automatisées en matière d’IA agentique. Les entreprises développant ou déployant des systèmes d’IA agentiques peuvent donc s’attendre à de nouvelles recommandations ou prises de position des autorités compétentes dans les mois ou années à venir.
1.6. Sécurité de l’IA : déclaration conjointe entre la France et l’Allemagne
[20 juillet 2026] Dans une déclaration conjointe du 20 juillet 2026, la France et l’Allemagne s’accordent sur l’importance de la maîtrise des conséquences de l’IA de pointe pour la sécurité nationale et internationale. Les deux États reconnaissent l'IA comme l'une des avancées technologiques les plus déterminantes de l'époque et la nécessité d'un développement et d'un déploiement sûrs des systèmes. Pour y parvenir, la France et l’Allemagne visent une coopération étroite de leurs acteurs clés afin de faire avancer les travaux de l’UE, de l’OTAN et de l’ONU. Cette collaboration repose sur un rapprochement des institutions : côté allemand, le ministère fédéral de la Transformation numérique et de la Modernisation de l'État, le ministère fédéral de l'Intérieur et l'Institut allemand de sûreté et de sécurité de l'IA ; côté français, le Secrétariat général de la défense et de la sécurité nationale (SGDSN), la Direction générale des entreprises (DGE) et l’Institut national français pour l’évaluation et la sécurité de l’intelligence artificielle (INESIA). Les méthodes, lignes directrices et référentiels d'évaluation qui seront issus de ce partenariat sont à surveiller.
1.7. Pixels de suivi dans les emails : fin de la période de tolérance et précision des recommandations de la CNIL
[22 juillet 2026] Après sa recommandation du 14 avril 2026 sur les pixels de suivi dans les emails, la CNIL publie cet été une foire aux questions destinée à accompagner sa mise en œuvre. Trois enseignements majeurs sont à en retirer sur le champ d’application, les cas d’exemption du consentement et la responsabilité des acteurs. Sur le champ d’application, la CNIL précise que sa recommandation s’applique à tout recours à des traceurs dans les courriels, quel que soit le contexte, l’organisme expéditeur ou la qualité du destinataire. Sur les exemptions au consentement, les conditions sont strictes : le pixel de délivrabilité ne peut collecter que la date de dernière ouverture sans consentement, toute autre donnée collectée (heure d’ouverture, adresse IP, user-agent, etc.) fait perdre le bénéfice de l’exemption. Sur la responsabilité, le prestataire d'envoi agit en sous-traitant lorsqu'il insère le pixel pour le seul compte de l'expéditeur, mais peut devenir responsable conjoint s'il exploite le pixel pour ses propres finalités. Néanmoins, dans tous les cas, celui qui délègue le recueil du consentement ne peut se contenter d'une clause contractuelle avec son prestataire et doit pouvoir en démontrer la validité. Le délai de 3 mois ouvert pour les adresses collectées avant le 14 avril 2026 ayant expiré le 14 juillet 2026, l'expéditeur doit désormais recueillir le consentement ou cesser d'utiliser les pixels concernés s’il n’a pas envoyé de courriel d'information permettant l'opposition des personnes concernées.
1.8. Renouvellement partiel du Collège de la CNIL : cinq nouveaux membres depuis le 2 août 2026
[5 août 2026] La CNIL a annoncé, le 5 août 2026, l’arrivée de cinq nouveaux membres au sein de son Collège : Marie-Luce Cavrois, conseillère honoraire à la Cour de cassation ; Marion Fourtune, responsable associative, vice-présidente de France Nature Environnement et membre du Conseil économique, social et environnemental ; Arnaud Latil, enseignant-chercheur en droit privé, vice-président IA, stratégie et prospective de Sorbonne Université et expert auprès du forum consultatif du Bureau de l'IA ; Benjamin Nguyen, enseignant-chercheur à l'INSA Centre-Val de Loire travaillant notamment sur la protection des données, l'anonymisation et la sécurité des systèmes d'information ; Éric Thiers, conseiller d'État et historien, spécialiste des institutions parlementaires et constitutionnelles. La composition des profils entrants au sein de l’organe décisionnel et délibérant de la CNIL signale deux orientations : un renforcement de l'expertise consacrée à l'intelligence artificielle et le maintien d'un équilibre entre compétences juridiques et compétences techniques.
Source : Collège de la CNIL : 5 nouveaux membres nommés le 2 août 2026 | CNIL
1.9. Rôle du DPO : gestion des conflits d’intérêts et extension de son périmètre d’action
[3 juillet - 10 août 2026] Deux publications de la CNIL, à un mois d'intervalle, dessinent une même tension autour de la fonction de délégué à la protection des données (DPO). D’un côté, les résultats de l’enquête publiée le 3 juillet 2026 à l’occasion de la cinquième édition de l’Observatoire du métier de DPO mettent en avant une fonction happée par l’intelligence artificielle. Alors que 70 % des organismes répondants utilisent ou prévoient d’utiliser l’IA, plus de la moitié des DPO interrogés déclarent avoir déjà l’IA Act dans leur périmètre de responsabilité et sont souvent, voire systématiquement, associés aux projets IA, alors même que seuls 27% d’entre eux estiment bien connaître le texte. De l’autre côté, la fiche pratique de la CNIL du 10 août 2026 rappelle les limites de ce périmètre extensible : le cumul de missions est licite dès lors qu’il ne place pas le DPO en conflit d’intérêts et ne le prive pas du temps nécessaire à ses fonctions. La CNIL rappelle que cet acteur ne peut être juge et partie à travers une liste de questions destinées à identifier et gérer le conflit d’intérêts. L’organisation qui identifie une telle situation doit obligatoirement y mettre fin. Ces actualités sensibilisent les entreprises sur la place et le rôle de leur DPO, à une ère de l’IA où les règles de gouvernance ne peuvent qu’évoluer.
Sources :
1.10. Vague de cyberattaques : la France est la cible européenne numéro 1
[Été 2026] D’après une étude publiée par Surfshark, le premier semestre 2026 marque un nouveau record : 43,4 millions de comptes appartenant à des Français auraient été compromis entre janvier et juin 2026 (soit 60 % de hausse par rapport au semestre précédent). L’été 2026 ne semble pas inverser cette tendance, la France ayant enregistré une série ininterrompue de cyberattaques entre juillet et août. Parmi ces violations, la DGFiP a confirmé le 13 août un accès illégitime à son système d'information, une seconde intrusion visant le service cadastral étant revendiquée. L'INSEE, l'Éducation nationale, Santé publique France, l'Inserm et Bloctel auraient également été touchés, aux côtés d'entreprises et de fédérations sportives. Le pirate ZeroBytes revendique une nouvelle attaque du site « Zéro Logement Vacant » à l’aide d’un compte administrateur compromis, dérobant les données de 48 millions de propriétaires. Deux constantes se dégagent. D'abord, le prestataire est devenu le principal point d'entrée : la compromission du seul éditeur BlgCloud aurait exposé les données de 159 entreprises clientes. Ensuite, les accès légitimes détournés, comptes valides et contournement de l'authentification à deux facteurs supplantent désormais l'intrusion technique classique. Toutefois, le responsable de traitement demeure responsable même lorsque la faille se situe chez son sous-traitant : il doit notifier la CNIL sous 72 heures, mettre en place les mesures de remédiation nécessaires avec son sous-traitant et, en cas de risque élevé, informer individuellement les personnes concernées.
Sources :
2. UNION EUROPEENNE
2.1. DMA : AWS et Azure pourraient être désignés contrôleurs d’accès pour leurs services cloud
[25 juin 2026] La Commission européenne a annoncé avoir informé AWS et Microsoft de son intention de les désigner comme « contrôleurs d’accès » (gatekeepers) au titre du DMA, cette fois pour leurs services de cloud computing. Si Amazon et Microsoft sont déjà qualifiés de contrôleurs d’accès pour certains de leurs services de plateforme essentiels (notamment la place de marché Amazon et LinkedIn), il s’agirait de la première désignation de fournisseurs de services d’informatique en nuage. Cette annonce ne constitue toutefois pas une décision définitive à ce stade, AWS et Microsoft ayant toujours la possibilité de formuler leurs observations. En cas de confirmation, AWS et Azure seront soumis aux obligations prévues par le règlement, notamment concernant les restrictions à l’utilisation et la combinaison des données des entreprises utilisatrices.
2.2. Cybersécurité et IA : la Commission européenne ajuste son plan d’actions
[7 juillet 2026] Dans un contexte d’accélération des cyberattaques portées par l’intelligence artificielle, la Commission européenne a présenté son plan d’action visant à répondre de manière structurée aux risques liés aux outils d’IA mais aussi à en exploiter les possibilités en matière de cybersécurité. Par la concertation des Etats membres, entreprises et organisations de l’UE, la Commission entend s’appuyer sur le cadre juridique existant pour évaluer les modèles d’IA, accéder aux systèmes d’IA les plus avancés et mettre en place une plateforme sécurisée de test de l’IA appliquée à la cybersécurité. Ce plan d’action passe également par une prise de conscience nécessaire des acteurs de l’UE : les organisations doivent renforcer leurs pratiques de cyberhygiène, leurs mesures de gestion des risques et l’application du principe de security by design. A cette fin, la Commission européenne les encourage à utiliser les capacités d’IA déjà disponibles pour détecter et corriger plus rapidement les vulnérabilités.
2.3. Données anonymes, web scraping et blockchain : nouvelles lignes directrices du CEPD
[8 juillet 2026] Le Comité européen de la protection des données a adopté deux projets de lignes directrices majeures : l'un sur la notion de donnée anonyme, tenant compte de l'arrêt SRB de la Cour de justice de l’Union européenne (CJUE, 4 septembre 2025, C-413/23 P, EDPS v SRB), l'autre sur la conformité au RGPD du web scraping utilisé pour entraîner les modèles d'IA générative (base légale, traitement des catégories particulières, principes de finalité et de transparence). Ces projets de lignes directrices sont ouverts à une consultation publique jusqu'au 30 octobre 2026. Le Comité européen de la protection des données a également finalisé ses lignes directrices sur la blockchain. Ces projets de lignes directrices viennent éclairer l’interprétation du RGPD à l’aune de nouvelles pratiques et technologies, telles que la blockchain et l’IA générative.
2.4. Digital Markets Act : le Tribunal de l’Union européenne confirme la qualification d’Apple comme contrôleur d’accès
[8 juillet 2026] Par un arrêt du 8 juillet 2026, le Tribunal de l'Union européenne a rejeté l'ensemble des recours formés par Apple contre sa désignation en qualité de contrôleur d'accès au titre du Digital Markets Act (DMA). La Commission avait retenu cette qualification en septembre 2023 pour l'App Store et le système d'exploitation iOS, considérant que ces derniers constituent un intermédiaire incontournable entre les entreprises souhaitant proposer leurs services en ligne et les utilisateurs finaux. Apple soutenait notamment que ses cinq boutiques d'applications (pour iPhone, iPad, Apple Watch, Mac et Apple TV) devaient être appréciées séparément et ne pouvaient être traitées comme un service de plateforme essentiel unique. Le Tribunal écarte cet argument, estimant que ces boutiques poursuivent une finalité identique, à savoir mettre en relation les développeurs et les utilisateurs, et ne présentent pas de différences suffisantes pour constituer des services distincts. Apple demeure donc soumise aux obligations du DMA, parmi lesquelles les obligations d’interopérabilité de sa plateforme.
Sources :
2.5. Services de streaming : le droit de rétractation est applicable
[9 juillet 2026] La Cour de justice de l'Union européenne a jugé qu'un consommateur qui souscrit un abonnement de streaming bénéficie du droit de rétractation de 14 jours offert par la directive relative aux droits des consommateurs, sans que le fournisseur puisse exclure contractuellement ce droit au motif que l’exécution du contrat a commencé. Selon la Cour, la fourniture d’un service de streaming par lequel le client peut accéder, au moyen d’un hyperlien ou d’une application numérique, à des données numériques stockées sur un serveur afin de les visionner en direct, à la demande, ou encore hors ligne après téléchargement sur un dispositif de mémoire propre relève non pas de la fourniture de contenus numériques, mais de la fourniture d’un service numérique, lorsque l’offre présente un caractère dynamique qui va au-delà de la seule mise à disposition stable et, le cas échéant, continue de contenus spécifiques. Dès lors, le droit de rétractation ne peut pas être exclu contractuellement par le fournisseur du service.
Sources :
2.6. IA Act : publication des lignes directrices sur la transparence
[20 juillet 2026] La Commission européenne a publié la version finale de ses lignes directrices sur la transparence (art. 50 de l’IA Act). Comme annoncé, ces lignes directrices viennent compléter le code de bonne pratique, publié en juin dernier. Elles fournissent des clarifications utiles sur le champ d’application de chaque paragraphe de l’article 50 de l’IA Act et ses exceptions, la manière d’informer les utilisateurs dans chaque situation et l’interaction avec d’autres instruments juridiques européens, tels que le DSA ou les directives visant à protéger les consommateurs. Les acteurs concernés doivent assurer leur conformité à l’article 50 depuis le 2 août 2026, à l’exception de l’obligation relative au marquage de contenus générés par l’IA (art. 50(2) de l’IA Act), dont l’entrée en application a été décalée au 2 décembre 2026 à la suite de la publication de l’AI Omnibus.
2.7. AI Omnibus : publication et entrée en vigueur du règlement visant à simplifier l'IA Act
[24 juillet 2026] Le règlement visant à simplifier l’IA Act a été officiellement publié et entre en vigueur le 27 juillet 2026. Cette publication confirme le report des obligations relatives aux systèmes d’IA à haut risque embarqués dans des produits couverts par une réglementation sectorielle (2 août 2028), des obligations relatives aux autres systèmes d’IA à haut risque (2 décembre 2027), des obligations de marquage des contenus générés par IA applicables aux fournisseurs (2 décembre 2026) et de l’instauration des bacs à sable règlementaires (2 août 2027). Le texte apporte également des modifications notables à l’IA Act, notamment : ajout d’un nouvel article 4 bis sur le traitement de données sensibles aux fins de correction des biais, nouvelle interdiction des systèmes d’IA permettant de générer des contenus sexuels et intimes non consentis ou du matériel relatif à des abus sexuels sur enfants (art. 5), modification de la définition (art. 3) de composants de sécurité et ajout d’exclusions expresses (art. 6) et modification des articles sur le développement (art. 10) et la documentation technique (art. 11) des systèmes d’IA à haut risque. Bien que le calendrier d’application du texte soit légèrement modifié, certaines obligations, notamment de transparence, et le pouvoir de contrôle et de sanction de la Commission, sont toutefois entrées en application le 2 août 2026. Les entreprises concernées doivent poursuivre leurs efforts de conformité s’agissant des obligations entrant en vigueur dans les mois ou années à venir.
Source : AI Omnibus enters into force | Commission européenne
2.8. Contrôles « défensifs » rétroactifs de messageries professionnelles : 460 000 euros d’amende à l’encontre de Piaggio
[29 juillet 2026] Après avoir licencié deux salariés en mars 2023, Piaggio ne répondait pas dans les délais à leur demande de désactivation de leur messagerie professionnelle et se livrait à la collecte de nombreux emails à des fins d’enquête et de contrôle « défensif » après avoir reçu des signalements internes à l’égard de ces derniers. Si l’autorité de protection des données italienne ne remet pas en cause la licéité de ce type de contrôle, elle rappelle qu’ils ne peuvent porter que sur des données acquises postérieurement à la naissance d’un soupçon sur un comportement illégal. L'usage de mots-clés et de filtres, ainsi que la mise en balance réalisée avec le délégué à la protection des données, ne suffisent ainsi pas à régulariser un contrôle portant sur une période antérieure. L’autorité relève que ce contrôle rétroactif a été rendu possible par la conservation excessive des sauvegardes des messageries professionnelles (5 ans après la rupture du contrat de travail). Sur la demande de désactivation, l’autorité rappelle que l’adresse email professionnelle et la correspondance qui y est associée constituent des données personnelles, et qu’une demande de désactivation caractérise une demande d’effacement au sens de l’article 17 du RGPD à laquelle Piaggio aurait dû faire droit. Face à ces manquements, l’autorité italienne a prononcé une amende de 460 000 euros à l’encontre de l’employeur. Cette affaire replace au cœur du débat le sort des messageries professionnelles.
Source : Garante per la protezione dei dati personali (Italy) - 476/2026 | GDPRHub
2.9. Transfert de données personnelles vers les Etats-Unis : impact de la décision Trump v. Slaughter
[29 juin - 3 août 2026] Aux termes de l’arrêt Trump v. Slaughter, la Cour suprême des États-Unis a jugé que la protection légale empêchant la révocation discrétionnaire des commissaires de la Federal Trade Commission (FTC) était incompatible avec le principe de la séparation des pouvoirs. Quelques semaines après cette décision, le Comité européen de la protection des données a demandé à la Commission européenne d’évaluer l’impact de cet arrêt sur la décision d’adéquation fondée sur le Data Privacy Framework. Selon l’association non-gouvernementale NOYB, la remise en cause de l'indépendance de la Federal Trade Commission (FTC) fragilise l'un des fondements de la décision d'adéquation et justifie son retrait ainsi qu'un nouveau contentieux devant la Cour de justice de l'Union européenne. Un article de l’IAPP nuance cette analyse et rappelle que la décision d'adéquation demeure juridiquement valable, les transferts de données pouvant continuer dans les mêmes conditions. En pratique, la décision d’adéquation reste donc applicable à ce jour, même si son avenir pourrait dépendre de futurs recours juridictionnels et de l'appréciation des institutions européennes.
Sources :
2.10. Enquête interne : le droit d’accès n’emporte pas copie des rapports de conformité
[7 août 2026] En août 2023, un cabinet d’avocats diligentait une enquête interne chez un client portant sur des manquements reprochés à une cadre de l’entreprise. Deux rapports de conformité, contenant les griefs, l’identité des lanceurs d’alerte et témoins, ainsi que la synthèse des constats, ont été établis à cette occasion. Afin de vérifier l’exactitude des affirmations la concernant, l’employée formulait une demande d’accès sur le fondement de l’article 15 du RGPD. Sous couvert de la confidentialité des rapports, protégés par le secret des affaires, l’entreprise refusait d’y faire droit. Après une décision de première instance faisant droit à la demande de copie des rapports, la cour d’appel saisie rejette finalement les demandes au motif que les rapports de conformité finaux ne contiennent pas exclusivement des données personnelles. Les informations contenues dans les documents, telles que les analyses juridiques qui renseignent seulement sur l’appréciation portée par le responsable de traitement sur la situation juridique, ne sont donc pas nécessaires pour permettre à la personne concernée de vérifier l’exactitude de ses données personnelles et la licéité du traitement. Cette décision rappelle les limites du droit d’accès qui a simplement vocation à permettre de vérifier les conditions de traitement de ses données personnelles.
Source : BAG - 8 AZR 169/25 | GDPRHub
2.11. Désactivation de comptes de manière automatisée : UBER sanctionné à hauteur de 825 millions d’euros
[24 août 2026] L’Autorité néerlandaise de protection des données, en collaboration avec la CNIL, a prononcé une amende de près de 825 millions d’euros à l’encontre d’Uber pour avoir désactivé des comptes de chauffeurs de manière automatisée, sans réelle intervention humaine. Cette décision fait suite à une plainte déposée auprès de la CNIL par la Ligue des droits de l’Homme, représentant plus de 170 chauffeurs. L'enquête a ensuite été réalisée par l’autorité néerlandaise, le siège européen d’Uber étant situé aux Pays-Bas. Selon l’autorité néerlandaise, Uber utilisait des logiciels pour analyser le comportement des chauffeurs, leurs courses et leurs évaluations laissées par les clients, ainsi que pour détecter des potentielles fraudes, et le compte du chauffeur pouvait être automatiquement bloqué. Malgré l’intervention de certains salariés de Uber dans le processus décisionnel, l’autorité a considéré qu’aucune véritable analyse n’était réalisée, caractérisant alors une décision entièrement automatisée au sens de l’article 22 du RGPD. L’autorité reproche également à Uber de ne pas avoir correctement informé les chauffeurs du fonctionnement de ces systèmes. Cette affaire rappelle qu’il ne suffit pas d’intégrer une étape de validation humaine à la fin du processus décisionnel pour sortir du champ d’application de l’article 22 du RGPD, encore faut-il que l’intervention humaine soit réelle, repose sur une analyse approfondie et soit réalisée par une personne ayant les compétences et le pouvoir de prendre une telle décision.
Sources :
3. INTERNATIONAL
3.1. Données personnelles de salariés et IA : Meta poursuivie
[13 juillet 2026] Des salariés de Meta ont engagé une action en justice, accusant l'entreprise d'avoir utilisé des outils d'intelligence artificielle pour sélectionner les employés concernés par une vague de licenciements d'environ 8 000 personnes. Les plaignants affirment que ces systèmes auraient défavorisé les salariés ayant pris des congés protégés (maladie, congé parental ou familial) ou ayant des handicaps. Ils reprochent notamment à Meta d'avoir utilisé des indicateurs automatisés de performance, d'activité et d'utilisation d'outils d'IA pour établir des scores de classement. Selon eux, ces méthodes auraient pénalisé mécaniquement les personnes absentes, dont les données de performance étaient moins nombreuses. La plainte soutient que Meta n'aurait pas suffisamment tenu compte des protections juridiques liées aux congés et aux situations de handicap. Meta conteste ces accusations et affirme que les décisions de licenciement ont été prises par des responsables humains et non par une IA. L'affaire illustre les inquiétudes croissantes autour de l'utilisation d'algorithmes dans les décisions RH et des risques de discrimination indirecte liés aux systèmes automatisés. La France s’était d’ailleurs elle-même saisie du sujet en mai 2026, lorsque la Cour de cassation affirmait l’obligation de consultation du CSE avant tout usage d’un outil d’IA susceptible de modifier les conditions de travail des salariés.
Source : Meta used AI to tag workers who took leave to be laid off, lawsuit claims | The Guardian
3.2. Singapore Data Festival : lignes directrices pour l’usage des données personnelles dans les outils d’IA générative et accord transfrontière avec le Japon
[20 juillet 2026] A l’occasion de l’ouverture du premier Singapore Data Festival, l’autorité de protection des données locale (la Personal Data Protection Commission, PDPC) a dévoilé ses lignes directrices sur l’utilisation des données personnelles pour développer et améliorer les modèles d’IA générative. L’objectif affiché est de permettre le développement de ces modèles, notamment via l’autorisation de moissonner sans consentement des données personnelles sous réserve de l’exception relative aux données « publiquement accessibles ». Pour la réutilisation des données aux fins d’entraînement, les lignes directrices mettent toutefois à la charge des fournisseurs l’obligation d’adresser une information spécifique aux personnes concernées (données concernées, finalités, droits d’opposition et de retrait du consentement). Enfin, le texte clarifie le partage des responsabilités entre les fournisseurs de modèles et les fournisseurs de systèmes. Le Singapore Data Festival était aussi l’occasion pour la PDPC de dévoiler la signature d’un accord de transfert transfrontalier de données personnelles avec le Japon. Cette première édition du festival démontre à quel point les sujets relatifs à la protection des données à l’égard des outils d’intelligence artificielle intéressent la scène internationale.
Source : Singapore spells out how personal data can be used in GenAI | Computer Weekly
3.3. IA et cyberattaques : CrowdStrike dévoile les nouvelles menaces dans son rapport 2026
[3 août 2026] Dans son Threat Hunting Report 2026, CrowdStrike met en avant le changement profond des modes opératoires des cyberattaquants au bénéfice d’offensives furtives consistant à se fondre dans l’activité normale des entreprises (exploitation de comptes légitimes, applications SaaS et infrastructures cloud). En cause : la montée en puissance de l’IA. CrowdStrike révèle qu’en plus de constituer un nouveau front de risque pour les victimes, les outils d’IA sont exploités par les cyberattaquants pour automatiser la reconnaissance de failles, affiner le ciblage et accélérer l’intrusion. Dans ce contexte, les intrusions mobilisant ces capacités progressent de 89 %, tandis que le délai d’action entre la détection d’une faille de sécurité et l’attaque est largement réduit, entre 24 et 48 heures. Cette accélération réduit drastiquement la fenêtre d’intervention des équipes cyber pour appliquer les correctifs nécessaires et sécuriser les systèmes exposés. Les politiques de sécurité informatique des entreprises doivent désormais s’adapter pour prendre en compte ces nouveaux risques.
Sources :
Caroline Chancé, Jeannie Mongouachon, Clémentine Beaussier, Victoire Grosjean et Juliette Lobstein
.png)
