Injonctions closes de la CNIL, Espace européen des données de santé, lunettes connectées les actualités d'octobre 2026
Chaque mois, nous vous livrons l’essentiel de l’actualité data dans la newsletter Data4Coffee. Ne passez pas à côté des infos clés !
Pour la recevoir, merci de bien vouloir remplir ce formulaire.
I. FRANCE
1.1. Droits d’accès et de rectification : le Conseil d’Etat confirme la clôture par la CNIL d’une plainte visant le gestionnaire du site service-public.gouv.fr
[7 octobre 2026] Un usager reprochait à la Direction de l’information légale et administrative (DILA), qui gère le site service-public.gouv.fr, d’avoir méconnu ses droits d’accès et de rectification prévus par le RGPD. Selon lui, la DILA ne lui avait pas communiqué toutes les informations requises et elle avait refusé d’inscrire dans ses données son acquittement judiciaire et le statut de diplomate qu’il revendiquait. L’usager avait déposé une plainte à la CNIL en invoquant ces deux manquements. Or la CNIL avait clôturé sa plainte en 2025 considérant que la DILA lui avait bien transmis toutes les données de son télédossier auxquelles elle avait accès.
En effet, conformément à l’arrêté du 24 février 2016, la DILA ne pouvait pas consulter les documents déposés dans l’espace personnel de stockage de l’usager, que lui seul pouvait modifier et elle l’avait d’ailleurs orienté vers le délégué à la protection des données du ministère de l’Europe et des affaires étrangères. Compte tenu de ces éléments et diligences, la CNIL puis le Conseil d’Etat ont considéré que la DILA n’avait commis aucune erreur de droit ou d’appréciation des droit d’accès et de rectification de la personne concernée.
Source : https://www.conseil-etat.fr/fr/arianeweb/CE/decision/2026-10-07/509210
1.2. Sécurité des données des demandeurs d’emploi : l’injonction de la CNIL visant France travail est close
[8 octobre 2026] En janvier 2026, à la suite d’une violation de données survenue en 2024, la formation restreinte de la CNIL avait infligé à France Travail une amende de 5 millions d’euros pour manquement à l’obligation de sécurité. Elle lui avait également enjoint de mettre en place quatre séries de mesures correctrices, sous astreinte de 5 000 euros par jour de retard (délibération n° SAN-2026-003 du 22 janvier 2026).
Dans une délibération publiée le 8 octobre 2026 la CNIL a constaté que l’opérateur avait bien respecté chacune des mesures correctrices dans les délais. En effet, France Travail a durci sa politique de mots de passe, avec moins de tentatives autorisées avant verrouillage et un renouvellement obligatoire, l’organisme a également démontré l’usage de l’authentification multi-facteur pour les comptes des conseillers depuis 2004 et surveille désormais activement les journaux d’activité, grâce à des seuils d’alerte ajustés en continu par un outil d’apprentissage automatique. Enfin, les conseillers accèdent uniquement aux données utiles à leurs missions, ils n’ont plus accès au NIR ni aux personnes situées hors de leur zone géographique. La CNIL a clos l’injonction prononcée le 22 janvier 2026 à l’encontre de FRANCE TRAVAIL, sans liquider l’astreinte prévue compte tenu de sa mise en conformité.
Source : http://legifrance.gouv.fr/cnil/id/CNILTEXT000054958571
1.3. Cookies publicitaires et annonces Gmail : Google a exécuté l’injonction de la CNIL prononcée en septembre 2025
[14 octobre 2026] Par une décision publiée le 14 octobre, la formation restreinte de la CNIL a clos l’injonction prononcée le 1er septembre 2025 contre Google LLC et Google Ireland Limited. Cette injonction accompagnait une amende de 325 millions d’euros. Les deux sociétés avaient six mois pour se mettre en conformité, sous astreinte de 100 000 euros par jour de retard : elles devaient informer clairement les utilisateurs situés en France que la création d’un compte Google entraîne le dépôt de cookies publicitaires. Les entreprises devaient également recueillir le consentement des utilisateurs avant d’afficher dans Gmail des publicités ressemblant à des courriels, glissées parmi leurs messages privés.
Ainsi, Google a ajouté à son parcours de création de compte une information explicite sur le dépôt de cookies, présenté comme la contrepartie de la gratuité du service. Google a également modifié ses annonces Gmail pour qu’elles se distinguent nettement des vrais courriels. Le consentement n’est donc plus requis au titre de l’article L. 34-5 du Code des postes et des communications électroniques. La CNIL précise que cette clôture d’injonction ne vaut que pour le périmètre de l’injonction. En effet, la CNIL ne se prononce pas sur la conformité de l’ensemble du parcours de création de compte. De nouveaux contrôles restent donc possibles, malgré la clôture de l’injonction.
Source : https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000054978945
1.4. Reconstitution d’adresses électroniques professionnelles : la CNIL précise le cadre applicable et les droits des personnes
[16 octobre 2026] La CNIL a publié deux fiches consacrées à la reconstitution d’adresses électroniques professionnelles : l’une destinée aux organismes professionnels et l’autre aux personnes concernées. Cette pratique consiste à déduire l’adresse d’une personne à partir d’informations accessibles en ligne (nom, prénom, employeur) et du format d’adressage de son employeur (prenom.nom@entreprise.fr). Elle sert notamment à la prospection entre professionnels. La CNIL rappelle que des données accessibles en ligne restent soumises au RGPD et que la reconstitution peut reposer sur l’intérêt légitime du responsable de traitement. L’intérêt poursuivi doit alors être réel et le traitement ne doit pas porter une atteinte disproportionnée aux droits des personnes. Pour évaluer l’atteinte aux droits des personnes, il convient également de tenir compte des attentes raisonnables des personnes, qui dépendent de leur visibilité en ligne et du soin qu’elles mettent à protéger leurs coordonnées. En effet, une personne absente d’Internet, ou qui dissimule ses coordonnées, ne s’attend pas raisonnablement à une telle reconstitution. Enfin, le responsable de traitement doit informer clairement les personnes notamment de la finalité poursuivie, de l’origine de l’adresse et de la manière d’exercer leurs droits.
Les organismes publics qui souhaitent reconstituer des adresses électroniques professionnelles peuvent, eux, se fonder sur la base légale d’exécution de leur mission d’intérêt public.
Source : https://www.cnil.fr/fr/reconstitution-adresses-professionnelles-quel-cadre ; https://www.cnil.fr/fr/reconstitution-adresses-professionnelles-vos-droits
Pour plus d’informations sur la protection des données professionnelles, vous pouvez consulter notre article : https://www.squairlaw.com/fr/blog/donnees-personnelles-les-professionnels-sont-de-plus-en-plus-proteges
1.5. Cookies et application mobile : la CNIL sanctionne Fnac Darty à hauteur de 7 millions d’euros
[29 octobre 2026] La CNIL a condamné des sociétés du groupe Fnac Darty à une sanction de 7 millions d’euros au total (6 millions contre Fnac Darty Participations et Services et 1 million contre Fnac Direct). La procédure fait suite à une plainte de l’association noyb invoquant le dépôt de traceurs dans l’application mobile FNAC sans consentement préalable des utilisateurs. En effet, l’application transmettait automatiquement un identifiant utilisateur et l’activité de navigation (comme les produits consultés) à un domaine tiers afin ensuite de pouvoir adresser à l’utilisateur des recommandations de produits et entrainer l’algorithme de recommandation. La CNIL a considéré que ce traceur ne relevait d’aucune exemption au consentement puisqu’il servait notamment au ciblage commercial.
La CNIL a assorti la sanction d’une injonction : les sociétés doivent démontrer, dans un délai d’un mois après notification, qu’un nouvel outil de recueil du consentement fonctionne, sous astreinte de 10 000 euros par jour de retard.
Source : https://www.cnil.fr/fr/sanction-cookies-app-fnac
Pour plus d’information sur cette décision et les règles applicables aux cookies, vous pouvez consulter notre article https://www.squairlaw.com/fr/blog/cookies-et-recommandations-personnalisees-sanction-de-7-millions-deuros-a-lencontre-de-fnac.
2. UNION EUROPEENNE
2.1. Sécurité des dossiers médicaux papier : la DPC irlandaise sanctionne Children’s Health Ireland
[1er octobre 2026] La Data Protection Commission (DPC) irlandaise a publié sa décision finale concernant les manquements notamment de sécurité commis par la Children’s Health Ireland (CHI). L’autorité irlandaise avait été alertée par des lanceurs d’alerte, puis avait mené une inspection inopinée le 16 juillet 2025 révélant que des dossiers de santé d’enfants étaient conservés sur papier dans un bureau mal sécurisé d’un l’hôpital universitaire. Un bac de déchets confidentiels situé à proximité du bureau débordait en outre de documents contenant des données sensibles.
La DPC retient une violation du principe d’intégrité et de confidentialité du RGPD ainsi que de l’obligation de sécurité y figurant. Elle prononce un rappel à l’ordre et enjoint au CHI de finaliser deux analyses d’impact (AIPD) : l’une porte sur le traitement des dossiers médicaux, l’autre sur la gestion des déchets confidentiels. Le CHI doit mettre pleinement en œuvre les mesures techniques et organisationnelles qui y sont identifiées et transmettre ces AIPD à la DPC sous quatre semaines. Cette décision rappelle utilement que les exigences de sécurité du RGPD valent autant pour le papier que pour le numérique.
2.2. Registres de baptême et droit à l’effacement devant la CJUE : les conclusions de l’avocate générale (aff. C-12/25, Bisdom Gent)
[1er octobre 2026] Un ressortissant Belge baptisé enfant avait demandé au diocèse de Gand d’effacer ses données personnelles des registres de l’église concernée. Le diocèse s’était contenté de barrer ses données, qui restaient lisibles et de mentionner son départ de l’Église.
La CJUE a été saisie dans cette affaire d’une question préjudicielle. A ce stade, l’avocate générale a considéré que dès lors que le registre de baptême est bien un fichier structuré au sens du RGPD, le règlement s’applique. L’avocate générale considère que le traitement des données antérieur à la demande pouvait être licite sans consentement exprès de la personne concernée et l’intéressé peut obtenir l’effacement de ses données en s’opposant formellement au traitement. L’Église ne pourra alors les conserver qu’en démontrant des motifs légitimes impérieux. Il reviendra au juge national de mettre concrètement en balance la vie privée, la protection des données et la liberté de conscience de l’intéressé avec les intérêts de l’Église. À titre subsidiaire, des fins archivistiques dans l’intérêt public ou de recherche historique pourraient justifier la conservation des données, à des conditions strictes.
Enfin, barrer des données ne suffit pas à les efface : elles doivent être rendues illisibles.
Nous attendons la décision de la Cour sur ce sujet.
Source : https://curia.europa.eu/site/upload/docs/application/pdf/2026-10/cp260139en.pdf
2.3. Vidéosurveillance et IA : l’autorité de protection des données en Espagne adresse deux avertissements à des communes
[6 octobre 2026] L’Agence espagnole de protection des données (AEPD) a adressé des avertissements à deux municipalités, sur le fondement de l’article 58, § 2, a) du RGPD. Leurs projets de vidéosurveillance prévoyaient l’analyse automatisée d’images par intelligence artificielle. Le premier comporte des fonctions de détection et/ou de reconnaissance faciale. Le second prévoit la détection de personnes et de véhicules, la génération de métadonnées et la recherche de personnes selon leur apparence (vêtements, cheveux, sexe, tranche d’âge), y compris à partir d’une photographie.
Ces avertissements ont une visée préventive : ils concernent des traitements qui ne sont pas encore mis en œuvre et ne signifient pas, en eux-mêmes, qu’une infraction a été commise. L’AEPD admet que ces systèmes, s’ils sont bien conçus et bien utilisés, peuvent rendre certains traitements publics plus efficaces. Elle rappelle toutefois qu’une technologie ne se justifie pas du seul fait qu’elle existe. Chaque fonctionnalité doit répondre à une finalité précise et passer un examen de nécessité et de proportionnalité. La protection des données doit être intégrée dès la conception du projet. Une analyse d’impact préalable s’impose notamment du fait que les projets de vidéosurveillance impliquent le traitement de données biométriques permettant d’identifier une personne de manière unique. Enfin, les personnes concernées doivent recevoir une information claire, accessible et compréhensible sur le traitement, ses finalités et le rôle du système d’IA.
2.4. Espace européen des données de santé – Entrée en vigueur des règlements d’exécution (UE) 2026/2083 et 2026/2099 relatifs à la plateforme MaSanté@UE
[12 octobre 2026] La Commission a adopté deux règlements d’exécution les 18 et 21 septembre 2026, publiés au Journal officiel de l’Union européenne. Ils précisent la mise en œuvre de MaSanté@UE (MyHealth@EU), la future plateforme centrale d’interopérabilité des données de santé prévue par le Règlement (UE) 2025/327 relatif à l’espace européen des données de santé (EEDS). Cette plateforme servira à l’échange transfrontalier de données de santé électroniques en rendant accessibles les informations utiles lorsqu’un patient est soigné dans un autre État membre.
Le Règlement d’exécution (UE) 2026/2083 fixe les règles de fonctionnement de la plateforme et pose des exigences d’interopérabilité technique et sémantique, de protection des données, de cybersécurité et d’exploitation. Il encadre aussi la connexion des points de contact nationaux pour la santé numérique, les contrôles de conformité techniques et périodiques et la notification des incidents significatifs. La Commission fournira en outre une implémentation logicielle de référence et un service central de terminologie.
Le Règlement d’exécution (UE) 2026/2099 crée quant à lui un mécanisme interopérable d’identification et d’authentification des patients, des professionnels de santé et des prestataires de soins. Il s’agit de rattacher les données de manière fiable à la bonne personne et de les protéger contre tout accès non autorisé. Avant toute demande d’échange, le professionnel ou le prestataire demandeur doit être identifié, authentifié et autorisé. Le mécanisme organise également la notification, la publication et l’échange des attributs de santé et des données d’identification entre points de contact nationaux. Les États membres devront préciser, au plus tard le 26 mars 2028, les informations servant à identifier les patients. Celles-ci pourront être fournies via le portefeuille européen d’identité numérique, dont l’usage restera facultatif.
Les deux textes s’appliquent pour l’essentiel à compter du 26 mars 2027, avec une montée en charge progressive. Les dossiers patients résumés, les prescriptions et les dispensations électroniques devront pouvoir être échangés à partir du 26 mars 2029, date d’application des dispositions relatives au portefeuille européen d’identité numérique. Suivront ensuite les images médicales, les résultats de laboratoire et les comptes rendus de sortie, à partir du 26 mars 2031.
Source : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32026R2099 ; https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32026R2083
2.5. Transferts hors UE : le CEPD donne un avis favorable sur les règles d’entreprise contraignantes du groupe Michelin
[13 octobre 2026] A la suite du projet de décision de la CNIL approuvant les règles d’entreprise contraignantes « responsable de traitement » (BCR-C) du groupe Michelin, le CEPD a également approuvé ledit projet. Prévues à l’article 47 du RGPD, les BCR permettent à un groupe international d’encadrer les transferts de données personnelles vers ses sociétés établies hors de l’Espace économique européen. Elles prennent la forme d’une politique intragroupe juridiquement contraignante pour chacune de ses entités. La saisine du CEPD est une étape obligatoire de la procédure d’approbation menée par l’autorité compétente, ici la CNIL. Après cet avis favorable, la CNIL pourra adopter sa décision finale d’approbation, qui sera publiée avec l’avis du Comité. Cet avis s’ajoute à une série d’approbations récentes de BCR-C examinées par le CEPD, notamment pour les groupes Flutter, DSM-Firmenich et TGS.
Source : https://www.edpb.europa.eu/system/files/2026-10/edpb_opinion_242026_fr_sa_michelin_bcr-c_en_0.pdf
2.6. Lunettes connectées : le CEPD donne ses premières orientations sur les enjeux de protection des données
[13 octobre 2026] Lors de sa dernière session plénière, le Comité européen de la protection des données (CEPD) a adopté une déclaration sur les lunettes connectées et a également publié un rapport intitulé « Le regard connecté », commandé sur proposition de la CNIL. Cette première prise de position donne des orientations préliminaires aux utilisateurs, aux fabricants et aux prestataires de services impliqués.
Le CEPD rappelle que le statut de l’utilisateur dépend de l’usage qu’il fait de l’appareil : il est responsable du traitement lorsqu’il diffuse des images sur un compte public de réseau social, ou lorsqu’il utilise ses lunettes dans un cadre professionnel, officiel ou politique. Les fabricants et fournisseurs de services associés ne peuvent pas reporter leurs obligations sur les utilisateurs : ils doivent également veiller à ce que tout traitement ultérieur reste compatible avec la finalité initiale. La transparence reste l’enjeu central, car la discrétion de ces dispositifs empêche souvent les personnes filmées de savoir qu’elles le sont. Le rapport souligne en outre que ces lunettes peuvent devenir des outils de surveillance entre individus et créer des déséquilibres de pouvoir entre porteurs et personnes filmées. Le CEPD encourage enfin l’élaboration de normes sectorielles et d’actions de sensibilisation.
2.7. Norvège – Publicité ciblée sur Grindr : l’autorité norvégienne inflige une amende de 8,6 millions d’euros à Xandr
[16 octobre 2026] Le CEPD a relayé la décision finale du 2 octobre 2026 par laquelle l’autorité norvégienne de protection des données (Datatilsynet) a infligé une amende de 8,6 millions d’euros à Xandr Inc. (anciennement AppNexus, aujourd’hui filiale de Microsoft). L’affaire trouve son origine dans une plainte déposée en 2020 par le Conseil norvégien des consommateurs relative aux enchères en temps réel (real-time bidding) proposées dans Grindr, application de rencontre géolocalisée destinée aux personnes gays, bi, trans et queer.
L’autorité norvégienne considère que Xandr a traité, lors de ces enchères, des données des utilisateurs de Grindr : au minimum le fait qu’ils utilisaient l’application, leur identifiant publicitaire et leur adresse IP qui sont des données personnelles mais aussi de données concernant l’orientation sexuelle, donc de données sensibles pour lesquelles seul le consentement explicite pouvait fonder le traitement. Xandr est qualifiée de responsable conjoint du traitement, or Xandr n’a pas recueilli elle-même ce consentement et s’est reposée sur celui obtenu par Grindr, invalide au regard des articles 4, § 11 et 7 du RGPD. Pour l’autorité, chaque responsable conjoint doit vérifier lui-même que le consentement est valable et couvre son propre traitement. Les manquements concernent des dispositions centrales du RGPD et des données sensibles, ils sont donc jugés d’une gravité élevée. L’amende sanctionne à la fois un traitement dépourvu de base légale et un traitement de données sensibles sans fondement valable.
2.8. Protection des données et création de valeur en finance : des autorités européennes publient une étude conjointe assortie de bonnes pratiques
[16 octobre 2026] La CNIL, la Commission nationale pour la protection des données (CNPD) luxembourgeoise et l’Information Commissioner’s Office (ICO) britannique ont publié une étude conjointe sur la protection des données comme levier de création de valeur en finance. Le rapport part d’un constat simple : les données sont devenues un actif stratégique, notamment pour développer des systèmes d’intelligence artificielle, il est donc essentiel d’examiner comment la protection des données, au-delà de la simple conformité, peut renforcer la confiance dans ces actifs et soutenir leur valorisation. Le respect du RGPD y est présenté comme un atout auprès des clients, des partenaires et des investisseurs. À l’inverse, une mauvaise gestion des risques ou une non-conformité peut déprécier un actif en l’exposant à des risques réputationnels, financiers et opérationnels.
Le rapport propose des bonnes pratiques pour intégrer ces enjeux aux opérations financières qui concernent en particulier les fusions-acquisitions et les audits préalables, où ces enjeux peuvent peser sur l’évaluation des actifs et sur le prix. L’étude aborde également la comptabilisation des données comme actifs incorporels au regard des normes IFRS. Enfin, les enquêtes menées auprès d’entreprises montrent qu’elles savent mesurer les risques liés à leurs données, mais ont bien plus de mal à en apprécier la valeur.
Source : https://www.cnil.fr/fr/protection-donnees-valeur-finance-etude-autorites-europeennes
2.9. Plateforme d’entraînement d’IA: noyb dépose cinq plaintes contre Scale AI pour surveillance illicite des travailleurs
[27 octobre 2026] L’association noyb a déposé cinq plaintes contre Scale AI en France, en Italie, aux Pays-Bas et en Autriche. Scale AI est une société américaine qui exploite Outlier, une plateforme d’entraînement d’IA. Plus de 900 000 travailleurs « indépendants » y résolvent des tâches, comme rédiger des prompts ou classer des réponses. Parmi ses clients, il y a notamment Meta, OpenAI, Google et le gouvernement américain. Selon l’analyse technique de noyb, des traceurs de TikTok, LinkedIn, Facebook, Sprig et Datadog sont placés sur les appareils des travailleurs. Toutes les quelques secondes, ils envoient à des tiers des adresses IP, des coordonnées, des identifiants uniques et la page consultée. Ces données peuvent servir à la publicité ciblée et au profilage.
Scale AI impose également une vérification biométrique répétée des prestataires, confiée à la société Persona : les travailleurs doivent filmer leur visage et téléverser leur pièce d’identité. Scale AI invoque la lutte contre la fraude et la vérification des compétences. Or noyb reproche trois manquements à Scale AI dans ce contexte : la société dépose des traceurs sans base légale ni consentement, elle ne respecte pas la minimisation des données pour les traceurs comme pour la biométrie et elle n’a pas répondu aux demandes d’accès des personnes concernées. Persona a d’ailleurs subi une fuite d’environ 70 000 photos de pièces d’identité en octobre 2025. noyb demande une enquête complète et suggère aux autorités européennes saisies de sanctionner l’entreprise.
Source : https://noyb.eu/en/ai-training-platform-outlier-illegally-surveils-european-platform-workers
Caroline Chancé, Jeannie Mongouachon, Clémentine Beaussier, Victoire Grosjean et Juliette Lobstein
.png)
