Veille données personnelles – Janvier 2026
Chaque mois, nous vous livrons l’essentiel de l’actualité data dans la newsletter Data4Coffee. Ne passez pas à côté des infos clés !
Pour la recevoir, merci de bien vouloir remplir ce formulaire.
1. FRANCE
1.1. Intelligence artificielle : le ministère de la Justice crée une direction de programme IA dédiée
[1er décembre] Le ministère de la Justice a annoncé la création, au sein de son secrétariat général, d’une Direction de programme Intelligence artificielle (DPIA) pour structurer, piloter et accélérer l’intégration de l’IA dans les services judiciaires tout en garantissant un encadrement juridique, technique et éthique des projets. Cette direction, confiée à Élise Farge Di Maria, comportera un état-major réunissant des expertises transversales (conformité, sécurité, R&D) et vise à développer des cas d’usage opérationnels adaptés aux besoins des agents et magistrats. Une première expérimentation d’un assistant IA destiné à faciliter des tâches telles que la recherche documentaire, la rédaction et la synthèse a été lancée. La démarche s’inscrit dans une stratégie plus large de modernisation du service public de la Justice, en coopération avec la DINUM, la CNIL, la Cour de Cassation, le Conseil d’État, et des acteurs privés comme les legaltechs et éditeurs juridiques.
1.2. CNIL et Caisse des Dépôts : partenariat pour un usage responsable des données personnelles et de l’IA
[1er décembre] La CNIL et la Caisse des Dépôts ont signé une convention de coopération visant à accompagner les projets numériques portés par cette dernière dans un cadre conforme aux règles de protection des données personnelles et d’utilisation de l’intelligence artificielle. Cette collaboration structurée permet d’intégrer la conformité RGPD et les enjeux éthiques de l’IA dans les travaux de la Caisse des Dépôts et de ses directions métiers. Elle prévoit notamment l’accompagnement à la conformité des traitements, la sensibilisation interne, la contribution aux travaux de la CNIL et la réalisation de projets communs sur l’impact des évolutions réglementaires. Un comité de pilotage annuel assurera le suivi des actions et le développement de nouvelles initiatives. Cette démarche illustre l’importance d’un encadrement responsable des données et de l’IA au service des politiques publiques et des droits des personnes.
1.3. Non-respect des règles en matière de cookies : 1,5 million d’euros d’amende pour American Express
[3 décembre] Après plusieurs contrôles du site www.americanexpress.com/fr-fr, la CNIL a sanctionné American Express à hauteur de 1,5 millions d’euros pour avoir enfreint les règles régissant les traceurs en déposant et lisant des cookies sans consentement valide ou malgré le refus explicite des utilisateurs. La sanction de la CNIL, prononcée sur le fondement de l’article 82 de la Loi Informatique et Libertés, tient compte de la connaissance des obligations juridiques anciennes et largement diffusées en matière de cookies, mais également du fait que American Express s’est mise en conformité au cours de la procédure. Cette décision rappelle les exigences de consentement préalable et effectif avant tout dépôt et lecture de cookies non essentiels.
Source : Cookies : la CNIL sanctionne AMERICAN EXPRESS d’une amende de 1,5 million d’euros | CNIL
1.4. Mineurs et réseaux sociaux : la CNIL lance FantomApp
[16 décembre] Dans une logique d’accompagnement des mineurs vers une utilisation plus
La CNIL met à disposition FantomApp, une application gratuite destinée aux mineurs de 10-15 ans conçue pour les aider à mieux protéger leurs données personnelles et sécuriser leurs comptes sur les réseaux sociaux. Développée collaborativement avec des collégiens, l’application propose des outils pratiques (test de mot de passe, floutage de photo, paramètres de visibilité) et des tutoriels guidés pour leur apprendre à maîtriser les réglages de confidentialité. FantomApp intègre aussi des informations et contact de confiance pour faire face à des situations problématiques (cyberharcèlement, piratage, etc.) et faciliter l’exercice des droits prévus par le RGPD. Alors que 79% des enfants ont accès à un téléphone portable avant 11 ans, ce projet, financé par l’Union européenne, permet de sensibiliser les mineurs vers une utilisation plus sûre et éclairée des réseaux sociaux.
1.5. Protection des données des élèves : renouvellement du partenariat entre la CNIL et le ministère de l’Éducation nationale
[17 décembre] Le ministère de l’Éducation nationale et la CNIL ont renouvelé, le 16 décembre 2025, leur partenariat initié en 2018 pour renforcer l’éducation au numérique et la protection des données personnelles dans les établissements scolaires. Ce partenariat tend à sensibiliser et former élèves, enseignants, parents et personnels aux enjeux du numérique scolaire et à accompagner les acteurs éducatifs dans leur mise en conformité au RGPD. Ensemble, la CNIL et le ministère s’engagent notamment à valoriser des projets EdTech respectueux de la vie privée et à intensifier la coopération européenne et internationale en matière d’éducation aux données. Cette initiative illustre l’importance accordée à la protection des données des mineurs dans un contexte de numérisation accrue des pratiques éducatives.
1.6. Cyberattaque contre le ministère de l’Intérieur
[17 décembre] Le ministère de l’Intérieur a confirmé avoir été victime d’une cyberattaque ciblant ses serveurs de messagerie professionnelle dans la nuit du 11 au 12 décembre 2025, ayant permis à des personnes non autorisées d’accéder à un certain nombre de comptes et codes d’accès informatiques. Si l’ampleur des compromissions n’est pas encore connue, des fichiers sensibles tels que le Traitement des Antécédents Judiciaires (TAJ) et le Fichier des Personnes Recherchées (FPR) auraient pu être consultés. Deux enquêtes judiciaire et administrative ont été ouvertes, la CNIL ayant également été saisie. Le ministère a renforcé les mesures de confinement et de sécurité sur les systèmes concernés, tandis que des revendications sont apparues sur le forum cybercriminel BreachForums. Les auteurs du message affirment avoir eu un accès étendu aux systèmes du ministère et à d’importants volumes de données, mais aucune preuve technique ne permet de confirmer les déclarations à ce stade.
Sources :
1.7. Modèles d’IA en open source : la CNIL met à disposition un outil permettant de tracer leur généalogie
[18 décembre] Ensemble, le Laboratoire d’Innovation Numérique et le Service IA de la CNIL ont développé un outil de démonstration permettant d’explorer la généalogie d’un modèle d’IA présent sur la plateforme HuggingFace. Avec cet outil, les utilisateurs pourront identifier les ascendants et descendants des modèles d’IA qu’ils téléchargent. L’objectif de la CNIL est de faciliter l’exercice des droits des personnes concernées dont les données personnelles peuvent avoir été intégrées dans un modèle d’IA et mémorisées par ce dernier. L’outil de démonstration développé constitue une étape expérimentale pour comprendre les chaînes de transformation et de mémorisation des modèles d’IA et mieux appréhender leur impact sur les droits des individus.
Source : La CNIL publie un outil pour la traçabilité des modèles d’IA publiés en source ouverte | CNIL
1.8. Prospection politique : la CNIL sanctionne des candidats aux élections européennes et législatives
[18 décembre] La CNIL a prononcé cinq sanctions totalisant 23 500 euros d’amende à l’encontre de candidats aux élections européennes et législatives de 2024 pour avoir envoyé des messages de prospection politique en violation des exigences du RGPD. Parmi les manquements constatés : illicéité du traitement en raison d’un défaut de consentement des personnes concernées sans justification d’un intérêt légitime, usage incompatible avec les finalités initiales de collecte, défaut d’information des destinataires des messages, manquement à l’obligation de permettre et faciliter l’exercice du droit d’opposition ou encore manquement à l’obligation de répondre à une demande d’exercice de droit. En outre, un candidat avait adressé ses messages de prospection à plusieurs centaines de destinataires sans recourir à la fonction CCI, manquant ainsi à son obligation d’assurer la confidentialité des données.
Cette décision rappelle que, même en contexte électoral, la prospection politique doit être conforme aux principes de licéité, transparence et sécurité des données personnelles.
1.9. Affaire Ledger : le Tribunal judiciaire de Paris ordonne la diffusion d’une décision non publique de la CNIL
[18 décembre] A la suite de fuite de données survenues en 2020 et 2021, la CNIL avait condamné la société Ledger à hauteur de 750 000 euros pour ne pas avoir mis en place des mesures de sécurité adéquates afin de protéger les données personnelles de ses utilisateurs, sans rendre publique la décision. Des campagnes de phishing ayant continué à cibler les clients de Ledger, ces derniers ont saisi le Tribunal judiciaire de Paris aux fins d’obtenir la communication de la décision de sanction pour connaître les détails des griefs et obtenir réparation de leur préjudice. Les seules informations actuellement en débat dans ce dossier en cours appartenant à la société Ledger, le juge de la mise en état a ordonné la communication de la décision de la CNIL. La prochaine audience, devant intervenir au mois de mars, adressera les éventuels éléments de la décision couverts par le secret des affaires.
1.10. Sous-traitant à l’origine d’une violation de données : 1 millions d’euros d’amende à l’encontre de Mobius Solutions Ltd
[19 décembre] La CNIL a infligé une amende d’un million d’euros à Mobius Solutions Ltd, sous-traitant impliqué dans la fuite massive de données personnelles d’utilisateurs de Deezer en 2022, ayant résulté en leur mise en ligne sur le darknet. La formation restreinte de la CNIL a retenu plusieurs manquements de la société à ses obligations en qualité de sous-traitant, à savoir : conservation des données au-delà de la relation contractuelle, utilisation des données sans instruction du responsable de traitement et absence de registre des activités de traitement. La sanction souligne l’application des obligations du RGPD aux sous-traitants, même établis hors de l’Union européenne, et l’importance de respecter strictement les engagements contractuels et les mesures de sécurité prévus dans la relation sous-traitant / responsable de traitement.
Pour plus d’information sur cette décision, consultez notre article.
1.11. Mesures de sécurité insuffisantes : la CNIL sanctionne Nexpublica France d’une amende de 1,7 millions d’euros
[24 décembre] La CNIL a prononcé une amende administrative de 1,7 millions d’euros à l’encontre de Nexpublica France pour ne pas avoir mis en œuvre des mesures techniques et organisationnelles de sécurité adaptées pour son progiciel PCRM, utilisé notamment par des maisons départementales pour personnes handicapées. Cette décision fait suite à des notifications de violation de données personnelles intervenues en 2022, révélant que des utilisateurs avaient pu accéder à des documents de tiers. La CNIL a constaté des vulnérabilités structurelles connues mais non corrigées avant les incidents, constituant un manquement à l’article 32 du RGPD. La sanction prend en compte la sensibilité des données concernées, le nombre de personnes concernées et le rôle même de l’éditeur de logiciel. Cette décision illustre l’exigence accrue de la CNIL en matière de cybersécurité des traitements.
Pour plus d’information sur cette décision, consultez notre article.
2. UNION EUROPEENNE
2.1. Marketplace en ligne : la CJUE renforce les obligations RGPD des plateformes dans la publication d’annonces
[2 décembre] Une personne concernée avait introduit un recours contre la société Russmedia Digital, appartenant à une place de marché, au motif qu’une annonce la présentait comme offrant des services sexuels. La Cour de Justice de l’Union européenne a retenu la qualification de responsable conjoint de traitement de la société dès lors qu’elle exerçait une influence déterminante sur les finalités et moyens du traitement (architecture de la place de marché, paramètre de publication des publicités, diffusion et retrait des annonces, classification). Cette qualification emporte l’application pleine et entière des obligations du RGPD, et notamment la mise en place de mesures proactives pour prévenir la mise en ligne de données personnelles illicites, en particulier sensibles, indépendamment du régime d’exonération applicable aux hébergeurs.
2.2. Limites du droit d’accès : le Tribunal de l’Union européenne se prononce
[3 décembre] Le Tribunal de l’Union européenne a rejeté deux recours d’un candidat à l’encontre de deux décisions de l’Office européen de sélection du personnel (EPSO) ayant partiellement refusé l’accès à des données à caractère personnel le concernant au titre du Règlement (UE) 2018/1725 (le « RGPD pour les institutions européennes »). Le Tribunal a notamment jugé que les fichiers journaux fournis contenaient les informations accessibles, que le requérant n’établissait pas l’existence d’autres données à son sujet non communiquées, et qu’aucune obligation de restauration de données supprimées licitement par l’EPSO n’était imposée par le règlement. Les juges européens ont également rejeté les griefs relatifs aux délais de réponse et aux prétendues violations des principes du traitement, confirmant ainsi la légalité des décisions de l’EPSO.
Source : Tribunal de l’Union européenne, WS c. Commission européenne, 3 décembre 2025, T-318/24 et T-362/24
2.3. Protection des données à l’international : le CEDP rencontre les pays et organisations « adéquats »
[3 décembre] Le Comité européen de la protection des données a tenu le 3 décembre 2025 une rencontre en ligne avec autorités de protection des données et représentants des pays organisations bénéficiant d’une décision d’adéquation afin de renforcer la coopération internationale en matière de protection des données. Cette initiative vise à favoriser un dialogue régulier sur l’application concrète des standards européens, l’évolution des cadres juridiques nationaux et les défis communs liés aux transferts internationaux de données. Elle s’inscrit dans une approche plus stratégique du CEDP, cherchant à consolider la confiance mutuelle et à promouvoir un niveau élevé et cohérent de protection des données à l’échelle mondiale. Après une première rencontre en octobre 2024, cette réunion de décembre 2025 a permis au CEPD de recueillir les retours d’expérience des participants en matière de coopération internationale pour l’application de la protection des données.
2.4. Comité européen de la protection des données : recommandations sur les comptes en ligne, examen de la proposition du Digital Omnibus et nouvelle vice-présidente
[4 décembre] Dans un communiqué du 4 décembre 2025, le Comité européen de la protection des données a annoncé l’adoption de recommandations sur l’obligation de création de comptes utilisateurs sur les sites de commerce en ligne, rappelant que cette exigence doit reposer sur une base juridique valide au regard du RGPD et respecter strictement les principes de nécessité et de minimisation des données. Ces recommandations, ouvertes à consultation publique, visent à encourager des pratiques plus transparents et favorables à la vie privée dans l’e-commerce. Dans ce même communiqué, le CEDP a également indiqué avoir eu une discussion préliminaire sur la proposition du Digital Omnibus, en soulignant l’incidence de celle-ci sur les droits fondamentaux des personnes et la nécessité de préserver un niveau élevé de protection des données dans le cadre des projets de simplification réglementaire portés par la Commission européenne. Enfin, Jelena Virant Burnik, commissaire à l’information de la République de Slovénie, a été nommée en qualité de vice-présidente du CEPD, marquant une étape supplémentaire dans l’affirmation de sa gouvernance institutionnelle.
Sources :
2.5. Publication des données de 6 millions d’individus sur le darknet : sanction de 2,6 millions d’euros contre Sprinter Megacentros Del Deporte
[4 décembre] L’autorité espagnole de protection des données (AEPD) a infligé une amende de 2,6 millions d’euros à la société Sprinter Megacentros Del Deporte à la suite de la publication sur le darknet des données personnelles d’environ 6 millions de personnes. L’autorité espagnole retient de graves manquements aux obligations de sécurité et de protection des données prévues par le RGPD, en particulier l’insuffisance des mesures techniques et organisationnelles mises en place pour prévenir l’accès non autorisé et limiter l’impact de la violation. Cette décision illustre la sévérité accrue des autorités de contrôle face aux failles de sécurité de grande ampleur et rappelle l’exigence d’une gouvernance robuste de la cybersécurité et de la gestion des violations de données.
Source : AEPD (Spain) – EXP202401683 | GDPRhub
2.6. Violation du Digital Services Act : la Commission européenne sanctionne X à hauteur de 120 millions d’euros
[5 décembre] La Commission européenne a prononcé une amende de 120 millions d’euros à l’encontre de la société X pour violation du Digital Services Act. Elle reproche à la plateforme des manquements structurels à ses obligations de diligence, notamment en matière de de transparence des systèmes. En particulier, la Commission européenne sanctionne l’utilisation de la « coche bleue » identifiant les comptes vérifiés qui présente un caractère trompeur dès lors que toute personne qui paye peut obtenir cette coche sans que X ne vérifie qui est à l’origine du compte. La Commission retient en outre des manquements à la transparence du registre des publicités et à l’obligation de fournir aux chercheurs un accès aux données publiques. Cette sanction, l’une des premières d’ampleur sous le DSA, confirme la volonté de l’Union européenne d’assurer une application effective et dissuasive du nouveau cadre de régulation des grandes plateformes numériques.
2.7. Prise de décision automatisée et notation de crédit
[10 décembre] Dans le cadre d’une demande de droit adressée par une personne concernée à un établissement de crédit, la juridiction administrative suprême autrichienne a précisé les exigences applicables les contours de la prise de décision automatisée en matière de notation de crédit au regard de l’article 22 du RGPD. Elle estime qu’un score de crédit saisi manuellement comme valeur de référence neutre, ne constituait en aucun cas une décision automatisée. A ce titre, l’établissement de crédit n’était pas tenu de fournir à la personne concernée des informations précises quant à la méthode de calcul de ce score et l’influence des données sous-jacentes sur celui-ci.
Source : VwGH – Ra 2023/04/0271 | GDPRhub
2.8. Motif d’intérêt public et minimisation des données : publication excessive de données personnelles dans un article en ligne
[11 décembre] L’autorité espagnole de protection des données (AEPD) a rappelé que le motif d’intérêt public ne dispense pas du respect du principe de minimisation des données. L’autorité a sanctionné la publication, dans un article de presse en ligne, d’une copie intégrale d’un document envoyé par une personne concernée à une autorité publique, entraînant la publique excessive de données personnelles au regard de la finalité d’information poursuivie. L’AEPD souligne dans sa décision que même en présence d’un intérêt public légitime, seules les informations strictement nécessaires peuvent être divulguées. Cette décision confirme l’exigence d’un équilibre rigoureux entre liberté d’information et protection des données personnelles.
Source : AEPD (Spain) -EXP202518088 | GDPRhub
2.9. Royaume-Uni : la Commission européenne renouvelle ses décisions d’adéquation
[19 décembre] La Commission a renouvelé les deux décisions d’adéquation de 2021 permettant la libre circulation des données à caractère personnel avec le Royaume-Uni. Ce renouvellement fait suite aux prorogations techniques intervenues en juin 2025 qui devaient expirer le 27 décembre 2025. Durant ces six mois de prorogation, la Commission a pu réaliser une évaluation approfondie du cadre juridique britannique, modifié par l’entrée en vigueur du Data (Use and Access) Act. Par ces nouvelles décisions, les transferts de données depuis l’Union européenne vers le Royaume-Uni pourront continuer à s’effectuer sans encadrement spécifique jusqu’au 27 décembre 2031.
2.10. Incident de cybersécurité à l’Agence spatiale européenne : compromission de serveurs externes
[31 décembre] L’Agence spatiale européenne (ESA) a confirmé avoir subi un incident de cybersécurité affectant un nombre très limité de serveurs externes, situés hors de son réseau interne et dédiés à des activités collaboratives scientifiques non classifiées. L’ESA a lancé une analyse forensique et des mesures de sécurisation, mais n’a pas confirmé à ce stade le nombre de serveurs, ni le volume et la nature des données affectées. La confirmation de cette intrusion intervient toutefois quelques jours après qu’un chercheur en sécurité a annoncé le 26 décembre 2025 la mise en vente de données de l’ESA sur le dark web, sans que cela ne soit validé par l’ESA. L’incident met en lumière les risques de sécurité liés aux infrastructures externes même lorsqu’elles ne supportent pas des systèmes critiques.
Sources :
3. INTERNATIONAL
3.1. Vérification d’âge au Royaume-Uni : l’Ofcom prononce une amende de 1 million de livres à l’encontre d’AVS Group pour violation de l’Online Safety Act
[4 décembre] L’Ofcom, régulateur britannique des télécommunications, a infligé une amende de 1 million de livres à AVS Group pour ne pas avoir mis en place de mécanismes de contrôle d’âge hautement efficaces sur ses 18 sites pornographiques, comme requis par le Online Safety Act. Le dispositif d’AVS reposait sur un simple téléchargement de photo, sans technologie de détection de présence réelle, facilement contournable par les mineurs. Depuis, la société a mis en place de nouveaux mécanismes sur chacun de ses sites. Cette décision illustre l’intensification de l’application des obligations légales de vérification d’âge sur les plateformes en ligne afin de limiter l’accès des enfants à des contenus inappropriés.
Source : Ofcom fines porn company £1 million for not having robus age checks | Ofcom
3.2. Gemini : Google lance User Alignment Critic pour contrôler les actions non autorisées
[8 décembre] Face aux risques de sécurité liés à l’intégration de l’IA Gemini dans Chrome, notamment des attaques par injection de prompts pouvant déclencher des actions non voulues, Google a déployé un second modèle d’IA de surveillance pour analyser et valider les actions générées par Gemini avant exécution dans le navigateur : User Alignment Critic. Pour atténuer ces vecteurs d’attaque, l’entreprise met également en place des mécanismes de filtrage d’origine et de confirmation utilisateur pour limiter l’accès automatique à du contenu externe ou sensible. Avec cet outil, Google cherche à prévenir des actions potentiellement malveillantes ou non alignées avec l’intention de l’utilisateur afin d’améliorer la sécurité de la navigation assistée par IA.
Sources :
3.3. Mineurs et réseaux sociaux : l’Australie interdit l’accès aux réseaux sociaux pour les moins de 16 ans
[9 décembre] L’Australie marque un étape clé dans l’histoire numérique en instaurant pour la première fois une interdiction légale pour les mineurs de 16 ans de détenir ou d’accéder à des comptes sur les réseaux sociaux. Facebook, Instagram, Threads, X, Youtube, Snapchat, Reddit, Kick, Twitch et TikTok doivent désormais adopter les mesures nécessaires pour supprimer tous les comptes détenus par les moins de 16 ans en Australie, et les empêcher d’en créer de nouveau via des mesures raisonnables de vérification d’âge sous peine d’amendes significatives pouvant aller jusqu’à 49,5 millions de dollars. L’objectif affiché de protection des enfants face aux risques liés aux contenus et algorithmes addictifs pourrait se heurter à des défis techniques et juridiques, ainsi qu’au recours par les mineurs aux applications non couvertes par l’interdiction. La France pourrait suivre cette initiative, Emmanuel Macron ayant indiqué lors de ses Vœux aux Français pour 2026 vouloir protéger les enfants et adolescents des réseaux sociaux et écrans.
Caroline Chancé, Jeannie Mongouachon, Clémentine Beaussier, Victoire Grosjean et Juliette Lobstein
.png)
