Vos préférences en matière de cookies
Lignes directrices CEPD · art. 7 RGPD
Nous utilisons des cookies techniques essentiels au fonctionnement de la plateforme (connexion, sécurité, sessions). Nous souhaiterions aussi utiliser des cookies analytiques pour comprendre comment l'améliorer.
Vous pouvez tout accepter, tout refuser, ou choisir les catégories à activer.Votre consentement est valable 6 mois et vous pouvez le retirer à tout moment depuis le pied de page.
Vous trouverez tout dans notre politique de confidentialité.
Actualités vie privée et RGPD
Mises à jour curées : décisions de l'autorité italienne, décisions EDPB, sanctions et actualités réglementaires.
Le pixel invisible de la newsletter : le 29 octobre, le temps est écoulé
Par la décision n° 284 du 17 avril 2026, publiée au Journal officiel n° 98 du 29 avril, l'autorité italienne a fixé les règles des pixels de suivi dans les courriels et accordé six mois pour s'y conformer : l'échéance est le 29 octobre 2026. Le suivi individuel des ouvertures à des fins de marketing exige, sauf exceptions, le consentement du destinataire. La vérification relève du plan d'inspection du second semestre. Pour un DPO, l'enjeu n'est pas l'interdiction — il n'y en a pas — mais qu'un traitement tenu pour acquis depuis vingt ans ait désormais besoin d'une base, d'une information et d'un moyen de le désactiver séparément.
Le licenciement décidé par l'algorithme est nul : à partir du 23 octobre en Italie
Publié au Journal officiel n° 234 du 8 octobre 2026 et en vigueur depuis le 23 octobre, le décret n° 179/2026 prévoit que les décisions finales sur la relation de travail ne peuvent se fonder exclusivement sur des traitements automatisés, que le salarié peut demander une motivation compréhensible, et que les décisions prises en violation sont nulles. En parallèle, les systèmes d'IA qui agissent sur l'organisation du travail entrent dans l'évaluation des risques au titre de l'article 28 du décret 81/2008. Pour un DPO, c'est le cas rare où la conséquence n'est pas économique mais civile, et cela change la façon de poser la vérification.
Le Garante italien inflige 16,7 millions à Wind Tre : télémarketing malgré les oppositions et contrats activés à l'insu des clients
Des personnes qui s'étaient opposées continuaient d'être appelées, et certains contrats étaient activés à l'insu des intéressés. Le Garante sanctionne Wind Tre de 16,7 millions et rappelle un principe pour toute entreprise dotée d'un réseau d'agences : la responsabilité ne s'externalise pas avec les ventes.
Grèce : 350 000 euros pour une violation — le ministère et le sous-traitant aux systèmes obsolètes sanctionnés, sans contrat article 28
Une attaque contre les systèmes de l'agence gérant les programmes d'un ministère a exposé des données d'identification, financières et de santé d'un très grand nombre de personnes. L'autorité grecque sanctionne le responsable de 200 000 euros et le sous-traitant de 150 000 : bien notifier ne suffit pas si le prestataire travaille sur des systèmes dépassés sans contrat encadrant la relation.
Lunettes connectées : le CEPD prend position — l'utilisateur peut être responsable, et la personne filmée doit pouvoir s'en apercevoir
Elles ressemblent à des lunettes ordinaires, mais ont une caméra, un micro et une connexion. Le CEPD publie sa première déclaration sur les lunettes connectées : quand l'utilisateur devient responsable de traitement, pourquoi fabricants et fournisseurs d'applications ne peuvent pas lui transférer leurs obligations, et ce que signifie concrètement rendre un enregistrement visible.
Le Garante italien inflige 4 000 euros à la commune d'Arvier : une caméra filmait les fenêtres et balcons d'une habitante, et le masquage est arrivé trop tard
Une petite commune du Val d'Aoste utilise des caméras pour la circulation, le stationnement, les plaques, l'environnement et la protection civile. Une habitante découvre que l'une d'elles cadre sa maison. Le Garante sanctionne et rappelle un principe valable pour tout dispositif : le masquage des zones privées se conçoit avant d'allumer la caméra, pas après la plainte.
La boîte mail de celui qui est parti : le traitement que personne ne documente
Par la décision 101/2026 du 12 mai 2026, la Chambre contentieuse de l'Autorité belge de protection des données a sanctionné une entreprise qui avait laissé active, plus d'un an après le départ, la boîte mail professionnelle d'une personne qui n'y travaillait plus. Les griefs ne portent pas seulement sur la conservation : traitement sans base, défaut de transparence, absence de mesures techniques et organisationnelles d'effacement, non-respect du droit d'accès. La ligne de l'autorité est constante depuis des années et se résume à deux dates : désactivation le jour du départ, effacement au bout d'un mois.
L'année où les autorités lisent l'information : la CEF 2026 sur la transparence
Le 19 mars 2026, le CEPD a lancé l'action coordonnée de contrôle de l'année sur les obligations de transparence et d'information des art. 12, 13 et 14 du RGPD. Vingt-cinq autorités y participent, chacune libre dans sa méthode : inspections, questionnaires adressés aux responsables du traitement, lecture des informations publiées sur les sites, vérifications sectorielles. Les résultats nationaux seront agrégés au second semestre 2026 et le CEPD publiera un rapport de synthèse avec des recommandations. Pour qui s'occupe de conformité, le point est que cette année le contrôle part d'un texte déjà public.
Payer avec son visage : ce qui change quand la clé, c'est vous
Du 24 au 26 septembre 2026, Revolut a testé dans trois cafés londoniens un système de paiement qui reconnaît le visage à la caisse et le compare au selfie téléversé à l'ouverture du compte. L'adhésion est volontaire, au-delà de 200 livres une seconde vérification s'impose, et l'entreprise déclare se conformer au RGPD britannique. Pour un DPO, l'essentiel est ailleurs : un visage servant à identifier est une donnée biométrique au sens de l'art. 9, et la notice fait coexister deux données distinctes — le gabarit biométrique et la photo prise en caisse — avec des règles d'effacement différentes.
Quand on sanctionne et quand on ne sanctionne pas : le CEPD écrit la partie qui manquait
Le 21 septembre 2026, le Comité européen de la protection des données a adopté les lignes directrices 04/2026 sur l'exercice du pouvoir de sanction au regard des autres pouvoirs correcteurs, ouvertes à consultation publique jusqu'au 13 novembre 2026. Elles remplacent les anciennes lignes directrices du groupe de l'article 29 et complètent celles de 2022 sur le calcul du montant. La différence est substantielle : celles-là disaient combien, celles-ci disent si. Et à la quatrième étape figure une présomption qui déplace la charge de la défense.
Pologne, l'UODO : toute violation ne doit pas être notifiée. Données de registre public d'un côté, PESEL, santé et données financières de l'autre
Si le système de facturation ne laisse fuiter que le nom, la dénomination, le numéro fiscal et l'adresse d'un entrepreneur, déjà publics au registre, le risque est en principe improbable. S'il laisse aussi fuiter le numéro national d'identification, des détails d'achats révélant la santé ou des données financières, la notification est due. Dans tous les cas, la décision est consignée au registre interne.
Le Garante italien inflige 39 000 euros à une société de sécurité : données GPS du véhicule de service refusées à un ancien salarié
Un agent licencié demande les données du GPS installé sur son véhicule de service pour se défendre dans une procédure disciplinaire. La société ne les transmet pas et n'explique pas pourquoi. Le Garante sanctionne La Patria S.p.A. de Bologne et rappelle une règle souvent oubliée : un refus doit lui aussi être motivé.
La Suède inflige 1,8 million de couronnes à Miljödata : un prestataire, 2,2 millions de personnes et deux contrôles manquants
Numéros d'identité personnels, coordonnées et données sensibles sur les arrêts maladie, la réadaptation et les incidents scolaires, publiés sur le darknet après une attaque. L'autorité suédoise relève deux défaillances concrètes et sanctionne directement le prestataire. Et ouvre des contrôles sur les clients qui l'avaient choisi.
Lignes directrices 04/2026 du CEPD : cinq étapes pour décider si une autorité doit sanctionner
Le Comité européen a adopté les lignes directrices qui disent quand une autorité de contrôle doit infliger une amende et quand elle peut s'en tenir à un rappel à l'ordre, une injonction ou une interdiction. Cinq étapes, quatorze exemples et une règle nette : si le manquement n'est pas mineur, l'amende est la norme.
Le Garante inflige 7 millions à IQVIA : un million de patients « anonymes » qui ne l'étaient pas
Huit cents médecins généralistes, un module ajouté à leur logiciel, une base contenant les diagnostics et prescriptions d'environ un million de patients, utilisée pour des études commandées par l'industrie pharmaceutique. Pour la société, les données étaient anonymes. Pour l'autorité italienne, non : le code qui suivait chaque patient dans le temps permettait de l'individualiser. Amende de 7 millions et 120 jours pour se mettre en conformité.
La CNIL inflige 300 000 euros à Extia : effacer automatiquement ne suffit pas, il faut le dire à la personne
Une société de conseil en informatique reçoit des centaines de demandes d'effacement, presque toutes de candidats. Beaucoup de données disparaissent d'elles-mêmes par suppression automatique. Mais ceux qui ont demandé ne reçoivent pas de réponse. Pour la CNIL, c'est un manquement à l'article 12 même lorsque la donnée n'existe plus : informer de la suite est une obligation distincte de l'effacement.
Le numéro surtaxé sur le panneau : cent mille euros pour avoir mis un prix sur l'exercice d'un droit
L'art. 12, § 2, ne dit pas que les droits doivent être possibles : il dit que le responsable doit en FACILITER l'exercice. Un panneau qui renvoie à un numéro payant impose un coût à qui veut les exercer et décourage qui hésite. L'existence d'autres voies gratuites sur le site n'a pas réparé la violation, car c'est le panneau qui indiquait le numéro payant.
Le CEPD écrit quand on sanctionne, non combien : cinq étapes et une présomption
Depuis 2022 on sait comment se calcule le montant. Manquait la question préalable : l'amende doit-elle être infligée ? Les lignes directrices adoptées en plénière le 21 septembre donnent aux autorités un parcours en cinq étapes, quatorze exemples pratiques et une règle qui change les attentes — si la violation n'est pas mineure, la présomption est qu'on sanctionne. Consultation ouverte jusqu'au 13 novembre 2026.
Soixante-treize dossiers par minute pendant cinq jours, et personne ne l'a vu
Le 3 septembre 2026, la CNIL a prononcé une amende de 500 000 euros contre l'Hôpital privé de la Loire. Un attaquant s'est connecté au dossier patient informatisé avec les identifiants d'un médecin et a extrait en cinq jours 524 867 dossiers, à raison d'environ soixante-treize par minute. Aucune alerte. Il manquait l'authentification multifacteur et tout outil capable de remarquer que quelque chose n'allait pas.
Le casier judiciaire qui ne dit rien : l'Espagne annule deux millions
Par un arrêt n° 359/2026 du 8 juillet 2026, l'Audiencia Nacional a annulé l'amende de deux millions d'euros infligée par l'autorité espagnole à Amazon Road Transport Spain pour avoir demandé aux candidats un extrait de casier judiciaire. Le raisonnement : l'art. 10 vise les données relatives aux condamnations et aux infractions, et un extrait attestant l'ABSENCE de condamnation n'y entre pas automatiquement. La décision reste susceptible de recours.
180 produits d'IA en cinq ans : ce que l'autorité a demandé
Le 25 septembre 2026, l'autorité irlandaise a publié son rapport sur la surveillance des produits et services d'intelligence artificielle entre 2021 et 2025. Environ 180 produits suivis, des milliers de pages d'analyses lues, et deux points qui reviennent dans presque chaque dossier : l'intérêt légitime comme base de l'entraînement, et la transparence de traitements que personne ne parvient à expliquer simplement.
La panne du prestataire est devenue une condamnation
Le 7 septembre 2026, devant le Dublin Metropolitan District Court, Brown Thomas Arnotts Limited a plaidé coupable de cinq chefs sur vingt et un pour violation du règlement irlandais ePrivacy. Trois portaient sur l'absence d'une adresse valable de désabonnement, deux sur l'envoi sans consentement valable. La somme versée est de deux mille euros. Ce qui compte n'est pas la somme : c'est qu'il s'agit d'une procédure pénale.
La demande venait d'un vrai domaine gouvernemental
Le 12 septembre 2026, Revolut a confirmé avoir communiqué des données de clients à la suite de demandes frauduleuses envoyées depuis un domaine de messagerie d'une agence gouvernementale légitime. Parmi les données : date de naissance, adresses, numéros de téléphone, copies de passeports et de permis de conduire, selfies de vérification, relevés et historiques de transactions. Environ 680 clients contactés. Ce n'est pas une intrusion : c'est une violation de données par divulgation non autorisée, et tout tient à une procédure que presque personne n'a écrite.
Google, 403 millions : la moitié tient dans le registre
Le 21 septembre 2026, l'autorité irlandaise a clos l'enquête ouverte en février 2020 sur Google Ireland. Objet : les données de localisation dans trois fonctions — Web & App Activity, Location History, Location Accuracy — entre le 25 mai 2018 et le 4 février 2020. Amendes de 403 millions d'euros et six mois pour se mettre en conformité. Le chiffre fait le titre ; pour qui travaille, l'essentiel est ailleurs.
Portugal : voie d'urgence pour les signalements sur mineurs
Le canal s'appelle Canal Prioritário et se trouve sur le site de la CNPD. Il couvre trois situations : accès indu aux données de mineurs, collecte et diffusion d'images ou d'enregistrements au contenu sensible ou violent sans consentement, et publicité ciblant les mineurs. Les mineurs eux-mêmes peuvent l'utiliser, comme tout citoyen qui le constate. Pour le DPO ce n'est pas une obligation de plus : c'est un changement d'exposition, et mieux vaut savoir quels traitements sont réellement visés.
L'abonnement Solo passe à 9,99 euros par mois, et ce n'est pas une promotion
L'abonnement Solo s'adresse à qui démarre : trois clients, un utilisateur, toutes les zones documentaires, le registre de l'art. 30, la gestion des violations avec le délai de 72 heures. À dix-neuf euros, c'était une dépense à peser ; à 9,99, c'est une décision qui se prend en une minute. Le changement porte sur le tarif, pas sur un code : qui s'inscrit aujourd'hui paie cela, et le paiera encore dans six mois.
« Pas abusif, la direction médicale l'avait mandaté » : l'autorité dit non, 24 000 euros
L'affaire est petite, la leçon ne l'est pas. L'hôpital est à la fois lieu de soins et employeur de la même personne, et quand les deux qualités se touchent le dossier médical devient l'outil le plus commode et le plus faux. L'établissement l'avait écrit au parquet : cet accès n'était pas abusif, il avait été « effectué sur mandat de la direction médicale » « pour l'exécution de la prestation de travail ». C'est exactement la phrase que l'autorité démonte.
Caméras dans les vestiaires depuis 2007 : la défense énumère ce qu'elles ne filmaient pas, et perd
Le mémoire en défense est une liste de ce qu'on ne voyait pas : ni les cabines, ni les douches, ni les toilettes ; et près des casiers il n'y a pas de bancs « qui puissent inciter celui qui se déshabille à s'y asseoir et donc à être immortalisé par le système vidéo ». C'est un raisonnement par soustraction, et dans un vestiaire il ne tient pas. Pour le DPO, le passage à retenir est pourtant un autre : parmi les dispositions violées figure l'art. 5, § 1, e), parce que les soixante-douze heures de conservation déclarées n'étaient soutenues par aucune évaluation démontrant leur nécessité.
Un seul plaignant, dix notifications, 5,5 millions : le refus enregistré et jamais appliqué
Une réclamation, une seule personne concernée, des données de contact, une gravité que l'autorité elle-même qualifie de « faible » — et cinq millions et demi d'euros. Le calcul n'est pas punitif : il découle d'un chiffre d'affaires supérieur à 500 millions, d'un précédent de juillet 2025 et de sept mois pendant lesquels la volonté du client était inscrite dans un système et ignorée par un autre. Pour le DPO, le point opérationnel est unique : le canal que vous indiquez dans votre mention d'information n'est pas le seul canal valable.
Les 120 jours ne sont pas le délai pour vous sanctionner : c'est le délai pour vous notifier les griefs
Qui a bâti une opposition sur la tardiveté de l'autorité doit relire le calendrier. La Cour clarifie trois points : réclamation et procédure de sanction sont autonomes, si bien que le dépassement des neuf à douze mois sur la réclamation ne fait pas tomber le pouvoir de sanction ; les 120 jours servent à notifier les griefs, non à prononcer la sanction ; et ils courent à compter de la « constatation définitive », qui n'est pas la première information mais le moment où l'autorité peut apprécier tous les éléments — y compris le contradictoire avec vous. Après les griefs, il ne reste que la prescription quinquennale.
Quatre semaines, pas un jour de plus : combien de temps conserver les données des candidats aux Pays-Bas
Quatre semaines après la fin de la procédure : c'est le délai le plus court d'Europe sur cette donnée, et ce n'est pas une recommandation facultative. Face à une réclamation, c'est la première chose que vérifie l'autorité néerlandaise. La copie de la pièce d'identité est l'exception qui coupe le dossier du personnel en trois.
Le règlement sur l'IA est un problème de conservation, et presque personne ne le traite ainsi
Tout le monde lit le règlement comme un exercice de classification des risques. En dessous se trouvent des durées de conservation aussi concrètes qu'en droit fiscal : documentation dix ans à compter de la mise sur le marché, journaux au moins six mois, signalement d'incident sous quinze, dix ou deux jours. Rien de cela n'entre dans un registre qui comporte une seule ligne pour « système d'IA ».
Le plan de suppression allemand est faux depuis le 1er janvier 2025 — dans les deux sens
La quatrième loi allemande d'allègement administratif a raccourci deux délais et en a laissé quatre intacts. Celui qui a fixé son plan de suppression à huit ans partout détruit des documents que le contrôle fiscal peut encore exiger. Celui qui a laissé dix viole la limitation de conservation, sur le fonds documentaire le plus complet de l'entreprise.
Combien d'années conserver les dossiers du personnel en Pologne : dix ou cinquante — et pourquoi une seule date tranche
À la question « combien d'années gardons-nous le dossier du salarié » il n'existe pas de réponse courte. Il y a trois régimes, et c'est la date de début de la relation de travail qui décide lequel s'applique. Pour l'un des groupes, le délai passe de cinquante ans à dix — mais seulement après un dépôt, et compté à partir d'un jour entièrement différent.
Quand le DPO est-il obligatoire en Espagne : les seize cas de l'article 34
L'Espagne fait partie des rares États à avoir énuméré dans la loi les cas où le délégué est obligatoire. Seize lettres, de a) à o), qui s'ajoutent — sans les remplacer — aux trois hypothèses de l'art. 37, § 1. L'erreur la plus coûteuse n'est pas dans la liste : elle est au paragraphe 2, car l'organisme qui désigne volontairement un DPO relève du même régime et doit le notifier à l'AEPD dans les dix jours.
Durées de conservation : pourquoi la CNIL ne raisonne pas en durée mais en cycle de vie
Un registre qui indique « 10 ans » dans la colonne durée de conservation ne répond pas à la question : il l'évite. La CNIL raisonne en trois phases successives, et la deuxième — l'archivage intermédiaire — n'existe que si les données sont effectivement séparées de la base active. C'est là que se joue la conformité, et c'est précisément ce que personne ne documente.
L'AIPD en Pologne : quand elle est obligatoire et ce qu'elle doit contenir
L'AIPD n'est pas une case à cocher après la mise en service. C'est une condition à remplir AVANT le début du traitement, et si le risque ne peut être abaissé, elle devient une obligation de consultation préalable de l'autorité. La liste polonaise énumère douze catégories d'opérations ; les WP248 donnent neuf critères : en réunir deux suffit généralement.
L'exemption des 250 salariés pour le registre des traitements n'existe presque pas
« Nous sommes moins de 250 salariés, le registre ne nous concerne pas » est le malentendu le plus répandu de la matière. L'exemption de l'art. 30, § 5 est soumise à trois conditions alternatives : une seule suffit. Et « non occasionnel » couvre la paie et la gestion des clients, c'est-à-dire à peu près toutes les entreprises.
Seize heures avant le 24 mai 2027 : la formation que tout employeur doit suivre
Qui tient un tableau de suivi de la formation a une ligne pour les salariés, une pour les encadrants, une pour les chargés incendie. Presque personne n'en a une pour l'employeur, car jusqu'en 2025 il n'existait pas d'obligation générale : seulement le parcours de l'art. 34 pour celui qui assume lui-même le service de prévention, une minorité. Désormais il en existe une pour tous, avec une date unique.
Sécurité au travail : un écran au lieu de six, et la matrice que presque personne n'affiche
La section savait déjà répondre à quatre questions séparées — quelles fonctions sont requises, quels documents, qui n'a jamais suivi de formation, quelles attestations expirent — mais rien ne les reliait, et pour voir l'effet de ses choix il fallait atteindre la sixième étape. Désormais l'effet se voit pendant la saisie.
La matrice italienne atteint 205 règles : santé, blanchiment et cinq secteurs
L'Italie comptait 155 règles propres de conservation contre 232 au Portugal, et l'écart n'était pas réparti : il se concentrait sur sept domaines. La santé en avait 6 contre 23, le blanchiment 4 contre 13. L'Italie est désormais à 205 et l'écart structurel est comblé. Mais le nombre compte moins que la méthode : chaque nouvelle règle naît non vérifiée, et cela se voit.
Trois règles que presque aucun registre italien ne contient
Ce ne sont pas des normes obscures. L'une vient d'un document d'orientation de l'autorité italienne de 2024, une autre d'une loi de 2023, la troisième du décret anti-blanchiment que tout le monde cite. Leur point commun : aucune ne concerne un fichier que quelqu'un a décidé de créer : elles concernent des fichiers qui existent tout seuls, et c'est précisément pour cela que personne ne les a inscrits.
Des dossiers médicaux dans un conteneur au fond d'un hangar : 645 000 euros au service de santé irlandais
Ce n'est pas une violation informatique. C'est le principe de limitation de la conservation appliqué au papier : des documents gardés au-delà de leur terme, dans des lieux qui n'étaient pas des archives, sans que personne ne sache plus ce qu'il y avait dedans.
Soixante secondes, c'est trop souvent : pour l'autorité italienne, relever la position à ce rythme est une surveillance continue
La question n'est pas de savoir si l'on peut géolocaliser un véhicule de service : on le peut. La question est à quelle fréquence. Et l'autorité avait déjà dit en 2018 que deux minutes étaient disproportionnées.
L'espace européen des données de santé s'applique dans un peu plus de six mois, et les deux oppositions qu'il contient ne sont pas la même chose
Il ne remplace pas le RGPD, il s'y ajoute. Pour qui tient le registre d'un client du secteur de la santé, les dates à noter sont quatre, pas une, et la première tombe dans moins de sept mois.
Le 2 août, l'obligation d'avoir un bac à sable national pour l'IA est arrivée à échéance, et dans ces bacs à sable on peut traiter des données collectées pour autre chose
C'est le seul endroit du droit de l'Union où la réutilisation de données personnelles pour entraîner un modèle est expressément prévue. Les conditions sont au nombre de sept et doivent toutes être réunies.
La campagne européenne sur la santé mentale au travail démarre le 13 octobre. Elle ne crée pas d'obligations, et c'est précisément pour cela qu'il faut la lire attentivement
Une campagne de sensibilisation n'est pas un acte juridique et n'introduit aucune obligation nouvelle. Mais le moment où une organisation mesure le risque psychosocial concerne aussi celui qui s'occupe de protection des données — et ceci est une lecture, non un contenu de la source.
Deux millions à un data broker américain : l'intérêt légitime ne couvre pas la vente de contacts
La société est américaine et n'a pas d'établissement en Italie ; le règlement s'est appliqué quand même. Outre l'amende, l'interdiction de traiter les données des personnes se trouvant en Italie et l'ordre d'effacer celles collectées illicitement.
Règlement IA : qui surveille quoi, et pourquoi les « premières amendes » qui circulent n'existent pas
Le Bureau de l'IA suit les modèles à usage général, les autorités nationales tout le reste, le CEPD les institutions européennes. Savoir devant qui répond un client vient avant de savoir ce qu'il risque. Et avant encore vient distinguer les pouvoirs devenus exerçables de ceux qui ont été exercés.
Un guichet unique pour notifier les violations : ce qu'ont demandé le CEPD et le Contrôleur sur le paquet cybersécurité
Notifier une violation aujourd'hui signifie écrire à plusieurs autorités dans des formats différents dans les mêmes trois jours. Le Comité et le Contrôleur soutiennent le guichet unique, et posent des limites à l'ENISA, à la certification et au rapport entre sécurité et droits fondamentaux.
Sept sites ont éteint le Royaume-Uni plutôt que de protéger les mineurs
Le régulateur britannique a raconté ce qui se passe avant les enquêtes formelles. Mis devant le choix entre sécuriser le service ou ne plus être joignables depuis le Royaume-Uni, sept plateformes ont choisi la seconde option. C'est une victoire, mais cela dit aussi combien il coûte peu de partir.
Un million et demi d'histoires d'adoption sur des supports que plus personne ne savait localiser
Le cas le plus grave vient de la numérisation des archives papier entre 2013 et 2022 : plus de 1,17 million de dossiers, dont 1,14 million sur des adoptés et environ 30 000 sur des enfants disparus, sur des supports mal protégés et sans aucun suivi de leurs déplacements. L'organisme n'a constaté leur absence que lors des contrôles de 2024 et de 2026.
Au Brésil, demander l'âge et croire la réponse a coûté 153,7 millions de reais
Décision du 25 août 2026. L'autorité brésilienne a relevé des carences du mécanisme de vérification de l'âge tant dans le fil accessible sans inscription que dans celui réservé aux comptes. Outre l'amende, l'ordre de supprimer les données collectées irrégulièrement et de régler par défaut les profils des moins de 16 ans sur la configuration la plus restrictive.
L'utilisateur n'a pas confirmé son compte : pour l'autorité italienne il n'y a pas de contrat et les courriels sont illicites
Décision du 18 juin 2026, rendue publique le 29 juillet. Un citoyen reçoit des courriels promotionnels sans avoir jamais rempli le formulaire d'adhésion. L'instruction montre que ceux qui ne confirmaient pas la création du compte se retrouvaient malgré tout dans les listes : le double opt-in existait, mais n'était relié à rien.
« Nous conservons à des fins de recherche » : le CEPD explique pourquoi ce n'est pas une réponse
Le 15 avril 2026 le CEPD a adopté en projet les lignes directrices 1/2026 sur la recherche scientifique. La consultation publique s'est close le 25 juin et le texte définitif n'est pas encore paru. Qui tient des registres a intérêt à lire le chapitre sur la conservation : la finalité de recherche, à elle seule, ne justifie pas une durée ouverte.
On déclare le contrat, puis on rejette les oppositions : la Norvège montre comment les deux erreurs voyagent ensemble
SATS demandait aux adhérents une photo conservée dans le système de gestion et utilisée à l'accueil pour vérifier l'identité des personnes qui entrent. Datatilsynet a constaté que l'information indiquait une base légale erronée, n'expliquait pas le droit d'opposition, et que les oppositions étaient rejetées sans démontrer de motifs légitimes impérieux. L'échéance pour y remédier est le 11 septembre 2026.
Qui répond de la diffusion en direct du match des moins de 14 ans ? La Suède répond à la question que personne ne pose
Le 25 août, l'autorité suédoise a publié un guide sur la diffusion du sport des jeunes. Beaucoup de clubs diffusent en ligne les matchs des enfants, et le guide indique les facteurs qui déterminent ce qui est permis. Mais la partie qui vaut la lecture est l'autre : la responsabilité quand la commune possède l'équipement et que le club veut y installer des caméras.
Le score qui vous refuse un crédit peut être demandé, et il doit être expliqué
Le 19 août, la CNIL a traduit pour le public sa recommandation de mai 2026 sur l'évaluation de la solvabilité. On y trouve trois chiffres et un principe qui concernent quiconque pratique le scoring : vingt-quatre mois pour les incidents passés, six mois pour les données d'une demande refusée, et un droit d'accès au score qui ne se règle pas en invoquant le secret des affaires.
Données fiscales dérobées, et aucun mot de passe : c'est ce qui rend l'affaire dangereuse
Le 14 août, le ministère de l'Économie a indiqué que le système d'information de la DGFiP avait été affecté par une violation de données : un tiers a pu consulter et extraire des informations relatives à des particuliers et des professionnels. Les identifiants et les mots de passe ne seraient pas concernés — et c'est précisément pour cela que le risque n'est pas la prise de contrôle des comptes mais l'hameçonnage bâti sur des données fiscales exactes.
À l'école les traceurs publicitaires sont interdits, et ce n'est pas une question de consentement
Le 24 août, la CNIL a publié les règles applicables aux espaces numériques de travail utilisés dans les établissements scolaires. Le point décisif n'est pas la protection des mineurs mais un principe de droit administratif : la neutralité du service public de l'éducation inclut la neutralité commerciale, de sorte que les traceurs à des fins publicitaires ou de profilage sont en principe interdits. Si l'outil en comporte, le responsable de traitement doit les désactiver.
Même outil, même jour, règle différente : pourquoi les traceurs ne sont pas interdits à l'université
Le 24 août, la CNIL a publié deux textes sur le même sujet, l'un pour l'école, l'autre pour l'université. Qui ne lit que le premier et l'applique au second se trompe sur un point précis : à l'école, les traceurs publicitaires sont « en principe interdits » ; dans l'enseignement supérieur, la CNIL « recommande de privilégier » des outils qui n'en utilisent pas. Le reste — base légale, AIPD, garanties du sous-traitant, transferts — coïncide.
Huit cent vingt-cinq millions pour un algorithme qui désactivait des comptes sans que personne ne regarde
C'est la deuxième amende la plus élevée jamais prononcée sous le RGPD, derrière le seul 1,2 milliard infligé à Meta. Elle ne porte ni sur un transfert ni sur une violation de sécurité : elle porte sur l'article 22, la règle sur les décisions automatisées que presque personne ne documente parce qu'elle semble ne concerner que les grandes plateformes. Elle concerne en réalité quiconque laisse un logiciel décider de quelque chose qui pèse sur la vie d'une personne.
La Pologne a quadruplé ses sanctions en un an, et les trois plus élevées de son histoire datent toutes de 2025
Pendant des années la Pologne a été vue comme un marché à faible risque de sanction. Cette hypothèse ne tient plus : en douze mois le total est passé de quatorze à plus de soixante-quatre millions de zlotys, et les trois amendes les plus élevées de l'histoire du pays portent toutes la même année. Si vous suivez un client ayant une filiale, un fournisseur ou un centre de services en Pologne, le calcul du risque a changé.
Soixante-dix-sept cases : ce qu'un DPO classe vraiment, et pourquoi trente et une ne suffisaient pas
Nous avons posé une question simple à celles et ceux qui utilisent la plateforme : quand une demande d'une autorité arrive, quels papiers sortez-vous ? La réponse contenait quarante-six catégories sans case propre, qui finissaient toutes dans « Autres documents ». Nous les avons ajoutées. Puis il a fallu refaire la page, car soixante-dix-sept rectangles gris en grille valent moins que trente et un.
Le risque s’apprécie dans le registre, et chaque fonction est à un mot de distance
Une DPO a essayé la plateforme quelques jours et a écrit qu’il manquait le registre des violations, l’appréciation du risque, le dépôt des documents et les tarifs. Trois des quatre existaient déjà. Elle ne les a pas trouvés parce qu’ils se trouvent dans la fiche du client, que le menu ne montre pas. D’où deux ajouts : l’appréciation du risque, qui manquait vraiment au registre, et une barre de recherche qui répond à « violation », « 72 heures » ou « art. 33 » en indiquant aussi où se trouve ce que vous cherchez.
Les mesures de sécurité ne se réécrivent plus à la main
Le retour vient d’une DPO en période d’essai : « dans les mesures de sécurité, je ne peux que saisir du texte ». Elle avait raison. Les mesures se choisissent désormais dans un catalogue en neuf groupes, restent complétables à la main, et le programme fait remonter celles qui sont pertinentes en regardant les catégories de données et les transferts. Les catégories de données gagnent un second niveau descriptif, et le pays de destination n’est plus un champ libre.
Combien de temps conserver les données : 960 règles, neuf ordres juridiques et une méthode
La limitation de la conservation est le principe qui se démontre le plus mal lors d’un contrôle, parce que la réponse change pour chaque catégorie de données et chaque pays. La plateforme embarque 960 règles déjà rédigées. Mais l’essentiel n’est pas le nombre : sur 232 règles portugaises, 99 seulement ont une durée exprimable par un chiffre, et 95 sont déclarées « référence courante » plutôt que « vérifiée ». Le dire est plus utile que le cacher.
Le client fait faillite, le prestataire reste seul avec les données : et devient responsable de traitement
Une chaîne de magasins fait faillite. Les anciens salariés ont besoin de leurs relevés d'heures pour justifier les salaires impayés, mais le seul à les détenir est le fournisseur du logiciel de pointage, qui répond qu'il ne peut rien communiquer à personne — « pas même aux personnes concernées elles-mêmes » — parce que le contrat avec le responsable a pris fin. L'autorité norvégienne a jugé l'inverse : quand vous êtes le seul à décider des données, le responsable, c'est vous.
Des données réelles de salariés dans le logiciel en test : ce que vaut la perte de contrôle
Tester un nouveau logiciel de gestion du personnel avec des données réelles n'est pas interdit : transférer plus de champs que le test n'en exige, si. La Cour fédérale du travail allemande a condamné un employeur à deux cents euros pour avoir chargé le salaire, l'adresse privée, le numéro fiscal et la situation de famille alors qu'il avait convenu avec le comité d'entreprise d'une liste de neuf champs. Et elle a confirmé qu'un retard à répondre à une demande d'accès n'est pas, en soi, un dommage.
Le 2 août n'a pas disparu : il s'est resserré
Qui n'a lu que le titre — « le règlement IA est repoussé » — travaille sur une information fausse. La date du 2 août 2026 n'a pas disparu : elle a changé de contenu. Ce qui reste concerne bien plus de clients que ce qui a bougé.
L'autorité néerlandaise publie une auto-évaluation pour l'IA générative
Il manquait quelque chose à remettre au client qui annonce « nous avons activé l'IA dans notre logiciel ». L'autorité néerlandaise a publié une auto-évaluation sur les systèmes d'IA générative : quatre moments, et à chacun une décision à documenter.
NIS2 est loi aux Pays-Bas, sans période de grâce
La Cyberbeveiligingswet est entrée en vigueur le 15 août 2026. Le chiffre qui compte n'est pas huit mille : c'est cent trente-trois mille, les PME néerlandaises que la loi atteint non parce qu'elles relèvent de son champ, mais parce qu'elles fournissent quelqu'un qui en relève.
Les notifications de violation ont déjà dépassé toute l'année 2025
Les chiffres du premier semestre 2026 disent deux choses distinctes. La première : le nombre de personnes averties est dominé par très peu d'incidents énormes. La seconde, plus dérangeante pour qui évalue le risque : l'IA apparaît dans une violation sur quatre.
Le DPO qui décide ne peut pas se contrôler lui-même
Le 10 août 2026, la CNIL a mis par écrit comment reconnaître et comment résoudre un conflit d'intérêts touchant le DPO. Le critère est unique : si, dans ses autres fonctions, le DPO détermine les finalités et les moyens d'un traitement, il ne peut ensuite le contrôler. On ne peut pas être juge et partie.
On n'efface pas l'article, on efface le nom
Le 5 août 2026, la CNIL a précisé les contours d'un droit souvent exercé et mal compris. À l'égard d'un organe de presse, l'opposition et l'effacement restent applicables, l'accès et la rectification non. Et le refus doit être motivé concrètement : six formules générales sont désignées comme non recevables.
En 2026, toutes les autorités européennes regardent la même chose : les mentions d'information
Chaque année le CEPD choisit un thème et toutes les autorités nationales le vérifient ensemble, sur la même période, par questionnaires et contrôles. Pour 2026 le thème est la transparence : comment les responsables informent les personnes de ce qu'il advient de leurs données. Sont visés l'art. 13, lorsque les données viennent de la personne concernée, et l'art. 14, lorsqu'elles viennent d'ailleurs. L'autorité tchèque l'a déjà inscrit à son plan de contrôles.
La CNPD portugaise écrit où elle regardera jusqu'en 2029
Le 24 juillet 2026, l'autorité portugaise a adopté son plan pluriannuel 2027-2029 et son plan d'activités pour 2027. C'est le type de document que presque personne ne lit et qui indique, des années à l'avance, où la surveillance se concentrera : formation numérique, vulnérabilité numérique, capacité de régulation sur le DSA, compétences en IA et neurodonnées.
Portugal : la plus lourde sanction du pays n'enseigne qu'une chose. Vérifier le sous-traitant est une obligation de fond, pas un formulaire
Par la délibération 2022/1072, la CNPD portugaise a infligé à l'INE une amende unique de 4,3 millions d'euros pour cinq manquements commis lors du recensement de 2021. Le plus instructif n'est pas celui sur les données de santé et de religion : c'est que l'INE, alors même que le fournisseur disposait d'un bureau à Lisbonne, a contracté avec la société établie aux États-Unis, acceptant la compétence du tribunal de Californie et le transit des données par deux cents serveurs, avec les clauses contractuelles types et aucune mesure supplémentaire.
L'intérêt légitime n'est pas la base juridique de repli
Dans l'affaire C-621/22, la Cour de justice a jugé qu'un intérêt commercial peut constituer un intérêt légitime au sens de l'article 6, paragraphe 1, sous f). Beaucoup n'ont lu que cette ligne. Le reste de l'arrêt rappelle que les conditions restent au nombre de trois et cumulatives, et que la troisième - la mise en balance avec les attentes raisonnables de la personne concernée - est celle sur laquelle l'affaire a été perdue. Pour le DPO, la conséquence est pratique : l'intérêt légitime n'existe que s'il est écrit quelque part.
L'indemnisation du dommage RGPD : ce que doit prouver celui qui réclame
Les amendes des autorités font les titres ; les actions civiles font le chiffre d'affaires des avocats. Depuis 2023, la Cour de justice a précisé que l'indemnisation au titre de l'article 82 exige trois éléments cumulatifs - violation, dommage, lien de causalité - sans aucun seuil de gravité. Elle a aussi jugé que la crainte fondée que ses données soient tombées entre de mauvaises mains constitue déjà un préjudice moral. Pour le responsable, le terrain de jeu change : non plus la gravité, mais la preuve des mesures adoptées.
Concurrence et protection des données : le CEPD ouvre la table, et il y a une échéance
Après le DSA et avant le DMA et le règlement sur l'IA, la quatrième pièce de la mosaïque réglementaire européenne porte sur le rapport entre concurrence et protection des données. Ce n'est pas théorique : cela touche aux données comme actif de marché, aux concentrations, et à la position de celui qui traite des données parce qu'il domine un marché. Le CEPD et la Commission demandent des contributions avant d'écrire, et cette fois l'échéance est proche.
Lutte anti-blanchiment et vie privée : le CEPD et l'AMLA écrivent ensemble les règles du partage
Le 1er juillet 2026, le CEPD et l'Autorité européenne de lutte contre le blanchiment ont annoncé des lignes directrices communes sur une question qu'aucun des deux ne pouvait trancher seul : comment banques, professionnels et autorités peuvent échanger des informations sur des soupçons sans constituer des fichiers de suspects hors de contrôle. La faculté s'applique à compter du 10 juillet 2027 et la consultation publique est attendue au premier semestre de la même année. Qui conseille des entités assujetties a un an pour se préparer.
CEPD depuis Dublin : il faut une base juridique pour que les autorités puissent échanger des informations entre secteurs différents
Le nombre et la complexité des réclamations augmentent, notamment en raison du recours accru à l'IA, et les autorités disent ouvertement que les moyens ne suffisent pas. Les solutions sur la table : opérations conjointes, mise en commun de ressources entre autorités et futur règlement de procédure.
CEPD, décision contraignante 1/2026 : une réclamation sur les cookies ne se classe pas en invoquant un abus de droit
L'autorité chef de file voulait clore le dossier en invoquant un abus des art. 77 et 80, § 1. L'autorité autrichienne s'y est opposée et le CEPD lui a donné raison : ni la composante objective ni la composante subjective de l'abus n'étaient démontrées. La réclamation revient et doit être examinée au fond.
Contrôle de l'activité du personnel : la CNIL rappelle que les conditions sont trois et cumulatives. La proportionnalité n'est que la première
Le 9 juillet 2026, la CNIL a mis à jour sa page sur le contrôle de l'activité des personnes employées. Le contenu ressemble à une révision, mais un point reste constamment sous-estimé en pratique : les conditions sont trois, elles sont cumulatives, et deux des trois n'ont rien à voir avec le caractère intrusif de l'outil.
71 % des DPO veulent le règlement IA dans leur périmètre. 27 % disent le connaître. 85 % n'ont jamais suivi de formation sur l'IA
Le 3 juillet 2026, le ministère du Travail et des Solidarités, l'AFCDP et la CNIL ont publié la cinquième édition de l'Observatoire du métier de DPO, réalisée par l'Afpa. La lecture facile est que les DPO deviennent les référents de l'IA. La lecture utile est autre : entre ceux qui veulent le règlement IA dans leur périmètre et ceux qui disent le connaître, l'écart est de 44 points, et le règlement IA ne mentionne jamais le DPO.
Autriche : la Cour administrative suprême ramène l'amende de 18 à 13 millions. Mais le passage à lire est celui où elle dit qu'un programme de conformité n'excuse rien
Le 24 juin 2026, le Verwaltungsgerichtshof autrichien a clos une procédure pendante depuis 2019, ramenant à 13 millions d'euros l'amende pour le traitement d'« affinités partisanes » calculées pour environ 2,2 millions de personnes. Les titres parleront de la remise. Pour un DPO, l'essentiel est ailleurs : la Cour affirme que sanctionner une personne morale n'exige aucun acte de ses organes de direction, que disposer de moyens pour se faire conseiller relève le niveau d'exigence au lieu de l'abaisser, et que les griefs relatifs à l'AIPD et au registre des traitements tombent par absorption - non parce que ces documents étaient corrects.
Suède : 6 millions de couronnes pour une injection SQL. Le plus dur n'est pas l'amende, c'est que le risque figurait dans leur propre registre depuis 2021
Le 26 janvier 2026, l'autorité suédoise a sanctionné Sportadmin i Skandinavien AB de 6 000 000 de couronnes pour violation de l'article 32.1. La plateforme gère les adhérents, la facturation et les sites de clubs sportifs : l'attaque du 16 janvier 2025 a exposé les données de 2 126 075 personnes, en majorité des enfants, allergies et handicaps compris. Mais le passage à lire deux fois est ailleurs : depuis 2021, l'entreprise avait identifié le risque d'injection SQL dans ses propres revues annuelles, et l'IMY s'en sert précisément pour établir la négligence grave.
Netherlands: who supervises the AI Act, and where they will start. Prohibited practices and AI literacy, not high-risk systems
The Dutch government has designated the Autoriteit Persoonsgegevens and the Rijksinspectie Digitale Infrastructuur as coordinating national supervisors for the AI Act. The 2026 work agenda lists five priorities: overarching system supervision, transparency and explainability, frameworks and standards, testing for bias and fairness against discrimination, and AI literacy. The first formal enforcement actions are expected during 2026, starting with organisations using prohibited practices or demonstrably neglecting the AI literacy obligation.
France: 23 fines in six months under the simplified procedure. Small amounts, new target
In the review published on 6 July 2026 the CNIL counts 23 new fines adopted since January under its simplified procedure, totalling EUR 133,750. Three infringements recur: excessive video surveillance, non-compliant cookie banners, and failure to respond to access and erasure requests. One example of the kind of target: EUR 7,500 against a company operating public toilet facilities, on 2 April.
France: EUR 5 million for IQVIA. The pharmacy software kept sending the data even when the patient had said no
On 26 May 2026 the CNIL's restricted committee fined IQVIA Operations France EUR 5 million. The company runs two health data warehouses for third-party studies: LRX, authorised in 2018 and fed by around 14,000 pharmacies, and EMR, authorised in 2021 and fed by several thousand doctors. Among the findings, the most instructive: the practice management software used in pharmacies transmitted customer data to IQVIA even where the customer had objected.
Finland: the Supreme Administrative Court upholds the fine on Verkkokauppa.com. The failing: never having defined how long to keep the data
On 12 June 2026 the Korkein hallinto-oikeus, Finland's Supreme Administrative Court, dismissed Verkkokauppa.com's appeal against the penalty imposed by the Finnish Data Protection Ombudsman's sanctions board (decision KHO 12.6.2026/1604). The original amount was EUR 856,000, reduced by the Administrative Court to EUR 792,639 on the basis of the company's most recent turnover. The finding does not concern a data breach: it concerns the fact that the company had never defined retention periods for customer account data.
Poland: a municipality fined not for publishing the data of 749 petition signatories, but for never reporting it
On 25 May 2026 the President of the UODO fined the mayor of Myslenice PLN 7,700. An un-anonymised petition had been published in the municipality's Public Information Bulletin: names, surnames, home addresses and signature specimens of 749 people. The core of the decision is not the publication, which the municipality corrected by replacing the file: it is that the breach was never notified to the authority, not even after the authority asked.
Netherlands: the Council of State confirms the annulment of the EUR 600,000 fine for Enschede's wifi tracking
On 29 July 2026 the Administrative Jurisdiction Division of the Raad van State dismissed the appeal of the Autoriteit Persoonsgegevens against the municipality of Enschede, upholding the February 2024 judgment of the Overijssel District Court. The EUR 600,000 fine, imposed in March 2021 for counting city-centre visitors through sensors capturing the MAC addresses of wifi-enabled devices, remains annulled. The reason is not that the tracking was lawful: it is that the authority did not sufficiently demonstrate that the MAC addresses collected qualified as personal data and that processing of personal data had therefore taken place.
Poland: WhatsApp in the sales network brings a fine for the processor, and a reprimand for the controller that never vetted it
On 22 June 2026 the President of the UODO, Miroslaw Wroblewski, closed the proceedings opened after a breach notification by Energa-Obrot: reprimands for the controller and the processors, and an administrative fine of PLN 10,145 for one of the processors. At the root of it, the use of WhatsApp by sales representatives of a door-to-door network during the pandemic: on a former agent's private phone there were scans and photographs of customer contracts, in group conversations, for many months.
Ireland: EUR 277,500 for Permanent TSB over a contact centre that could be fooled, and for reporting late
On 8 May 2026 the Irish Data Protection Commission closed its inquiry into a series of personal data breaches at Permanent TSB, first notified in May 2022. Malicious actors, holding certain customer information, called the Open24 contact centre posing as customers, gained access to accounts and amended account details. Some customers lost money. The authority issued a reprimand and fines totalling EUR 277,500.
L'autorité néerlandaise annonce ses priorités 2026-2028 : surveillance de masse, intelligence artificielle, résilience numérique
L'Autoriteit Persoonsgegevens a fixé trois priorités stratégiques pour 2026-2028 : surveillance de masse, intelligence artificielle et résilience numérique. Dans son plan annuel 2026 l'autorité indique consacrer davantage de moyens à l'IA et aux algorithmes et se concentrer sur les systèmes à grande échelle ayant un impact sociétal important, sans distinguer secteur public et secteur privé.
Netherlands and Poland: two authorities that raised the bar in 2026
The Dutch Autoriteit Persoonsgegevens has increased its budget and headcount and has named transparency, tracking and cookies among its 2026 supervisory priorities, with an approach that is openly less advisory and more enforcement-driven. In Poland the President of the UODO has shifted attention towards small and medium enterprises, a segment until recently little touched by inspections. For anyone with clients in those countries, or considering it, these are two signals that change the cost-benefit balance of compliance.
Piaggio sanctionnée de 460 000 euros : 112 courriels professionnels lus et des sauvegardes conservées cinq ans après le départ
L'autorité italienne de protection des données a infligé à Piaggio & C. Spa une sanction de 460 000 euros pour la gestion des boîtes de messagerie professionnelles. L'instruction, ouverte sur plainte de deux anciens salariés, a établi l'acquisition de 112 courriels pendant la relation de travail, dont certains remontaient à environ deux ans avant la naissance du soupçon, rendue possible par des sauvegardes conservées pendant toute la durée de la relation et jusqu'à cinq ans après sa cessation. Outre la sanction, l'autorité a interdit à la société l'accès aux données collectées.
IA Act en Italie : l'autorité de protection des données devient autorité de surveillance du marché pour les systèmes à haut risque en justice, aux frontières et dans les processus démocratiques
L'autorité italienne de protection des données a rendu un avis favorable sur le projet de décret législatif transposant l'IA Act en Italie. Le décret définit la gouvernance nationale et désigne l'autorité comme autorité de surveillance du marché pour les systèmes d'intelligence artificielle à haut risque utilisés dans les domaines les plus sensibles pour les droits fondamentaux : justice, activités répressives, immigration, gestion des frontières et processus démocratiques. Parmi les conditions posées, l'une intéresse toute organisation : étendre l'interdiction des décisions fondées exclusivement sur des systèmes automatisés aux évaluations touchant à la relation de travail.
Registre documentaire mal configuré : 12 000 euros pour la Ville métropolitaine de Sassari
À la suite d'une notification de violation de données et d'une plainte, l'autorité italienne de protection des données a sanctionné la Ville métropolitaine de Sassari pour avoir mal configuré son registre documentaire électronique, rendant accessibles des documents contenant des données personnelles à des agents qui, au regard de leur poste et de leurs missions, n'étaient pas autorisés à les traiter. La sanction est de 12 000 euros, mais le principe vaut pour tout organisme et toute entreprise disposant d'un système de gestion documentaire : l'enregistrement n'est pas une activité neutre, et un réglage par défaut de visibilité totale viole les principes d'intégrité et de confidentialité.
AI Act, 2 August: what actually applies and what has been postponed to 2027
For two years 2 August 2026 was presented as the day obligations for high-risk AI systems would start. The Digital Omnibus package changed that calendar: requirements for Annex III high-risk systems move to 2 December 2027 for stand-alone systems and 2 August 2028 for those embedded in products already covered by sectoral legislation. 2 August nonetheless remains an operative date: the transparency obligations of Article 50 become applicable, together with the full operation of governance and penalties, with national authorities acquiring full powers.
Denmark: cookies are the 2026 priority, and fines are decided by a court
The Danish authority has flagged cookie consent as a supervisory priority for 2026, coordinating with the Digitaliseringsstyrelsen, which oversees the ePrivacy implementation while Datatilsynet applies the GDPR. But Denmark has a peculiarity that changes how every one of its decisions should be read: its constitutional order does not allow an administrative authority to impose punitive financial penalties. Recital 151 GDPR expressly anticipates this for Denmark and Estonia: the fine is decided by a court as a criminal penalty, following a report by the authority to the police.
Email tracking pixels: France has already closed its grace period, Italy's runs to October
With deliberation no. 2026-042 of 12 March 2026, made public on 14 April, the French CNIL adopted its final recommendation on email tracking pixels: for most marketing uses, prior consent is required, just as for cookies. Existing contact bases were given three months to inform recipients and allow them to object, a period that ended on 14 July 2026, with checks announced from that date. In Italy the authority reached the same conclusion with decision no. 284 of 17 April 2026, but with a longer compliance window.
Wind Tre, EUR 1.7 million: the breach started with a phone call
The Italian DPA fined Wind Tre EUR 1,715,600 (decision no. 348 of 14 May 2026, made public with the 16 July newsletter). The starting point was not a sophisticated cyberattack: people posing as support technicians convinced staff at two retail outlets to allow access to company systems. From there, identification and contact data of 365,048 customers were exfiltrated; for 41,359 of them, payment method information as well, including IBANs, postal payment slips and credit cards with partially masked numbers and expiry dates. The charges: breach of the integrity and confidentiality principle (Art. 5(1)(f)) and of security obligations (Art. 32(1)(b)).
Cookies, France holds the line: EUR 1.5 million to American Express and the topic stays a 2026 priority
In January 2026 the CNIL fined American Express EUR 1.5 million for cookie violations, confirming that the topic remains a standalone enforcement priority alongside artificial intelligence and cybersecurity. In 2025 there had been 21 cookie decisions, totalling over EUR 475 million. The recurring charges are always the same: trackers set before consent, a reject button less visible or further away than the accept button, inadequate information.
Call centre recordings: the customer has a right to access them, and a transcript is enough
A customer had asked to access their own data contained in a recorded call with customer service. The company refused, considering the protection of the agent's confidentiality to prevail. The authority held that the request could be satisfied by providing the transcript, provided the elements identifying other people involved are redacted: given the professional context of the call and its subject, a supply contract, redaction would not have prejudiced the agent's confidentiality.
EDPB adopts guidelines on anonymisation, web scraping for generative AI, and blockchain
At its July 2026 plenary, the European Data Protection Board adopted guidelines on anonymisation and on web scraping in the context of generative artificial intelligence, together with the final version of the guidelines on processing personal data through blockchain technologies. Three documents addressing three recurring questions: when data is truly anonymous, on what conditions data may be collected from the web to train models, and how the immutability of a chain can be reconciled with data subjects' rights.
Spain: EUR 18 million to Amadeus for reusing booking data for product development
The Spanish authority fined Amadeus IT Group EUR 18 million (reduced to 14.4 with voluntary payment) for aggregating travellers' booking data into profiles for product development. The cross-border investigation found the reuse of data collected years earlier from airlines and agencies, for purposes data subjects could not reasonably expect, without an Article 14 notice and without a valid legitimate-interest balancing test.
Norway: loyalty programme under scrutiny, more than six million members involved
The Norwegian authority concluded proceedings opened after an audit of the Nordic entities of a retail group, finding several breaches relating to its loyalty programme: invalid consent, new processing purposes introduced without assessment, insufficient legitimate-interest balancing, and failure to answer data subject requests within the deadline. More than six million members across the Nordic region were affected.
Credit scoring in utilities: the Italian DPA hits the whole chain with three decisions in one day
With three decisions adopted in the same session on 3 July 2026, the Italian DPA targeted the credit-scoring chain applied to energy supply contracts: Experian Italia, Hera Comm and Cerved. The charges are similar and paint a clear picture: deficient notices, breaches of minimisation and storage limitation, privacy by design and by default disregarded, inadequate responses to access requests and poorly governed Article 28 relationships along the chain.
Whistleblowing: without consulting the unions, the procedure is not compliant
A preliminary requirement that almost everyone overlooks is back in the spotlight: Article 4 of Legislative Decree 24/2023 requires internal reporting channels to be activated after hearing worker representatives or trade unions. The ANAC guidelines clarify that failing to do so makes the procedure non-compliant and may trigger a sanction under Article 21. It also applies to substantial updates, not just first activation.
Data breach: Italian DPA fines Wind Tre EUR 1.7 million after exfiltration of 365,000 customers' data
In its 16 July 2026 newsletter the Italian DPA announced a EUR 1.7 million fine to telecom operator Wind Tre following a data breach with exfiltration of roughly 365,000 customers' data. The case confirms the authority's line on large operators: the incident itself is not the fault - the fault lies in security measures inadequate to the risk (Art. 32) and in how the breach was handled. In the same newsletter: two debt-collection companies fined (EUR 50k and 30k) and the customer's right to access the audio of their own support calls (Enel case).
Character.AI fined EUR 158,000: minors, late DPIA and missing EU representative
With a decision of 3 July 2026 (announced 9 July) the Italian DPA fined Character Technologies Inc., the US company behind Character.AI, EUR 158,000: deficient privacy notice (Arts. 12-14), a DPIA prepared late relative to the service launch, late designation of the EU representative (Art. 27) and shortcomings in minor protection and age verification. Beyond the fine, corrective measures within 120 days: working age verification, an effective cooling-off period against re-registration by blocked minors, minors' profiles private by default.
Children's photos on social media: both parents must consent
In its 17 June 2026 newsletter the Italian DPA restated a principle that matters well beyond family disputes: publishing photos of minor children on social media requires the consent of BOTH parents. In case of disagreement, the child's protection prevails. For the DPO it is an operational criterion affecting schools, nurseries, sports clubs, parishes and companies publishing images of minors for promotional purposes.
Italian DPA to hoteliers: do not keep copies of guests' ID documents
In a notice addressed to the hospitality sector, the Italian DPA reiterated that hoteliers may not keep copies of guests' identity documents: the legal duty (Art. 109 of the Italian public-security code) is to identify the guest and transmit the data to the police via the Alloggiati Web portal - after that, document copies must be destroyed or deleted. A widespread habit becomes a concrete sanction risk.
Data breach: EDPB puts a new EU-wide notification template up for consultation
The EDPB has opened a public consultation on a new harmonised data-breach notification template, designed to align the information requested by authorities across Member States. For DPOs it is operational news: the content of the Art. 33 notification is becoming standardised, and anyone with a structured internal procedure (facts, categories, risk assessment, measures) will find the work already done.
Enel Energia fined EUR 563,052: the 'administrative' call that turns into a sales pitch
With decision no. 170/2026 the Italian DPA fined Enel Energia EUR 563,052: during purely administrative contacts (supply paperwork, takeover confirmations), including via third parties, commercial offers were made without a valid legal basis - even to customers on the opt-out register or who had expressly refused marketing consent. Also challenged: a re-contact mechanism based on opt-out (an SMS with 90 seconds to refuse) and partner vetting - one agency was contracted two months after being sanctioned by the DPA for marketing.
Italy's DPA fines AgID: EUR 55,000 to the Agency for Digital Italy over transparency and privacy by design
With injunction order no. 419 of 28 May 2026 the Italian DPA declared unlawful certain personal data processing carried out by AgID - the Agency for Digital Italy, with a EUR 55,000 fine and publication of the decision on the authority's website. The breaches concern lawfulness, fairness and purpose limitation (Art. 5), information duties towards data subjects (Arts. 12 and 14) and data protection by design (Art. 25).
Italy's DPA halts stress and emotion monitoring at work: not even in aggregate form
With decision no. 342 of 2026, the Italian DPA reaffirmed that data on employees' health or psychological journey cannot be made accessible to the employer, not even in aggregate form. The case closes the loop with the AI Act, which expressly prohibits AI systems that infer people's emotions in the workplace (Art. 5): organisational wellbeing cannot turn into emotional surveillance.
Trenitalia tells customers about a data breach eight months after the attack: an Art. 34 lesson
In July 2026 Trenitalia informed its customers of a data breach suffered roughly eight months earlier. Beyond the outcome, the case is a textbook lesson on the difference between notifying the authority within 72 hours (Art. 33) and communicating to data subjects 'without undue delay' when the risk to their rights is high (Art. 34): eight months are hard to justify, and in the meantime the persons affected could not protect themselves.
Italian DPA annual report: collected fines +54.5%, almost 7 data breaches notified per day, AI at the centre
On 2 July 2026 the Italian DPA presented its 2025 activity report to Parliament: 807 collegial decisions, 506 corrective and sanctioning measures, over EUR 37.7 million in fines collected (+54.5% on 2024), 2,415 data breaches notified (+10%), 130 inspections. AI takes centre stage: from DeepSeek to deepfakes, from facial recognition at the airport to worker surveillance.
SPID under scrutiny: Lepida fined, data of 1.5 million citizens viewable 'out of mere curiosity'
With a decision of 29 April 2026, the Italian DPA fined Lepida (EUR 100,000), one of Italy's main SPID identity providers: over 7,000 counter operators could view data and download copies of ID documents and health cards of more than 1.5 million citizens, even with no operational need. The DPA found accesses 'out of mere curiosity' and documents left stored on operators' workstations after identification.
Digital Omnibus: EU Council approves changes to the AI Act. What it means if you are preparing
On 29 June 2026 the EU Council approved the proposed regulation that streamlines and simplifies certain AI rules, amending the AI Act (the 'Digital Omnibus' package). Negotiations with Parliament continue: until final adoption, the current AI Act text remains the reference, including the August 2026 transparency deadlines.
Italy's DPA fines Emirates EUR 180,000: passenger health data kept for 7 years and an unclear notice
The Italian DPA fined Emirates EUR 180,000 over the handling of reduced-mobility passengers' health data. The case started from a complaint by a passenger asked to fill in a medical form despite not being in the categories required to do so. The key point for DPOs: the collection itself was lawful, but the authority faulted an inadequate notice and excessive retention (7 years).
Loyalty-card data used to fire an employee: Italy's DPA says no. A lesson on purpose limitation
With decision no. 311 of 29 April 2026, the Italian DPA found unlawful the employer's use of data collected through the loyalty card to support an employee's dismissal. That data had been collected to run the loyalty programme, not to monitor or discipline staff. The point for DPOs: having a piece of data does not mean you can use it for any purpose.
EDPB 2026: the EU coordinated action targets transparency (Art. 12-14). What to check in privacy notices
For 2026 the EDPB chose TRANSPARENCY as the topic of its coordinated enforcement action: authorities will examine how organisations inform data subjects under Art. 12-14. In short: clear, complete, verifiable notices. A good moment to review your clients' documents.
GDPR fines top EUR 7.1 billion: enforcement accelerates and SMEs are not exempt
Cumulative GDPR fines have passed EUR 7.1 billion across 1,400+ decisions. Enforcement is accelerating, not plateauing. And contrary to a common myth, SMEs do get fined: smaller amounts, same proportional severity.
France fines IQVIA EUR 5M: pseudonymisation does not take you out of the GDPR
In France the authority (CNIL) fined IQVIA EUR 5 million, clarifying a point many confuse: pseudonymising data - even health data - is not the same as anonymising it. Pseudonymised data remains personal data and must be handled with all the safeguards of the Regulation, including the enhanced ones in Art. 9.
Rome Court annuls the Garante's EUR 15M fine against OpenAI: the one-stop-shop decides
The Rome Court annulled the EUR 15M fine the Italian Garante imposed on OpenAI in 2024. The judge does not rule on the merits (legal basis, notice, age verification): it upholds the jurisdiction argument. For cross-border processing the one-stop-shop and lead authority govern.
The Garante's 2026 inspection plan: six areas and how to be ready
The Italian Garante set its 2026 inspection areas, backed by the Finance Police tech-fraud unit. Topics include data breaches in public databases and abusive access. Those who document self-assessment and lesson learning get treated differently.
France: CNIL fines France Travail EUR 5 million - 36.8 million data subjects and a social-engineering attack
The CNIL fined France Travail (formerly Pole Emploi) EUR 5 million after a breach exposing the data of around 36.8 million people. Attackers used social engineering against partner advisers' accounts. The lesson: having security plans is not enough, they must actually be implemented.
France: EUR 1.7 million to Nexpublica - health and disability data accessible to other users through long-known flaws
The CNIL fined software vendor Nexpublica EUR 1.7 million: its PCRM tool, used by social services, exposed sensitive documents (including disability data) to other users. The flaws were known from prior audits but left open. A textbook case for anyone processing health data.
Spain: AEPD fines Aena EUR 10 million for biometric boarding without adequate DPIA
The Spanish Data Protection Agency fined Aena over EUR 10 million for launching its biometric boarding programme without completing an adequate DPIA. Not a data breach: a failure of preventive accountability.
Netherlands: the EUR 290 million Uber fine and the Dutch Authority's new priorities for 2026
The Autoriteit Persoonsgegevens confirmed the EUR 290 million fine against Uber for unlawful transfers to the US. Meanwhile the Authority sets three strategic priorities for the next two years every DPO should know.
Data breach: Italy's DPA fines The European House - Ambrosetti EUR 85,000 over plaintext passwords and late notification
The Italian DPA fined The European House - Ambrosetti spa EUR 85,000 following a 2024 data breach affecting 61,670 people. The attack, via a technical vulnerability, led to the exfiltration of names, emails, usernames and passwords. The point for DPOs: the breach was notified to the regulator within 72 hours, but data subjects were informed only after two months and after the authority stepped in.
EDPB CEF 2026: 25 European DPAs verify transparency of privacy notices
The European Data Protection Board has launched the 2026 coordinated action on transparency and information obligations. 25 national DPAs (including the Italian Garante) are already contacting controllers in various sectors. What to expect and how to prepare.
Italian DPA cracks down on WhatsApp and Telegram in public administration: ban on operational communications with citizens from July 1, 2026
The Italian DPA (Garante) issued a general provision banning Italian public administrations from using WhatsApp, Telegram, Messenger and other commercial messaging apps for operational communications with citizens. Banned also for requesting documents, certificates or personal data. PAs must use institutional channels (PEC, portals, SPID-auth) by July 1, 2026. Fines up to 100,000 EUR.
Spain: AEPD publishes Europe's first guidance on agentic AI and data protection
The Spanish Data Protection Agency is the first European Authority to publish elaborate guidance on agentic AI. It explains the concept, the vulnerabilities in processing personal data and mitigation measures for controllers and processors.
Vodafone Germany fined EUR 45 million: the Art. 28 GDPR lesson on processor controls
The German Federal Commissioner for Data Protection (BfDI) imposed a total fine of EUR 45 million on Vodafone GmbH: 15M for Art. 28 violation (processor oversight) and 30M for Art. 32 (security). A decision that redefines accountability expectations on processors.
NIS2 and GDPR: how to orchestrate them operationally after Italian Decree 138/2024. The DPO checklist for the NIS Operator
After the NIS2 transposition with Legislative Decree 138/2024, Italian companies qualified as 'essential entities' or 'important entities' must coordinate NIS2 obligations (cyber security, 24h incident reporting) with GDPR obligations (72h data breach). The DPO is not the NIS Coordinator but must interface: risk of double sanctions if not properly orchestrated.
EDPB publishes guidelines on public DPO profiles: transparency, accountability and data subject rights
The EDPB clarifies how to process the professional data of DPOs exposed publicly on online directories: legal basis, purposes, data subject rights and platform responsibilities.
AI Act August 2026: high-risk systems deadline. Mandatory DPIA for enterprise LLMs
The EU AI Act enters its critical phase: August 2026 triggers obligations for high-risk systems. The Italian Garante has already anticipated enforcement with the EUR 5M fine to Luka (Replika). What DPOs must do now.
AI Act and DPO: how the DPO role changes with deployer obligations entering into force in August 2026
In less than 3 months, the AI Act sections dedicated to deployers (users) of high-risk AI systems enter into force. The DPO becomes a key interlocutor for impact assessment, data subject information and monitoring.
Corporate email post-termination: Italian DPA fines ITAS Mutua
The Italian Data Protection Authority addresses the management of corporate emails after employment termination. ITAS Mutua sanctioned for undocumented access and retention beyond necessary.
TikTok vs Irish DPC: Supreme Court suspends 530 million euro fine
The Irish Supreme Court confirms the suspension of the record 530M EUR fine imposed by the DPC on TikTok for EEA data transfer to China. The case exposes the structural problem of enforcement timing against big tech.
Email tracking pixels: new Italian DPA Guidelines
On April 17, 2026, the Italian DPA adopted Guidelines on tracking pixels in emails. For DPOs: 6 months to align privacy notices, consent flows, and privacy-by-design techniques.
Intesa Sanpaolo: 31.8M euro fine from the Italian DPA
The Italian Data Protection Authority fines Intesa Sanpaolo for a data breach affecting 2.4 million customers. Late notification and incomplete information among the key issues.
Rome Court annuls 15M euro fine against OpenAI
The Rome Court annuls the fine that the Italian DPA had imposed on OpenAI for the ChatGPT case. A decision that redefines the scope of GDPR enforcement on generative AI models.
Enel Energia fined over 500,000 euros: telemarketing without consent
The Italian DPA fines Enel Energia for promotional calls to subjects who had not provided consent or had registered their number in the public opposition register.
Italian Supreme Court 984/2026: the DPA 120-day deadline is final
With its January 17, 2026 ruling, the Italian Supreme Court confirms that the 120-day deadline for concluding the DPA's enforcement proceedings is final. A relevant decision for those handling privacy litigation.
EDPB: DPOs are under-resourced and disconnected from top management
EDPB publishes the results of the coordinated enforcement action: insufficient resources, lack of access to top management, conflict of interest risk. A snapshot that also concerns Italian external DPOs.
France's Conseil d'Etat: the line between anonymization and pseudonymization narrows
France's State Council confirms CNIL's approach on pseudonymized health data. A ruling that redefines the practical scope of GDPR anonymization and impacts all data analytics projects.
EDPS strengthens DPO independence: new binding rules
The European Data Protection Supervisor (EDPS) adopts new binding rules to protect DPO independence within Union institutions. A signal strengthening the role.
Digital Omnibus: EDPB and EDPS call for simplification without setbacks
EDPB and EDPS publish the joint opinion on the EU Commission's Digital Omnibus package. Positive measures on data breach and DPIA, but strong opposition to the revision of the personal data definition.
Italian DPA 2026 inspection plan: data breach, whistleblowing, AI in schools
The Italian DPA published its inspection activities plan for January-June 2026. Sectors at risk: banking data breaches, health dossiers, energy telemarketing, and AI in schools.
CNIL fines Free Mobile and Free 42 million euros: 24 million customer data breach
The French Authority separately fines Free Mobile (27M) and Free (15M) for a breach that exposed 24 million subscribers in October 2024. A decision that clarifies the scope of Art. 34 GDPR.