Toutes les actualités
Réglementation 24 juillet 2026 4 min

La CNPD portugaise écrit où elle regardera jusqu'en 2029

Plan triennal 2027-2029 adopté après consultation publique : vingt-trois actions stratégiques, vingt déjà programmées pour 2027. Parmi les priorités, les neurodonnées

Le 24 juillet 2026, la Comissão Nacional de Proteção de Dados a adopté son plan pluriannuel d'activités pour la période 2027-2029, le rapport de la consultation publique qui l'a précédé, les vingt actions stratégiques du plan 2027 et le plan d'activités pour 2027.

La consultation publique posait deux questions seulement : quelles actions sont les plus prioritaires, et quelles autres devraient être développées sur le triennat ou dès 2027. Trois associations ont répondu - AMD, APDSI et Ius Omnibus - ainsi qu'une avocate également DPO.

Les trois objectifs stratégiques

  • Renforcer la protection des données à caractère personnel, avec une diffusion publique accrue de la mission de l'autorité et des droits des personnes concernées, en organisant et optimisant les ressources disponibles
  • Augmenter la capacité d'observation stratégique des risques et des opportunités de l'accélération technologique, en dialogue permanent avec les milieux académiques, scientifiques et économiques
  • Renforcer la régulation des données à caractère personnel au Portugal par des mécanismes de coopération nationale et internationale, dans le respect de l'indépendance de la Commission

Où elle regardera vraiment

Pour le triennat, l'autorité indique cinq priorités. La cinquième est frappante : les neurodonnées entrent formellement dans le plan d'une autorité de contrôle européenne.

  • Formation à la protection des données en environnement numérique
  • Vulnérabilité numérique
  • Capacité de régulation numérique, pour le règlement sur les services numériques et la loi portugaise d'exécution (Lei 12-A/2026, du 15 avril)
  • Compétences en intelligence artificielle dans le cadre du règlement IA
  • Approfondissement de la science des neurodonnées et de son lien avec l'IA

Pourquoi il vaut la peine de le lire

Le plan d'activités d'une autorité est une information publique que presque personne ne consulte, et il indique à l'avance où se concentreront les contrôles et les inspections. Cela vaut comme méthode pour n'importe quelle autorité, pas seulement la portugaise : les priorités déclarées sont le moyen le moins coûteux de savoir où regarder en premier.

Sur les vingt-trois actions stratégiques du triennat, vingt ont été retenues pour 2027. La Commission précise que plusieurs sont transversales et ne s'épuisent pas dans l'année.

Source officielle:CNPD - Plano Estratégico 2027-2029 e Plano de Atividades 2027 (24/07/2026)Source officielle:CNPD - Plano Anual de Atividades 2027 (PDF)Source officielle:CNPD - Consultas públicas: piano triennale, relazione e contributi ricevuti

Vous cherchez un outil pour votre travail de DPO ?

DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.

Commencer gratuitement

Articles connexes

Réglementation
nullala décision sur le salarié prise par le seul algorithme, à partir du 23 octobre

Le licenciement décidé par l'algorithme est nul : à partir du 23 octobre en Italie

Publié au Journal officiel n° 234 du 8 octobre 2026 et en vigueur depuis le 23 octobre, le décret n° 179/2026 prévoit que les décisions finales sur la relation de travail ne peuvent se fonder exclusivement sur des traitements automatisés, que le salarié peut demander une motivation compréhensible, et que les décisions prises en violation sont nulles. En parallèle, les systèmes d'IA qui agissent sur l'organisation du travail entrent dans l'évaluation des risques au titre de l'article 28 du décret 81/2008. Pour un DPO, c'est le cas rare où la conséquence n'est pas économique mais civile, et cela change la façon de poser la vérification.

08 oct. 2026Nouveau 8 min
Réglementation
3signaux qui rendent la notification due

Pologne, l'UODO : toute violation ne doit pas être notifiée. Données de registre public d'un côté, PESEL, santé et données financières de l'autre

Si le système de facturation ne laisse fuiter que le nom, la dénomination, le numéro fiscal et l'adresse d'un entrepreneur, déjà publics au registre, le risque est en principe improbable. S'il laisse aussi fuiter le numéro national d'identification, des détails d'achats révélant la santé ou des données financières, la notification est due. Dans tous les cas, la décision est consignée au registre interne.

05 oct. 2026Nouveau 5 min
Réglementation
120jours pour notifier les griefs, non pour sanctionner

Les 120 jours ne sont pas le délai pour vous sanctionner : c'est le délai pour vous notifier les griefs

Qui a bâti une opposition sur la tardiveté de l'autorité doit relire le calendrier. La Cour clarifie trois points : réclamation et procédure de sanction sont autonomes, si bien que le dépassement des neuf à douze mois sur la réclamation ne fait pas tomber le pouvoir de sanction ; les 120 jours servent à notifier les griefs, non à prononcer la sanction ; et ils courent à compter de la « constatation définitive », qui n'est pas la première information mais le moment où l'autorité peut apprécier tous les éléments — y compris le contradictoire avec vous. Après les griefs, il ne reste que la prescription quinquennale.

20 sept. 2026 7 min