Contact

Catégorie : Non classé

  • Violations de données 2025-les chiffres

    Cybersécurité : la CNIL publie sa plaquette 2026 sur les violations de données

    Dans sa plaquette « Cybersécurité » édition 2026, la CNIL fait le point sur les violations de données personnelles notifiées en 2025 : 6 167 au total, soit près de 16 par jour.

    Une violation désigne tout incident de sécurité, malveillant ou non, qui compromet la confidentialité, l’intégrité ou la disponibilité de données personnelles. 94 % des notifications concernent une perte de confidentialité, et le piratage représente 50 % du total.

    Les rançongiciels, en forte progression, sont à l’origine de 539 notifications (9 %), et 10 % des violations viennent d’incidents survenus chez huit sous-traitants.

    Le RGPD impose de documenter chaque violation, de notifier la CNIL sous 72 heures en cas de risque pour les personnes et de les informer lorsque ce risque est élevé, sous peine d’une amende pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires.

    La CNIL vérifie la sécurité dans chacun de ses plus de 300 contrôles annuels, et 23 sanctions de 2025 comportaient au moins un manquement en la matière.

    Parmi les failles les plus fréquentes figurent des données accessibles en modifiant simplement une URL, des mots de passe non conformes ou transmis en clair, des connexions non chiffrées, l’absence de verrouillage automatique des sessions et l’absence de tests avant la mise en production d’un nouvel outil.

    Le document présente aussi les ressources dédiées aux TPE/PME.

  • Rapport annuel 2025 CNIL

    Rapport annuel 2025 de la CNIL : plaintes, amendes et violations de données au plus haut

    Le 18 mai 2026, la CNIL a présenté le bilan de son activité 2025.

    Elle a reçu 20 150 plaintes, un record en hausse de 10 % sur un an, liées notamment au travail, au commerce, à l’immobilier et aux réseaux sociaux.

    Elle a mené 323 contrôles et prononcé 83 sanctions, pour près de 487 millions d’euros d’amendes, un montant inédit que deux sanctions importantes expliquent en grande partie.

    Côté accompagnement, elle a lancé 7 consultations publiques, traité 1 351 demandes de conseil et 539 demandes d’autorisation en santé.

    Sur le terrain, 266 actions de sensibilisation ont touché plus de 20 000 personnes, avec le lancement de FantomApp, une application destinée à aider les adolescents à se protéger sur les réseaux sociaux.

    La cybersécurité occupe une place centrale : 6 167 violations de données ont été notifiées (+9,5 %), dont la moitié liée à un piratage, et les manquements de sécurité représentent un tiers des contrôles et près de 30 % des sanctions.

    En 2026, la CNIL consacrera 50 % de ses contrôles et actions répressives à ce sujet. Elle se prépare aussi à de nouvelles missions de contrôle au titre du règlement européen sur l’intelligence artificielle.

    La CNIL va également renforcer ses contrôles sur la sécurité des données et les sous-traitants.

  • Lunettes connectées

    Lunettes connectées : la CNIL appelle à la vigilance

    Le 11 mai 2026, la CNIL a publié un point d’alerte sur les lunettes connectées, des lunettes classiques dotées d’un micro et d’une caméra, reliées au téléphone de leur porteur et souvent à un assistant d’intelligence artificielle.

    Selon un sondage mené en janvier 2026 auprès de 2 128 personnes, 67 % des Français y voient un risque d’atteinte à la vie privée, notamment pour le droit à l’image, le consentement et le devenir des données.

    La CNIL souligne qu’elles peuvent filmer ou enregistrer des tiers sans qu’ils s’en aperçoivent, car elles se distinguent difficilement de lunettes ordinaires et leur éventuel voyant lumineux a une portée limitée.

    Elle évoque aussi le risque d’une surveillance mobile et diffuse du quotidien, jusque dans des lieux intimes comme les cabinets médicaux ou les vestiaires.

    Elle rappelle que le droit au respect de la vie privée s’applique partout, et que filmer une personne dans un lieu privé sans son consentement est puni d’un an d’emprisonnement et de 45 000 € d’amende.

    Pour les utilisateurs, elle recommande notamment d’informer l’entourage, de désactiver les fonctions de captation quand elles sont inutiles, de les éteindre là où le téléphone doit l’être et de de

    Elle lance enfin des travaux avec ses homologues européens, au sein du Comité européen de la protection des données.

  • Santé au travail et assurance maladie

    Santé au travail : un décret encadre les informations transmises à l’Assurance maladie

    Publié au Journal officiel du 29 avril 2026, le décret n° 2026-321 du 28 avril 2026 précise comment les services de prévention et de santé au travail (SPST) transmettent des informations au service du contrôle médical de l’Assurance maladie.

    Il applique des dispositions du code du travail et du code de la sécurité sociale issues de la réforme de la santé au travail, qui vise à repérer plus tôt les salariés menacés de désinsertion professionnelle.

    Il complète un second décret du même jour (n° 2026-320) qui organise l’échange dans l’autre sens : lorsqu’un salarié est en arrêt continu d’au moins six mois, le contrôle médical informe le SPST, sauf pour les pathologies engageant le pronostic vital ou nécessitant des soins actifs et continus.

    En retour, le SPST communique des éléments sur le poste et les conditions de travail : propositions d’aménagement, informations issues d’un éventuel avis d’inaptitude, appréciation sur la nécessité d’un accompagnement social.

    Seules les informations strictement nécessaires peuvent circuler, dans un délai de 30 jours, par messagerie sécurisée et avec l’accord du salarié recueilli par le SPST. Ce second volet entre en vigueur le 1er août 2026.

  • vote électronique

    Vote par correspondance électronique : la CNIL actualise sa recommandation de sécurité

    Adoptée le 19 mars 2026 et présentée le 24 avril, la nouvelle recommandation de la CNIL remplace celle de 2019.

    Elle s’adresse aux organisateurs de scrutins à bulletin secret, aux fournisseurs de systèmes de vote et aux experts chargés de les auditer.

    Elle repose sur les grands principes du droit électoral (secret du vote, sincérité du scrutin, intégrité des suffrages, accès de tous au vote, possibilité de contrôle par un juge) et fixe des objectifs de sécurité selon trois niveaux de risque :
    -faible (par exemple des parents d’élèves),
    -modéré (des représentants du personnel dans un organisme de taille petite ou moyenne)
    -ou significatif (ordres professionnels, primaires de partis, grandes organisations).

    Une grille d’auto-évaluation, désormais intégrée au texte, permet de situer son scrutin.

    Les objectifs s’additionnent d’un niveau à l’autre, et les organisateurs choisissent les moyens de les atteindre à condition de documenter leurs choix.

    Les exigences de transparence sont renforcées : le protocole de vote doit être publié dès le niveau 2, le code source côté électeur au niveau 3, et les électeurs doivent recevoir une note explicative.

    Une expertise indépendante est attendue avant le premier déploiement, puis à chaque scrutin de niveau 3. La CNIL se dit par ailleurs très réservée sur

    le vote électronique pour les scrutins politiques. Les scrutins déjà en préparation pour 2026 peuvent suivre la version de 2019, mais le nouveau texte s’applique à tout nouveau scrutin.

  • Pixels de suivi dans les emails

    Pixels de suivi dans les courriels : la CNIL publie ses recommandations définitives

    Le 14 avril 2026, la CNIL a publié la version finale de ses recommandations sur les pixels de suivi dans les courriels, après une consultation publique lancée en juin 2025.

    Un pixel de suivi est une image minuscule, invisible pour le destinataire, dont le chargement indique que le message a été ouvert.
    Cette technique sert à personnaliser la communication, mesurer l’audience ou vérifier la bonne réception des messages (la « délivrabilité »).

    Face à la hausse des plaintes, la CNIL précise ce qui nécessite le consentement du destinataire et ce qui en est exempté. Une exemption est notamment reconnue pour mesurer la délivrabilité des courriels liés à un service demandé par le destinataire, par exemple des courriels transactionnels comme une confirmation de commande ou une alerte de sécurité.

    Elle permet de repérer les destinataires inactifs pour les retirer des listes, à condition de limiter les données au strict nécessaire.

    La recommandation détaille aussi comment recueillir, retirer et prouver un consentement.
    Pour les adresses collectées avant sa publication, les organismes devaient seulement informer clairement les destinataires dans un délai de trois mois, afin qu’ils puissent s’opposer facilement aux pixels.

    Elle s’adresse à toutes les structures qui en utilisent, privées ou publiques, ainsi qu’à leurs prestataires techniques, et la CNIL annonce des contrôles à venir.

  • IA et santé

    IA et santé : la CNIL détaille les règles à suivre pour développer et évaluer des systèmes d’IA

    Le 5 mars 2026, la CNIL a publié une fiche destinée aux délégués à la protection des données, aux chefs de projet et à tous les acteurs qui souhaitent utiliser des données de santé pour développer ou évaluer une intelligence artificielle destinée au secteur de la santé.

    Elle y distingue trois situations.

    La première est la constitution d’un « entrepôt de données de santé », une base rassemblant des données pour des usages futurs, notamment le développement d’IA : elle suppose soit le consentement explicite de chaque personne, soit une formalité auprès de la CNIL (déclaration de conformité au référentiel dédié ou demande d’autorisation).

    La deuxième, la plus fréquente, est la constitution d’une base spécifiquement pour entraîner et valider un système d’IA : elle est assimilée à une recherche, une étude ou une évaluation en santé et nécessite, dans la majorité des cas, des formalités préalables.
    L’objectif doit être précis, avec des critères objectifs permettant de dire qu’il est atteint, comme l’obtention des autorisations nécessaires à la mise sur le marché.

    La troisième est l’évaluation de l’impact d’une IA déjà déployée, par exemple sur le parcours de soins.

    Dans les trois cas, la déclaration de conformité à la méthodologie de référence applicable est la règle, et la demande d’autorisation l’exception.

    La fiche s’accompagne d’une liste de questions à se poser : régime juridique, base légale, minimisation des données, durées de conservation, information des personnes, sécurité, transferts hors Union européenne et analyse d’impact.

  • Caméras touristiques

    Caméras touristiques : la CNIL rappelle les règles à respecter

    De plus en plus de communes installent des caméras qui diffusent en ligne, en direct ou en léger différé, des images de leurs lieux emblématiques pour promouvoir le territoire.

    Le 5 janvier 2026, la CNIL a présenté le bilan de ses contrôles sur ces dispositifs.

    Elle précise d’abord qu’ils ne relèvent pas de la vidéoprotection, un cadre légal réservé notamment à la sécurité des personnes et des biens, sous le contrôle du préfet.

    Or, lors de ses vérifications, elle a constaté que l’on pouvait parfois y distinguer des passants, des plaques d’immatriculation, voire des terrasses de bars ou des fenêtres d’habitations.

    Ces images constituent alors des données personnelles, soumises au RGPD.

    Plusieurs communes invoquaient l’« intérêt légitime » comme base légale, mais la CNIL estime que cet argument ne peut pas être retenu : ni habitants ni touristes ne s’attendent à être filmés puis diffusés à tous les internautes, ils ne peuvent pas s’y opposer, et une consultation malveillante pourrait avoir de lourdes conséquences.

    La CNIL n’interdit pas pour autant ces caméras : elles restent possibles si elles ne captent aucune donnée personnelle, par exemple en cadrant uniquement un monument ou un site naturel, sans personne identifiable ni intérieur d’habitation.