Décrypter la conformité, la sécurité et l'IA.
Nos DPO et CISO partagent ici régulièrement leur lecture de l'actualité réglementaire et technique : nouvelles lignes directrices CNPD, sanctions notables, retours d'expérience d'incidents, évolutions AI Act, NIS 2, DORA. Pour aller au-delà du communiqué de presse.
49 articles trouves · #luxembourg · Expertise Luxgap
DORA: le RTS TLPT entre en vigueur — attentes CSSF
Le Règlement délégué (UE) 2025/1190 précise le TLPT sous DORA. Au Luxembourg, la CSSF est l’autorité TLPT et aligne TIBER‑LU. Qui sera désigné, comment tester et à quel rythme: synthèse pratique.
NIS 2: l’ILR encadre la responsabilité des dirigeants
L’ILR publie ses Guidelines NIS 2 pour les organes de direction: approbation, supervision et formation deviennent vérifiables et sanctionnables.
CJUE 10/02/2026 — RGPD: les décisions EDPB sont attaquables
La CJUE juge qu’une décision contraignante de l’EDPB (art. 65 RGPD) est un acte attaquable qui concerne directement l’entreprise. La méthodologie d’amende fixée par l’EDPB peut désormais être contestée devant l’UE.
Intérêt légitime vs consentement: Cass. com., 17 juin 2026
La Cour de cassation (ch. commerciale) exige, au 17 juin 2026, le strict respect de l’information de l’article 14 RGPD quand l’intérêt légitime est invoqué pour des données collectées indirectement, y compris en contexte contentieux.
Enregistrer les appels: affaire SWDE et attentes de la CNPD (LU)
L’APD a infligé 86 000 € à la SWDE pour des enregistrements/écoutes non conformes. Au Luxembourg, la CNPD encadre strictement l’enregistrement: information au point de contact, base légale claire, durées brèves, DPA article 28.
IQVIA sanctionnée 5 M€: entrepôts santé sous haute vigilance
Le 26 mai 2026, la CNIL a infligé 5 M€ à IQVIA pour non-respect des autorisations et manquements aux articles 14 et 25 RGPD sur deux entrepôts de données santé. Message clair: information effective, opt-out opérationnel et privacy by design.
NIS 2: l’UE adopte le Toolbox supply chain — ce que l’ILR vérifiera
Le 13/02/2026, l’UE a adopté l’EU ICT Supply Chain Security Toolbox. Sous NIS 2 et le Règlement 2024/2690, la gestion des fournisseurs devient prescriptive et devra être prouvée au Luxembourg devant l’ILR.
NIS 2 au Luxembourg: périmètre, catégories et auto‑enregistrement
La loi luxembourgeoise du 5 mai 2026 transposant NIS 2 est en vigueur depuis le 10 mai 2026. L’ILR précise le périmètre, le classement « entité essentielle/importante » et l’auto‑enregistrement.
CJUE C‑312/24 — Effacement vs obligation légale: un droit relatif
La CJUE précise que l’effacement (art. 17 RGPD) cède si une obligation légale claire, prévisible et proportionnée justifie la conservation, y compris pour des données pénales en dossier RH. Au‑delà du nécessaire, l’effacement redevient exigible.
NIS 2: modèles communs 24 h / 72 h / 1 mois — attentes de l’ILR
Le 26 mai 2026, l’UE a adopté des modèles communs de notification d’incident (24 h / 72 h / 1 mois). Au Luxembourg, l’ILR confirme ce séquencement et précise le contenu attendu des entités.
CJUE C‑414/24 (18 juin 2026) : recours RGPD parallèles, non exclusifs
La CJUE confirme que les recours RGPD par plainte à l’autorité (art. 77) et devant les tribunaux (art. 79) sont parallèles et non exclusifs. Une autorité ne peut pas rejeter une plainte au seul motif d’une action judiciaire pendante.
DORA art. 28: registre d’information — attentes CSSF 2026
La CSSF a ouvert eDesk et fixé une fenêtre de soumission du registre d’information DORA du 11 février au 31 mars 2026. Le contenu est normalisé par l’ITS (UE) 2024/2956 et contrôlé via des règles de validation strictes.