Décrypter la conformité, la sécurité et l'IA.
Nos DPO et CISO partagent ici régulièrement leur lecture de l'actualité réglementaire et technique : nouvelles lignes directrices CNPD, sanctions notables, retours d'expérience d'incidents, évolutions AI Act, NIS 2, DORA. Pour aller au-delà du communiqué de presse.
81 articles trouves · #rgpd · Expertise Luxgap
CNPD — Enregistrer les réunions: consentement rare, intérêt légitime encadré
La CNPD a actualisé le 8/07/2026 son dossier sur l’enregistrement sonore des réunions privées: le consentement est rarement valable; l’intérêt légitime n’est recevable qu’au cas par cas; suppression dès l’approbation du PV.
Enregistrer les appels: affaire SWDE et attentes de la CNPD (LU)
L’APD a infligé 86 000 € à la SWDE pour des enregistrements/écoutes non conformes. Au Luxembourg, la CNPD encadre strictement l’enregistrement: information au point de contact, base légale claire, durées brèves, DPA article 28.
DPF États‑Unis: adéquation validée, vigilance EDPB et lignes CNPD
Le 10/07/2023, la Commission a adopté la décision d’adéquation EU‑US DPF (art. 45 RGPD). L’EDPB reste prudent et la CNPD encadre l’usage pratique: vérifier la certification, son périmètre (dont HR) et garder un plan de repli.
Article 22 RGPD: CJUE vs Royaume‑Uni — divergence sur l’auto‑décision
Le 7 décembre 2023, la CJUE a durci l’interprétation de l’article 22 RGPD, tandis que le Royaume‑Uni a élargi les cas permis via la DUAA 2025. Les groupes luxembourgeois actifs au UK doivent désormais gérer deux régimes divergents.
IQVIA sanctionnée 5 M€: entrepôts santé sous haute vigilance
Le 26 mai 2026, la CNIL a infligé 5 M€ à IQVIA pour non-respect des autorisations et manquements aux articles 14 et 25 RGPD sur deux entrepôts de données santé. Message clair: information effective, opt-out opérationnel et privacy by design.
Cass. soc. 18 mars 2026 — Géolocalisation et temps de travail
La Cour de cassation admet la géolocalisation pour mesurer le temps de travail si aucun autre moyen objectif, fiable et accessible n’existe, et si les salariés n’ont pas de liberté d’organisation. Focus Luxembourg: base légale, nécessité, AIPD.
CJUE C‑312/24 — Effacement vs obligation légale: un droit relatif
La CJUE précise que l’effacement (art. 17 RGPD) cède si une obligation légale claire, prévisible et proportionnée justifie la conservation, y compris pour des données pénales en dossier RH. Au‑delà du nécessaire, l’effacement redevient exigible.
CJUE C‑199/24: la dérogation « journalisme » n’écarte pas le RGPD
La CJUE juge que la mise en ligne payante de décisions pénales ne relève pas « en principe » d’une finalité journalistique (art. 85 RGPD). Les droits et recours RGPD demeurent ouverts si l’activité n’est pas authentiquement journalistique.
CNPD vs CNIL: 8 jours ou 1 mois pour conserver les images au travail ?
Vérifiable: la CNPD fixe 8 jours par principe (30 jours à titre exceptionnel), quand la CNIL tolère jusqu’à un mois. Enjeu: aligner la purge vidéo sur l’art. 5(1)(e) RGPD et L. 261‑1 du Code du travail.
CJUE C‑414/24 (18 juin 2026) : recours RGPD parallèles, non exclusifs
La CJUE confirme que les recours RGPD par plainte à l’autorité (art. 77) et devant les tribunaux (art. 79) sont parallèles et non exclusifs. Une autorité ne peut pas rejeter une plainte au seul motif d’une action judiciaire pendante.
Article 32 RGPD: une petite amende italienne, de grandes obligations
Le Garante a infligé 8 600 € le 29/04/2026 pour des failles de sécurité (art. 5 et 32 RGPD), dont un stockage de mots de passe non conforme. Au Luxembourg, prouver la proportionnalité et l’état de l’art demeure déterminant.
Web scraping pour entraîner une IA: ICO ouvre, l’EDPB resserre
L’ICO voit l’intérêt légitime comme base praticable pour entraîner des IA via web scraping, sous tests stricts et transparence. L’EDPB en précise les limites, renforce l’exigence d’information (art. 14) et rappelle l’encadrement de l’art. 9.