Décrypter la conformité, la sécurité et l'IA.
Nos DPO et CISO partagent ici régulièrement leur lecture de l'actualité réglementaire et technique : nouvelles lignes directrices CNPD, sanctions notables, retours d'expérience d'incidents, évolutions AI Act, NIS 2, DORA. Pour aller au-delà du communiqué de presse.
88 articles trouves · #rgpd · Expertise Luxgap
APD (BE) sanctionne SWDE: 86 000 € et rappel sur le contrat art. 28
La DPA belge sanctionne SWDE pour l’enregistrement et l’écoute d’appels: transparence, durée et contrat sous-traitant manquant. Un signal pour le Luxembourg: un DPA « article 28 » incomplet se paie cash.
Article 22 RGPD après SCHUFA vs guide ICO : où passe la ligne rouge ?
CJUE SCHUFA: un scoring déterminant peut constituer une décision automatisée (art. 22). L’ICO est plus souple avec une intervention humaine « significative ». Enjeux concrets pour chaînes LU‑UK.
France Travail sanctionnée: leçons clés de l’article 32 RGPD
Le 22 janvier 2026, la CNIL a infligé 5 M€ à France Travail pour des failles d’authentification, de journalisation et d’habilitations. Au Luxembourg, l’article 32 RGPD impose des mesures de sécurité appropriées, prouvées et effectivement déployées.
CNPD 16/12/2025: registre RGPD article 30 insuffisant sanctionné
Le 16/12/2025, la CNPD a infligé 7 000 € pour un registre article 30 lacunaire. La décision précise les rubriques attendues (destinataires, transferts, catégories, délais, sécurité) et la méthode CEPD de calcul des amendes.
CNPD — Géolocalisation des véhicules: ce que les lignes 2023–2025 imposent
La CNPD a actualisé ses lignes directrices sur la géolocalisation des véhicules. Clés: intérêt légitime structuré, finalités étanches, désactivation hors temps privé, information double et AIPD.
Criteo: le Conseil d’État confirme 40 M€ — le consentement prime en AdTech
Le 4 mars 2026, le Conseil d’État a confirmé l’amende de 40 M€ infligée à Criteo pour publicité personnalisée sans consentement valable. Message clé en AdTech: pour les traceurs de ciblage, la base légale est (presque toujours) le consentement.
CJUE 19 mars 2026 (Brillen Rottler) : premier accès refusé pour abus
La CJUE admet qu’une première demande d’accès (art. 15 RGPD) puisse être refusée comme « excessive » en cas d’intention abusive prouvée (art. 12(5)). Le refus reste exceptionnel, motivé et dans les délais.
Amazon vs CNPD (12 mars 2026) : l’intérêt légitime ne suffit pas
La Cour administrative annule l’amende record de 746 M€ mais confirme que la publicité comportementale ne peut pas reposer sur l’intérêt légitime. Conséquences 2026 pour vos bases légales et la caractérisation de la faute.
AIPD (art. 35 RGPD) au Luxembourg: déclenchement et réussite
Quand l’AIPD est-elle obligatoire au Luxembourg et comment la mener à bien ? Cadre RGPD, liste CNPD, méthode EDPB, consultation préalable (art. 36) et bonnes pratiques.
CNPD — Vidéosurveillance au travail: proportionnalité, AIPD et droits
Installer des caméras au travail reste possible au Luxembourg, mais sous conditions strictes: base légale, proportionnalité, AIPD fréquente, information L.261‑1 et respect des droits. Documentez tout, caméra par caméra.
RGPD – Article 28: le contrat sous-traitant sans angle mort
En 2026, chaque DPO/CISO doit savoir blinder ses contrats de sous-traitance. Clauses obligatoires, doctrine EDPB/CNPD et mode opératoire d’audit pour un article 28 sans angle mort.
NIS 2 au Luxembourg: loi du 5 mai 2026 publiée, que faire avant le 10 mai
La loi luxembourgeoise transposant NIS 2 est publiée (5 mai 2026) et entre en vigueur le 10 mai. Périmètre élargi, gouvernance renforcée, notification d’incident sous 24 h/72 h à l’ILR via SERIMA. Actions prioritaires et sources officielles.