Décrypter la conformité, la sécurité et l'IA.
Nos DPO et CISO partagent ici régulièrement leur lecture de l'actualité réglementaire et technique : nouvelles lignes directrices CNPD, sanctions notables, retours d'expérience d'incidents, évolutions AI Act, NIS 2, DORA. Pour aller au-delà du communiqué de presse.
55 articles trouves · #rgpd · Veille Luxgap
NIS 2 Luxembourg: ILR publie un guide incidents SERIMA
L’ILR, avec HCPN/ANSSI-GOVCERT.LU, CIRCL et CSSF, publie des rulebooks pour gérer les incidents NIS 2 et respecter les jalons 24 h / 72 h / 1 mois via SERIMA.
EDPB harmonise les amendes RGPD: méthode unifiée en UE
Le 21 septembre 2026, l’EDPB a adopté des lignes directrices alignant la décision et le calcul des amendes RGPD. Les entreprises luxembourgeoises gagnent en prévisibilité… et voient une application plus rigoureuse.
40 cabinets médicaux touchés: cyberattaque chez un prestataire IT
Le 22 août 2026, une cyberattaque a paralysé l’infrastructure cloud de BMS Engineering au Luxembourg. L’entreprise confirme 40 cabinets affectés, sans fuite avérée, tandis qu’un cabinet signale une perte de données patients.
CNIL sanctionne un hôpital : 500 000 € et exigences de sécurité
La CNIL inflige 500 000 € à l’Hôpital privé de la Loire après une violation massive du DPI. Un rappel des exigences de sécurité (MFA, habilitations, détection) et d’information des personnes, avec des implications directes au Luxembourg.
MAG: 8,7 M de clients exposés — le risque tiers frappe les aéroports
Manchester Airports Group confirme un accès non autorisé à des données liées au parking, aux salons, au Fast Track et au Wi‑Fi, touchant environ 8,7 M de clients. L’affaire met en lumière le risque « sous‑traitant » et les obligations RGPD/NIS 2.
MyDr: 19 M de dossiers santé exposés — le risque tiers en Europe
Un éditeur polonais de logiciels santé, MyDr, a subi une cyberattaque révélée les 12–13 août 2026: près de 19 M de personnes et plus de 12 000 établissements seraient touchés. Varsovie évoque une extorsion.
WEBA (BE) frappée par Qilin: rançongiciel, fuite clients, reprise en 48 h
Le 10 août 2026, la chaîne belge WEBA a subi une cyberattaque avec rançongiciel. Données clients consultées, opérations rétablies le 12 août, revendication par Qilin le 16 août; aucun paiement de rançon, selon WEBA.
Éducation nationale: fuite visant des millions d’élèves et des milliers d’enseignants
Le 18 août 2026, l’Éducation nationale a confirmé une intrusion et une enquête sur une fuite revendiquée visant plusieurs millions d’élèves et des dizaines de milliers d’enseignants. Des bases très détaillées seraient en cause.
11 août 2026: fin du démarchage téléphonique sans consentement
Depuis le 11 août 2026, tout démarchage téléphonique B2C en France est interdit sans consentement explicite et préalable. Les amendes peuvent atteindre 375 000 € par manquement pour une personne morale.
DGFiP: 600 000 entrées fiscales en vente — alerte à l’exfiltration discrète
Le 14 août 2026, Bercy a confirmé une intrusion à la DGFiP avec export de plus de 600 000 enregistrements fiscaux. Une exfiltration silencieuse via VPN usurpé, source de fraudes ciblées.
CEVA Logistics: datalek chez un prestataire — clients de Bol et De Bijenkorf prévenus
Le 6 août 2026, Bol et De Bijenkorf ont alerté des clients qu’un possible datalek chez CEVA Logistics pouvait exposer noms, adresses et numéros. L’AP a été notifiée le 3 août; aucun paiement ni mot de passe n’est concerné à ce stade.
AI Act: transparence obligatoire dès le 2 août — agissez maintenant
Les obligations de transparence de l’AI Act (art. 50) s’appliquent depuis le 2 août 2026. Chatbots, deepfakes et contenus générés par IA doivent être signalés — y compris par les déployeurs au Luxembourg.