Décrypter la conformité, la sécurité et l'IA.
Nos DPO et CISO partagent ici régulièrement leur lecture de l'actualité réglementaire et technique : nouvelles lignes directrices CNPD, sanctions notables, retours d'expérience d'incidents, évolutions AI Act, NIS 2, DORA. Pour aller au-delà du communiqué de presse.
171 articles trouves · #rgpd
ANSSI — Analyse de risque chiffrement: actions RGPD art. 32 et CSSF 22/806
Le 27/05/2026, l’ANSSI publie une analyse de risque « chiffrement ». Voici comment traduire ces recommandations en une architecture “at‑rest” et “in‑transit” alignée RGPD art. 32 et CSSF 22/806, avec feuille de route post‑quantique.
CNPD 1FR/2025: comment la CNPD calcule une amende RGPD en 5 étapes
Le 6 janvier 2025, la CNPD a infligé une amende pour retards aux droits RGPD et appliqué, noir sur blanc, la méthode EDPB en cinq étapes. Enseignement clé: pilotez et documentez votre “time-to-rights”.
ICO récupère 118 852 £ auprès de deux ex-salariées du RAC
Le 4 juin 2026, l’ICO a obtenu des confiscations totalisant 118 852,32 £ contre deux ex-employées du RAC pour la revente illégale de près de 30 000 lignes de données d’automobilistes, illustrant l’usage accru des pouvoirs POCA après condamnation.
Skimmer SVG 1×1 Magecart sur Magento: DLP et conformité RGPD
Sansec révèle un skimmer carte caché dans un SVG 1×1 visant ~100 sites Magento, avec exfiltration vers 23.137.249.67. Voici comment une DLP bien réglée répond aux articles 32 et 44‑49 du RGPD.
Article 6 RGPD: l’amende Poste Italiane éclaire intérêt légitime vs consentement
Le Garante italien inflige 12,5 M€ à Poste Italiane/PostePay pour des accès intrusifs aux terminaux via apps, sans base légale valable. Message clé: ce qui dépasse le strict nécessaire requiert souvent un vrai consentement, pas l’intérêt légitime.
WFP Gaza: alerte pour vos portails d’inscription (600 000 foyers)
Le 2 juin 2026, le WFP a confirmé la compromission de son application d’auto‑inscription en Palestine: données de ~600 000 foyers à Gaza (noms, ID, mobiles, localisation) exfiltrées. Intrusion datée du 14 mai.
Charter: 4,9 M d’emails exposés — la MFA anti‑phishing s’impose
Un vishing a permis d’abuser un compte Microsoft Entra et d’exfiltrer des données clients depuis Salesforce. La MFA FIDO2/WebAuthn devient l’état de l’art attendu par l’article 32 RGPD.
Vidéosurveillance au travail: l’affaire Hanako écarte le consentement
Le Garante italien (12/03/2026) a sanctionné Hanako s.r.l. pour vidéosurveillance en magasin sans information adéquate ni autorisation travail. Message européen: au travail, le consentement des salariés n’est pas une base légale de confort.
Dashlane : moins de 20 coffres copiés — leçons d’une attaque 2FA
Le 31 mai 2026, une campagne de force brute ciblant la 2FA a permis de copier des coffres-forts chiffrés de « moins de 20 » utilisateurs Dashlane. Voici l’impact pour vos contrôles IAM et vos obligations RGPD/NIS 2.
Conseil d’État 2026 — Health Data Hub: impact DLP et transferts UE
Le Conseil d’État (20/03/2026) valide l’autorisation CNIL du Health Data Hub chez Microsoft Ireland en France et confirme l’absence de transfert hors UE. Une DLP bien configurée permet de le prouver et de l’appliquer techniquement.
AEPD vs AENA: 10,043,002 € pour une AIPD déficiente (art. 35 RGPD)
Le 4 mars 2026, l’AEPD a sanctionné AENA de 10 043 002 € pour une AIPD non conforme sur un embarquement biométrique. Leçon clé: une AIPD «pro forma» équivaut à une absence d’AIPD.
Amendes RGPD 2026: recours directs ouverts contre les décisions EDPB
Le 10/02/2026, la CJUE admet le recours direct des entreprises contre les décisions « contraignantes » de l’EDPB. La méthode de calcul des amendes (art. 83 RGPD) et les ordres de mise en conformité deviennent justiciables devant le juge de l’UE.