Décrypter la conformité, la sécurité et l'IA.
Nos DPO et CISO partagent ici régulièrement leur lecture de l'actualité réglementaire et technique : nouvelles lignes directrices CNPD, sanctions notables, retours d'expérience d'incidents, évolutions AI Act, NIS 2, DORA. Pour aller au-delà du communiqué de presse.
69 articles trouves · #cnpd
Transferts vers les États-Unis: CNPD acte le DPF, l’EDPB reste réservé
La CNPD confirme des transferts « libres » vers des entités US certifiées DPF (art. 45 RGPD), tandis que l’EDPB maintient des réserves et appelle à une vigilance continue.
CNPD 1FR/2025: comment la CNPD calcule une amende RGPD en 5 étapes
Le 6 janvier 2025, la CNPD a infligé une amende pour retards aux droits RGPD et appliqué, noir sur blanc, la méthode EDPB en cinq étapes. Enseignement clé: pilotez et documentez votre “time-to-rights”.
Art. 35 RGPD : AEPD vs AENA, 10,043,002 € pour une AIPD
Le 4 mars 2026, l’AEPD a sanctionné AENA de 10 043 002 € pour une AIPD non conforme sur un embarquement biométrique. Leçon clé: une AIPD «pro forma» équivaut à une absence d’AIPD.
Amendes RGPD 2026: recours directs ouverts contre les décisions EDPB
Le 10/02/2026, la CJUE admet le recours direct des entreprises contre les décisions « contraignantes » de l’EDPB. La méthode de calcul des amendes (art. 83 RGPD) et les ordres de mise en conformité deviennent justiciables devant le juge de l’UE.
CNPD encadre l’enregistrement des réunions: divergence avec la CNIL
Au 01/04/2026, la CNPD encadre l’audio des réunions: intérêt légitime strict et suppression dès approbation du PV. En France, la CNIL admet l’enregistrement d’appels à des fins probatoires mais interdit l’audio couplé aux caméras.
Partage intra‑groupe: intérêt légitime admis par la CNIL, « transfert » pour la CNPD
Au Luxembourg en 2026, l’intérêt légitime peut fonder un partage intra‑groupe pour l’administratif interne, mais la CNPD le qualifie de transfert entre responsables, avec transparence renforcée et, hors EEE, mécanisme du chapitre V.
Irlande — Permanent TSB sanctionnée: art. 32/33 RGPD au call center
Le DPC inflige 277 500 € à Permanent TSB pour failles d’authentification au call center et notification tardive. Leçon pour le Luxembourg: l’article 32 et le délai de 72 h (art. 33) s’appliquent aussi aux processus humains.
AIPD: modèle CEPD (avril 2026) et divergences CNPD/CNIL
Le CEPD propose un modèle européen d’AIPD en consultation (avril 2026). Mais CNPD et CNIL divergent encore sur les déclencheurs, avec en France une « liste non requise » qui n’existe pas au Luxembourg.
APD (BE) sanctionne SWDE: 86 000 € et rappel sur le contrat art. 28
La DPA belge sanctionne SWDE pour l’enregistrement et l’écoute d’appels: transparence, durée et contrat sous-traitant manquant. Un signal pour le Luxembourg: un DPA « article 28 » incomplet se paie cash.
CNPD 16/12/2025: registre RGPD article 30 insuffisant sanctionné
Le 16/12/2025, la CNPD a infligé 7 000 € pour un registre article 30 lacunaire. La décision précise les rubriques attendues (destinataires, transferts, catégories, délais, sécurité) et la méthode CEPD de calcul des amendes.
CNPD — Géolocalisation des véhicules: ce que les lignes 2023–2025 imposent
La CNPD a actualisé ses lignes directrices sur la géolocalisation des véhicules. Clés: intérêt légitime structuré, finalités étanches, désactivation hors temps privé, information double et AIPD.
Cookies analytics: exemption CNIL/CNPD, consentement ICO confirmé
Le 29 avril 2026, l’ICO confirme que les cookies analytics non essentiels exigent un consentement PECR. En France et au Luxembourg, la CNIL et la CNPD admettent des exemptions ciblées pour certaines mesures d’audience.