Décrypter la conformité, la sécurité et l'IA.
Nos DPO et CISO partagent ici régulièrement leur lecture de l'actualité réglementaire et technique : nouvelles lignes directrices CNPD, sanctions notables, retours d'expérience d'incidents, évolutions AI Act, NIS 2, DORA. Pour aller au-delà du communiqué de presse.
69 articles trouves · #cnpd
AIPD obligatoire: CNPD vs CNIL en RH (RGPD art. 35)
CNPD et CNIL appliquent le même RGPD mais divergent sur la surveillance et l’analytics RH: seuil plus ciblé au Luxembourg, plus large en France. Conséquence: une AIPD peut être obligatoire en FR et conditionnelle en LU.
RGPD: 300 K€ de la CNIL contre EXTIA pour l’effacement
La CNIL sanctionne EXTIA de 300 000 € pour des manquements aux articles 12 et 17 RGPD sur le droit à l’effacement et l’information dans le délai d’un mois.
EDPB harmonise les amendes RGPD: méthode unifiée en UE
Le 21 septembre 2026, l’EDPB a adopté des lignes directrices alignant la décision et le calcul des amendes RGPD. Les entreprises luxembourgeoises gagnent en prévisibilité… et voient une application plus rigoureuse.
CJUE C‑526/24 — Premier droit d’accès « abusif » et refus 12(5)
La CJUE admet qu’un premier droit d’accès (art. 15 RGPD) peut être refusé à titre exceptionnel si l’intention abusive de créer un préjudice indemnisable est prouvée. L’exception 12(5) s’interprète strictement et la charge de la preuve pèse sur le responsable.
Géolocalisation des véhicules: CNPD vs CNIL (durées et contrôle)
La CNIL fixe « en principe » 2 mois de conservation pour la géolocalisation des véhicules, tandis que la CNPD exige une preuve de proportionnalité au cas par cas, avec une possible saisine L.261‑1. Ajustez vos politiques RH et flotte au Luxembourg.
CNPD — Enregistrer les réunions: consentement rare, intérêt légitime encadré
La CNPD a actualisé le 8/07/2026 son dossier sur l’enregistrement sonore des réunions privées: le consentement est rarement valable; l’intérêt légitime n’est recevable qu’au cas par cas; suppression dès l’approbation du PV.
Enregistrer les appels: affaire SWDE et attentes de la CNPD (LU)
L’APD a infligé 86 000 € à la SWDE pour des enregistrements/écoutes non conformes. Au Luxembourg, la CNPD encadre strictement l’enregistrement: information au point de contact, base légale claire, durées brèves, DPA article 28.
DPF États‑Unis: adéquation validée, vigilance EDPB et lignes CNPD
Le 10/07/2023, la Commission a adopté la décision d’adéquation EU‑US DPF (art. 45 RGPD). L’EDPB reste prudent et la CNPD encadre l’usage pratique: vérifier la certification, son périmètre (dont HR) et garder un plan de repli.
Cass. soc. 18 mars 2026 — Géolocalisation et temps de travail
La Cour de cassation admet la géolocalisation pour mesurer le temps de travail si aucun autre moyen objectif, fiable et accessible n’existe, et si les salariés n’ont pas de liberté d’organisation. Focus Luxembourg: base légale, nécessité, AIPD.
RGPD : CJUE C‑199/24, la dérogation « journalisme »
La CJUE juge que la mise en ligne payante de décisions pénales ne relève pas « en principe » d’une finalité journalistique (art. 85 RGPD). Les droits et recours RGPD demeurent ouverts si l’activité n’est pas authentiquement journalistique.
CNPD vs CNIL: 8 jours ou 1 mois pour conserver les images au travail ?
Vérifiable: la CNPD fixe 8 jours par principe (30 jours à titre exceptionnel), quand la CNIL tolère jusqu’à un mois. Enjeu: aligner la purge vidéo sur l’art. 5(1)(e) RGPD et L. 261‑1 du Code du travail.
CJUE C‑414/24 (18 juin 2026) : recours RGPD parallèles, non exclusifs
La CJUE confirme que les recours RGPD par plainte à l’autorité (art. 77) et devant les tribunaux (art. 79) sont parallèles et non exclusifs. Une autorité ne peut pas rejeter une plainte au seul motif d’une action judiciaire pendante.