Décrypter la conformité, la sécurité et l'IA.
Nos DPO et CISO partagent ici régulièrement leur lecture de l'actualité réglementaire et technique : nouvelles lignes directrices CNPD, sanctions notables, retours d'expérience d'incidents, évolutions AI Act, NIS 2, DORA. Pour aller au-delà du communiqué de presse.
ILR CP/N26/1 : prouvez vos mesures NIS 2 avec un ISMS ISO 27001
L’ILR consulte sur la notification périodique des « mesures de sécurité » NIS 2. Un ISMS ISO 27001 fournit la preuve, la traçabilité et le format requis pour notifier sans stress.
EU–US DPF: CNPD/EDPB prudents, ICO « data bridge » plus souple
Le DPF crée un couloir sécurisé pour les destinataires US certifiés côté UE, tandis que le UK « data bridge » simplifie les flux depuis le Royaume‑Uni. Hors DPF, SCC/BCR + TIA restent requis selon l’approche CNPD/EDPB.
EDPB: lignes directrices sur l’anonymisation et le web scraping IA
Le 8 juillet 2026, l’EDPB a adopté pour consultation des lignes directrices sur l’anonymisation et sur le web scraping en contexte d’IA générative. Consultation ouverte jusqu’au 30 octobre 2026.
ShinyHunters: vishing SSO ciblant Salesforce/Okta — parer avec FIDO2
Mandiant décrit une campagne de vishing « ShinyHunters » visant les comptes SSO pour piller Salesforce et autres SaaS. La MFA résistante au phishing (FIDO2/WebAuthn) matérialise l’article 32 RGPD et réduit le risque de notification.
RGPD : 31,8 M€ contre Intesa Sanpaolo, notifier en 72 h
Le Garante italien a infligé 31,8 M€ à Intesa Sanpaolo pour carences de sécurité et notification RGPD tardive/incomplète. Enjeu immédiat au Luxembourg: respecter les 72 h et savoir quoi notifier.
Medtronic notifie 3,8 M+ de personnes après une fuite de données
Medtronic confirme qu’une intrusion en avril 2026 a exposé des données personnelles et de santé. Plus de 3,8 millions de personnes sont notifiées depuis le 2 juillet 2026.
RGPD : ManoMano, 38 M de clients via un sous-traitant
ManoMano a confirmé une fuite touchant ~38 M de personnes via un prestataire support. Voici comment une DLP moderne démontre l’article 32 RGPD et sécurise les transferts hors UE (art. 44–49).
Sous-traitants: CNPD (art. 28 RGPD) vs CSSF 22/806 — deux niveaux à contracter
La mise à jour CSSF du 9 avril 2025 élargit l’écart avec l’approche CNPD/EDPB: au‑delà du DPA RGPD, les entités financières doivent prévoir des clauses d’accès/audit, notifications, réversibilité et exigences cloud.
ENISA publie ses recommandations Frontier AI pour la cybersécurité
Le 7 juillet 2026, l’ENISA publie un rapport actionnable pour préparer autorités, défenses et opérateurs à l’ère des IA « Frontier », à articuler avec NIS 2, le CRA et l’AI Act.
Instructure/Canvas: 275 M d’utilisateurs visés — la DLP devient incontournable
Instructure (Canvas) a confirmé une fuite revendiquée par ShinyHunters touchant potentiellement jusqu’à 275 M d’utilisateurs et 3,6 To de contenus. Voici comment une DLP moderne répond à l’article 32 RGPD et sécurise les transferts (art. 44–49).
Vidéosurveillance au travail: CNPD (8 jours) vs CNIL (1 mois)
La CNPD fixe « en principe » 8 jours de conservation, quand la CNIL admet jusqu’à un mois. Une divergence concrète qui impacte vos durées, AIPD et information des salariés.
Partage d’infos LBC/FT: l’EDPB et l’AMLA préparent des lignes directrices
L’EDPB et l’AMLA annoncent des lignes directrices conjointes sur les partenariats de partage d’informations prévus par l’article 75 de l’AMLR, applicables dès le 10 juillet 2027. Objectif: un cadre de partage compatible RGPD pour la LBC/FT.