Décrypter la conformité, la sécurité et l'IA.
Nos DPO et CISO partagent ici régulièrement leur lecture de l'actualité réglementaire et technique : nouvelles lignes directrices CNPD, sanctions notables, retours d'expérience d'incidents, évolutions AI Act, NIS 2, DORA. Pour aller au-delà du communiqué de presse.
CJUE C‑414/24 (18 juin 2026) : recours RGPD parallèles, non exclusifs
La CJUE confirme que les recours RGPD par plainte à l’autorité (art. 77) et devant les tribunaux (art. 79) sont parallèles et non exclusifs. Une autorité ne peut pas rejeter une plainte au seul motif d’une action judiciaire pendante.
CEVA Logistics: datalek chez un prestataire — clients de Bol et De Bijenkorf prévenus
Le 6 août 2026, Bol et De Bijenkorf ont alerté des clients qu’un possible datalek chez CEVA Logistics pouvait exposer noms, adresses et numéros. L’AP a été notifiée le 3 août; aucun paiement ni mot de passe n’est concerné à ce stade.
NIS 2 et RGPD : Forg365, PhaaS contre Microsoft 365
Le 9 juillet 2026, ZeroBEC dévoile Forg365, un PhaaS combinant device‑code et AiTM contre Microsoft 365, avec IOCs publics. Voici comment une gouvernance IAM concrète matérialise NIS 2 art. 21 et RGPD art. 32.
DORA art. 28: registre d’information — attentes CSSF 2026
La CSSF a ouvert eDesk et fixé une fenêtre de soumission du registre d’information DORA du 11 février au 31 mars 2026. Le contenu est normalisé par l’ITS (UE) 2024/2956 et contrôlé via des règles de validation strictes.
AI Act: marquage des contenus générés — échéance au 2 décembre
Les fournisseurs d’IA obtiennent un court délai: pour les systèmes déjà sur le marché au 2 août 2026, le marquage des contenus générés (art. 50(2) AI Act) est exigible au plus tard le 2 décembre 2026. Les obligations des déployeurs restent inchangées.
Foxconn : 8 To volés — une DLP pour tenir le RGPD (mai 2026)
Après l’attaque « Nitrogen » contre Foxconn (~8 To, 11 M de fichiers), voici comment une DLP centrée sur vos plans répond aux articles 32 et 44‑49 du RGPD et prévient l’exfiltration, sans arrêter la production.
Article 32 RGPD: une petite amende italienne, de grandes obligations
Le Garante a infligé 8 600 € le 29/04/2026 pour des failles de sécurité (art. 5 et 32 RGPD), dont un stockage de mots de passe non conforme. Au Luxembourg, prouver la proportionnalité et l’état de l’art demeure déterminant.
AI Act: transparence obligatoire dès le 2 août — agissez maintenant
Les obligations de transparence de l’AI Act (art. 50) s’appliquent depuis le 2 août 2026. Chatbots, deepfakes et contenus générés par IA doivent être signalés — y compris par les déployeurs au Luxembourg.
LastPass (ICO, 20/11/2025) : £1,23 M pour une sauvegarde exfiltrée
L’ICO a infligé £1 228 283 à LastPass UK Ltd après l’exfiltration d’une base de sauvegarde. Pourquoi passer aux sauvegardes immuables et isolées (DORA art. 12) et comment en apporter la preuve.
Web scraping pour entraîner une IA: ICO ouvre, l’EDPB resserre
L’ICO voit l’intérêt légitime comme base praticable pour entraîner des IA via web scraping, sous tests stricts et transparence. L’EDPB en précise les limites, renforce l’exigence d’information (art. 14) et rappelle l’encadrement de l’art. 9.
CE valide l’autorisation CNIL du HDH: impacts cloud et preuve de conformité
Le Conseil d’État (20/03/2026) confirme l’autorisation CNIL du Health Data Hub hébergé sur Azure en France. Enjeu: démontrer par la technique (CSPM) la conformité RGPD, NIS 2 et CSSF 22/806.
Vidéosurveillance au travail: sanction du Garante et leçons pour le Luxembourg
Le Garante italien inflige 2 000 € à un commerce pour vidéosurveillance sans information ni autorisation travail. Au Luxembourg, L.261‑1, information en 2 niveaux et conservation courte s’imposent.