Nous l’évoquions dans une récente actualité, le sous-traitant est à la fois un acteur central et incontournable pour de nombreux responsables de traitement, et un maillon faible dans la chaîne de sécurité des données.

La jurisprudence récente, tout comme les décisions des autorités de protection des données, ont rappelé que le responsable de traitement reste en première ligne en cas de violation de données survenue chez son sous-traitant.

Ceci ne modifie toutefois en rien la responsabilité propre du sous-traitant visé par une cyberattaque. Sa position déterminante au cœur des systèmes de données justifie en effet des exigences particulièrement élevées en termes d’organisation et de réactivité.

Dans un scénario publié fin mai sur son site internet, la CNIL s’inspire d’événements réels pour exposer un cas pratique et retracer les différentes étapes ainsi que les mesures qui devraient être prises par un sous-traitant confronté à une attaque informatique.

La Commission insiste sur le rôle de deux personnes clé de l’entreprise, le responsable des systèmes de sécurité de l’information (RSSI) et le délégué à la protection des données (DPO), et sur leur indispensable réactivité en cas de remontée d’informations concernant une activité anormale.

Elle souligne aussi le rôle essentiel des outils de supervision permettant de déceler une telle activité (instabilité, latence, perte de données, erreurs, etc).

La cellule de crise mise en place par le sous-traitant doit permettre de déterminer quelles actions seront prises en interne, et par qui. Elle doit surtout organiser une double réaction : gérer l’attaque en ce qui concerne les données propres au sous-traitant, et en parallèle l’atteinte aux données des clients.

Le sous-traitant a 72 heures pour évaluer la gravité de la situation et des atteintes aux données, et effectuer plusieurs démarches :

• Notifier la CNIL de la violation de sécurité en ce qui concerne ses propres données, et avec l’accord de ses clients, en ce qui concerne également les traitements effectués pour leur compte. Alternativement, le sous-traitant peut aussi accompagner et conseiller ses clients dans cette procédure de notification.
• Informer ses clients de l’étendue de la violation et de ses conséquences le plus rapidement possible et compléter ces informations en temps réel en fonction de l’évolution de la situation.
• Informer les personnes concernées de la compromission de leurs données, en fonction des risques d’atteinte à leurs droits et libertés.

Les systèmes informatiques subissant aujourd’hui des attaques très régulières, la CNIL insiste sur la nécessité d’être préparé en amont à la survenue de ce type de situation en protégeant les données (chiffrement, authentification double facteur, etc) et en prévoyant une procédure de gestion adéquate.

Rappelons que la France est l’un des pays au monde les plus touchés par les violations de sécurité, au point qu’une cinquantaine de sénateurs a demandé mi-mai la mise en place d’une commission d’enquête parlementaire sur le sujet. 

Par ailleurs, si la CNIL a été, pendant un temps, compréhensive, elle sanctionne aujourd’hui sévèrement les entreprises qui n’ont pas pris en temps utile les mesures qui auraient permis de bloquer ou d’atténuer les attaques.

En france

La CNIL a publié mi-mai son rapport d’activité pour l’année 2025.

Le rapport dresse le bilan d’une année marquée par une forte hausse des plaintes et un nombre record de violations de données, dont la moitié liée à des piratages informatiques.

L’autorité a mené 323 contrôles et prononcé 83 sanctions pour un montant total inédit de près de 487 millions d’euros.

La cybersécurité représente désormais une priorité majeure : en 2026, la moitié des contrôles de la CNIL porteront sur la sécurité des données.

En parallèle, la CNIL poursuit ses missions d’accompagnement des entreprises et renforce également ses actions de sensibilisation auprès du grand public, notamment des jeunes.

Le rapport insiste aussi sur la montée en puissance de l’intelligence artificielle.

La CNIL se prépare à appliquer le règlement européen sur l’IA et développe des outils pour encadrer ses usages.

Pour 2026, l’autorité n’a toutefois obtenu aucune création de poste, malgré ses nouvelles compétences en la matière.

Le 26 mai, la CNIL a sanctionné la société Iqvia Operations France d’une amende de 5 millions d’euros, notamment pour non-respect des garanties visant à limiter les risques pour les personnes dans le cadre de la gestion d’entrepôts de données de santé.

La CNIL a lancé le 11 mai un plan d’action relatif aux lunettes connectées.

L’autorité souligne que ces dispositifs, souvent associés à l’IA, peuvent entraîner une surveillance quasi permanente dans les espaces publics et privés.

Une enquête montre que 67 % des Français y voient un risque d’atteinte à la vie privée.

La CNIL rappelle que leur usage reste soumis au RGPD, au droit à l’image et au respect du consentement des personnes filmées ou enregistrées. Elle annonce un plan d’action européen et recommande plusieurs bonnes pratiques pour limiter les usages intrusifs.

Cette communication intervient alors que Meta développe une fonction de reconnaissance faciale pour ses lunettes intelligentes, et que Samsung et Google ont dévoilé le 19 mai leurs premières lunettes sous Android XR, reliées au smartphone et intégrées à Gemini, qui permettent des interactions vocales et une captation contextuelle permanentes.

Enfin, la CNIL a diffusé fin mai une publication fournissant des orientations pour aider les acteurs du cloud à identifier leurs responsabilités avec des exemples concrets.

L’ONG La Quadrature du Net a publié le 21 mai une analyse approfondie de la proposition de loi visant à interdire l’accès des réseaux sociaux aux mineurs de moins de 15 ans, dont le vote au Parlement est imminent.

L’association souligne que, sous couvert de protection des mineurs, le texte imposerait à tout utilisateur une vérification d’identité, généralisant ainsi un dispositif jusqu’ici limité aux sites pour adultes.

Cette obligation entrerait en tension avec le principe de minimisation du RGPD et avec le droit à la navigation anonyme reconnu par la Cour de Justice de l’Union européenne (CJUE).

Le ministre de l’Éducation nationale Édouard Geffray a indiqué le 27 mai, lors de la présentation du projet de loi de protection de l’enfance, que les personnels ayant eu des comportements inappropriés avec des mineurs à l’école seraient désormais inscrits sur une « liste noire », même en l’absence de condamnation pénale.

La question des garanties procédurales et de la protection des données des personnes concernées reste ouverte.

Le prestataire de tiers payant Almerys fait à nouveau face à une violation de sécurité.

L’assurance santé Alan a ainsi alerté le 24 mai ses adhérents de la violation de données survenue chez son sous-traitant.

Les données potentiellement exposées incluent l’état civil, le numéro de sécurité sociale, le numéro de contrat et les dates de couverture. Plusieurs centaines de mutuelles seraient concernées, et des millions de numéros de sécurité sociale.

L’incident rappelle que, même en cas de sous-traitance, le responsable de traitement conserve ses obligations RGPD de sécurité et de notification.

Dans un article du 24 mai, 01net dévoile les résultats d’une enquête sur les logiciels de surveillance au travail.

Les chercheurs ont intercepté le trafic réseau de neuf plateformes de surveillance qui, toutes, transmettent des données personnelles de salariés à des tiers.

Les données transmises comprennent noms, adresses email et données d’activité des salariés.

Au total, plus de 145 domaines tiers reçoivent ces informations, parmi lesquels Google, Meta, Microsoft, LinkedIn, Yandex et AppLovin.

Un tiers des outils testés transmet également la géolocalisation précise du salarié.

En Europe

Instituições e órgãos europeus

La Commission européenne a publié un projet de lignes directrices clarifiant la classification des systèmes d’IA à haut risque, ainsi qu’une liste d’exemples concrets, destinées à aider les fournisseurs et les exploitants à déterminer si leur système d’IA présente ou non un risque élevé.

Toute personne ou organisme intéressé, notamment les fournisseurs et les développeurs, les entreprises et les autorités publiques, ainsi que les milieux universitaires, les instituts de recherche et les citoyens, sont invités à faire part de leurs observations avant le 23 juin 2026.

Début mai, Google a obtenu de la Commission européenne une prolongation du délai qui lui était imparti pour remédier aux problèmes liés à sa conformité avec le règlement sur les marchés numériques (DMA).

Dans une déclaration adressée aux autorités européennes, l’entreprise a fait valoir que la proposition de la Commission visant à la contraindre, en tant que « gardien / gatekeeper », à partager certaines données de recherche avec des concurrents tels qu’OpenAI ou des moteurs de recherche alternatifs, présente un risque important de réidentification des utilisateurs.

Une position qui pourrait être considérée comme insolite venant de Google, mais qui fait l’objet d’un débat intense ces jours-ci.

Une étude publiée le 29 avril dans Media Laws établit un lien entre cette question de l’article 6(11) du DMA sur le partage des données et les débats sur le Digital Omnibus concernant la portée de la définition des données à caractère personnel : « Search Data, Privacy, and the Limits of Heuristics : A Critical Reading of the EC’s Preliminary Findings against Alphabet ».

Alors que la proposition de règlement sur l’euro numérique est en cours de vote au Parlement européen et que l’Eurosystème se prépare à son émission d’ici 2029, la CNIL et l’autorité fédérale allemande de protection des données ont publié le 13 mai un point conjoint sur les enjeux de protection des données du futur euro numérique.

Les deux autorités rappellent leurs travaux communs : la nécessité d’un degré élevé de confidentialité pour les paiements de faible montant, un mode « hors ligne » sans traçage par la BCE et les prestataires de services de paiement, et un pilotage strict des finalités autorisées (lutte anti-blanchiment, prévention de la fraude).

Le 21 mai 2026, le BEUC, l’Organisation européenne des consommateurs, en collaboration avec 29 de ses membres issus de 27 pays, a déposé des plaintes auprès de la Commission européenne et des autorités nationales compétentes contre Meta, TikTok et Google, au motif que ces entreprises n’auraient pas pris les mesures nécessaires afin de lutter contre la prolifération des publicités frauduleuses dans le domaine financier sur leurs plateformes, comme l’exige le règlement européen sur les services numériques (DSA).

L’enquête du BEUC documente la persistance massive de publicités frauduleuses (prêts rapides, faux placements, rendements garantis), dont 53 % des signalements auraient été ignorés ou rejetés par les plateformes.

Notícias dos países membros da União Europeia.

Le rapport 2026 du « GDPR Enforcement Tracker » du cabinet CMS montre que l’application du RGPD est entrée dans une phase de maturité en Europe, avec plus de 3 000 sanctions recensées depuis 2018 et un montant total dépassant 6 milliards d’euros.

Les autorités nationales ciblent désormais non seulement les géants du numérique, mais aussi les problématiques opérationnelles du quotidien : transparence, cybersécurité, cookies, surveillance des employés ou gestion des sous-traitants.

Les infractions les plus fréquentes restent l’absence de base légale claire, le non-respect des principes généraux du RGPD et les failles de sécurité.

Les secteurs des plateformes numériques, de la publicité en ligne et des services utilisant l’IA sont particulièrement surveillés.

Le rapport souligne aussi que les plaintes des utilisateurs et les violations de données sont devenues des déclencheurs majeurs des enquêtes.

Enfin, malgré une coordination européenne croissante, les pratiques de sanction restent encore très différentes selon les pays.

L’APD belge a infligé une amende d’un montant total de 176 946,61 € à une entreprise du secteur des technologies pour avoir maintenu illégalement actif le compte de messagerie d’un prestataire après son départ de l’entreprise et pour avoir enfreint les obligations de transparence.

L’autorité a également ordonné à l’entreprise de donner suite à la demande d’accès formulée par le prestataire de fournir les journaux d’accès, de supprimer ensuite les données à caractère personnel et de prendre des mesures pour garantir le respect de la réglementation à l’avenir.

L’APD a également annoncé le 16 mai dans le quotidien Le Soir qu’elle saisira désormais le tribunal pénal dans certains cas spécifiques d’infractions graves au RGPD.

L’autorité a recu 1 394 plaintes en 2025, soit une hausse de 67 % par rapport a 2024.

La voie pénale s’appuie sur les dispositions nationales prises en application de l’article 84 du RGPD, qui autorise les Etats membres à prévoir des sanctions, y compris pénales, pour les violations non couvertes par les amendes administratives de l’article 83.

L’objectif explicite est de contourner les recours longs devant la Cour des marchés, qui « réduit parfois les amendes sévères à 1 euro » et la Cour de justice de l’UE, auxquels recourent les grandes plateformes numériques.

L’APD néerlandaise a infligé une amende de 100 millions d’euros à MLU B.V. pour avoir transféré des données à caractère personnel vers la Russie.

MLU est une société basée aux Pays-Bas à l’origine de la version européenne de l’application de taxi Yango.

En Norvège et en Finlande, les utilisateurs utilisent Yango pour réserver des courses en taxi auprès de chauffeurs affiliés. Yango transfère ensuite les données à caractère personnel des chauffeurs et des clients vers des entreprises situées en Russie sans garantir une protection adéquate de ces données.

Microsoft aurait transmis à la Chambre des représentants américaine les noms de fonctionnaires néerlandais travaillant pour l’Autorité des consommateurs et des marchés et l’Autorité de protection des données néerlandaises. Ces agents participeraient à la mise en œuvre du DSA.

Selon les informations publiées par NL Times, Microsoft aurait partagé des courriels, comptes rendus et invitations sans anonymiser les noms des fonctionnaires concernés, dans le cadre des obligations prévues par le Cloud Act américain.

Le secrétaire d’État néerlandais à l’Intérieur s’est dit préoccupé par cette situation, tout en indiquant vouloir clarifier les circonstances exactes de cette transmission.

L’APD espagnole a estimé que la fourniture par le ministère de l’Éducation et des Sports de services éducatifs basés sur le cloud aux écoles publiques, en recourant à Microsoft en tant que sous-traitant, constituait une violation des dispositions du RGPD.

À l’international

Au Royaume-Uni, des parlementaires s’inquiètent de la décision du National Health Service (NHS) d’accorder à Palantir l’accès à des données patient identifiables dans le cadre de son projet d’utilisation de l’intelligence artificielle « pour améliorer le système de santé ».

La société obtiendrait l’accès aux données des patients avant leur pseudonymisation, malgré des craintes de « risque de perte de confiance du public ».

Un comité parlementaire a demandé début juin au gouvernement d’interrompre le contrat avec la société.

Ces inquiétudes sont relayées par la société civile ainsi que par des analystes du NHS qui ont publié une lettre ouverte pointant les risques du projet.

Outre les questions de protection des données, le système d’IA de Palantir est accusé d’être dix fois moins rapide que le système existant.

Au Canada, le Bureau du commissaire à l’information et à la protection de la vie privée de l’Ontario publie de nouvelles lignes directrices sur les assistants de transcription basés sur l’IA afin de contribuer à la protection de la vie privée des patients.

« Les nouvelles directives du CPI s’alignent sur les Principes pour une utilisation responsable de l’intelligence artificielle, publiés récemment et élaborés conjointement par le Commissaire à l’information et à la protection de la vie privée de l’Ontario et la Commission ontarienne des droits de la personne.

Ces principes soulignent que les systèmes d’IA, tels que les scribes IA, doivent être valides et fiables, sûrs, respectueux de la vie privée, conformes aux droits de la personne, transparents et responsables. »

Les députés républicains de la Chambre des représentants des Etats-Unis ont présenté les projets de loi « SECURE Data Act » et « GUARD Financial Data Act » visant à mettre en place un cadre fédéral de protection des données.

Ces projets de loi ont pour objectif d’harmoniser les règles applicables en remplaçant certaines lois des États, de limiter la collecte de données et de renforcer les droits d’accès des consommateurs.

Le 8 mai 2026, le procureur général de Californie a annoncé un accord à l’amiable d’un montant record de 12,75 millions de dollars conclu avec General Motors (GM) afin de mettre fin aux allégations selon lesquelles GM aurait vendu illégalement des données relatives à la localisation et au comportement au volant de citoyens californiens sans les en avoir dûment informés ni avoir obtenu leur consentement, en violation notamment des principes de minimisation des données et de limitation de la finalité de la loi californienne sur la protection de la vie privée des consommateurs (CCPA).

Anthropic a communiqué le 22 mai sur son projet Glasswing, affirmant que son modèle d’IA spécialisé en cybersécurité, Mythos, a permis d’identifier plus de 10 000 vulnérabilités dans des logiciels et projets open source largement utilisés.

Selon l’entreprise, l’IA améliore considérablement la vitesse et l’efficacité de la recherche de failles, avec un taux de détection jugé élevé.

Cette capacité crée toutefois un nouveau défi pour l’écosystème logiciel : les mainteneurs et équipes de sécurité doivent traiter un volume croissant de signalements et corriger les vulnérabilités plus rapidement.

Au-delà de la prouesse technique, le sujet met en lumière l’évolution de la cybersécurité vers une automatisation accrue de la détection des failles, leur correction rapide restant le principal facteur de réduction du risque.