Le 30 juin, l’ONG Noyb, poil à gratter des géants du numérique et des régulateurs, a adressé une lettre à la Commission européenne lui demandant de programmer la sortie du cadre de protection des données transatlantique (le Data Privacy Framework ou DPF).
Pour l’ONG, les Etats-Unis ne garantissent désormais plus aucun contrôle indépendant en matière de vie privée.
Alors que le président Trump avait déjà limogé 2 des 3 membres du “Privacy and Civil Liberties Oversight Board”, organe de surveillance indépendant créé par le Congrès en 2004, la Cour suprême des Etats-Unis vient sans doute de porter un coup de grâce au système de supervision indépendant américain.
Dans un revirement à 180° par rapport à sa jurisprudence antérieure, la Cour a en effet décidé le 29 juin que l’indépendance de la Commission fédérale du commerce (Federal Trade Commission, FTC) était inconstitutionnelle.
L’arrêt « Trump c. Slaughter » s’inscrit dans le cadre d’une théorie « unitaire », selon laquelle le président doit exercer un pouvoir sur tous les organes exécutifs américains.
Sont ainsi inconstitutionnelles, selon cette doctrine, les lois américaines qui confèrent une indépendance à diverses agences.
“Étant donné que l’Union européenne s’est grandement appuyée sur l’« indépendance » de la FTC en tant qu’autorité de contrôle de la protection de la vie privée, toute la structure du cadre de protection des données UE-États-Unis vient de s’effondrer.”
Le président de Noyb, Max Schrems, ajoute que les États-Unis exerçant toujours une pression considérable sur l’UE pour que les données à caractère personnel continuent de circuler, son ONG intentera également une action en justice dans les semaines à venir, dans le but de permettre à la Cour de justice de l’Union européenne (CJUE) d’annuler l’accord actuel.
Un arrêt « Schrems III » pourrait donc venir compléter le tableau de chasse de l’activiste.
Le député et membre de la CNIL Philippe Latombe a lui aussi envoyé un courrier à la Commission européenne demandant l’annulation du traité transatlantique et incitant les entreprises françaises à mettre en place des solutions souveraines de gestion des données.
Rappelons que la décision de la Commission européenne, qui constate le caractère adéquat du cadre de protection mis en place par les Etats-Unis, reste en vigueur tant que la Commission ou la CJUE ne l’ont pas déclarée invalide.
Une procédure devant la Cour prend généralement entre deux et trois ans avant qu’une décision définitive ne soit rendue.
La Commission pourrait cependant ne pas attendre l’issue d’une telle procédure : elle a déjà annoncé, en réponse aux questions des médias, qu’elle entendait analyser la validité de sa décision d’adéquation compte tenu de l’absence d’indépendance de la FTC.
L’autorité danoise de protection des données a en outre signalé dans un communiqué du 1er juillet que la décision de la Cour suprême des États-Unis pourrait avoir des répercussions particulièrement larges, portant non seulement sur les transferts basés sur le DPF, mais aussi sur les transferts effectués via d’autres bases légales, par exemple fondés sur des contrats types.
L’autorité encourage les responsables de traitement à réexaminer leur évaluation du niveau de protection garanti par le pays destinataire dans le contexte de leur analyse d’impact de transfert.
Il convient notamment de vérifier si les conditions préalables à un contrôle indépendant des autorités sont toujours réunies.
Pour les responsables de traitement et les délégués à la protection des données (DPOs), cette actualité constitue une occasion de mettre à jour leur cartographie des transferts de données transatlantiques, en ce compris les outils SaaS, cloud ou IA, de réévaluer leur base juridique et d’identifier le cas échéant les alternatives possibles.
En France
À l’issue d’une consultation publique, la CNIL a publié le 30 juin ses recommandations sur l’utilisation par les professionnels des données de localisation des véhicules connectés (voitures, cycles, scooters, etc.).
Son objectif est de renforcer la sécurité juridique et de donner plus de transparence aux utilisateurs.
Dans une fiche mise à jour le 19 juin, la CNIL rappelle ses recommandations essentielles concernant l’usage du numérique en entreprise.
Elle liste 12 recommandations et incite les responsables de traitement à effectuer un diagnostic via le site cyber du gouvernement.
Elle précise aussi dans une publication du 10 juin les règles à respecter en cas de communications par voie électronique aux prospects et clients.
La CNIL a publié le 3 juillet les résultats de son enquête visant à analyser l’évolution du rôle des DPO face au développement de l’intelligence artificielle (IA).
Elle s’intéresse à la gouvernance de l’IA dans les organisations, aux nouveaux défis réglementaires liés à l’articulation entre le RGPD et le règlement européen sur l’IA, ainsi qu’aux besoins des DPO en matière de compétences, de formation et d’outils.
Si le DPO reste un acteur clé pour garantir la protection des données personnelles dans les projets d’IA, il n’a pas vocation à piloter seul cette conformité et n’a pas encore une maîtrise approfondie du règlement.
La CNIL entend adapter ses recommandations et son accompagnement des professionnels à ces nouveaux enjeux et renvoie aux outils déjà présents sur son site internet.
Mardi 16 juin, le Premier ministre a annoncé dans une vidéo publiée sur les réseaux sociaux un investissement public supplémentaire de 655 millions d’euros via le programme France 2030 afin d’accélérer le développement de l’IA en France.
« L’une des annonces les plus symboliques concerne la Direction générale de la sécurité intérieure (DGSI), qui met fin à son partenariat avec le géant américain de l’analyse de données Palantir.
Pour remplacer cette technologie étrangère, la DGSI a choisi l’entreprise française ChapsVision.
Cette préoccupation a été renforcée récemment par la décision de l’administration américaine de restreindre l’accès à certains modèles avancés d’intelligence artificielle pour les ressortissants étrangers, au nom de la sécurité nationale.
Le gouvernement veut également accélérer l’adoption de l’IA dans l’administration.
Un assistant conversationnel souverain sera progressivement déployé auprès d’environ un million d’agents de la fonction publique de l’État.»
Sur ce même sujet, le test d’un modèle de langage chinois à la direction générale du Trésor a été interrompu le 23 juin à cause de « réponses orientées » ou « biaisées ».
L’agent conversationnel était destiné à assister les hauts fonctionnaires dans leurs tâches quotidiennes, y compris pour le traitement de données confidentielles ou sensibles.
Un nouveau modèle de la start-up française Mistral AI a été installé mercredi.
À partir de 2027, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) cessera de certifier les produits de sécurité ne disposant pas de mécanismes de chiffrement résistant aux ordinateurs quantiques.
Cette exigence concernera notamment les produits destinés aux secteurs sensibles tels que la défense, l’armement et les administrations publiques.
Les entreprises ont jusqu’en 2030 pour n’acheter que des solutions dites « quantum-safe ».
L’accélération de la transition vers la cryptographie post-quantique était aussi au cœur des travaux du sous-groupe cybersécurité du G7 qui s’est réuni sous présidence française début juin.
Les autorités de protection des données des pays du G7 se sont également réunies à Paris les 25 et 26 juin à l’invitation de la CNIL dans le cadre de la présidence française du G7.
Elles ont adopté une déclaration sur les mécanismes de vérification de l’âge respectueux de la vie privée, ainsi qu’un document sur le développement d’objets connectés respectant la vie privée des mineurs.
En Europe
Institutions et organismes européens
Le 29 juin, le Conseil de l’UE a donné son feu vert définitif à la simplification et à la rationalisation des règles relatives à l’IA prévue dans le règlement Omnibus.
L’application des règles relatives aux systèmes à haut risque est reportée au 2 décembre 2027 pour les systèmes d’IA à haut risque autonomes et au 2 août 2028 pour les systèmes d’IA à haut risque intégrés dans des produits.
Le texte ajoute une disposition au règlement sur l’IA, interdisant les pratiques d’IA liées à la génération de contenus sexuels et intimes non consensuels ou de matériel pédopornographique.
Les systèmes d’intelligence artificielle qui génèrent des images de personnes réelles nues ou qui suppriment les vêtements sur des photos existantes afin de dévoiler des parties intimes seront aussi interdits à compter de décembre 2026.
La nouvelle réglementation reporte au 2 août 2027 la date limite pour la mise en place, par les autorités compétentes au niveau national, de « bacs à sable » réglementaires dédiés à l’IA, et réduit de 6 à 3 mois le délai accordé aux fournisseurs pour mettre en œuvre des solutions de transparence concernant les contenus générés artificiellement, la nouvelle date limite étant fixée au 2 décembre 2026.
La présidente du Parlement européen, Roberta Metsola, tente selon un document consulté par Politico de faire adopter une loi controversée sur le filtrage des contenus pédopornographiques en ligne (CSAM), loi rejetée en mars dernier par sa propre assemblée en séance plénière.
La présidente a demandé aux États membres réunis au sein du Conseil d’approuver un projet qui autoriserait les plateformes technologiques à analyser volontairement leurs services à la recherche de contenus pédopornographiques, question qui fait l’objet d’une vive controverse : la police et certains défenseurs des droits de l’enfant ainsi que plusieurs commissaires européens font valoir que l’absence de législation permet aux prédateurs et aux pédophiles d’agir en toute impunité sur Internet.
Les défenseurs de la vie privée et les experts en sécurité, quant à eux, estiment que ces propositions pourraient conduire à une surveillance de masse inacceptable et à la fin du chiffrement.
Le 18 juin 2026, la CJUE a précisé dans son arrêt C-484/24 – NTH Haustechnik que des données personnelles obtenues de manière irrégulière ne doivent pas être automatiquement écartées d’une procédure judiciaire.
Les juridictions peuvent les utiliser si cela est strictement nécessaire et proportionné à l’exercice de leur mission, tout en respectant les principes du RGPD, notamment la minimisation des données.
En revanche, cette possibilité ne rend pas licite la collecte initiale des informations et n’exonère pas leur auteur d’éventuelles violations des règles de protection des données.
Le Comité européen de protection des données (EDPB) a adopté le 10 juin un modèle de notification de violation de données.
Ce modèle est principalement destiné à être mis en œuvre par les APDs à l’aide d’un outil informatique.
Le modèle fait l’objet d’une consultation publique, offrant ainsi aux parties prenantes la possibilité de faire part de leurs commentaires et de leurs retours d’expérience sur son contenu jusqu’au 5 août prochain.
À partir du 3 août prochain, Google utilisera les adresses IP des internautes situés dans l’Espace économique européen, au Royaume-Uni et en Suisse pour mesurer et personnaliser les publicités.
Si Google collecte déjà cette donnée pour des raisons techniques, son usage évolue : l’adresse IP pourra désormais servir à identifier les appareils à des fins de ciblage publicitaire.
Cette pratique, encadrée par le RGPD, nécessitera le consentement de l’utilisateur, qui devrait être intégré aux mécanismes déjà utilisés pour la gestion des préférences publicitaires et des cookies.
Actualité des pays membres de l’Union Européenne.
Les autorités de protection des données (APDs) belges et espagnoles ont publié conjointement le 18 juin des recommandations et bonnes pratiques pour le secteur du jeu vidéo.
Cette collaboration découle de la nécessité identifiée par les autorités d’encadrer un secteur qui concerne plus de 3 milliards d’utilisateurs dans le monde et qui utilise des technologies intrusives.
Le document analyse les activités de traitement des données personnelles les plus courantes dans les jeux vidéo, identifie les menaces et les risques qu’elles impliquent, et propose des recommandations et des bonnes pratiques.
En Croatie, l’APD a infligé une amende à une agence immobilière pour avoir conservé les données de ses clients au-delà de la finalité du traitement, stocké des copies de pièces d’identité et de cartes bancaires sans fondement juridique, et pour avoir dispensé une formation insuffisante à ses employés en matière de traitement des données à caractère personnel.
L’APD espagnole a publié le 8 juin des directives sur l’utilisation de caméras dans les maisons de retraite pour concilier soins et vie privée.
Elle a aussi infligé à Vodafone España une amende de 1 050 000 € après qu’un tiers a réussi à contourner les contrôles de sécurité pour se procurer une facture client contenant une adresse e-mail non autorisée, et créer une deuxième ligne mobile enregistrée de manière frauduleuse au nom du plaignant.
Elle a enfin sanctionné CaixaBank d’une amende de 500 000 € pour des manquements systémiques en matière de protection des données, à la suite de violations répétées de sécurité.
L’autorité a notamment demandé à la banque d’améliorer ses capacités de détection des violations et de renforcer ses procédures d’identification des personnes et des données concernées en cas d’incident.
L’APD irlandaise a infligé une amende de 300 000 € au Health Service Executive (HSE), le service public de santé, à la suite d’une cyberattaque par rançongiciel survenue en 2018 ayant compromis les données personnelles d’environ 84 000 patients.
L’enquête a conclu que le HSE n’avait pas mis en œuvre des mesures de sécurité techniques et organisationnelles suffisantes, ne disposait pas d’une documentation conforme au RGPD et n’avait pas correctement encadré ses sous-traitants.
En plus de l’amende, le DPC a ordonné au HSE de renforcer durablement ses politiques et procédures de sécurité des données.
L’APD norvégienne a infligé une amende administrative de 20 millions de couronnes norvégiennes à Elkjøp, notamment pour absence de consentement valable au traitement de données à caractère personnel dans le cadre de son club de fidélité, évaluations insuffisantes concernant de nouvelles finalités de traitement, et absence de réponse aux demandes des personnes concernées dans les délais prévus par le RGPD.
À l’international
Au Royaume-Uni, un policier du comté de Derbyshire fait l’objet d’une enquête après avoir été accusé d’avoir utilisé l’intelligence artificielle pour fabriquer des éléments de preuve dans plusieurs affaires judiciaires.
Les autorités examinent les dossiers potentiellement concernés, tandis que l’agent a été retiré de ses fonctions opérationnelles.
Cette affaire, qui pourrait constituer un détournement grave de la justice, intervient alors que les forces de police britanniques renforcent l’usage de l’IA, relançant le débat sur les risques et la nécessité d’un encadrement strict de ces technologies.
Plusieurs services de police ont récemment été invités à suspendre certains usages de l’IA, notamment dans la rédaction de documents destinés aux tribunaux, en raison d’erreurs factuelles.
Au Royaume-Uni également, à compter du 19 juin, les organisations soumises à la législation britannique en matière de protection des données sont tenues de mettre en place une procédure permettant aux personnes physiques de déposer des réclamations concernant leurs données à caractère personnel.
Les personnes physiques doivent d’abord adresser leur réclamation à l’organisation concernée avant de saisir le Bureau du commissaire à l’information.
En Chine, les Mesures provisoires relatives à la gestion des services interactifs anthropomorphiques basés sur l’intelligence artificielle entreront en vigueur le 15 juillet prochain.
Cette réglementation régit le secteur en pleine expansion des compagnons virtuels et des robots de soutien émotionnel basés sur l’IA.
Les fournisseurs de ces services devront notamment informer clairement les utilisateurs qu’ils interagissent avec une IA, mettre en place des mécanismes pour prévenir la dépendance émotionnelle, détecter les situations de détresse ou de risque, protéger les mineurs et limiter leur accès aux compagnons virtuels.
Ils devront aussi respecter des exigences de gouvernance, telles que l’enregistrement de leurs algorithmes, la réalisation d’évaluations de sécurité dans certains cas et la mise en œuvre de mesures de protection des données et de gestion des risques.
Le réseau ibéro-américain de protection des données (RIPD) a adopté un document de référence visant à renforcer les garanties applicables au traitement des « neurodonnées », issues des technologies capables de mesurer ou d’inférer l’activité cérébrale.
Le texte recommande une protection renforcée de ces données, une transparence accrue sur leur utilisation et leur fonctionnement, ainsi que des restrictions, voire des interdictions, pour certains usages jugés incompatibles avec les droits fondamentaux, notamment lorsqu’ils visent à manipuler le comportement ou à exploiter des personnes vulnérables.
Anthropic a mis hors service ses deux modèles d’IA les plus puissants.
Invoquant des préoccupations de « sécurité nationale », Washington avait exigé que la start-up américaine spécialisée dans l’intelligence artificielle limite l’accès à Claude Fable 5 et Mythos 5 aux seuls citoyens américains.
Selon Anthropic, cette demande est impossible à mettre en œuvre. Le 22 mai, Anthropic avait annoncé son projet Glasswing, précisant que son modèle d’IA spécialisé dans la cybersécurité, Mythos, avait identifié plus de 10 000 vulnérabilités dans des logiciels et projets open source largement utilisés.
Français 