Les dernières actualités RGPD, Cyber & IA

Données Grindr : la Norvège inflige 92 millions de couronnes à Xandr (Microsoft), qui n'avait pas vérifié le consentement

Droit d'accès : 39 000 euros d'amende en Italie pour La Patria, restée muette face à la demande GPS d'un salarié

Grèce : 350 000 euros d'amende pour un ministère et son sous-traitant EETAA, piraté via un serveur obsolète et sans contrat article 28 en vigueur

Miljödata : l'autorité suédoise inflige 1,8 million de couronnes au sous-traitant piraté, faute de contrôle de version et de surveillance en temps réel

France Travail : la CNIL clôt l'injonction sans liquider l'astreinte de 5 000 euros par jour

Droit d'accès : pour l'avocate générale de la CJUE, les cellules de renseignement financier relèvent de la directive Police-Justice

Publicité ciblée : 101 médias français réclament 1,4 milliard d'euros à Meta

Dommages RGPD : deux juges écossais rejettent des demandes faute de préjudice étayé

Vidéoprotection algorithmique : la loi Ripost l'étend jusqu'en 2030, le Conseil constitutionnel plafonne à trois mois les autorisations des bâtiments à risque permanent

Logiciels de santé : un correctif planifié cinq ans après le signalement, le CERT-FR et le CERT Santé épinglent les éditeurs

Reconnaissance faciale et TAJ : la Cour de cassation renvoie la régularité des données au contentieux de l'effacement

Danemark : accès non autorisé aux données de 8,8 millions de personnes du registre CPR, via le compte d'une entreprise

NIS 2 : l'Assemblée nationale reporte de nouveau l'examen du projet de loi Résilience, sans nouvelle date

AI Act : OpenAI filigrane les textes de ChatGPT en Europe, la détection tombe à 17 % si 25 % des mots changent

DAC 8 : le Conseil d'État refuse de suspendre le décret crypto-actifs, faute d'urgence

Piratage de la DGFiP : l'ANSSI publie son rapport, une attaque « pas sophistiquée » et aucune exfiltration détectée

Violation de données : la CNIL détaille les trois conditions pour être indemnisé

Région Hauts-de-France : cyberattaque chez Atexo et Docaposte, des RIB potentiellement compromis

LDLC : accès non autorisé aux données de ses clients, le quatrième incident depuis 2021

Voitures connectées : 7 applications sur 30 envoient VIN, e-mail ou position à des traceurs tiers, selon Northeastern

Chatbots IA : six services sur neuf transmettent des éléments de conversation à des tiers, selon Imdea Networks

VosFactures : fuite de données chez son prestataire Fakturownia, l'AIFE suspend les échanges avec la plateforme agréée

Cookson-CLAL : numéros de carte et cryptogrammes de clients extraits chez un prestataire de paiement

Registres de baptême : pour l'avocate générale de la CJUE, le droit à l'effacement s'applique

Faille Metabase : neuf instances ministérielles compromises, l'ANSSI parmi les victimes selon son bilan REACTIV

Cybermois 2026 : la CNIL et Cybermalveillance.gouv.fr publient 3 étapes pour les victimes de fuites de données

KIDS Act : la Commission propose d'interdire les réseaux sociaux avant 13 ans et un compte autonome à 15 ans

Supabase : 16 326 bases de données laissent leurs tables lisibles, selon UpGuard

Digital Omnibus : EDRi alerte les États membres sur la pseudonymisation et l'IA dans le compromis du Conseil

Prospection : la CNIL clôt l'injonction contre Solocal et juge satisfaisant son contrôle des consentements de ses partenaires

Canva : des données de clients entreprises exposées via Canny, un outil relié à son Salesforce

DSA et RGPD : l'EDPB adopte ses lignes directrices finales, le DSA ne déroge pas au RGPD

Incidents cyber : la Cour des comptes européenne pointe un partage d'informations défaillant entre États membres

Vidéosurveillance : 100 000 euros à Securitas Direct pour un numéro payant sur ses panneaux

Gemini est entré dans les systèmes de trois entreprises réelles, Google ne l'a pas rendu public

Données de localisation : la DPC irlandaise inflige 403 millions d'euros à Google

Amendes RGPD : l'EDPB encadre le choix entre l'amende et les autres mesures correctrices

Risque tiers : l'EBA publie ses orientations finales et aligne le registre sur DORA

Priorités 2026 : la conformité dans le trio de tête de 61 % des ETI, selon le CESIN

Attaque par agent IA : l'AEPD reçoit la première notification de violation de ce type en Espagne

« Base de données fantôme » : la SCHUFA refuse de céder à noyb, l'action en justice est certaine

Données de santé : 500 000 euros d'amende pour l'Hôpital Privé de la Loire

NIS 2 : selon Board of Cyber, 10 % des entités françaises portent 93,1 % des failles critiques

Facturation électronique : pour la CNIL, la certification des plateformes ne suffit pas à garantir la conformité RGPD

Piratage du fisc : la CNIL va contrôler la DGFiP, sans pouvoir lui infliger d'amende

Droit à l’effacement : la CNIL inflige 300 000 euros à EXTIA

Fausses réquisitions administratives : Revolut a livré des données clients à un usurpateur

McKesson visé par ShinyHunters : 284 millions d'enregistrements, une leçon de sous-traitance pour les DPO

CRIF : la Cour suprême autrichienne confirme la collecte illégale de données, la voie est libre pour un recours collectif

Berlin refuse de payer Rhysida : 5,79 To de données administratives menacées de fuite

OpenAI, Microsoft, Anthropic... plus de 100 organisations s'allient pour la cyberdéfense face à l'IA offensive

Manchester Airports Group : une fuite de données chez les prestataires révèle les angles morts de la sous-traitance

Notification « à peu près » conforme : T-Mobile condamné, la leçon pour le RGPD

IA open source : la CNIL muscle son outil de traçabilité des modèles avec Genmod

Ransomwares en France : 85 % des attaques sont d'abord des attaques d'identité

Outils collaboratifs à l'école : ce que la CNIL impose désormais aux établissements

9 300 clés AWS actives exposées en ligne : l'alerte de Truffle Security

825 millions d'euros : Uber sanctionné pour ses décisions automatisées de désactivation de comptes

Silent Ransom Group frappe deux fois le même cabinet d'avocats : 64 000 numéros de sécurité sociale exposés

SPIP : une faille critique « sans conditions » activement exploitée, le CERT-FR sonne l'alerte

Microsoft Entra ID : une faille critique déjà exploitée, le CERT-FR alerte les DPO/RSSI

Fuite de données chez RED by SFR : 2,1 millions de lignes exposées via un compte compromis

Piratage de l'Éducation nationale : ZeroBytes revendique 346 millions de lignes, la fuite scolaire la plus massive de l'année

Piratage du fisc : le plan de riposte de Bercy, déjà critiqué par les syndicats

Refus de crédit : la CNIL publie son mode d'emploi pour les particuliers

Joomla! : le CERT-FR alerte sur 10 vulnérabilités, dont un contournement du MFA

Piratage du fisc : le ministre s'excuse, une troisième fuite révèle les failles IAM de l'État

Éducation nationale : ZeroBytes revendique 346 millions de lignes de données, le même groupe qu'au fisc

Piratage du fisc : la CNIL confirme sa saisine et écarte les plaintes individuelles

Piratage du fisc : Lecornu réunit une cellule de crise et commande un audit à l'ANSSI

17 normes techniques pour le Cyber Resilience Act : l'ETSI lance la consultation publique

Le Conseil constitutionnel annule l'interdiction des réseaux sociaux aux moins de 15 ans

Réseaux sociaux interdits aux moins de 15 ans : le Conseil constitutionnel censure la loi française

Stormshield SNS : quatrième avis CERT-FR de l'année, neuf failles dont une exécution de code à distance

Piratage du fisc : Bercy confirme la fuite des données de 678 000 contribuables

Novo Nordisk : la fuite de données s'étend aux modèles d'IA et jeux d'entraînement

Ivanti : le CERT-FR publie un nouvel avis, trois failles visent Endpoint Manager et Neurons for MDM

Impôts.gouv.fr : un pirate revendique le vol de 678 000 données fiscales, silence de la DGFiP

MyDr : la fuite de données menace les numéros PESEL de 18,8 millions de Polonais

ACRO : l'ICO sanctionne le bureau des casiers judiciaires britannique pour deux ans de négligence sur les correctifs

Bloctel piraté la veille de sa fermeture : 3 millions de numéros de téléphone volés

FFHandball piratée : plus d'un million de données personnelles en vente, la CNIL et l'ANSSI saisies

IA Act : Anthropic filigrane les textes de Claude, mais la preuve d'origine reste fragile

SAP : le CERT-FR documente 42 vulnérabilités dans un avis d'une ampleur inédite en 2026

SPIP : le CERT-FR alerte sur trois failles critiques, dont une exécution de code à distance

DPO et conflit d'intérêts : la CNIL publie sa grille d'analyse et ses solutions de remédiation

Navigate360 : quatre mois de silence après la fuite, DataBreaches saisit la FTC — ce que le RGPD aurait imposé en 72 heures

CADA : comment l'UE inscrit le principe « AI first » dans son droit

Beacon CRM piraté : 1500 associations caritatives britanniques exposées via un sous-traitant unique

Nextcloud : deuxième avis CERT-FR en trois mois, deux nouvelles failles dans Mail et Server

Armurerie Lavaux piratée : la fuite de données qui expose l'adresse des détenteurs d'armes

Bol et De Bijenkorf touchés par la même fuite : un sous-traitant, deux enseignes, des données déjà en vente sur le dark web

IA « frontière » : les régulateurs financiers européens somment les banques de muscler leur gouvernance

IA en recrutement : la FPF et LinkedIn, Workday, UKG actualisent leur référentiel de risque

Un an de CIANum : ce que le conseil de l'IA a vraiment dit sur le RGPD et l'IA agentique

IA agentique : l'AISI révèle qu'un agent Anthropic a créé de fausses identités pour piéger un développeur

Effacer ses données d'un article de presse en ligne : la CNIL fixe le mode d'emploi

Chat Control : le Parlement européen fait passer la dérogation, mais verrouille sa position contre la surveillance de masse

Check Point : le CERT-FR alerte sur la faille critique CVE-2026-18574 (AVI-0965)

Anonymisation RGPD : l'EDPB propose de réécrire la doctrine de 2014