Vous en avez assez des newsletters généralistes qui survolent vos vrais enjeux ? Dastra vous propose Dastra Insights, une veille juridique et réglementaire spécialement pensée pour les DPO, juristes et professionnels de la Privacy et de l'IA.
🎯 Une veille ciblée, utile et ancrée dans la réalité terrain de la protection des données et de l'IA.
Voici notre sélection pour le mois d'août 2026 :
[Règlement IA] Entrée en application des obligations de transparence
Date : 2 août 2026
Source : Commission européenne
Depuis le 2 août, l’AI Office de la Commission européenne et les autorités nationales compétentes peuvent mettre en œuvre les pouvoirs de contrôle prévus par le règlement européen sur l’IA. Les obligations de transparence applicables à certains systèmes d’IA sont également entrées en application.
Les fournisseurs de systèmes interactifs, notamment les agents conversationnels, doivent informer les utilisateurs qu’ils interagissent avec une IA. Les contenus générés ou manipulés artificiellement doivent comporter un marquage détectable par machine, tandis que les hypertrucages et certains contenus d’intérêt public doivent être clairement signalés. La Commission a parallèlement déployé des canaux de plainte et de signalement.
[Règlement IA – Enforcement] La Commission européenne ouvre un outil de dépôt des plaintes
Date : 2 août 2026 – page officielle mise à jour le 31 juillet 2026
Source : Commission européenne – Outil de traitement des plaintes au titre de la législation sur l’IA
La Commission européenne a mis à disposition un outil permettant aux personnes physiques et morales de saisir le Bureau européen de l’IA au sujet d’infractions présumées au règlement sur l’IA commises par des fournisseurs ou des déployeurs de systèmes relevant de sa compétence exclusive.
Fondé sur l’article 85 du règlement, le mécanisme accepte les plaintes dans toutes les langues officielles de l’Union et permet de joindre des documents justificatifs, mais n’est pas anonyme : le plaignant doit communiquer son identité, ses coordonnées, le pays de l’incident et une description détaillée des faits.
Le Bureau de l’IA traite les signalements de manière confidentielle et peut, avec l’accord préalable du plaignant, les transmettre à l’autorité nationale de surveillance du marché ou à une autre autorité compétente. Les plaintes relatives aux obligations applicables aux modèles d’IA à usage général, notamment celles des articles 53 à 55, relèvent toutefois d’un canal distinct.
[Décisions automatisées] Amende de près de 825 millions d’euros contre Uber
Date : 21 août 2026 – publication de la CNIL le 24 août
Source : CNIL, en coopération avec l’autorité néerlandaise
L’autorité néerlandaise de protection des données a infligé à Uber B.V. et Uber Technologies Inc. une amende de 824 990 000 euros pour des décisions individuelles entièrement automatisées concernant les chauffeurs de la plateforme.
Les désactivations temporaires ou définitives de comptes, déclenchées notamment par des soupçons de fraude ou de faibles évaluations, ont été considérées comme des décisions automatisées produisant des effets significatifs, faute d’intervention humaine dans le processus. La procédure trouve son origine dans une plainte collective déposée auprès de la CNIL au nom de plus de 170 chauffeurs et illustre la mise en œuvre du mécanisme européen de guichet unique.
[Jurisprudence – UK] Rejet de l’appel de TikTok relatif aux « special purposes »
Date : 5 août 2026
Sources : Upper Tribunal – décision intégrale et communiqué de l’ICO
L’Upper Tribunal a rejeté l’appel de TikTok portant sur une question préliminaire liée à l’amende de 12,7 millions de livres sterling prononcée en 2023 pour le traitement de données d’enfants de moins de 13 ans. TikTok soutenait que certains traitements relevaient des finalités journalistiques, artistiques, académiques ou littéraires bénéficiant de garanties procédurales particulières sous le Data Protection Act 2018.
Le Tribunal a estimé qu’il ne suffisait pas qu’un traitement facilite la diffusion de contenus artistiques : le traitement lui-même doit poursuivre l’une de ces finalités particulières. L’affaire est renvoyée au First-tier Tribunal pour l’examen au fond des autres moyens dirigés contre la sanction.
[Gouvernance RGPD] La CNIL précise la gestion des conflits d’intérêts du DPO
Date : 10 août 2026
Source : CNIL
La CNIL a publié une analyse pratique permettant d’identifier les fonctions susceptibles de compromettre l’indépendance du délégué à la protection des données. Les fonctions d’encadrement supérieur sont généralement incompatibles lorsqu’elles conduisent le DPO à déterminer les finalités ou les moyens d’un traitement. Des difficultés peuvent également apparaître pour un DPO exerçant des responsabilités de RSSI, de lutte contre la fraude, de représentation du personnel ou de conseil contentieux.
En présence d’un conflit, l’organisme doit y mettre fin en remplaçant le DPO, en lui retirant les missions incompatibles ou en instaurant une mesure effective de déport. La désignation d’un DPO suppléant reste possible, à condition de documenter la répartition des responsabilités, de lui garantir les moyens et l’indépendance nécessaires et d’éviter tout lien de subordination problématique.
[Cybersécurité] Réprimande de l’ACRO pour des défaillances de sécurité
Date : 12 août 2026
Source : Information Commissioner’s Office
L’ICO a réprimandé l’ACRO Criminal Records Office après une compromission ayant potentiellement affecté 10 920 personnes. Les données exposées comprenaient notamment des coordonnées, des numéros d’assurance nationale, des informations bancaires, des données biométriques ainsi que des données relatives à des infractions et d’autres catégories particulières.
L’enquête a relevé une répartition insuffisamment claire des responsabilités entre l’ACRO et ses prestataires, une gestion défaillante des correctifs de sécurité et un suivi inadéquat des alertes. L’action de l’ICO est fondée sur l’article 32 du UK GDPR et rappelle que l’externalisation de prestations de cybersécurité ne supprime pas la responsabilité de l’organisme.
[Violation de données] Piratage du système d’information de la DGFiP
Date : 18 août 2026
Source : CNIL
La CNIL a confirmé avoir reçu plusieurs notifications concernant une violation du système d’information de la Direction générale des Finances publiques. Un tiers aurait pu consulter et extraire des informations fiscales et cadastrales concernant des particuliers et des professionnels, notamment le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source, des adresses et des informations relatives aux biens immobiliers.
Les identifiants et mots de passe ne seraient pas concernés. La DGFiP doit informer individuellement les personnes affectées. La CNIL pourra effectuer des investigations afin d’évaluer la conformité des mesures de sécurité avec les exigences du RGPD et l’état de l’art.
[Biométrie] L’ICO publie les résultats de ses audits sur la reconnaissance faciale policière
Date : 18 août 2026
Source : Information Commissioner’s Office
À la suite d’audits menés auprès de cinq forces de police d’Angleterre et du Pays de Galles, l’ICO a formulé 107 recommandations relatives à l’utilisation de la reconnaissance faciale en direct et a posteriori. Les forces auditées avaient généralement documenté une base juridique et adopté des procédures de notification des violations, mais des lacunes importantes subsistaient.
Les recommandations portent notamment sur la supervision par la direction, la formation, la traçabilité des images, les durées de conservation, la provenance des photographies et l’évaluation des risques d’erreur ou de biais. L’ICO indique que ces enseignements ont vocation à guider l’ensemble des forces utilisant ces technologies.
[IA générative] L’autorité néerlandaise alerte les utilisateurs de Twitch
Date : 20 août 2026
Source : Autoriteit Persoonsgegevens
L’autorité néerlandaise de protection des données a appelé les utilisateurs de Twitch à désactiver le partage de leurs données avec Amazon pour l’entraînement de modèles d’IA générative. Selon l’autorité, les flux vidéo, images, voix, noms, conversations et messages des utilisateurs peuvent servir de données d’entraînement.
L’option serait activée par défaut et nécessiterait une démarche d’opposition. L’autorité souligne notamment la sensibilité des images faciales et la difficulté de retirer effectivement les données une fois intégrées dans les systèmes d’IA.
[Éducation et cloud] Recommandations de la CNIL sur les outils collaboratifs scolaires
Date : 24 août 2026
Source : CNIL
La CNIL a précisé les conditions dans lesquelles les établissements scolaires peuvent recourir à des espaces numériques de travail et autres outils collaboratifs en ligne. Chaque traitement doit reposer sur une base juridique appropriée; dans le cadre du service public de l’éducation, la mission d’intérêt public pourra généralement être mobilisée, tandis que le consentement apparaît souvent inadapté en raison de la relation d’autorité.
Les établissements doivent vérifier les garanties des fournisseurs, désactiver les traceurs publicitaires, informer les élèves dans un langage adapté et encadrer les transferts hors de l’Union européenne. Compte tenu du traitement à grande échelle de données concernant des mineurs, parfois sensibles, la CNIL estime qu’une AIPD sera probablement nécessaire dans la majorité des cas.