Vous en avez assez des newsletters généralistes qui survolent vos vrais enjeux ? Dastra vous propose Dastra Insights, une veille juridique et réglementaire spécialement pensée pour les DPO, juristes et professionnels de la Privacy et de l'IA.
🎯 Une veille ciblée, utile et ancrée dans la réalité terrain de la protection des données et de l'IA.
Voici notre sélection pour le mois d'octobre 2026 :
[RGPD, ePrivacy et cybersécurité] Le Conseil arrête sa position sur le Digital Omnibus VII
Date : 21 octobre 2026 – mandat publié le 22 octobre 2026
Sources : Conseil de l’Union européenne
Le Conseil de l’Union européenne a adopté son mandat de négociation sur le volet du Digital Omnibus VII consacré à la protection des données, à la vie privée, à la gouvernance des données et à la notification des incidents. Sa position modifie sur plusieurs points la proposition présentée par la Commission en novembre 2025.
Concernant le RGPD, le Conseil maintient la définition actuelle des données personnelles, mais propose un nouvel article relatif aux données pseudonymisées et à la capacité effective d’un tiers à identifier une personne. Le mandat prévoit également de porter de 72 à 96 heures le délai de notification des violations de données et de réserver cette notification à l’autorité aux violations susceptibles d’engendrer un risque élevé.
Pour les traitements liés à l’IA, le Conseil envisage que l’intérêt légitime puisse, après une appréciation au cas par cas, constituer une base juridique pour le développement et le fonctionnement de systèmes ou modèles d’IA.
Le Conseil souhaite par ailleurs conserver le régime des cookies dans la directive ePrivacy, contrairement à la proposition de transfert vers le RGPD.
Enfin, le mandat remplace le point d’entrée européen unique envisagé pour les notifications d’incidents par un point d’entrée national dans chaque État membre, accompagné d’une harmonisation menée avec l’ENISA.
Important : ces modifications constituent uniquement la position de négociation du Conseil : elles ne sont pas encore applicables et devront être négociées avec le Parlement européen avant l’adoption éventuelle du texte.
[AI Act et normalisation] La norme EN 18286:2026 devient le premier référentiel harmonisé soutenant l’AI Act
Date : 14 octobre 2026
Sources : Commission européenne
La référence de la norme EN 18286:2026 – Artificial Intelligence – Quality Management System for EU AI Act Regulatory Purposes, élaborée par le CEN et le CENELEC, a été publiée au Journal officiel de l’Union européenne à la suite de la décision d’exécution (UE) 2026/2274 du 12 octobre 2026. Elle constitue la première norme harmonisée référencée pour soutenir la mise en œuvre de l’AI Act.
Les fournisseurs de systèmes d’IA à haut risque qui appliquent cette norme bénéficient d’une présomption de conformité limitée aux exigences de l’article 17 de l’AI Act couvertes par la norme, relatives au système de management de la qualité. Cette présomption ne vaut donc pas conformité générale du système d’IA à l’ensemble du règlement.
La norme traduit les obligations de l’article 17 en processus de gouvernance applicables au cycle de vie du système d’IA. Son utilisation reste volontaire : un fournisseur peut choisir d’autres moyens pour démontrer sa conformité, mais il ne bénéficiera alors pas de la présomption attachée à la norme harmonisée.
[IA générative et données personnelles] L’ICO précise ses attentes pour les développeurs de modèles
Date : 21 octobre 2026
Sources : ICO
À l’issue de son programme de supervision des principaux développeurs de modèles de fondation, l’ICO a précisé ses attentes sur cinq sujets : la transparence, la base juridique, l’exercice des droits, la présence de données personnelles dans les modèles et le traitement de données sensibles.
Les développeurs doivent notamment identifier précisément les données et les sources utilisées, documenter leur analyse d’intérêt légitime et proposer des mécanismes accessibles aux utilisateurs comme aux personnes dont les données ont été collectées indirectement. L’ICO considère également qu’un modèle entraîné sur des données personnelles peut lui-même contenir de telles données, selon le niveau de mémorisation et les possibilités d’extraction ou de réidentification.
L’approche britannique reste globalement alignée avec celle du CEPD, mais apparaît plus prescriptive sur les mesures pratiques et la documentation attendue. Pour chaque catégorie de données sensibles traitée, même de manière non intentionnelle, le développeur doit identifier une base juridique au titre de l’article 6 et une condition distincte de l’article 9 du UK GDPR. L’ICO reconnaît toutefois que les conditions actuelles de l’article 9 sont parfois difficiles à appliquer à l’entraînement des modèles de fondation.
[IA générative et agents autonomes] L’ICO obtient des engagements de dix développeurs de modèles de fondation
Date : 8 octobre 2026
Source : Information Commission’s Office
À la suite de son programme de supervision, l’ICO indique avoir obtenu des engagements de la part de dix développeurs, dont Amazon, Anthropic, Apple, Google, Meta, Microsoft et OpenAI. Les améliorations portent notamment sur la transparence, l’exercice des droits et l’évaluation des garanties applicables aux traitements.
L’ICO a parallèlement lancé une consultation de six semaines sur les risques liés aux agents d’IA, couvrant la sécurité, la transparence, la responsabilité, l’équité, les décisions automatisées et la licéité des traitements. Les résultats doivent alimenter les futures orientations britanniques et le futur code statutaire sur l’IA et la décision automatisée.
[Lunettes connectées] Le CEPD précise les responsabilités et exigences de transparence
Date : 13 octobre 2026
Source : Comité européen de la protection des données
Le CEPD a adopté une déclaration préliminaire sur les lunettes connectées, en insistant sur les risques d’enregistrement à l’insu des personnes, particulièrement dans les écoles, établissements de santé et lieux de travail.
L’utilisateur peut devenir responsable du traitement lorsqu’il diffuse publiquement des enregistrements ou utilise les lunettes dans un cadre professionnel, officiel ou politique. Les fabricants et fournisseurs de services restent responsables de leurs propres traitements. Le CEPD recommande des signaux d’enregistrement visibles et fiables, tels que des voyants lumineux, avertissements sonores ou éléments de conception permettant aux tiers de comprendre immédiatement qu’ils sont filmés.
[Prospection B2B] La CNIL encadre la reconstitution d’adresses électroniques professionnelles
Date : 16 octobre 2026
Source : CNIL
La CNIL a précisé les conditions dans lesquelles une organisation peut déduire une adresse professionnelle à partir du nom, du prénom, de l’employeur et du format habituel des adresses de l’entreprise.
L’intérêt légitime peut être mobilisé, notamment pour la prospection B2B, mais uniquement après une analyse de la finalité, du caractère intrusif, des attentes raisonnables de la personne et du contexte dans lequel les informations ont été publiées. La CNIL recommande une conservation limitée et l’exclusion immédiate des personnes qui s’opposent au traitement. Lorsque ces conditions ne peuvent pas être satisfaites, l’organisme doit s’abstenir ou recueillir le consentement.
[Sécurité des données de santé] Décision contre Children’s Health Ireland pour la gestion de dossiers papier
Date : 1er octobre 2026
Source : Data Protection Commission irlandaise
La DPC irlandaise a constaté des manquements aux articles 5(1)(f) et 32 du RGPD concernant la sécurité physique de dossiers médicaux d’enfants conservés au Tallaght University Hospital. L’enquête avait notamment révélé des documents sensibles débordant d’une corbeille destinée aux déchets confidentiels.
Children’s Health Ireland a reçu une réprimande et doit finaliser plusieurs analyses d’impact relatives à la gestion des dossiers médicaux et des déchets confidentiels. L’établissement doit également mettre en œuvre les mesures techniques, organisationnelles et procédures opérationnelles identifiées dans ces analyses.
[Cookies et applications mobiles] La CNIL sanctionne FNAC Darty à hauteur de 7 millions d’euros
Date : décision du 22 octobre 2026
Source : CNIL
La CNIL a infligé deux amendes d’un montant total de 7 millions d’euros à FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT. L’application mobile transmettait à un domaine tiers un identifiant utilisateur et des informations sur les produits consultés, afin de personnaliser les recommandations et d’entraîner l’algorithme de recommandation.
La formation restreinte a estimé que ce traceur n’était pas strictement nécessaire au service demandé et ne bénéficiait donc pas de l’exemption prévue par l’article 82 de la loi Informatique et Libertés. Son utilisation nécessitait le consentement préalable des utilisateurs. Une injonction sous astreinte de 10 000 euros par jour de retard accompagne la sanction.
[Publicité ciblée et données sensibles] Xandr sanctionné pour l’utilisation de données provenant de Grindr
Date : décision finale du 2 octobre 2026
Source : CEPD, synthèse de la décision de l’autorité norvégienne
L’autorité norvégienne a infligé une amende de 8,6 millions d’euros à Xandr, société du groupe Microsoft, pour le traitement de données d’utilisateurs de Grindr dans le cadre d’enchères publicitaires en temps réel.
La participation à Grindr, associée aux identifiants publicitaires et adresses IP, a été considérée comme susceptible de révéler l’orientation sexuelle et donc de constituer un traitement de données relevant de l’article 9 du RGPD. Xandr, qualifié de responsable conjoint, ne pouvait pas se contenter du consentement recueilli par Grindr : chaque responsable conjoint doit vérifier que le consentement est valable et couvre ses propres traitements.
[Data Act et services cloud] L’ACM précise les règles applicables au changement de fournisseur
Date : 19 octobre 2026
Source : Autorité néerlandaise des consommateurs et des marchés – ACM
L’ACM a soumis à consultation un projet de lignes directrices sur les obligations des fournisseurs de services cloud au titre du Data Act. Les fournisseurs doivent permettre à leurs clients de changer de service ou de recourir simultanément à plusieurs prestataires sans obstacles injustifiés, tout en garantissant la continuité et la sécurité du transfert.
Ils doivent également fournir des informations claires sur les modalités, les délais et les coûts du changement, proposer gratuitement les interfaces nécessaires à la portabilité et à l’interopérabilité, et protéger les données non personnelles contre les accès illicites d’autorités de pays tiers. Pour les clients, ces orientations invitent à revoir les clauses contractuelles, les mécanismes de portabilité et les stratégies de sortie. La consultation est ouverte jusqu’au 6 novembre 2026.