Cyberlégislation

Selon LTO (Legal Tribune Online), le Bundesverfassungsgericht (BVerfG) a, par ordonnance provisoire du 25/11/2025 (1 BvR 2317/25), fait droit au référé de Vodafone et suspendu temporairement l’obligation imposée aux fournisseurs de services de télécommunications de surveiller et d’exploiter toutes les requêtes DNS visant un serveur suspect dans le cadre d’enquêtes pénales. ⚖️ Le point de départ est une série de décisions de l’AG Oldenburg, fondées sur §§ 100a Abs. 1 et 100e StPO, imposant à Vodafone de surveiller et d’enregistrer les requêtes DNS vers un système serveur ciblé, puis de transmettre les données client nécessaires à l’identification des abonnés. Le LG Oldenburg avait rejeté le recours de Vodafone, qui invoquait ses droits fondamentaux (Art. 2 Abs. 1, Art. 10 Abs. 1 et Art. 12 Abs. 1 GG). LTO précise que les infractions visées n’étaient pas qualifiées de graves. ...

Source : CNIL — Le 22 décembre 2025, la CNIL explique le règlement européen sur les données (Data Act), qui encadre le partage et l’utilisation des données générées par les objets connectés, en l’articulant avec le RGPD et le DGA. Le Data Act vise une économie de la donnée plus ouverte et compétitive, en fixant des règles équitables d’accès et d’usage pour toutes les données (personnelles ou non) issues des objets connectés et de leurs services associés. Il précise qui peut utiliser quelles données et comment, tout en prévoyant que, en cas de contradiction, le RGPD prévaut dès lors que des données personnelles sont en jeu. Il tient compte du Digital Governance Act (DGA) et de ses intermédiaires de confiance. 📡🧩 ...

Selon The Register, le ministère sud-coréen des Sciences et des TIC va imposer la vérification d’identité par reconnaissance faciale pour l’ouverture de nouvelles lignes mobiles, une mesure motivée par la recrudescence des escroqueries liées aux comptes téléphoniques créés avec des données volées. Concrètement, la mesure étend les contrôles existants (présentation de pièces d’identité en point de vente) en y ajoutant la vérification biométrique via les applications « PASS » des trois opérateurs (SK Telecom, LG Uplus, Korea Telecom), où les données faciales seront utilisées pour confirmer l’identité du client. Objectif affiché: rendre beaucoup plus difficile l’enregistrement d’un compte mobile à partir de données volées et freiner des arnaques comme le voice phishing. 📱🔐 ...

Selon The Verge, Google a déposé une plainte contre SerpApi, fournisseur d’outils de scraping web, l’accusant de violer le Copyright Act en accédant et revendant à grande échelle des résultats de recherche Google via des moyens trompeurs. ⚖️ Google affirme que SerpApi a contourné une mesure technique de protection, SearchGuard (déployée en janvier 2025), qui visait à bloquer l’accès automatisé à ses pages de résultats. Après le déploiement de SearchGuard, SerpApi aurait rapidement « trouvé et déployé » des moyens de la contourner, en masquant des centaines de millions de requêtes automatisées par jour pour les faire passer pour du trafic humain, notamment via la création de « faux navigateurs » et l’usage d’une multitude d’adresses IP. 🤖 ...

Source: Conseil fédéral suisse (communiqué de presse, 12.12.2025), Berne. Le Conseil fédéral a été informé de nouvelles lignes directrices élaborées par la Chancellerie fédérale avec les départements, contraignantes pour l’administration fédérale centrale. Elles s’appuient sur le rapport répondant au postulat 22.4411 Z’graggen et définissent la souveraineté numérique comme la capacité de contrôle et d’action de l’État dans l’espace numérique pour accomplir ses tâches. Les lignes directrices visent une compréhension uniforme et un examen systématique de la souveraineté numérique dans tous les projets importants, afin d’identifier tôt les risques et d’arbitrer entre contrôle, protection des données et coûts. Elles reconnaissent la variété des dimensions en jeu (données, composants techniques, cadre juridique). ...

Selon la source indiquée (Peter Mosimann/Swiss Parliament), le Conseil des États a adopté le 10 décembre la motion 25.4273 de la conseillère aux États Johanna Gapany demandant au Conseil fédéral de revoir en profondeur la révision des ordonnances d’exécution de la loi sur la surveillance de la correspondance par poste et télécommunication (SCPT). 🏛️ La consultation (janvier–mai 2025) a suscité de fortes critiques: extension jugée excessive des obligations de collaboration, charges techniques et financières disproportionnées pour de nombreuses PME et prestataires numériques. Parmi les plus concernés, Proton et Threema ont dénoncé les risques pour leur modèle économique. 🔐 ...

Contexte — Foreign, Commonwealth & Development Office (gov.uk), 9 décembre 2025 : le gouvernement britannique annonce des sanctions contre deux entreprises basées en Chine, accusées de mener ou de faciliter des opérations de cyberattaque à grande échelle. 🛡️ Le Royaume-Uni sanctionne i‑Soon (Sichuan Anxun Information Technology Co. Ltd) pour avoir ciblé plus de 80 systèmes informatiques gouvernementaux et privés à travers le monde, ainsi que pour avoir soutenu d’autres acteurs malveillants. Integrity Technology Group Incorporated (Integrity Tech) est sanctionnée pour avoir contrôlé et géré un réseau clandestin et fourni une assistance technique à des tiers pour mener des cyberattaques, incluant des cibles du secteur public britannique. ...

Source: noyb.eu (billet de blog de Max Schrems). Contexte: l’auteur estime que l’instabilité croissante du système juridique américain et une hostilité ouverte envers l’UE mettent en péril les transferts de données UE–US. Les mécanismes actuels, TADPF et SCCs/BCRs, reposent sur un patchwork fragile de textes, pratiques et jurisprudences; la défaillance d’un seul élément pourrait faire s’effondrer l’ensemble du dispositif ⚖️. Premier point de rupture probable: indépendance de la FTC. Une affaire devant la Cour suprême (Trump v. Slaughter) pourrait consacrer la théorie de l’exécutif unitaire, rendant inconstitutionnelles les autorités exécutives réellement indépendantes. Or le TADPF s’appuie sur la FTC comme autorité indépendante pour l’application, exigence correspondant à l’article 8(3) de la Charte des droits fondamentaux de l’UE. Un arrêt attendu au plus tard en juin/juillet 2026 pourrait remettre en cause ce pilier. Des bascules vers SCCs ou BCRs sont évoquées, mais avec des questions majeures sur les données déjà transférées 🔒. ...

Selon un article publié le 7 décembre 2025 par Bill Toulas, le Portugal a actualisé sa loi sur la cybercriminalité pour créer une exemption pénale (« safe harbor ») en faveur de la recherche en sécurité menée de bonne foi. Le nouveau Article 8.º-A – « Actes non punissables en raison de l’intérêt public en cybersécurité » définit un cadre légal protégeant les actions auparavant qualifiées d’accès illégal ou d’interception illégale de données, lorsqu’elles sont réalisées dans le but d’identifier des vulnérabilités et de contribuer à l’amélioration de la cybersécurité. Les actes avec consentement du propriétaire du système sont aussi exemptés, avec obligation de signalement. ...

Selon l’article, le Conseil de l’UE a arrêté sa position sur le règlement « Chat Control » après des années de débats, retirant l’obligation de scanner les messages chiffrés de bout en bout et affichant un langage fort en faveur du chiffrement. Bonne nouvelle: la partie la plus controversée — l’obligation de scanner les messages chiffrés — est retirée, avec des garanties verbales que le chiffrement ne peut pas être affaibli ou contourné 🔒. ...