Incident De Conformité

📋 Contexte Le 12 octobre 2026, l’autorité norvégienne de protection des données (Datatilsynet) a publié une décision d’amende administrative à l’encontre de Xandr, société de publicité numérique appartenant à Microsoft, pour traitement et partage illicites de données personnelles sensibles. ⚖️ Nature de l’infraction L’infraction porte sur la participation de Xandr au mécanisme de real-time bidding (RTB), dans lequel : Xandr agissait à la fois côté acheteur et côté vendeur Les données personnelles des utilisateurs de Grindr (application de rencontres pour personnes LGBTQ+) étaient relayées automatiquement vers potentiellement des milliers d’acteurs de l’écosystème publicitaire Les données transmises incluaient des informations révélant l’orientation sexuelle, catégorie bénéficiant d’une protection spéciale Les transactions se déroulaient à l’insu total des utilisateurs, en une fraction de seconde 📅 Chronologie Juillet 2018 – Avril 2020 : période des infractions (près de deux ans) 2020 : plainte déposée par le Conseil norvégien des consommateurs contre Xandr (alors AppNexus) 2021 : Grindr avait déjà reçu une amende de 65 millions NOK pour des infractions équivalentes Octobre 2026 : décision finale de l’autorité norvégienne 💰 Sanction Amende de 92 millions NOK (≈ 8,6 millions €), la plus élevée jamais prononcée par le Datatilsynet Calculée sur le chiffre d’affaires annuel propre de Xandr (non celui de Microsoft, Xandr n’en faisant pas partie durant la période concernée) Facteurs aggravants : durée de l’infraction, bénéfice financier direct tiré du partage illicite, taille et rôle central de Xandr dans l’écosystème publicitaire 🔍 Conclusions juridiques Xandr est qualifié de responsable conjoint du traitement avec Grindr L’absence de consentement explicite valide est établie ; Xandr n’a pas vérifié la validité des consentements collectés par Grindr L’argument de Xandr consistant à reporter la responsabilité sur Grindr a été rejeté 📌 Type d’article Cet article est une décision réglementaire / incident de conformité documentant une sanction administrative pour violation du droit à la protection des données personnelles dans le cadre de l’écosystème publicitaire programmatique. ...

📰 Contexte Source : The Record Media — Article publié le 9 septembre 2026. L’affaire concerne l’application de rencontres LGBTQ+ Grindr et un litige juridique initié en avril 2024 par des utilisateurs britanniques pour violation des lois sur la vie privée au Royaume-Uni. ⚖️ Nature de l’affaire Grindr a accepté de verser £26 millions (environ 35,2 millions de dollars) pour régler le litige, sans admission de responsabilité. Le paiement sera effectué en deux versements : l’un avant fin décembre, l’autre avant fin mars, conformément à un dépôt réglementaire auprès de la SEC signé le 4 septembre. ...

🏛️ Contexte Source : The Record Media, publié le 29 juillet 2026. La Federal Trade Commission (FTC), rejointe par les États de l’Utah et de la Californie, a déposé une plainte fédérale contre Hims & Hers, prestataire de télésanté basé à San Francisco, pour violation de la vie privée de ses clients. 📋 Faits reprochés Selon la plainte de la FTC, Hims & Hers a : Partagé des informations de santé sensibles (conditions médicales) de ses clients avec des plateformes publicitaires tierces, notamment Snap et Meta Transmis des listes de clients à ces entreprises à des fins publicitaires Utilisé des technologies de tracking tierces pour divulguer les actions des visiteurs sur son site web Rendu difficile l’annulation des abonnements et trompé les clients sur les pratiques de facturation ⚠️ Contradiction avec les engagements de confidentialité Hims & Hers commercialisait ses services en promettant : ...

📋 Contexte : Le Garante per la protezione dei dati personali (autorité italienne de protection des données) a publié le 16 juillet 2026 sa newsletter n°549 détaillant plusieurs décisions récentes, dont une sanction majeure contre l’opérateur télécom Wind Tre Spa. 🔓 Incident Wind Tre : L’autorité a infligé une amende de 1 715 600 euros à Wind Tre Spa pour de graves carences dans la sécurité de ses systèmes. Deux accès non autorisés ont été réalisés par des attaquants se faisant passer pour des techniciens d’assistance (ingénierie sociale / pretexting), convainquant des opérateurs de points de vente d’accorder l’accès aux systèmes internes. ...

📰 Contexte Source : The Record Media, publié le 8 juillet 2026. Block Inc., société fondée par Jack Dorsey en 2009 et propriétaire de l’application de paiement Cash App, a conclu un accord amiable avec 46 États américains pour un montant total de 45 millions de dollars, en réponse à des allégations de manquements graves à la sécurité et de tromperie des consommateurs. ⚖️ Faits reprochés Les procureurs généraux des États impliqués ont identifié plusieurs défaillances majeures : ...

📋 Contexte Source : CNIL (cnil.fr), délibération n°SAN-2026-009 du 21 juillet 2026, publiée le 3 septembre 2026. La CNIL a prononcé une sanction administrative de 500 000 € à l’encontre de l’Hôpital Privé de la Loire à la suite d’une violation de données massives survenue au cours de l’été 2025. 🎯 Nature de l’incident Un attaquant non identifié a accédé au Dossier Patient Informatisé (DPI) de l’établissement, qui centralise l’ensemble des données des personnes prises en charge. L’accès a permis l’exfiltration des données de : ...

🏛️ Contexte Publié le 22 juin 2026 par le Département américain de la Santé et des Services sociaux (HHS), Office for Civil Rights (OCR), cet article annonce un accord amiable (settlement) avec Spencer Gifts LLC Flexible Benefits and Welfare Benefit Plans, le régime de santé collectif sponsorisé par l’employeur de la société de vente au détail nationale Spencer Gifts LLC. ⚖️ Nature de l’accord L’accord porte sur des violations potentielles des règles HIPAA Privacy et Security (Health Insurance Portability and Accountability Act de 1996). L’OCR, chargé de l’application des règles HIPAA Privacy, Security et Breach Notification, a ouvert une enquête à la suite d’une attaque ransomware ayant affecté l’entité. ...

🗓️ Contexte Article publié le 30 avril 2026 par 404 Media, basé sur des logs d’accès obtenus via une demande de documents publics par Jason Hunyar, résident de Dunwoody (Géorgie, banlieue d’Atlanta). L’article révèle des pratiques d’accès non divulguées aux caméras de surveillance par la société Flock Safety. 🔍 Faits établis Des employés commerciaux de Flock Safety ont accédé à des flux de caméras de surveillance appartenant à la ville de Dunwoody, Géorgie, dans le cadre d’un programme de démonstration commerciale destiné à convaincre d’autres départements de police d’adopter la technologie. Les caméras accédées comprenaient : ...

📋 Contexte Le 20 avril 2026, le Garante per la protezione dei dati personali (autorité italienne de protection des données) a publié un communiqué de presse annonçant des sanctions contre deux entités du groupe postal italien, à la suite d’une instruction ouverte en avril 2024 sur la base de nombreux signalements et réclamations d’utilisateurs. 💰 Sanctions prononcées Poste Italiane S.p.A. : amende de 6 624 000 euros Postepay S.p.A. : amende de 5 877 000 euros Total : plus de 12,5 millions d’euros 🔍 Faits reprochés Les applications BancoPosta et Postepay imposaient aux utilisateurs, comme condition obligatoire d’utilisation, d’autoriser la surveillance de données contenues dans leurs appareils mobiles, notamment les applications installées et en cours d’exécution. Les sociétés justifiaient cette pratique par la nécessité de détecter des logiciels malveillants et de se conformer à la réglementation sur les services de paiement. ...

📰 Source : PCMag UK | Date : 8 avril 2026 | Contexte : Incident opérationnel affectant la chaîne de distribution logicielle de projets open-source critiques sous Windows. 🔍 Faits principaux Microsoft a suspendu sans préavis explicite les comptes développeurs utilisés par plusieurs projets logiciels open-source majeurs : VeraCrypt (chiffrement de disque) — développeur Mounir Idrassi WireGuard (protocole VPN) — créateur Jason Donenfeld, société Edge Security Windscribe (VPN commercial) Thermotron (fabricant de cartes PCIe) OSR Open Systems Resources (développement kernel Windows) ⚙️ Impact technique Un compte Microsoft Hardware Developer est requis pour certifier les drivers tiers sous Windows 10/11. Sans signature valide, le système d’exploitation bloque le chargement des drivers au niveau kernel. Les développeurs concernés ne peuvent plus : ...