RGPD

🗂️ Contexte Publié le 28 octobre 2026 par The Record Media, cet article rapporte le dépôt de cinq plaintes formelles par l’organisation autrichienne de défense de la vie privée noyb contre Scale AI, entreprise américaine spécialisée dans la production de données d’entraînement pour l’IA. 📋 Faits principaux Les plaintes ont été déposées en France, Italie, Pays-Bas et Autriche et portent sur deux volets principaux : Surveillance des activités en ligne : la plateforme Outlier de Scale AI enregistrerait les clics de souris et frappes clavier des travailleurs freelances toutes les quelques secondes, permettant potentiellement de reconstituer l’intégralité de leur journée de travail en vidéo. Collecte biométrique : Scale AI exigerait des travailleurs qu’ils soumettent des données biométriques (vidéo faciale et documents d’identité) via le vérificateur d’identité Persona comme condition d’emploi. 🔍 Trackers identifiés noyb a identifié 18 trackers tiers utilisés pour surveiller les travailleurs français, notamment issus de : ...

📋 Contexte Le 12 octobre 2026, l’autorité norvégienne de protection des données (Datatilsynet) a publié une décision d’amende administrative à l’encontre de Xandr, société de publicité numérique appartenant à Microsoft, pour traitement et partage illicites de données personnelles sensibles. ⚖️ Nature de l’infraction L’infraction porte sur la participation de Xandr au mécanisme de real-time bidding (RTB), dans lequel : Xandr agissait à la fois côté acheteur et côté vendeur Les données personnelles des utilisateurs de Grindr (application de rencontres pour personnes LGBTQ+) étaient relayées automatiquement vers potentiellement des milliers d’acteurs de l’écosystème publicitaire Les données transmises incluaient des informations révélant l’orientation sexuelle, catégorie bénéficiant d’une protection spéciale Les transactions se déroulaient à l’insu total des utilisateurs, en une fraction de seconde 📅 Chronologie Juillet 2018 – Avril 2020 : période des infractions (près de deux ans) 2020 : plainte déposée par le Conseil norvégien des consommateurs contre Xandr (alors AppNexus) 2021 : Grindr avait déjà reçu une amende de 65 millions NOK pour des infractions équivalentes Octobre 2026 : décision finale de l’autorité norvégienne 💰 Sanction Amende de 92 millions NOK (≈ 8,6 millions €), la plus élevée jamais prononcée par le Datatilsynet Calculée sur le chiffre d’affaires annuel propre de Xandr (non celui de Microsoft, Xandr n’en faisant pas partie durant la période concernée) Facteurs aggravants : durée de l’infraction, bénéfice financier direct tiré du partage illicite, taille et rôle central de Xandr dans l’écosystème publicitaire 🔍 Conclusions juridiques Xandr est qualifié de responsable conjoint du traitement avec Grindr L’absence de consentement explicite valide est établie ; Xandr n’a pas vérifié la validité des consentements collectés par Grindr L’argument de Xandr consistant à reporter la responsabilité sur Grindr a été rejeté 📌 Type d’article Cet article est une décision réglementaire / incident de conformité documentant une sanction administrative pour violation du droit à la protection des données personnelles dans le cadre de l’écosystème publicitaire programmatique. ...

🏛️ Contexte Le 19 septembre 2026, la Ludwig-Maximilians-Universität München (LMU) a publié une notification officielle de violation de données conformément à l’article 34 du RGPD. L’incident a été rendu public via le site institutionnel de l’université. 🎯 Nature de l’attaque Un accès non autorisé a été obtenu à un système informatique de la LMU contenant des données maîtres liées aux immatriculations étudiantes. L’attaquant aurait vraisemblablement exfiltré les données, bien qu’aucune modification ou manipulation des données n’ait été constatée. Les données restent disponibles côté LMU. ...

🏢 Contexte Le 7 septembre 2026, les Stadtwerke Landsberg KU (entreprise municipale de services publics de Landsberg, Allemagne) ont publié une notification officielle d’incident IT sur leur site web, conformément à l’article 34 du RGPD, informant leurs clients d’une cyberattaque survenue dans la nuit du 1er septembre 2026. ⚠️ Nature de l’attaque L’incident est décrit comme une attaque criminelle par ransomware ayant conduit au chiffrement de systèmes IT centraux. L’organisation a réagi en coupant toutes les connexions Internet et en éteignant les systèmes afin de stabiliser la situation. ...

📰 Cet article publié le 2 septembre 2026 par DataBreachToday relate une décision de la Commission irlandaise de protection des données (DPC) à l’encontre du Health Service Executive (HSE), le service national de santé irlandais. 🏥 Contexte de l’incident : En octobre 2023, des individus ont pénétré dans le sous-sol de St. Loman’s Hospital (Comté de Westmeath), un ancien hôpital psychiatrique contaminé à l’amiante, et ont découvert des dossiers médicaux de santé mentale en décomposition. Le mois suivant, un accès similaire a été constaté dans un établissement infesté de moisissures dans le Comté de Donegal. Des vidéos de ces intrusions ont été diffusées sur les réseaux sociaux, révélant publiquement la présence de ces archives. ...

🗓️ Contexte Le 2 août 2026, le gouvernement du Liechtenstein a publié un communiqué officiel annonçant une intrusion non autorisée dans le système VwbP (Verzeichnis wirtschaftlich berechtigter Personen), le registre national des bénéficiaires économiques, géré dans le cadre de la lutte contre le blanchiment d’argent et le financement du terrorisme. 🔍 Déroulement de l’incident Nuit du 30 juillet 2026 : un acteur inconnu accède illégalement au système VwbP. Journée du 30 juillet 2026 : l’Office de justice détecte des irrégularités et contacte l’Office informatique. Immédiatement : mesures de sécurisation des données et déconnexion du système du réseau. 31 juillet 2026 : le gouvernement est informé d’une attaque potentiellement réussie. 1er août 2026 (après-midi) : premiers résultats confirmés transmis au gouvernement. 💥 Impact Copies de données exfiltrées concernant environ 31 000 entités juridiques (sociétés, fondations, fiducies). Les données concernent les bénéficiaires économiques de ces entités (personnes physiques). Aucune modification ni suppression de données dans le système n’a été constatée à ce stade. Le registre est temporairement inaccessible aux utilisateurs externes via le site llv.li. 🏛️ Réponse institutionnelle Une cellule de crise a été constituée le soir du 1er août 2026, formellement confirmée le 2 août 2026. Dirigée par la Première ministre Brigitte Haas et le ministre de la Justice Emanuel Schädler. L’incident est qualifié de violation de données à caractère personnel au sens de l’Art. 33 RGPD. Notification aux personnes concernées prévue conformément à l’Art. 34 RGPD. Un point de contact dédié a été mis en place : vwbpfragen@llv.li. 📋 Type d’article Communiqué officiel gouvernemental annonçant un incident de sécurité confirmé, visant à informer le public et les parties prenantes de la violation de données et des mesures de réponse engagées. ...

🔍 Contexte Publié le 22 juillet 2026 par Dark Reading, cet article relaie une recherche publiée par Jscrambler portant sur le comportement de pixels de tracking intégrés dans les sites web d’institutions financières européennes et américaines. 📊 Constatations principales Jscrambler a documenté 14 cas impliquant des établissements financiers dont les sites web déclenchent des technologies de tracking transmettant des données personnelles à des tiers, parfois avant tout choix de consentement, parfois après refus explicite des cookies. ...

📋 Contexte : Le Garante per la protezione dei dati personali (autorité italienne de protection des données) a publié le 16 juillet 2026 sa newsletter n°549 détaillant plusieurs décisions récentes, dont une sanction majeure contre l’opérateur télécom Wind Tre Spa. 🔓 Incident Wind Tre : L’autorité a infligé une amende de 1 715 600 euros à Wind Tre Spa pour de graves carences dans la sécurité de ses systèmes. Deux accès non autorisés ont été réalisés par des attaquants se faisant passer pour des techniciens d’assistance (ingénierie sociale / pretexting), convainquant des opérateurs de points de vente d’accorder l’accès aux systèmes internes. ...

📋 Contexte Source : CNIL (cnil.fr), délibération n°SAN-2026-009 du 21 juillet 2026, publiée le 3 septembre 2026. La CNIL a prononcé une sanction administrative de 500 000 € à l’encontre de l’Hôpital Privé de la Loire à la suite d’une violation de données massives survenue au cours de l’été 2025. 🎯 Nature de l’incident Un attaquant non identifié a accédé au Dossier Patient Informatisé (DPI) de l’établissement, qui centralise l’ensemble des données des personnes prises en charge. L’accès a permis l’exfiltration des données de : ...

📰 Source : BleepingComputer — Date : 17 juin 2026 Google a notifié ses annonceurs qu’à partir du 3 août 2026, les adresses IP collectées via ses tags clients, SDK, appels HTTP et uploads seront utilisées à des fins de mesure et de personnalisation publicitaire dans l’Espace Économique Européen (EEE), le Royaume-Uni et la Suisse. 🔄 Ce qui change Jusqu’à présent, ces adresses IP étaient utilisées uniquement pour le routage du trafic et la diffusion des publicités. Le changement porte sur la finalité : elles serviront désormais à identifier des appareils pour la personnalisation, ce qui déclenche des obligations de consentement sous le droit britannique et européen. ...