Données personnelles : les principales actualités de l’été 2026

L’été 2026 aura été riche en matière de protection des données personnelles. Plusieurs textes, décisions et prises de position intervenus au cours des dernières semaines témoignent d’une évolution des enjeux de conformité auxquels sont confrontés les organismes publics comme les entreprises.

Si le RGPD demeure le socle de cette réglementation, les sujets se déplacent progressivement vers des problématiques plus opérationnelles : sécurité des systèmes d’information, recours au cloud, choix et contrôle des sous-traitants, décisions automatisées, gouvernance de la protection des données et développement de l’intelligence artificielle.

Plusieurs de ces évolutions présentent un intérêt particulier pour les acteurs du secteur de la santé, compte tenu de la sensibilité des données traitées et du recours croissant aux solutions numériques et aux technologies d’intelligence artificielle.

Nous revenons sur les actualités les plus significatives de l’été 2026.

Cloud et données sensibles : le référentiel SecNumCloud 3.2 entre dans le cadre réglementaire

L’arrêté du 12 août 2026 portant approbation du référentiel d’exigences relatif aux prestataires de services d’informatique en nuage approuve la version 3.2 du référentiel SecNumCloud.

Ce texte s’inscrit dans le prolongement de l’article 31 de la loi du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique (SREN) et du décret du 14 avril 2026.

Le dispositif concerne les services de l’Etat, les opérateurs de l’Etat et les groupements d’intérêt public lorsqu’ils recourent à des prestataires privés de services d’informatique en nuage pour traiter certaines données qualifiées de « sensibilité particulière ».

Sont notamment visées les données dont la violation pourrait porter atteinte à l’ordre public, à la sécurité publique, à la santé ou à la vie des personnes, ou encore à la protection de la propriété intellectuelle.

Une exigence de qualification pour les prestataires concernés

L’arrêté prévoit que la conformité d’un service d’informatique en nuage aux exigences du référentiel est attestée par une qualification délivrée par l’Agence nationale de la sécurité des systèmes d’information (« ANSSI ») ou par une certification européenne ou d’un Etat partie à l’Espace économique européen reconnue comme équivalente par l’ANSSI.

L’arrêté est entré en vigueur le 15 août 2026.

Cette évolution mérite d’être distinguée d’une simple mise à jour technique du référentiel SecNumCloud. Le référentiel est désormais expressément intégré dans un dispositif réglementaire applicable à certaines catégories de données publiques sensibles.

Pour les acteurs publics concernés, le choix d’une solution cloud ne relève donc plus uniquement d’une analyse technique ou contractuelle : il peut également devenir une condition réglementaire de recours au prestataire.

Un enjeu particulier pour les données de santé

La référence expresse à la santé et à la vie des personnes présente un intérêt particulier pour les acteurs du secteur sanitaire et médico-social.

Les établissements et organismes publics amenés à externaliser le traitement de données sensibles devront ainsi intégrer les exigences de sécurité et de qualification applicables à leur analyse de leurs solutions cloud.

Cette évolution s’inscrit plus largement dans le mouvement de renforcement des exigences de souveraineté, de sécurité et de maîtrise des dépendances technologiques dans le traitement des données publiques sensibles.

Décisions automatisées : une sanction de près de 825 millions d’euros à l’encontre d’une plateforme de VTC

Le 24 août 2026, l’autorité néerlandaise de protection des données a, en coopération avec la CNIL, prononcé une amende de 824 990 000 euros à l’encontre des sociétés exploitant une importante plateforme internationale de mise en relation entre chauffeurs VTC et utilisateurs.

La sanction porte notamment sur des décisions individuelles automatisées concernant les chauffeurs de la plateforme.

L’affaire trouve son origine dans une plainte collective déposée en 2020 par la Ligue des droits de l’Homme, représentant plus de 170 chauffeurs. Le dossier concernait notamment l’information des personnes, les transferts de données personnelles hors de l’Union européenne et les décisions automatisées de désactivation des comptes.

Des désactivations de comptes considérées comme des décisions automatisées

L’autorité néerlandaise a notamment considéré que les désactivations temporaires ou définitives des comptes de chauffeurs en cas de suspicion de fraude ou de notation insuffisante constituaient des décisions individuelles automatisées, en raison de l’absence totale d’intervention humaine dans le processus de décision.

Ces décisions étaient susceptibles d’avoir des conséquences significatives pour les chauffeurs concernés, ceux-ci ne pouvant plus utiliser la plateforme et générer de revenus.

L’affaire illustre ainsi concrètement les enjeux liés à l’article 22 du RGPD, qui encadre les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant de manière significative une personne.

Un enjeu qui dépasse les seuls systèmes d’intelligence artificielle

La portée de cette décision dépasse le seul cas de cette plateforme de VTC.

Elle rappelle que les organisations doivent identifier les traitements dans lesquels un algorithme intervient directement dans la décision prise à l’égard d’une personne, notamment lorsqu’il s’agit de scoring, de détection de fraude, de notation, de contrôle ou d’accès à un service.

La question de l’intervention humaine doit alors être examinée avec une attention particulière.

Pour les acteurs de la santé, cette problématique peut notamment se poser avec le développement d’outils de décision automatisée, de systèmes de scoring ou de solutions intégrant des mécanismes d’intelligence artificielle.

Publication de données personnelles : la CJUE précise les exigences de proportionnalité du RGPD

Par un arrêt du 14 juillet 2026, la Cour de justice de l’Union européenne (« CJUE »), réunie en grande chambre, apporte plusieurs précisions importantes sur l’application du RGPD à la publication en ligne de données relatives à des sanctions antidopage.

L’affaire concernait la publication, par des organismes nationaux antidopage, du nom de sportifs sanctionnés, de la durée de leur interdiction de participer à des compétitions et des motifs de cette sanction.

La Cour confirme tout d’abord que les traitements de données réalisés dans le cadre de la lutte contre le dopage ne sont pas, du seul fait de leur rattachement à une compétence nationale, exclus du champ d’application du RGPD.

Des données qui ne sont pas systématiquement des données de santé

L’arrêt apporte également une précision intéressante sur la qualification de « données concernant la santé » au sens de l’article 9 du RGPD.

Les informations relatives à une violation des règles antidopage ne constituent pas, par principe, des données de santé. Elles peuvent toutefois le devenir lorsque la substance ou la méthode interdite est identifiée et que cette information, combinée à d’autres éléments concernant la personne, permet de révéler des informations sur son état de santé passé, présent ou futur.

Cette distinction peut présenter un intérêt au-delà du seul domaine sportif, notamment pour les organismes amenés à déterminer si certaines informations doivent bénéficier du régime renforcé applicable aux données de santé.

La publication nominative doit rester proportionnée

La CJUE examine surtout la compatibilité avec le RGPD de la publication sur Internet de l’identité des sportifs sanctionnés.

Elle reconnaît que cette publication peut répondre à un objectif d’intérêt général, notamment en contribuant à prévenir le dopage et à assurer l’effectivité des sanctions. Elle souligne toutefois qu’une publication accessible au public, potentiellement à un nombre illimité de personnes, peut porter une atteinte importante aux droits des personnes concernées, notamment en raison du risque de stigmatisation et de la possibilité de reproduction durable des informations sur Internet.

La Cour en déduit que, lorsque la réglementation nationale ne garantit pas elle-même le respect du principe de proportionnalité dans chaque situation, les responsables du traitement doivent être en mesure de procéder à une mise en balance individuelle des intérêts en présence avant la publication.

La gravité des faits et la situation particulière de la personne concernée doivent notamment être prises en compte.

Une décision qui rappelle que la conformité au RGPD ne se résume pas à l’existence d’une base légale

Cet arrêt illustre ainsi une exigence essentielle du RGPD : l’existence d’une base juridique ne suffit pas nécessairement à justifier, à elle seule, un traitement de données personnelles.

Le responsable du traitement doit également s’interroger sur la nécessité et la proportionnalité du traitement au regard de sa finalité et des conséquences concrètes pour les personnes concernées.

Pour les acteurs de la santé, cette jurisprudence mérite une attention particulière dès lors que des données personnelles sont susceptibles d’être rendues publiques, notamment lorsque ces données peuvent révéler, directement ou indirectement, des informations relatives à l’état de santé d’une personne.

Violation de données : le piratage du système d’information de la DGFiP rappelle l’importance de la sécurité

Le 14 août 2026, le ministère de l’Economie et des Finances a indiqué que le système d’information de la Direction générale des Finances publiques (« DGFiP ») avait été affecté par une violation de données.

La CNIL a été notifiée de cette violation et indique avoir été saisie du dossier.

Les informations concernées comprennent notamment des données fiscales relatives aux particuliers et aux professionnels, ainsi que des données cadastrales. La CNIL précise notamment que les informations concernées comprennent le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source, certaines informations relatives aux entreprises ainsi que des données cadastrales telles que les adresses et surfaces des biens immobiliers.

Une illustration concrète des obligations liées aux violations de données

Au-delà de l’incident lui-même, cette affaire rappelle l’importance des obligations prévues par le RGPD en matière de sécurité des données personnelles et de gestion des violations de données.

Les organismes doivent notamment être en mesure d’identifier rapidement une violation, d’en évaluer les conséquences et, lorsque les conditions sont réunies, de la notifier à l’autorité de contrôle dans les délais prévus par le RGPD.

La gestion d’une violation de données ne peut donc pas être réduite à une réponse technique à l’incident. Elle implique également une organisation juridique et opérationnelle, associant notamment les équipes informatiques, la direction, le DPO et, le cas échéant, les conseils externes.

Pour les établissements de santé, ces enjeux sont d’autant plus importants.

DPO : la CNIL précise les risques de conflits d’intérêts

Le 10 août 2026, la CNIL a publié des précisions concernant l’identification et la gestion des conflits d’intérêts liés à la fonction de délégué à la protection des données. Un sujet qui peut poser question dans de nombreux organismes.

Le RGPD n’interdit pas au DPO d’exercer d’autres fonctions au sein de l’organisme qui l’a désigné. Toutefois, les missions complémentaires qui lui sont confiées ne doivent ni faire obstacle à l’exercice de ses fonctions de DPO ni le placer dans une situation de conflit d’intérêts.

Une vigilance particulière sur les fonctions décisionnelles

La question est notamment de déterminer si les fonctions complémentaires confiées au DPO conduisent celui-ci à déterminer les finalités ou les moyens des traitements de données personnelles qu’il est ensuite chargé de contrôler en tant que DPO.

La CNIL rappelle également que le cumul de fonctions ne doit pas priver le DPO du temps nécessaire à l’exercice effectif de ses missions.

Cette publication constitue un rappel utile pour les organismes qui ont recours à un DPO à temps partiel ou qui confient à leur DPO des responsabilités complémentaires.

La question peut donc notamment se poser lorsque les fonctions de DPO sont exercées parallèlement à des responsabilités dans les domaines informatique, juridique, conformité ou sécurité des systèmes d’information.

Les organisations concernées ont donc intérêt à documenter l’analyse de compatibilité des fonctions exercées par leur DPO et, le cas échéant, à mettre en place les mesures permettant de prévenir les conflits d’intérêts.

Intelligence artificielle : la CNIL poursuit ses travaux sur la traçabilité des modèles

L’intelligence artificielle demeure également au cœur des travaux de la CNIL.

Le 26 août 2026, la CNIL a publié une nouvelle version de son démonstrateur Genmod, consacré à la généalogie des modèles d’intelligence artificielle publiés en source ouverte.

Les modèles d’IA peuvent en effet être téléchargés, modifiés, spécialisés à partir de nouvelles données ou combinés avec d’autres modèles, avant d’être à nouveau mis à disposition. Un modèle peut ainsi être à l’origine de nombreux modèles dérivés.

L’outil permet d’explorer ces liens et d’identifier les modèles dont un modèle donné provient ainsi que ceux auxquels il a contribué.

La traçabilité devient un enjeu de conformité

Cette initiative illustre un enjeu croissant pour les acteurs qui développent ou utilisent des systèmes d’IA : identifier la provenance des modèles, comprendre leur chaîne de développement et documenter les conditions dans lesquelles ils ont été élaborés et réutilisés.

Pour les acteurs de la santé, ces questions prennent une importance particulière lorsque les systèmes d’IA sont susceptibles de traiter des données personnelles ou d’être utilisés dans des contextes impliquant des données de santé.

La conformité ne peut alors être appréhendée uniquement au regard du fonctionnement du système final. Elle suppose également de s’intéresser à son environnement technique, aux données utilisées et aux différents acteurs intervenant dans son développement.

Le renouvellement du Collège de la CNIL

Depuis le 2 août 2026, cinq nouveaux membres ont rejoint le Collège de la CNIL, dans le cadre d’un renouvellement partiel.

Marie-Luce Cavrois, Marion Fourtune, Arnaud Latil, Benjamin Nguyen et Éric Thiers succèdent respectivement à cinq membres dont les mandats sont arrivés à échéance.

Les nouveaux membres présentent des profils complémentaires dans les domaines judiciaire, associatif, universitaire, informatique et du droit public. Parmi eux, Arnaud Latil dispose notamment d’une expertise dans le domaine de l’intelligence artificielle et Benjamin Nguyen dans ceux de la protection des données personnelles, de l’anonymisation et de la sécurité des systèmes d’information.

Ce renouvellement intervient alors que la CNIL poursuit ses travaux sur des sujets structurants tels que l’intelligence artificielle, la cybersécurité, les données de santé et les nouvelles pratiques numériques.

Vous avez des questions sur l’un de ses sujets ? contactez-nous : contact@vigier-avocats.com