Les Actualités RGPD du mois de juillet 2025
Les principales actualités du mois
Nos experts en protection des données ont réalisé pour vous un condensé des actualités récentes dédiées aux risques numériques, en RGPD et en cybersécurité. Au sommaire de ce mois de juin 2025 :
- La CNIL donne son avis sur l’utilisation des caméras augmentées dans les bureaux de tabac.
- Opération bancaire frauduleuse : contrôle de l’existence d’un appel lors de l’utilisation de l’application bancaire
- Fuite massive de données, parmi les plus graves de l’histoire du Royaume-Uni
- Retour sur les dernières cyber attaques
- Une nouvelle sanction de la CNIL
1. La CNIL donne son avis sur l’utilisation des caméras augmentées dans les bureaux de tabac.
Des dispositifs de caméras “augmentées” qui permettent d’établir l’âge des personnes sont utilisés dans certains bureaux de tabac avant toute vente de produits interdits aux mineurs. L'intelligence artificielle est utilisée dans ce dispositif qui scanne le visage de la personne.
La CNIL a analysé les enjeux de ce dispositif et a précisé que ce n’était pas conforme.
Le visage analysé par les caméras correspond à un traitement de données personnelles et doit respecter les principes du RGPD pour être mis en œuvre. En effet, l’usage de ce dispositif doit être nécessaire et proportionné au regard de la finalité poursuivie. Les buralistes doivent vérifier si les clients sont majeurs avant la vente de tabac ou d’alcool. Toutefois, l’usage de ce dispositif ne permet pas de déterminer avec certitude l’âge du client.
De plus, selon la CNIL, le dispositif apparaît disproportionné : d'une part toutes les personnes sont filmées et notamment celles majeures et d'autre part les personnes ne peuvent pas s’opposer au traitement.
Découvrir notre accompagnement en RGPD
2. Opération bancaire frauduleuse : contrôle de l’existence d’un appel lors de l’utilisation de l’application bancaire
Afin de lutter contre les fraudes par manipulations, certaines banques ont décidé de mettre en place des mesures. Tout d’abord des actions de sensibilisation mais pas que, également adopter un dispositif qui permet de détecter si une personne est en appel téléphonique au moment d’une opération bancaire (virement bancaire ou ajout d’un bénéficiaire).
L’objectif est de reconnaître lorsqu’une victime est potentiellement sous l’emprise d’un fraudeur, afin de déclencher une alerte ou interrompre l’opération immédiatement.
Pour se faire, les banques souhaitent pouvoir accéder aux informations liées aux appels téléphoniques de leurs clients et détecter si un appel est en cours lorsque le client utilise son application bancaire. La banque calcule ainsi un score de risque en temps réel. Si le score dépasse un seuil, la banque peut agir en affichant une alter ou bloquer l’opération pour alerter d’une fraude. Toutefois, aucun enregistrement des appels téléphoniques ne doit être réalisé, seulement une détection de l’appel.
|
|
Ce dispositif vise à protéger les utilisateurs mais également la banque qui peut conserver les informations afin de vérifier ultérieurement si le client a été victime d’une escroquerie suite à une négligence grave, ce qui pourrait la dispenser de son obligation de remboursement.
Comment garantir la protection des données personnelles
et stratégiques (RGPD) ?
L’accès à l’application bancaire ne doit pas être refusé à l’utilisateur dans le cas où il ne donne pas son consentement. Uniquement les fonctionnalités exposées à la fraude peuvent lui être limitées, toutefois, elles doivent être accessibles via d’autres canaux (site internet, par agence…).
La CNIL précise que le consentement doit être recueilli lors de l'utilisation de l’application et non lors de son installation.
Enfin, les personnes doivent pouvoir retirer leur consentement aussi facilement qu’elles l’ont donné et doivent pouvoir s’opposer à la conservation de leurs données personnelles.
3. Fuite massive de données, parmi les plus graves de l’histoire du Royaume-Uni
La presse britannique a révélé le mardi 15 juillet, l’existence d’une fuite massive de données.
En février 2022, les informations personnelles d’environ 19 000 Afghans, qui demandaient l’asile au Royaume-Uni après avoir travaillé pour les autorités britanniques, avaient fuité. Leurs noms et coordonnées avaient été divulgués, ainsi que l’identité de membres de leur famille à cause d’une erreur d’un responsable britannique travaillant pour le ministère de la défense.
Dans une autre affaire, le ministère de la défense britannique s’était vu infliger en 2023 une amende de plus de 400 000 euros pour avoir diffusé par erreur les données de 265 interprètes afghans ayant travaillé pour les forces britanniques. De plus, en septembre 2021, le ministère avait envoyé un courrier à 245 Afghans voulant s’installer au Royaume-Uni. Les adresses mails de tous les destinataires étaient visibles (n’étaient pas mises en copie cachée).
Découvrez notre guide des bonnes pratiques RGPD
FOCUS SUR LES DERNIERES CYBERATTAQUES PUBLIEES
Clinique privée à Saint-Etienne : 126 000 patients concernés par la cyberattaque
La clinique de Saint-Etienne a subi une cyberattaque et des données de plus de 126 000 patients ont été volées. Le fonctionnement de l’établissement n’a pas été impacté et il n’y a eu aucun incident sur la prise en charge des patients. Suite à cette cyberattaque, les patients ont été informés des données qui ont été dérobées : ce sont principalement des données administratives. 40 d’entre eux sont concernés par le vol de données médicales.
Louis Vuitton UK victime d’une cyberattaque
Selon les premières informations, un pirate a été en mesure de pénétrer dans les systèmes de la marque afin de hacker des informations telles que les noms, les coordonnées et l’historique des achats des clients. L’enseigne a indiqué à ses clients via un email que des tentatives d’hameçonnage, de fraude ou l’utilisation non autorisée des informations recueillies pouvaient se produire. Pour le moment, aucune donnée financière, telle que les coordonnées bancaires, n’ont été consultées.
Il y a quelques jours la branche sud-coréenne de Louis Vuitton avait également été attaquée, des informations personnelles incluant noms, prénoms, adresses postales, numéros de téléphone et e-mails étaient entre les mains des cybercriminels.
Depuis plusieurs mois, les attaques informatiques visant les enseignes de distributions se sont multipliées.
Découvrir notre accompagnement en cybersécurité
Une nouvelle sanction de la CNIL
Shein sous la menace d’une amende record de 150 millions d’euros
La CNIL a requis une amende de 150 millions d’euros à l’encontre du géant de commerce en ligne pour non-respect de la législation sur les cookies.
La commission rapporte “plusieurs manquements à ses obligations prévues par la loi”, concernant les fichiers informatiques utilisés pour tracer la navigation des internautes et leur proposer des publicités ciblées, notamment en matière de “consentement des utilisateurs” et de respect de ce consentement.
Un premier contrôle avait eu lieu le 10 août 2023 et a révélé que le site plaçait “des cookies publicitaires sans recueillir le consentement des utilisateurs” ou avec “un mode de recueil du consentement qui prêtait à confusion”. La CNIL avait pointé le fait que la société avait les moyens humains et techniques de se mettre en conformité.
Comment être en conformité RGPD ?
Le géant a contesté l’analyse faite par la CNIL en indiquant que le modèle économique de Shein “ne repose pas sur les données personnelles”, mais sur “les vêtements”. La CNIL a indiqué en rétorqué “qu’il faut prendre en compte l’entièreté” de l’économie du groupe “car c’est Shein maison mère qui tire bénéfice de ces publicités”.
Si la CNIL inflige les 150 millions d’euros d’amende à Shein, il s’agirait d’un quasi record. Seul Google en 2022 a écopé d’une telle sanction par la CNIL, également à cause de pratiques concernant les cookies.
Notre accompagnement dédié aux risques numériques
Découvrez nos solutions :
Découvrez nos filiales spécialisées :
Oppida
Oppida
LSTI
LSTI
SixFoisSept
SixFoisSept
[Guide] Les bonnes
pratiques RGPD
Découvrez notre guide pratique pour vous accompagner dans la mise en place de votre conformité RGPD !