Les Actualités RGPD du mois de novembre 2025
Les principales actualités du mois
Nos experts en protection des données ont réalisé pour vous un condensé des actualités récentes dédiées aux risques numériques, en RGPD et en cybersécurité. Au sommaire de ce mois de novembre 2025 :
- Morts numériques : quelle procédure suivre ?
- L’impact de la monétisation des données personnelles
- Le Digital Omnibus : un projet controversé
- Retour sur les dernières cyberattaques
1. Morts numériques : quelle procédure suivre ?
L’article 85 de la Loi Informatique et Libertés (LIL) donne la possibilité pour les personnes concernées, de définir des directives relatives à la conservation, à l’effacement et à la communication de leurs données à caractère personnel après leur décès. Ces directives peuvent être particulières ou générales.
- Les directives particulières concernent un service en particulier (par exemple, un éditeur d’une plateforme en ligne) et doivent être communiquées directement à l’organisme concerné.
- Les directives générales sont comme un “testament” concernant les données personnelles. Elles doivent être transmises à un tiers de confiance (par exemple, un notaire). La personne peut modifier ou annuler ses directives à tout moment.
Les profils en ligne demeurent actifs s'il n'y a pas eu d'instructions données par l'utilisateur de son vivant ni de demande de suppression de la part des héritiers ou proches.
De nombreux services numériques offrent des fonctionnalités spécifiques vous permettant de paramétrer la gestion de votre compte de votre vivant, afin que vos souhaits soient respectés après votre décès. Certains services numériques majeurs, tels qu'Apple, Facebook ou Google, permettent à leurs utilisateurs de désigner un ou plusieurs contacts légataires. Si aucun contact légataire n'a été désigné, seuls les héritiers et ayants droit reconnus peuvent obtenir l'accès à certaines données du compte et demander des actions (comme la suppression ou la récupération).
Si aucune directive n’a été donnée avant le décès de la personne, alors le cadre général prévu par la LIL s’applique, dans ce cas les héritiers et proches peuvent :
- Clôturer les comptes utilisateurs du défunt ;
- S'opposer à la poursuite du traitement des données personnelles ;
- Demander la mise à jour des traitements de données ;
- Accéder aux informations et données personnelles utiles à la liquidation et au partage de la succession ;
- Recevoir la communication de biens numériques (musiques, vidéos) ou de données assimilables à des souvenirs de famille (si transmissibles).
Une personne qui s'estime lésée par la gestion des données d'un proche décédé (traitement, utilisation, etc.) peut saisir les tribunaux pour demander réparation du préjudice subi.
De même, les héritiers peuvent engager une action en justice si l'utilisation des données personnelles du défunt :
- Porte atteinte à sa mémoire, sa réputation ou son honneur.
- Cause un autre type de préjudice.
2. L’impact de la monétisation des données personnelles
Ces dernières années, des sujets autour de la monétisation des données personnelles ont émergé. On parle de “vente” de données provenant des entreprises privées, des travaux de recherche académiques, ou du secteur public.
Pour rappel la CNIL indique que cette monétisation ne relève d’aucun cadre légal puisqu’on ne peut pas renoncer à des droits sur ses données.
Il reste possible d’avoir un droit d’usage sur ses données : l’individu vend le droit d’usage de ses données à une entreprise si la valeur qu’il leur attribue est inférieure à ce que l’entreprise est prête à payer, cela créer un profil mutuel. Toutefois, à l’inverse l’individu refuse la cession si la valeur de ses données est supérieure à l’offre de l’entreprise.
La CNIL s’est posée la question de savoir si les individus sont à l'aise avec la monétisation de leur vie privée et à quel prix.
65% des répondants sont prêts à vendre leurs données. dont 28% privilégient une valorisation entre 10 et 30 euros mensuels. A l’inverse, 35% des individus ne veulent pas vendre leurs données.
Un croisement de données à été réalisé avec une enquête demandant aux Français s’ils étaient prêts à payer pour avoir des services en ligne sans publicité ciblées. 60% ne souhaitaient pas payer ni vendre leur données, peu importe le montant.
Au plus un individu déclare un montant élevé pour ses données, au plus il accorde une certaine importance à sa vie privée. Cela relève d’une mise en balance économique des risques et bénéfices. Le prix serait entre 1 et 100 euros et 71% sont prêts à vendre leur données dans cette fourchette de prix.
Selon l’article de Wernerfelt et al., 2022 "Estimating the value of offsite data to advertisers on Meta”, pour un prix de 5 euros, 20% des personnes pourraient vendre leur données avec 90% des entreprises qui les achèteraient.
Les 35% des répondants refusant la vente de leurs données, pourraient peut être accepté si la rémunération était suffisante et que le prix d’acceptation réel pourrait être inférieur à 40 euros. En Allemagne, 10 à 20% des individus refusaient de céder leurs données.
Ces données mettent en lumière la complexité du rapport des individus à la monétisation, oscillant entre un rejet de principe et une mise en balance du risque pour la vie privée, soulignant que la protection de la vie privée ne se limite pas uniquement à une question de prix.
Et vous seriez-vous prêt à vendre vos données personnelles ?
Comment être en conformité RGPD ?
Ce projet est controversé car les modifications envisagées touchent directement aux principes fondateurs du RGPD. Par exemple, l’extension du recours à l’intérêt légitime pour entraîner les modèles d’IA, avec des données personnelles ou la possibilité de traiter dans certains cas, des données sensibles afin de ne pas entraver le développement d’IA.
Le digital Omnibus permettrait d’améliorer la cohérence entre l’IA Act et les autres règlements existants, comme le RGPD. En simplifiant les chevauchements et les interactions entre les obligations de l'AI Act (concernant la classification des risques et les exigences de qualité des données) et les principes de protection des données, l’UE espère accélérer le développement de l’IA en offrant aux développeurs et aux entreprises, une meilleure prévisibilité juridique.
Le projet concerne aussi la définition d’une donnée personnelle. La Commission européenne s’inspire de la jurisprudence de la Cour de justice de l’Union Européenne sur les arrêts Breyer, Nowak et EDPS c. SRB. Une information ne devrait être considérée comme une donnée personnelle que si l’acteur qui la détient dispose de moyens raisonnablement susceptibles d’identifier la personne concernée. Ainsi, une même donnée pourrait être qualifiée de “personnelle” pour un acteur capable d’identifier la personne concernée, mais ne pas l’être pour un autre qui ne le peut raisonnablement pas.
Le risque principal de cette nouvelle définition est que la protection d’une même information ne soit plus uniforme et dépend de l’acteur. Une donnée serait "protégée" (qualifiée de personnelle) pour une grande entreprise ayant des ressources d'identification étendues, mais "non protégée" (non personnelle) pour une PME ou un tiers n'ayant pas ces moyens.
Ceci pourrait entraîner des situations où des acteurs estiment qu’ils n’ont pas les moyens internes afin d’identifier une personne, échappant ainsi aux obligations du RGPD.
Les audits de conformité devraient désormais non seulement examiner les données, mais aussi les ressources, les bases de données croisées et les capacités techniques de l'entreprise, rendant l'évaluation fastidieuse et subjective.
La portée du RGPD serait donc réduite pour une grande partie des données traitées par des acteurs moins puissants. Moins de données seraient qualifiées de "personnelles" par ces acteurs, entraînant moins d'obligations de sécurité, de transparence, de respect des droits d'accès ou d'effacement, ce qui affaiblit considérablement la protection globale des individus.
Ces assouplissements sont fortement critiqués par les ONG (comme noyb) qui y voient un risque majeur pour la vie privée des citoyens européens.
Sources : Commission Européenne, Solutions-Numériques
4. Retour sur les dernières cyberattaques
Pajemploi : victime d’un vol de données
Le service Pajemploi a été victime d’un vol de données personnelles des particuliers, employeurs et des salariés utilisant le service. Les données concernées sont le nom, prénom, date et lieu de naissance, adresse postale, numéro de sécurité sociale, nom de l’établissement bancaire, numéro d’agrément et numéro Pajemploi. Toutefois, aucun numéro de compte bancaire, adresse mail ou numéro de téléphone n’ont été dérobés.
Pajemploi a directement pris les mesures nécessaires lorsque l’incident a été identifié. Une plainte a été déposée et un signalement auprès de la CNIL et de l’ANSSI a été notifié.
Weda : paralysie du système et fuite de données
Weda est un éditeur de logiciel médical utilisé par les professionnels de santé dans la gestion de leurs consultations, facturation et leurs dossiers patients. Le logiciel a été visé par une cyberattaque le 10 novembre. 23 000 médecins ne pouvaient plus lire les données personnelles des patients, leurs antécédents, leurs ordonnances etc…. Une semaine plus tard, la situation n’est toujours pas revenue à la normale. Les données personnelles touchées sont le nom, prénom, adresse mail, numéro de téléphone, adresse postale et données de santé. Un mode dégradé du retour de la plateforme revient au fur et à mesure mais certaines fonctionnalités ne sont pas accessibles. De nombreux médecins ont dû utiliser le format papier.
Weda a envoyé un message aux clients, médecins et utilisateurs indiquant qu’ils devaient eux-mêmes faire la déclaration auprès de la CNIL considérant qu’ils sont responsables de traitement des données de patients. De plus, certains médecins ont averti leurs patients en indiquant quelques mesures à prendre en cas de réception de mail frauduleux.
Eurofiber : un incident de sécurité
Le 13 novembre, un incident de sécurité a été relevé chez Eurofiber concernant la plateforme de gestion des tickets utilisée par Eurofiber France et le portail client ATE (division cloud). Eurofiber est un fournisseur d’infrastructures numériques. Un acteur malveillant a exfiltré des données liées à ces plateformes. Dès les premières heures qui ont suivi l’incident, les vulnérabilités ont été corrigées et la sécurité renforcée. Les informations bancaires et les données critiques n’ont pas été touchées. Les services sont restés opérationnels tout au long de l’attaque. Eurofiber a informé les clients dès la détection de la cyberattaque. Une notification auprès de la CNIL a été faite ainsi qu’auprès de l’ANSSI. De plus, une plainte a été déposée.
Notre accompagnement dédié aux risques numériques
Découvrez nos solutions :
Découvrez nos filiales spécialisées :
Oppida
Oppida
LSTI
LSTI
SixFoisSept
SixFoisSept
[Guide] Les bonnes
pratiques RGPD
Découvrez notre guide pratique pour vous accompagner dans la mise en place de votre conformité RGPD !