Les Actualités RGPD du mois d'octobre 2025

Nos experts en protection des données ont réalisé pour vous un condensé des actualités récentes dédiées aux risques numériques, en RGPD et en cybersécurité. Au sommaire de ce mois d’octobre 2025 :

1. Précisions de la CNIL sur les programmes de fidélité
2. IA : Comment s’opposer à la réutilisation des données personnelles pour l'entraînement des agents conversationnels ?
3. Transferts de données UE-Royaume-Uni : l'adéquation prolongée
4. La CNIL prononce 16 nouvelles sanctions
5. Retour sur les dernières cyberattaques

Pour LinkedIn par exemple, connectez vous sur votre compte.

• Rendez-vous dans “Préférences” du compte puis, dans  l’onglet “Confidentialité des données” et ”Utiliser mes données pour entraîner des modèles d’IA de création de contenu”.

Vous pouvez également vous opposer à la réutilisation de vos données personnelles via un formulaire d’opposition proposé par LinkedIn. 

Source : La CNIL

Dans le cadre de sa procédure simplifiée, la CNIL a sanctionné seize entités pour un montant de 108 000 euros.

Les sanctions portent principalement sur :

• l’usage de dispositifs vidéo : deux sanctions ont été prononcées pour usage abusif de la vidéosurveillance, un établissement hospitalier et une société pharmaceutique ont été sanctionnés pour avoir filmé l'accès à un local syndical. Ceci constitue un non-respect du principe de minimisation des données (RGPD, art. 5.1.c). La CNIL rappelle que les caméras de vidéosurveillance installées dans les lieux de travail, qu’ils soient ouverts ou non au public, doivent respecter la vie privée des salariés ;
• l’obligation de recueillir le consentement des personnes pour les opérations de prospection commerciale par voie électronique : La CNIL a sanctionné une entreprise pour non-respect de l'obligation de recueillir un consentement valable pour la prospection commerciale électronique. Cette société utilisait les données de participants à des jeux concours, les partageant ensuite avec ses clients pour des démarches commerciales. Le problème majeur résidait dans la conception du formulaire : l'option d'accepter les offres promotionnelles était si mise en évidence qu'elle induisait les participants en erreur, leur faisant croire que c'était obligatoire pour valider leur participation. Par conséquent, le consentement obtenu n'était pas un choix libre et éclairé, ce qui constitue une violation, notamment de l'article L.34-5 du Code des postes et des télécommunications ;
• le défaut de coopération avec la CNIL : Dix des seize sanctions prononcées par la CNIL étaient dues à un manque de coopération de la part des organismes concernés. Des avocats, des médecins et diverses sociétés n'ont pas répondu aux demandes de l'autorité, qu'il s'agisse de l'instruction de plaintes ou des suites de contrôles. Ces refus de collaborer, malgré plusieurs relances, constituent une violation de l'article 18 de la loi Informatique et Libertés, qui impose aux entités de faciliter la mission de la CNIL et de ne pas s'opposer à son action.

Source : La CNIL

Jaguar Land Rover reste paralysé, Londres débloque 1,5 milliard d’aide d’urgence

Jaguar Land Rover est à l'arrêt forcé depuis fin août 2025. Une cyberattaque a mis hors ligne les systèmes informatiques du constructeur britannique, filiale de l'indien Tata Motors, paralysant entièrement la production dans ses usines. Plus d'un mois après, cette crise inédite continue : les chaînes d'assemblage sont bloquées et des milliers d'employés n'ont toujours pas accès à leurs outils de travail.

Les répercussions financières de la crise sont considérables, avec des pertes estimées à 50 millions de livres sterling (environ 57 millions d’euros) par semaine. L'impact s'étend à toute la chaîne d'approvisionnement : des centaines de PME sous-traitantes subissent des interruptions de leurs flux financiers.

L'attaque a été revendiquée par un groupe de hackers sur Telegram. Ils auraient exploité des vulnérabilités dans des applications internes et compromis des comptes pour s'introduire dans les systèmes.

Pour stabiliser la situation, le gouvernement britannique est intervenu en accordant une garantie de prêt de 1,5 milliard de livres sterling (environ 1,7 milliard d'euros) afin de sécuriser l'industrie automobile. Une enquête est en cours, menée en coopération avec le National Cyber Security Centre (NCSC), l’équivalent britannique de l’Agence nationale de la sécurité des systèmes d’information (ANSSI).

Source : L’Usine Digitale

Une cyberattaque touche l’hôpital de Pontarlier, son système informatique à l’arrêt

Le Centre hospitalier intercommunal de Haute-Comté (CHIC) a été paralysé par une cyberattaque de type rançongiciel dans la nuit du 18 au 19 octobre, entraînant le chiffrement d'une partie de ses données.

La direction a immédiatement mis à l'arrêt l'intégralité de son système informatique (logiciels, messagerie, etc.) et a dû revenir aux procédures papier, malgré une simulation d'attaque menée le mois précédent. Bien que la continuité et la sécurité des soins aient été maintenues, les serveurs de l'établissement étant compromis, le CHIC devra migrer vers une nouvelle infrastructure.

Une enquête a été ouverte suite au dépôt de plainte, et l'établissement travaille en collaboration avec l’ANSSI, l’ARS Bourgogne-Franche-Comté et l’Agence du numérique en santé pour gérer cette crise.

Par ailleurs, pour renforcer la sécurité du secteur, la Commission européenne a récemment lancé un plan d'action (doté de 30 millions d'euros) visant à créer des services d'alerte, de soutien et de réaction post-incident, via notamment l'agence l’agence européenne de cybersécurité (Enisa).

Source : L’Usine Digitale

Une cyberattaque majeure touchant des lycées publics des Hauts-de-France

Une cyberattaque par rançongiciel a frappé 80 % des lycées publics des Hauts-de-France, le vendredi 10 octobre. Les hackers réclamaient une rançon en échange de données sensibles. Bien que l'Environnement Numérique de Travail (ENT) n'ait pas été touché initialement, la Région a confirmé ultérieurement, le 16 octobre, que des données personnelles sensibles (concernant élèves, familles et personnels) avaient été dérobées.

Les élèves et enseignants sont actuellement contraints de travailler en mode dégradé, sans pouvoir utiliser le matériel informatique (ordinateurs, photocopieurs connectés) ou se connecter au réseau de l'établissement, ce qui exige une réadaptation complexe et immédiate des cours. 

Aucune date de retour à la normale n’a été pour le moment communiquée par la collectivité.

Le gang russe Qilin a été officiellement identifié par la Région comme l'auteur de l'attaque par rançongiciel. Ce groupe de cybercriminels a revendiqué sur le dark web avoir dérobé plus d'un téraoctet de données sensibles, comprenant notamment des copies de cartes d'identité, des passeports, des CV et des relevés de notes. Ce n'est pas la première fois que Qilin agit, le groupe ayant notamment été responsable l'année dernière d'une attaque contre Synnovis (société réalisant des analyses de sang et transfusions pour le compte du système de santé publique du Royaume-Uni (NHS), ayant indirectement conduit au décès d'un patient.

Plus récemment, le 15 octobre, Qilin a également revendiqué avoir ciblé la commune d'Elne, située dans les Pyrénées-Orientales et comptant 9000 habitants.

Source : L’Usine Digitale

➔ Je télécharge le guide des bonnes pratiques RGPD d'Apave

Découvrez nos solutions :