Les Actualités RGPD du mois de juin 2025
Les principales actualités du mois
Nos experts en protection des données ont réalisé pour vous un condensé des actualités récentes dédiées aux risques numériques, en RGPD et en cybersécurité. Au sommaire de ce mois de juin 2025 :
- Interdiction du dispositif de vidéosurveillance près des écoles
- La double authentification obligatoire d’ici à 2026
- Les dernières informations relatives au démarchage téléphonique
- Procédures simplifiées par la CNIL : 10 sanctions prononcées
- Les dernières cyberattaques connues
1. Interdiction du dispositif de vidéosurveillance près des écoles pour la Mairie de Nice
La CNIL a imposé au maire de la ville de débrancher le dispositif de vidéosurveillance devant les écoles de la commune. La ville multiplie l’utilisation des algorithmes dans la gestion des flux d’images.
Depuis 2020, les images reçues des caméras filmant les écoles sont analysées et une alerte se déclenche lorsqu’un véhicule y stationne plus de 5 minutes. Cela permet aux patrouilles de se rendre sur les lieux directement.
Ainsi, le 20 mai 2025, la CNIL a demandé à la commune de désactiver ce dispositif car celui-ci ne respecte pas le principe de “réduire l’analyse des personnes sur la voie publique au strict minimum”.
Selon le maire, la décision est disproportionnée et peut mettre en danger la sécurité des enfants. Il a donc décidé de saisir le Conseil d'État et de lancer une pétition pour modifier le cadre réglementaire afin de rebrancher le dispositif pour septembre.
La ville dispose également de dispositifs similaires, comme par exemple pour lutter contre le stationnement sur les pistes cyclables ou pour repérer les dépôts sauvages de déchets qui encombrent la voie publique et collecte les plaques d’immatriculation qui déposent ces déchets.
2. La CNIL va rendre obligatoire la double authentification d’ici à 2026
Beaucoup de cybermenaces se sont accrues ces dernières années et des solutions sont développées pour y faire face. Pour cela, la CNIL a publié une recommandation relative à l’authentification multifacteur (dite “MFA”) afin de mieux protéger ses données personnelles.
Découvrir notre accompagnement en RGPD
La double authentification est déjà obligatoire dans certains secteurs tels que :
- Les services bancaires et paiements en ligne (imposée par la Directive sur les Services de Paiement 2 de 2019),
- Le secteur de la santé (avec les services comme Pro Santé Connect)
- Le secteur public et la défense.
Pour rappel, la double authentification est une méthode de sécurité exigeant qu’un utilisateur prouve son identité de deux façon différentes pour accéder à son compte ou à un service. (Une couche de sécurité supplémentaire). Cette méthode de double authentification empêche le pirate de se connecter au compte de l’utilisateur sans le second facteur d’authentification. Par exemple, il suffit de se connecter à votre compte avec un identifiant et un mot de passe habituel (“facteur de connaissance”) , puis le système demande une seconde preuve d’identité soit par un code envoyé par SMS ou une notification sur votre téléphone mobile qui demande de valider l’opération (“facteur de possession”).
L’objectif de la recommandation publiée par la CNIL est de permettre une sécurisation des données par le biais d’une solution sécurisée et d'encourager les fournisseurs à intégrer le principe de Privacy by design (principe qui intègre la protection des données dès la conception du produit). Elle est destinée aux professionnels de tous secteurs - y compris public - ainsi qu’aux DPO et aux Responsables Sécurité des Systèmes d’Information (RSSI).
Ainsi, dès 2026, les accès à distance aux bases de données à grande échelle vont devoir disposer d’une double authentification pour permettre l’accès au produit ou service, en supplément du mot de passe habituel de connexion. L’autorité a estimé que 80% des violations de données auraient pu être évitées si cette mesure de sécurité était mise en œuvre.
Télécharger notre cartographie des données personnelles
3. Les dernières informations sur le démarchage téléphonique
Une proposition de loi a été déposée venant renforcer la protection des consommateurs face aux démarchages téléphoniques incessants. L’objectif étant d’interdire le démarchage téléphonique sauf si le consommateur a donné son consentement au préalable. De plus, les numéros de téléphone fixes n'apparaîtront plus dans les annuaires.
La loi “Hamon” de 2014 et la loi “Naegelen” de 2020 encadrent à ce jour le démarchage téléphonique et visent à lutter contre les appels frauduleux. Ces lois viennent renforcer l’opposition a posteriori du consommateur et reposent sur 3 règles :
- celle relatives aux consommateurs avec l’inscriptions sur la liste BLOCTEL : ce dispositif est encore peu utilisé (9% des consommateurs y sont inscrits) et ne protège pas suffisamment des appels récurrents ;
- celle relative aux horaires et fréquences d’appels ;
- et celle dédiée au contenu des appels.
Le projet de loi en cours vise à modifier ce principe de consentement a posteriori. A partir de 2026, les professionnels vont devoir recueillir le consentement préalable et explicite des consommateurs qui souhaitent être démarchés. Ils devront prouver que le consentement a été recueilli. Toutefois, cette interdiction ne s’applique pas si l’appel relève d’un contrat en cours. Les professionnels du secteur de la vente et de la livraison alimentaire ne seraient pas concernés par cette interdiction. En revanche, en ce qui concerne le compte professionnel de formation et la rénovation énergétique, c’est une interdiction absolue de démarchage.
Une amende de 182 917 euros a été prononcée à l’encontre d’une SAS (Société par Actions Simplifiée) pour avoir démarché les personnes inscrites sur la liste d’opposition au démarchage téléphonique BLOCTEL.
4. Procédures simplifiées par la CNIL : 10 sanctions prononcées
L’autorité de contrôle a prononcé 10 nouvelles sanctions depuis le début de l’année, pour :
- absence de minimisation des données,
- aucune information des personnes concernées,
- durées de conservation excessives,
- manque de coopération ainsi que des manquements relatifs à la sécurité et violation de données.
Le cumul des sanctions s’élèvent à 104 000 d’euros.
6 sanctions concernent la surveillance des salariés, soit par vidéosurveillance soit par géolocalisation des véhicules des salariés. Par principe, aucune surveillance des salariés ne doit être effectuée par l’employeur. La surveillance injustifiée des salariés à leur poste de travail porte atteinte au principe de minimisation des données. De plus, les durées de conservation des images ou des données de géolocalisation étaient excessives.
De plus, une société a été également sanctionnée pour ne pas avoir mis en place des mots de passe robustes et une gestion défaillante des droits et habilitations d’accès au dispositif de vidéosurveillance.
Enfin, un site de rencontre a été sanctionné pour ne pas avoir notifié une violation de données à la CNIL ni informé les personnes concernées.
Comment créer un mot de passe robuste ?
➔ Téléchargez notre infographie disponible !
1. Un acteur majeur de l’habillement sportif victime d’une fuite de données personnelles.
La marque a indiqué le 23 mai 2025 avoir été victime d’une fuite de données personnelles. L’attaque a ciblé un prestataire externe chargé de la relation client du groupe. Dans un communiqué, la firme a expliqué qu’un “tiers non autorisé” a mis la main sur ces informations “par l’intermédiaire d’un prestataire de service client tiers”.
La marque a assuré que les informations bancaires et les mots de passe n’ont pas été compromis. En revanche, la fuite concernait des données telles que les adresses électroniques, numéros de téléphone et autres éléments d’identifications.
Malgré la réassurance que les données financières et mots de passe des utilisateurs n’ont pas été affectés, la perspective d’un accès non autorisé à des informations privées soulève des interrogations sur la sécurité et la mise en conformité des processus externalisés.
2. Une maison de joaillerie victime d’une cyberattaque
L’enseigne a rejoint la liste croissante des marques de luxe prises pour cibles par les cybercriminels sur ces derniers mois.
La maison a indiqué en mai dernier à sa clientèle avoir subi une cyberattaque. Une faille de sécurité survenue dans ses systèmes informatiques suite à une attaque a permis à des acteurs malveillants d’accéder temporairement à certaines informations internes. “Aucun élément bancaire, mot de passe ou identifiant de paiement n’a été exposé”, assure la maison dans son communiqué officiel. En revanche, les noms, adresses mails et pays de résidence de plusieurs clients ont été compromis.
Ces cyberattaques à répétition auprès des grandes entreprises et groupes font surgir des inquiétudes quant à leur cybersécurité et aux moyens mis en place.
3. La nouvelle menace qui infiltre les navigateurs Chrome
Depuis le début de l’année 2024, une campagne de cyberattaques utilise des modules d’extension déguisés pour infiltrer les navigateurs de Google Chrome. Ces outils permettent par exemple d’avoir une gestion bancaire ou d’installer un VPN. Une fois installées, ces extensions peuvent intercepter des sessions, collecter des cookies, exécuter du code à distance et rediriger les utilisateurs vers des sites dangereux.
Ces extensions sollicitent des permissions anormalement étendues via leur fichier “manifest.json”, élément clé dans la configuration de toute extension Chrome. Avec ce fichier, elles vont pouvoir obtenir un accès total aux sites visités par l’utilisateur, pouvant interagir avec les pages web, intercepter des données ou injecter des contenus malveillants.
Google a réagi en supprimant plusieurs des extensions signalées depuis le mois de mai 2025. Google a renforcé les vérifications automatisées mais les auteurs de logiciels parviennent à contourner ces filtres en apparaissant avec un nouveau nom ou une signature différente.
4. Fuite de données massive pour une grande Université
En juin 2025, l’Université a été victime d’une cyberattaque ayant exploité une faille du système d’information. 32 000 comptes ont été exposés avec des données sensibles et des numéros de sécurité sociale, des bulletins de paie, des RIB et des justificatifs d’embauche, pour des salariés actuels et d’anciens salariés, dont les données sont toujours archivées.
Les cybercriminels ont exploité la faille de sécurité pour infiltrer le logiciel de gestion des ressources humaines. Toutefois, selon l’Université, la cyberattaque n’a pas empêché la continuité des services. Une plainte a été déposée et une déclaration auprès de la CNIL a été réalisée. De plus, un numéro vert a été mis en place pour répondre aux salariés.
Depuis plusieurs années, de nombreuses universités font l’objet de cyberattaques. En 2021, l’université de Versailles avait notamment subi un rançongiciel. Les universités sont aujourd’hui des cibles majeures pour les cyber attaquants, de par les recherches scientifiques réalisées et les données stratégiques détenues pouvant intéresser les Etats.
Notre accompagnement dédié aux risques numériques
Découvrez nos solutions :
Découvrez nos filiales spécialisées :
Oppida
Oppida
LSTI
LSTI
SixFoisSept
SixFoisSept
[Guide] Les bonnes
pratiques RGPD
Découvrez notre guide pratique pour vous accompagner dans la mise en place de votre conformité RGPD !