Les actualités RGPD du mois d'octobre 2026
Lunettes connectées et protection des données
Le 13 octobre 2026, la CNIL a relayé une déclaration du Comité européen de la protection des données (CEPD) consacrée aux lunettes connectées. Ces équipements ouvrent de nouvelles possibilités de communication et d’assistance, mais soulèvent aussi des questions importantes pour la vie privée et les droits des personnes. Cette première prise de position apporte des orientations préliminaires aux utilisateurs, aux fabricants et aux prestataires de services. Elle s’accompagne d’un rapport sur les usages et les défis liés à ces dispositifs. À retenir : le développement de ces technologies doit intégrer les enjeux de protection des données dès leur conception et dans leurs conditions d’utilisation.
Prospection téléphonique et consentement préalable
Depuis le 11 août 2026, la prospection téléphonique auprès des consommateurs repose, par principe, sur leur consentement préalable, sous réserve des exceptions prévues par les textes. La CNIL et la DGCCRF reviennent sur ces nouvelles règles dans un webinaire commun, désormais disponible en replay.
Le consentement doit être libre, spécifique, éclairé et univoque. Les organisations doivent pouvoir en démontrer la validité et permettre son retrait simplement. Les autres obligations demeurent applicables, notamment l’information des personnes et le respect des horaires et de la fréquence des appels.
En pratique, les entreprises doivent revoir leurs formulaires de collecte, exclure les cases précochées, vérifier la preuve du consentement dans leurs bases de contacts et répercuter les retraits dans leurs outils de prospection.
À retenir : disposer d’un numéro de téléphone ne suffit pas à autoriser un appel commercial. La validité du consentement et les éventuelles exceptions doivent être vérifiées avant toute campagne visant des consommateurs.
Textes de référence : article L. 223-1 du Code de la consommation et décret n° 2026-662 du 23 juillet 2026.
Les sanctions et les mises en conformité
Macif Vie et la proposition d’une amende de 7 millions d’euros
Présentée le 15 octobre 2026 devant la formation restreinte de la CNIL, la société Macif Vie (filiale du groupe Aema) risque une amende de 7 millions d’euros.
Les manquements reprochés concernent notamment la conservation de mots de passe en clair, le partage d’un compte administrateur et des durées de conservation excessives. Ils auraient été relevés lors d’un contrôle réalisé en mai 2024, sans qu’une fuite de données ou une cyberattaque soit nécessaire pour engager la procédure.
À ce stade, il s’agit d’une proposition de sanction et non d’une amende définitivement prononcée. Ce dossier rappelle que les obligations de sécurité et de conservation s’appliquent indépendamment de la survenue d’un incident.
→ Lire l’article de ZoomInvest
Google et la clôture de son injonction
Par décision du 23 septembre 2026, rendue publique le 14 octobre, la CNIL a clos l’injonction prononcée contre Google le 1er septembre 2025. Mises en conformité effectuées par Google :
- Création de compte : clarification des étapes de création de compte pour indiquer explicitement que la gratuité des services est conditionnée au dépôt de cookies publicitaires.
- Annonces dans Gmail : modification du format des publicités dans Gmail afin qu’elles soient nettement distinguées des e-mails classiques (ce qui dispense Google de devoir recueillir le consentement sous l’article L.34-5 du CPCE).
Cette clôture porte uniquement sur l’injonction concernée. Elle ne valide pas l’ensemble du parcours de création de compte et n’empêche pas de futurs contrôles ou sanctions.
France Travail et le renforcement de la sécurité des accès
La CNIL a clos, le 23 septembre 2026, l’injonction adressée à France Travail en janvier, après justification des mesures demandées dans les délais impartis. Cette décision a été publiée le 8 octobre.
Portée limite de la clôture :
- La décision ne concerne strictement que le périmètre spécifique de l’injonction initiale prononcée par la formation restreinte.
- Cette clôture ne vaut pas validation globale : elle ne préjuge pas de la conformité de l’ensemble des autres traitements de données mis en œuvre par France Travail au regard du RGPD et de la loi Informatique et Libertés.
La CNIL n’a pas exigé le paiement de l’astreinte prévue. Cette clôture concerne les mesures visées par l’injonction et ne constitue pas une validation générale de tous les traitements de l’organisme.
Solocal et le contrôle du consentement des prospects
Par décision du 17 septembre 2026, publiée le 24 septembre, la CNIL a clos l’injonction visant Solocal Marketing Services. Celle-ci accompagnait une amende de 900 000 euros prononcée en mai 2025 pour des manquements concernant le consentement des prospects.
La CNIL a constaté que la société a apporté les modifications nécessaires pour se conformer aux exigences formulées dans le délai imparti. Les mesures correctives ayant été jugées satisfaisantes, la formation restreinte a clos la procédure sans prononcer de liquidation d’astreinte financière.
La décision porte exclusivement sur le périmètre précis des manquements visés par l’injonction du 15 mai 2025 et ne dispense pas Solocal Marketing Services d’un respect permanent de l’ensemble de ses obligations sous le RGPD.
À retenir : l’achat de données auprès d’un prestataire ne transfère pas la responsabilité du consentement. L’entreprise qui utilise les données reste tenue d’en vérifier la validité.
Cyberattaques
Les équipements de réfrigération face au risque cyber
Une cyberattaque visant des systèmes de réfrigération a touché plus de 700 magasins, selon Le Monde. Cet incident illustre les conséquences opérationnelles que peut entraîner la compromission d’équipements connectés.
Pour les organisations, il rappelle la nécessité de sécuriser ces équipements et leurs accès à distance, et de préparer la continuité d’activité. Une cyberattaque peut perturber des installations physiques, même lorsqu’aucune fuite de données personnelles n’est établie.
Une vague de fuites de données revendiquées en France
Le 18 octobre, le Journal du Coin a relayé un recensement de FrenchBreaches concernant des fuites revendiquées la veille contre une vingtaine d’organisations françaises. Plus de 9 millions de personnes seraient potentiellement concernées selon ce décompte, qui repose largement sur des revendications encore non confirmées.
Les informations annoncées comprennent notamment des coordonnées, des documents d’identité et des données de santé. Leur exposition pourrait favoriser l’hameçonnage ciblé et l’usurpation d’identité. Les volumes et les organismes concernés restent à confirmer.
Ces signalements rappellent l’importance de préparer la gestion des violations de données et d’évaluer rapidement leurs conséquences pour les personnes.
Notre accompagnement dédié aux risques numériques
Le groupe Apave et ses filiales dédiées aux risques numériques sont en capacités de vous accompagner dans la gestion de vos données personnelles et en cybersécurité, sur vos projets smartdata et IA.
Découvrez nos solutions :
Découvrez nos filiales spécialisées :
Oppida
Oppida
LSTI
LSTI
SixFoisSept
SixFoisSept
Bonnes pratiques de la protection des données personnelles et stratégiques
