L’Autorité de contrôle prudentiel et de résolution (ACPR) et l’Autorité des marchés financiers (AMF) ont publié, fin juin 2026, le rapport annuel 2025 de leur Pôle commun, dédié à la protection des clients des secteurs de la banque, de l’assurance et des services financiers.

A ce titre, le rapport met notamment en avant une intensification des actions en matière de lutte contre les arnaques financières, de contrôle des publicités trompeuses et de suivi des pratiques commerciales.

La lutte contre l’escroquerie financière

En 2025, plus de 1 300 sites ou acteurs non autorisés ont été recensés et ajoutés aux listes noires de l’AMF et de l’ACPR, tandis que plusieurs centaines de cas d’usurpation d’identité, y compris visant les deux autorités et leurs collaborateurs, ont été détectés. Des promotions réalisées par des influenceurs (au nombre de 14) ont également fait l’objet d’une transmission à la DGCCRF.

Le contrôle des pratiques de commercialisation

Le 1^er juillet 2026, le Comité européen de la protection des données (CEPD) et l’Autorité européenne de lutte contre le blanchiment de capitaux et le financement du terrorisme (AMLA) ont annoncé travailler ensemble pour clarifier une question d’importance croissante pour les acteurs économiques comme pour les autorités : la manière de partager des informations pour lutter contre la criminalité financière tout en protégeant les données à caractère personnel.

Contrairement à un simple objectif politique, cette initiative s’adosse à une base légale précise : l’article 75 du Règlement (UE) 2024/1624 du Parlement européen et du Conseil du 31 mai 2024 compris dans le paquet « AML6 » autorise en effet les entreprises et professionnels assujettis aux règles anti-blanchiment à partager des informations entre eux ainsi qu’avec les autorités publiques, dans des limites strictement définies.

Pour rappel, depuis le 19 juin 2026 :

1. Tous les organismes assureurs qui proposent la souscription de produits en ligne devront intégrer sur leur site une fonctionnalité de rétractation (ou renonciation) « facile, gratuite, directe et permanente », dite fonctionnalité « en un clic ».

Sur les caractéristiques imposées :

Après une censure de portée limitée sur les dispositions qui se trouvaient au cœur des attentes des organismes de complémentaire santé (AMC), la Loi n° 2026-534 du 25 juin 2026 relative à la lutte contre les fraudes sociales et fiscales a enfin été promulguée, sécurisant d’une part les traitements de données de santé qu’ils réalisent et supprimant d’autre part le verrou juridique qui leur interdisait jusqu’ici de partager des informations avec l’Assurance maladie obligatoire (AMO), dans leur lutte commune contre la fraude aux prestations.

Pour mémoire, sur les impacts les plus importants à retenir :

1. En matière de traitement des données de santé

✔️Autorisation légale donnée aux OCAM de traiter les données de santé de leurs assurés ainsi que les données d’identification et de facturation des PS pour le versement des prestations ;

L’ACPR reporte au 15 juillet 2026 l’échéance initiale, fixée au 30 juin, de remise du reporting « C6P » relatif à la collecte d’informations sur l’éligibilité des établissements au premier cycle de sélection pour la supervision directe de l’AMLA.

Pour rappel, cette collecte, ouverte le 29 mai dernier sur la plateforme ONEGATE, vise à identifier les groupes et organismes opérant dans au moins 6 États membres de l’Union européenne, afin d’identifier parmi eux ceux qui présentent le plus un profil de « risque élevé » et donc de placer ces derniers sous supervision directe de l’AMLA à compter de 2028 (cf. édition bulletin mai 2026).

La Loi n° 2026-492 du 12 juin 2026, destinée à renforcer l’accompagnement des familles confrontées à la maladie grave, au cancer ou au handicap d’un enfant, introduit un nouveau motif de sortie anticipée en capital pour les dispositifs d’épargne retraite entreprise et de retraite supplémentaire à cotisations définies.

Jusqu’à présent, les titulaires d’un plan d’épargne retraite obligatoire (Pero) ou d’un plan d’épargne retraite collectif (Pereco) ne peuvent en principe récupérer leurs droits qu’à la liquidation de leur pension de retraite dans un régime obligatoire, ou à l’âge légal de départ en retraite.

Le Code monétaire et financier, en son article L224-4, prévoit néanmoins une liste limitative de situations exceptionnelles autorisant une sortie anticipée et la Loi du 12 juin 2026 vient désormais enrichir cette liste d’une nouvelle situation dérogatoire :

Pour mémoire, DORA introduit des exigences cohérentes pour les entités financières en matière de gestion, de classification et de notification des incidents majeurs liés aux TIC. En garantissant la notification appropriée de ces incidents à toutes les autorités compétentes concernées, ce mécanisme permet une réponse plus rapide et mieux coordonnée en cas d’incidents majeurs transfrontaliers et interconnectés, contribuant ainsi à la résilience du système financier européen.

De leur côté, les autorités européennes de surveillance (ABE, EIOPA et ESMA) sont par ailleurs tenues de rendre compte annuellement des incidents majeurs liés aux TIC portées à leur connaissance, précisant au moins leur nombre, leur nature, leur impact sur les opérations des entités financières ou des clients, les mesures correctives prises et les coûts encourus. Tel est donc l’objet de ce premier rapport.

Ce rapport révèle ainsi que les risques liés aux TIC sont de plus en plus transnationaux et interconnectés. Les autorités soulignent également que le développement récent d’outils d’intelligence artificielle très performants devrait inciter les établissements financiers à renforcer leurs mesures de cybersécurité afin de préserver leur résilience.

Le 10 juin 2026, le Comité européen de la protection des données personnelles (CEPD) publie un template de notification des violations de données personnelles. Chaque autorité compétente nationale devra ainsi s’en inspirer et délivrer la possibilité aux entités victimes de violations de déclarer celles-ci selon ce modèle.

Dans son ensemble, le modèle comporte les informations essentielles présentes actuellement sur le formulaire de notification proposé par la CNIL. Quelques points intéressants pourraient cependant être implémentés.

La simplification tient notamment de la proposition du CEPD que certaines questions des formulaires de notification soient présentées sous forme de case à cocher dans une liste de propositions et de qualifications. A noter que les cases à cocher peuvent parfois limiter l’expression réelle d’une situation, mais cela permet aussi de faciliter la déclaration du côté des organismes procédant à la notification.