Le 22 juillet 2026, la CNIL publié une page de questions/réponses consacrée aux pixels de suivi (ou pixels espions) insérés dans les courriers électroniques. Ce document vient préciser et illustrer les principes déjà énoncés dans sa recommandation relative à ces dispositifs, adoptée en avril 2026 à l’issue d’une consultation publique, et dont notre bulletin de veille s’était déjà fait l’écho.
Par application concrète de cette recommandation, vous devez être nombreux à recevoir, depuis ces dernières semaines, sur vos adresses de messagerie électroniques, des communications provenant de sites commerciaux ou autres structures institutionnelles vous informant de la présence de ces traceurs et des modalités permettant de s’y opposer.
Pour mémoire, les pixels de suivi permettent aux émetteurs de courriels de constituer des statistiques relatives à leurs campagnes de communication, en exploitant notamment le taux d’ouverture et de suppression des messages, le temps de consultation, pour mesurer l’efficacité d’une campagne et anticiper le contenu de communications ultérieures.
Le 1er juillet 2026, le Comité européen de la protection des données (CEPD) et l’Autorité européenne de lutte contre le blanchiment de capitaux et le financement du terrorisme (AMLA) ont annoncé travailler ensemble pour clarifier une question d’importance croissante pour les acteurs économiques comme pour les autorités : la manière de partager des informations pour lutter contre la criminalité financière tout en protégeant les données à caractère personnel.
Contrairement à un simple objectif politique, cette initiative s’adosse à une base légale précise : l’article 75 du Règlement (UE) 2024/1624 du Parlement européen et du Conseil du 31 mai 2024 compris dans le paquet « AML6 » autorise en effet les entreprises et professionnels assujettis aux règles anti-blanchiment à partager des informations entre eux ainsi qu’avec les autorités publiques, dans des limites strictement définies.
Le 10 juin 2026, le Comité européen de la protection des données personnelles (CEPD) publie un template de notification des violations de données personnelles. Chaque autorité compétente nationale devra ainsi s’en inspirer et délivrer la possibilité aux entités victimes de violations de déclarer celles-ci selon ce modèle.
Dans son ensemble, le modèle comporte les informations essentielles présentes actuellement sur le formulaire de notification proposé par la CNIL. Quelques points intéressants pourraient cependant être implémentés.
La simplification tient notamment de la proposition du CEPD que certaines questions des formulaires de notification soient présentées sous forme de case à cocher dans une liste de propositions et de qualifications. A noter que les cases à cocher peuvent parfois limiter l’expression réelle d’une situation, mais cela permet aussi de faciliter la déclaration du côté des organismes procédant à la notification.
Le 4 mars 2026, le Conseil d’Etat confirme une décision rendue par la CNIL en 2023 concernant la société de ciblage publicitaire CRITEO.
La société avait été condamnée à 40 Millions d’euros d’amende pour différents manquements au RGPD dont notamment le traitement de données pseudonymisées traitées comme des données anonymisées.
Dans certaines circonstances, une donnée pseudonymisée peut être considérée comme anonyme seulement si :
Le prestataire de tiers payant Almerys a annoncé, le 22 mai, en début en soirée, être victime d’une cyberattaque potentielle sur son site de demandes de prises en charge, exposant les données personnelles de bénéficiaires de plusieurs organismes complémentaires d’Assurance maladie. Dès la détection de l’intrusion, le portail de demandes de prises en charge a été fermé en milieu d’après-midi.
L’incident sera ensuite confirmé le 24 mai, confirmant également la nature des données personnelles des bénéficiaires qui avaient été exfiltrées : nom, prénom, date de naissance, rang de naissance, numéro de sécurité sociale, nom de l’assureur santé, numéro de contrat, dates de début et de fin de couverture.
Selon les investigations menées par Almerys, aucune donnée de santé, bancaire ou de contact n’est en revanche concernée. Le périmètre affecté couvre les prises en charge optiques, audioprothèses, dentaires hors DENTAMC et hospitalières hors ROC. Les circuits DENTAMC, ROC et la plateforme de tiers payant sont restés opérationnels.
Dès le matin du 22 mai, avant toute communication officielle d’Almerys, notre Cabinet vous alertait sur la base d’informations circulant sur certains réseaux, faisant état d’un fichier de près de 44 millions de lignes dont 15 millions de NIR, chiffres non confirmés par Almerys mais qui illustrent l’ampleur potentielle de l’exposition.
Comme chaque année, la CNIL a publié, le 18 mai 2026, son bilan annuel d’activités mettant en lumière plusieurs évolutions marquantes ayant caractérisé l’année 2025 par rapport à 2024.
Après une hausse marquante du nombre de décisions en 2024, l’année 2025 est surtout marquée par une augmentation importante des notifications de violations de données personnelles.
Les structures ont en effet aujourd’hui conscience des effets d’une violation de données personnelles que ce soit à l’égard des personnes concernées par la violation de leurs données ou bien les conséquences financières et d’image que ces violations sont susceptibles de générer. Elles sont aussi plus sensibles aux obligations en matière de données personnelles.
