Aller au contenu
MMornn
Réserver une démo
Le brief tel qu'il est parti ce matin

Une édition réelle, par métier, chaque jour ouvré.

Ce que vous lisez ci-dessous a été généré cette nuit et envoyé à 7h00 au lecteur de référence de notre organisation de démonstration.

Mornn
Vendredi 9 octobre

Lecture : 4 min
Votre brief matinal

Bonjour service Conformité et DPO,
Votre brief est prêt. Bonne lecture.
rgpd
Les Pays-Bas infligent une amende de 825 millions d'euros à Uber
L'autorité néerlandaise de protection des données a condamné Uber à 824 990 000 euros pour désactivation automatisée de comptes de chauffeurs fondée sur le soupçon de fraude ou les mauvaises évaluations, sans information adéquate sur ce profilage, en violation de l'article 22 du RGPD.
L'affaire provient de 171 chauffeurs français ayant saisi la Ligue des droits de l'Homme, transmise à la CNIL et traitée par les Pays-Bas car le siège européen d'Uber y est localisé. Les faits couvrent 2018 à 2022. Uber a interjeté appel ; aucune décision définitive n'a été rendue.

CE QUE ÇA CHANGE

Cette amende fixe une référence monétaire pour les limites de l'article 22 du RGPD sur les décisions individuelles automatisées, impactant tous les modèles de désactivation de compte sans justification explicite.

En 2015, la Cour de justice de l'Union européenne avait établi que l'article 12 de la directive 95/46/CE exigeait des informations sur le profilage automatisé. L'amende de 2026 concrétise cette jurisprudence par un chiffre que les autorités utiliseront pour calibrer les futures enquêtes.
Sources : edpb.europa.eu

cyber
Le FBI accuse un prestataire chinois d'avoir revendu l'accès à des emails volés
Le FBI et agences de six autres pays accusent Integrity Technology Group, société sanctionnée, d'avoir opéré un portail donnant accès à des emails volés à des organisations gouvernementales, judiciaires, de santé et religieuses en Asie du Sud-Est.
Les pirates affiliés auraient utilisé un outil dédié pour scanner les sites web à la recherche de vulnérabilités. L'annonce du 8 octobre illustre une coordination multinationale remarquable contre un acteur déjà assujetti à des sanctions.

CONSÉQUENCE CONCRÈTE

Pour les organisations publiques et sanitaires d'Asie du Sud-Est, la revente d'accès crée une exposition prolongée : les données volées circulent entre tiers multiples et non identifiés pendant une durée imprévisible.

rgpd
La Grèce sanctionne un ministère et son prestataire après la fuite de données de E.E.T.A.A.
L'autorité grecque inflige 200 000 euros au ministère de la Cohésion sociale et 150 000 euros à son sous-traitant E.E.T.A.A. pour fuite de données incluant informations financières et de santé, liée à des systèmes informatiques obsolètes.
L'autorité a constaté des manquements à la sécurité du traitement et aux obligations de l'article 28 régissant responsable et sous-traitant, bien que la notification ait été correctement exécutée. Elle ordonne la conclusion d'un contrat conforme et le renforcement de la sécurité des systèmes.

CE QUE ÇA CHANGE

La double sanction de 350 000 euros cumulés établit que l'obsolescence informatique reconnue et non résorbée engage la responsabilité du sous-traitant, pas seulement du responsable de traitement.
Sources : edpb.europa.eu

cyber
Anthropic élargit son programme de vérification cyber avec accès élargi à Claude
Anthropic élargit son Cyber Verification Program : les professionnels de cybersécurité acceptent une surveillance renforcée de leurs activités en contrepartie d'un accès aux modèles Claude sans les garde-fous de sécurité standard.

CE QUE ÇA CHANGE

Les équipes de sécurité offensive disposent désormais d'un accès aux modèles sans filtres moyennant acceptation de la surveillance, modifiant les conditions de test d'intrusion et de recherche de vulnérabilités.
Sources : lemagit.fr

rgpd
La Suède sanctionne Miljödata après une fuite touchant 2,2 millions de personnes
L'autorité suédoise IMY inflige 1,8 million de couronnes (environ 160 000 euros) à l'hébergeur Miljödata pour mesures de sécurité insuffisantes après une cyberattaque d'août 2025 ayant affecté 2,2 millions de personnes et exposé les données sur le darknet.
L'autorité a relevé l'absence de contrôles lors du déploiement de logiciels nouveaux et l'absence de surveillance automatisée en temps réel. Les données compromises incluaient numéros d'identité personnels, données d'arrêts maladie et scolarité, touchant la majorité des municipalités suédoises.

CONSÉQUENCE CONCRÈTE

Pour les prestataires informatiques gérant des données sensibles communales, cette amende sanctionne spécifiquement l'absence de détection automatisée d'intrusions, établissant que la prévention technique est un fondamental non négociable.
Sources : edpb.europa.eu

cyber
Un acteur aligné sur la Russie déploie le RAT ASHVEIN contre l'Ukraine
Le groupe UAC-0099 (aussi appelé Earth Sirrush par TrendMicro) déploie un logiciel malveillant .NET nommé ASHVEIN contre le personnel gouvernemental ukrainien, combinant vol d'informations d'identification et accès à distance.
ASHVEIN dissimule ses commandes dans du code HTML, ce qui contourne les outils de sécurité périmétrique standard et complique la détection.

SIGNAL FAIBLE

Pour les administrations ukrainiennes visées, cette campagne introduit un vecteur supplémentaire de vol d'identifiants via un malware jusque-là non documenté, augmentant la surface de compromission des comptes gouvernementaux.

rgpd
La CNIL clôture son injonction contre France Travail sans liquider l'astreinte
Par délibération du 23 septembre 2026, la CNIL a clos son injonction contre France Travail et renoncé à liquider l'astreinte, constatant la mise en conformité effective.

CONSÉQUENCE CONCRÈTE

Pour les organismes publics sous injonction CNIL, la démonstration d'une mise en conformité avant échéance peut conduire à l'abandon de l'astreinte financière prévue.
Sources : cnil.fr

Bonne journée, service Conformité et DPO.