Les évolutions qui ont marqué le registre, des plus récentes aux plus anciennes, complétées par un fil d'actualités en direct dans la barre latérale. Pour la version exploitable par des machines, consultez le flux RSS.
Un tribunal du Nouveau-Mexique ordonne à Facebook de payer 25 milliards de dollars pour avoir induit ses utilisateurs en erreur sur la vie privée
Le juge Francis Mathew a fixé la sanction civile pour les 43 899 725 violations délibérées de l'Unfair Practices Act retenues par un jury en septembre, notamment des déclarations selon lesquelles les utilisateurs contrôlaient la manière dont leurs informations étaient partagées et selon lesquelles Facebook ne vendait ni ne fournissait de données personnelles aux annonceurs. La loi autorisait jusqu'à environ 219,5 milliards de dollars et l'État avait réclamé de 35 à 40 milliards de dollars. Meta indique s'attendre à obtenir gain de cause en appel.
Les gouvernements de l'UE arrêtent leur position sur les modifications relatives au RGPD et aux cookies
Après le blocage des discussions sur la protection du secret des affaires dans la partie du Digital Omnibus consacrée au Data Act, les ambassadeurs se sont accordés sur le mandat de négociation du Conseil le 21 octobre. Il maintient la définition des données personnelles du RGPD tout en y ajoutant une règle sur la pseudonymisation, prévoit des garanties pour les données sensibles utilisées dans la vérification biométrique et l'entraînement de l'IA, exempte de consentement les cookies nécessaires à la fourniture d'un service, à la mesure d'audience ou à la sécurité des appareils, et remplace le point d'entrée unique de l'UE pour les cyberincidents par des points d'entrée nationaux. Les négociations avec le Parlement ne pourront commencer qu'après le vote de ses commissions compétentes au fond, attendu début 2027.
L'autorité de contrôle de Berlin juge illicite le microciblage de quatre partis sur Facebook
L'autorité de protection des données de Berlin a constaté que la CDU, le SPD, les Verts et Die Linke avaient ciblé de manière illicite des utilisateurs avec des publicités pour les élections fédérales de 2021, en fonction d'intérêts politiques déduits de leurs profils sur la plateforme, sans base légale telle que le consentement. Les partis ont reçu des rappels à l'ordre plutôt que des amendes, et la procédure contre l'AfD est toujours ouverte.
La commission du Sénat chilien soutient le report de la loi sur la protection des données
La commission de la Constitution du Sénat a approuvé à l'unanimité, dans son principe, le projet de loi du gouvernement visant à reporter l'entrée en vigueur de la loi 21.719 du 1er décembre 2026 au 1er décembre 2027 et à porter le conseil de l'agence à cinq membres, et le gouvernement s'est engagé à lui accorder l'urgence immédiate. La commission examine désormais le projet article par article, des propositions d'entrée en vigueur échelonnée étant sur la table. Tant qu'aucune loi n'est publiée, le 1er décembre 2026 reste la date légale.
La Californie conclut un règlement avec le successeur de 23andMe pour 6 millions de dollars
Chrome Holding Co., anciennement 23andMe, versera 6 millions de dollars pour régler les demandes de la Californie liées à la violation de 2023, qui a exposé des données concernant près de 7 millions de clients, dont plus de 855 000 Californiens, ainsi que l'appel formé par l'État contre des décisions de justice ayant permis à la société de vendre en 2025 des données et des échantillons génétiques au TTAM Research Institute, malgré l'exigence de consentement séparé prévue par le Genetic Information Privacy Act. Le règlement doit être approuvé par le tribunal des faillites.
Le Texas oblige Temu à conserver les données des Texans sur des serveurs américains, et le Connecticut invoque sa loi sur la protection des données personnelles dans un règlement lié à une violation de données
Les exploitants de Temu verseront 3 millions de dollars au Texas et stockeront les données personnelles des Texans sur des serveurs situés aux États-Unis, sous propriété et contrôle américains, l'accès depuis la Chine étant limité aux fonctions commerciales essentielles, avec une pénalité de 8 millions de dollars pour chaque année où une clause de sécurité des données est enfreinte. Le même jour, le Connecticut a conclu un règlement de 625 000 $ avec Frontier Communications au sujet d'une violation de données survenue en avril 2024, qui a exposé les numéros de sécurité sociale de 58 841 résidents, assorti de clauses de conformité au titre du Connecticut Data Privacy Act, de sa loi sur les pratiques commerciales déloyales et de sa loi sur les mesures de protection des données.
Une cour d'appel autorise la Floride et la Géorgie à appliquer leurs lois sur les réseaux sociaux visant les adolescents
La cour d'appel du onzième circuit a annulé l'injonction visant le HB 3 de la Floride, qui interdit aux enfants de moins de 14 ans d'avoir un compte sur les plateformes dotées de fonctionnalités addictives et exige le consentement parental à 14 et 15 ans, en jugeant la loi vraisemblablement neutre quant au contenu. Un jour plus tard, la même formation a annulé l'injonction visant le SB 351 de la Géorgie, qui impose la vérification de l'âge, le consentement parental pour les utilisateurs de moins de 16 ans et des limites sur les données personnelles utilisées pour leur adresser des publicités ciblées, en retenant que NetChoice n'avait pas satisfait à la charge de la preuve qui lui incombait dans le cadre d'une contestation de la loi dans son ensemble (facial challenge) et que la limite applicable à la publicité n'est pas préemptée par la Section 230. Les deux affaires retournent devant les tribunaux de district.
Le CEPD précise quand les utilisateurs de lunettes connectées deviennent des responsables du traitement
La déclaration 1/2026, adoptée lors de la séance plénière d'octobre, indique que les porteurs relèvent du RGPD lorsqu'ils publient des enregistrements de manière publique ou utilisent les lunettes pour une activité professionnelle, officielle ou politique, tandis que l'usage privé reste couvert par l'exception domestique. Les fabricants et les fournisseurs d'applications demeurent responsables du traitement pour les traitements qu'ils effectuent eux-mêmes, ne peuvent pas se décharger de leurs obligations sur les utilisateurs, et sont appelés à donner aux personnes se trouvant à proximité des signaux d'enregistrement clairs, comme des voyants lumineux ou des sons.
La Norvège inflige à Xandr une amende de 92 millions de NOK à propos des données de Grindr dans les enchères en temps réel
La décision de Datatilsynet du 2 octobre considère l'unité adtech de Microsoft comme responsable conjoint du traitement, tant côté offre que côté demande, pour les identifiants publicitaires et les adresses IP des utilisateurs de Grindr ainsi que pour le fait qu'ils ont utilisé l'application, fait qu'elle assimile à des données concernant l'orientation sexuelle. Elle a constaté un traitement sans base légale au titre de l'article 6, paragraphe 1, et sans dérogation valable au titre de l'article 9, paragraphe 1. L'amende s'élève à environ 8,6 millions d'euros.
L'outil californien de suppression en guichet unique auprès des courtiers en données dépasse les 560 000 utilisateurs
CalPrivacy a ouvert sa première Delete Week et indique que plus de 560 000 Californiens se sont inscrits sur DROP, la plateforme du Delete Act qui transmet une seule demande de suppression à plus de 660 courtiers en données enregistrés, et que les courtiers déclarent avoir supprimé près de 100 millions de profils de consommateurs depuis l'ouverture de la plateforme à leur intention, le 1er août.
Les gouvernements de l'UE ne parviennent pas à s'accorder sur leur position concernant les modifications du RGPD et des règles relatives aux cookies
Le compromis du 2 octobre de la présidence irlandaise sur le volet données du Digital Omnibus maintient le consentement aux cookies dans la directive ePrivacy au lieu de l'intégrer au RGPD, abandonne l'obligation de respecter les signaux de consentement des navigateurs, permet aux sites de solliciter à nouveau l'utilisateur quatre mois après un refus, limite les notifications de violations de données aux incidents à haut risque, avec un délai de 96 heures, et autorise le recours à l'intérêt légitime pour l'entraînement de l'IA, sous réserve du droit d'opposition. Les ambassadeurs ont clos leur réunion du 7 octobre sans être parvenus à un mandat, l'Allemagne et d'autres gouvernements réclamant une protection plus forte du secret des affaires dans la partie du paquet consacrée au Data Act, et le dossier a été retiré de leur ordre du jour du 11 octobre, sans nouvelle date. Rien ne change pour les annonceurs tant que le Conseil et le Parlement ne se sont pas entendus sur un texte définitif.
La plus haute juridiction de l'État de Washington rejette une action pour écoute illicite fondée sur le Meta Pixel
Dans l'affaire Baker v. Seattle Children's Hospital, la Cour suprême de l'État de Washington a jugé que les recherches et les clics effectués sur un site web public, auxquels répond un serveur automatisé, ne constituent pas des communications entre deux personnes ou plus au sens de la loi de l'État sur la protection de la vie privée, qui exige le consentement de toutes les parties, et a confirmé le rejet des demandes selon lesquelles le Meta Pixel de l'hôpital aurait transmis à Meta des recherches liées à la santé. La Cour n'a pas tranché le cas des communications avec du personnel humain et des systèmes qui font plus que restituer du contenu stocké.
L'Arabie saoudite propose de stocker les données personnelles à l'intérieur du Royaume
La SDAIA a ouvert une consultation, qui court jusqu'au 5 novembre, sur des amendements au règlement d'application de la PDPL qui obligeraient les responsables du traitement à stocker les données personnelles en Arabie saoudite tout en autorisant les transferts licites, imposeraient la notification des violations à la SDAIA dans un délai de 72 heures sans seuil de préjudice, rendraient l'enregistrement obligatoire pour les responsables du traitement qui transfèrent des données à l'étranger ou traitent des données sensibles, et élargiraient les obligations relatives au DPO et aux analyses d'impact. Les amendements approuvés entreraient en vigueur 60 jours après leur publication au Journal officiel.
Des sénateurs chiliens opposent six mois au report d'un an voulu par le gouvernement
Le projet de loi du gouvernement reporterait l'entrée en vigueur de la loi 21.719 du 1er décembre 2026 au 1er décembre 2027 et porterait le conseil de la nouvelle agence à cinq membres ; le président de la commission de la Constitution du Sénat, Pedro Araya, ainsi que les sénateurs Matías Walker et Juan Luis Castro estiment qu'un an est trop long et proposent un report d'environ six mois ou une entrée en vigueur échelonnée. La commission n'avait pas encore entamé son débat, de sorte que le 1er décembre 2026 reste la date légale.
L'Italie inflige 7 millions d'euros d'amende à IQVIA pour des données de patients qui n'ont jamais été anonymes
Le Garante a constaté qu'IQVIA Solutions Italy conservait, pour des études commandées par l'industrie pharmaceutique, les dossiers d'environ un million de patients de 800 médecins généralistes sous des codes permettant de les suivre dans le temps, sans base juridique, sans analyse d'impact et sans limite de conservation (certains dossiers remontaient à 2001), et que plus de 3 300 patients avaient leur nom, leur code fiscal et leur adresse enregistrés aux côtés de données de santé. L'entreprise dispose de 120 jours pour mettre le traitement en conformité.
L'interdiction de vente des données de géolocalisation du Connecticut et la loi du Maryland sur les prix en supermarché entrent en vigueur
Le Public Act 26-64 (SB 4) interdit désormais aux responsables du traitement et aux tiers de vendre des données de géolocalisation précises, restreint l'exemption relative aux données publiquement disponibles et impose aux entreprises qui utilisent la reconnaissance faciale à des fins de sécurité de ne comparer les images qu'avec leurs propres bases de données et d'afficher à l'entrée une signalétique renvoyant à leur politique. Le registre des courtiers en données auprès du Department of Consumer Protection (2 500 $ par an) ouvre le 1er janvier 2027, et le mécanisme d'effacement de l'État est attendu pour le 1er juillet 2028. Le CART Act du Connecticut sur l'intelligence artificielle (PA 26-15) est entré en vigueur le même jour. Dans le Maryland, le HB 895 interdit aux grandes enseignes alimentaires et aux services de livraison d'utiliser des données personnelles ou une tarification dynamique pour faire payer plus cher certains clients, sous le contrôle du procureur général, avec un délai de régularisation de 45 jours.
La Californie signe la réforme du CIPA sur le pen-register et clôt sa session 2026
Le gouverneur Newsom a signé le SB 690 le dernier jour du délai de signature. À compter du 1er janvier 2027, seul le procureur général pourra agir en justice au titre des dispositions de l'article 638.51 du Code pénal sur les pen register et trap-and-trace pour des faits survenus sur des sites web et des applications, et cette limite s'applique rétroactivement aux demandes pendantes dans les actions introduites au cours des deux années précédant cette date, ce qui met fin aux recours collectifs privés qui avaient fait du suivi des sites web une industrie au titre du CIPA. Il avait signé l'AB 2561 le 27 septembre, qui empêche les systèmes d'exploitation et les applications d'annuler les paramètres de confidentialité d'un utilisateur sans son consentement, et il a opposé son veto au SB 1130 sur les dispositifs d'enregistrement portables.
L'ICO devient l'Information Commission
Les articles 117 à 119 du Data (Use and Access) Act 2025 sont entrés en vigueur en vertu du SI 2026/1015, supprimant la fonction d'Information Commissioner et transférant ses attributions à une Information Commission dirigée par un conseil, avec Paul Arnold comme directeur général et Maggie Carver comme vice-présidente par intérim en attendant le recrutement d'un président permanent. Le régulateur conserve le nom ICO au quotidien et ses pouvoirs sont inchangés.
La Californie oppose son veto à l'interdiction de vente des données sensibles et signe les lois sur l'effacement et les courtiers en données
Le gouverneur Newsom a renvoyé l'AB 1542 sans la signer, écrivant qu'une interdiction catégorique du partage des informations personnelles sensibles allait trop loin alors que les consommateurs disposent déjà d'un droit d'en limiter l'utilisation, et que le texte entraînait des coûts non prévus au budget 2026. Le même jour, il a signé le SB 923, qui étend le droit à l'effacement du CCPA aux données qu'une entreprise a obtenues auprès de tiers et impose aux entreprises présentes uniquement en ligne de proposer un formulaire web pour les demandes, et l'AB 883, qui ajoute un mécanisme d'effacement accessible pour les courtiers en données et une procédure d'effacement pour les élus et les juges. Les deux textes entrent en vigueur le 1er janvier 2027. Le SB 690, la réforme du CIPA sur le pen-register, et l'AB 2561 sur les paramètres de confidentialité étaient encore sur son bureau, avec le 30 septembre pour date limite.
Un jury du Nouveau-Mexique conclut que Facebook a induit ses utilisateurs en erreur sur la vie privée 43,9 millions de fois
Dans l'affaire State of New Mexico v. Facebook, un jury a retenu 43 899 725 violations délibérées de l'Unfair Practices Act, notamment des déclarations selon lesquelles les utilisateurs contrôlaient la manière dont leurs informations étaient partagées et selon lesquelles Facebook ne vendait ni ne fournissait de données personnelles aux annonceurs, ainsi que ses promesses faites à la suite de l'affaire Cambridge Analytica. La loi autorise jusqu'à 5 000 $ par violation délibérée ; le juge fixe la sanction lors d'une phase distincte, l'État réclamant de 35 à 40 milliards de dollars.
TikTok retire ses recours et accepte l'amende de 12,7 millions de livres de l'ICO
TikTok a retiré son recours contre la sanction de 2023 pour avoir traité les données personnelles d'enfants britanniques de moins de 13 ans sans consentement parental, ainsi que son recours contre une demande d'informations portant sur la manière dont ses systèmes de recommandation traitent les données des 13 à 17 ans. Ce retrait fait suite à une décision de l'Upper Tribunal rendue en août, qui a rejeté l'argument de TikTok fondé sur les finalités artistiques, et l'ICO indique qu'elle va désormais faire avancer cette enquête. Le régulateur lui-même devient, le 30 septembre, l'Information Commission, dirigée par un conseil, en vertu du Data (Use and Access) Act 2025.
Les Philippines mettent en demeure Meta, Roblox, Reddit et Discord
La National Privacy Commission a adressé aux quatre plateformes des injonctions de justification portant sur les obligations d'enregistrement prévues par le Data Privacy Act, dans le cadre d'une action renforcée sur le traitement des données des enfants par les plateformes numériques.
L'Irlande inflige à Google une amende de 403 millions d'EUR pour ses données de localisation
La Commission de protection des données a conclu que Google avait traité de manière illicite et déloyale les données de localisation issues de l'historique des positions ainsi que de l'activité sur le Web et les applications entre mai 2018 et février 2020, avait manqué à ses obligations de transparence pour ces fonctionnalités et pour la précision de la localisation, et avait conservé les données de localisation trop longtemps. Google dispose de six mois pour mettre son traitement en conformité.
Le CEPD propose une méthode commune pour décider quand infliger une amende
Le CEPD a adopté les lignes directrices 04/2026 sur l'opportunité d'infliger des amendes administratives, une méthode en cinq étapes qui complète ses lignes directrices de 2022 sur leur calcul, et a ouvert une consultation jusqu'au 13 novembre. Il a également adopté la version finale de ses lignes directrices sur l'articulation entre le Digital Services Act et le RGPD.
Le plafond d'amende de 10 % entre en vigueur en Corée
Un amendement à la PIPA adopté en février autorise désormais des amendes pouvant atteindre 10 % du chiffre d'affaires total en cas de violations intentionnelles répétées, d'incidents touchant 10 millions de personnes ou plus, et de manquements constatés après le non-respect d'une injonction corrective.
Le Delaware abaisse à 10 000 consommateurs les seuils d'application de sa loi sur la vie privée
Le HB 380, signé par le gouverneur Meyer, abaisse à compter du 1er janvier 2027 le seuil d'application de la loi du Delaware sur la protection des données personnelles de 35 000 consommateurs à 10 000, ou à 5 000 lorsque plus de 20 % du chiffre d'affaires brut provient de la vente de données personnelles. Il ajoute aussi les inférences et de nouvelles catégories aux données sensibles, étend l'opt-in pour les adolescents au profilage, limite la vente de données sensibles à ce qu'exige strictement un service demandé par le consommateur, et impose des contrats et une diligence raisonnable pour les communications à des tiers.
Le Chili engage une démarche pour reporter d'un an sa nouvelle loi sur la protection des données
Le gouvernement a déposé un projet de loi d'urgence pour reporter l'entrée en vigueur de la loi 21.719 du 1er décembre 2026 au 1er décembre 2027 et porter le conseil de la nouvelle agence de trois à cinq membres, après le rejet par le Sénat des candidats proposés, qui a empêché la constitution de l'agence. Tant que le Congrès n'a pas statué, le 1er décembre 2026 reste la date légale.
La Californie envoie au gouverneur une interdiction de vente des données sensibles et une réforme du CIPA
Le Parlement californien a clos sa session en adoptant huit projets de loi sur la protection des données, au premier rang desquels l'AB 1542, qui remplacerait le droit d'opposition (opt-out) prévu par la CCPA pour les informations personnelles sensibles par une interdiction pure et simple de les vendre ou de les partager, et le SB 690, qui mettrait fin, rétroactivement, aux actions privées engagées au titre du CIPA sur le fondement du pen register visant le traçage des sites web et des applications. Le SB 923 étend le droit à l'effacement aux données collectées sur un consommateur auprès de tiers, l'AB 883 resserre les délais imposés aux courtiers en données, et l'AB 2561 empêcherait les systèmes d'exploitation et les applications de neutraliser les réglages de confidentialité des utilisateurs. Le gouverneur Newsom a jusqu'au 30 septembre pour se prononcer, et les textes signés entrent en vigueur le 1er janvier 2027. L'AB 2246, déjà signé, a remplacé l'Age-Appropriate Design Code bloqué par la justice.
Les Pays-Bas infligent une amende de EUR 825 M à Uber pour des désactivations de chauffeurs entièrement automatisées
L'Autoriteit Persoonsgegevens a infligé 824 990 000 euros à Uber pour avoir désactivé des comptes de chauffeurs par décision entièrement automatisée, en raison de soupçons de fraude ou de mauvaises notes attribuées par les clients et sans examen humain, ainsi que pour ne pas avoir suffisamment informé les chauffeurs de cette prise de décision automatisée. Il s'agit de la deuxième amende RGPD la plus élevée à ce jour, et Uber a fait appel.
Le Vietnam fixe des amendes pouvant atteindre 5 % du chiffre d'affaires pour les transferts de données illicites
Le décret 330/2026/ND-CP, en vigueur le jour même de sa publication, fixe les sanctions de la loi sur la protection des données personnelles : amendes pouvant atteindre 3 milliards de VND pour les violations en matière de données personnelles, jusqu'à dix fois les recettes tirées du commerce illicite de données personnelles, et jusqu'à 5 % du chiffre d'affaires de l'année précédente au Vietnam lorsqu'un transfert transfrontalier illicite entraîne une fuite ou une perte, selon un barème gradué en fonction du nombre de personnes concernées. Les personnes physiques paient la moitié du taux applicable aux organisations.
La Turquie restreint la publicité ciblée destinée aux mineurs
Des modifications du règlement turc sur la publicité commerciale sont entrées en vigueur : elles imposent aux publicités ciblées d'indiquer aux consommateurs les critères ayant déterminé leur sélection et la manière de les modifier, interdisent le ciblage par profilage des mineurs identifiés comme tels, et exigent que les recommandations générées par IA soient signalées comme telles.
Le Japon promulgue sa modification de l'APPI
La Diète a adopté le 10 juillet la modification triennale de la loi relative à la protection des informations personnelles, et elle a été promulguée le 17 juillet sous le nom de loi n° 56 de 2026. Les dispositions pénales entrent en vigueur le 17 janvier 2027, et le reste, notamment les sanctions administratives, les exceptions de consentement pour l'IA et les statistiques, et le consentement parental pour les moins de 16 ans, au plus tard le 17 juillet 2028.
La nouvelle loi vietnamienne sur la cybersécurité entre en vigueur
La loi consolidée du Vietnam sur la cybersécurité est entrée en vigueur le 1er juillet 2026, achevant une refonte en trois lois (PDPL, loi sur les données, loi sur la cybersécurité) engagée en 2025, qui impose aux plateformes étrangères des obligations superposées de déclaration et de classification.
La vague de modifications législatives du 1er juillet : Connecticut, Utah, Arkansas et Virginie
Les modifications de la CTDPA du Connecticut sont entrées en vigueur, abaissant le seuil d'application à 35 000 résidents, incluant toute entreprise qui traite des données sensibles ou vend des données personnelles, et ajoutant des analyses d'impact pour le profilage significatif. Les modifications de l'Utah ont pris effet le même jour, la Virginie a interdit la vente de données de géolocalisation précise, et la loi de l'Arkansas sur la protection de la vie privée en ligne des enfants et des adolescents a étendu aux adolescents des règles de type COPPA et interdit la publicité ciblée destinée aux mineurs. L'Arkansas n'a toujours pas de loi globale de protection des consommateurs.
Le Conseil de l'UE adopte le volet IA du Digital Omnibus
Le Conseil a formellement adopté le Digital Omnibus sur l'IA, reportant et ajustant certaines parties de l'AI Act. Le volet protection des données, qui modifierait le RGPD et les règles relatives aux cookies, reste en cours de négociation, le texte du Conseil de juin ayant supprimé l'obligation de refus en un clic et le moratoire sur les bandeaux de consentement.
La loi camerounaise sur la protection des données prend pleinement effet
La période transitoire de 18 mois prévue par la loi n° 2024/017 a pris fin, de sorte que ses obligations s'appliquent désormais, bien que le décret présidentiel créant l'autorité de contrôle n'ait pas encore été publié.
Une deuxième vague de dispositions de la DUAA britannique entre en vigueur
De nouvelles dispositions de la loi de 2025 sur l'utilisation et l'accès aux données (DUAA) sont entrées en vigueur le 19 juin 2026, un an après la sanction royale, notamment l'obligation faite aux responsables de traitement de gérer les réclamations relatives à la protection des données. La mise en œuvre par étapes avait commencé le 5 février avec le volet principal consacré à la protection des données.
La Corée inflige à Coupang une amende record de KRW 624,7 Md
La Commission de protection des informations personnelles a sanctionné Coupang à la suite d'une violation ayant touché 37,5 millions de personnes et, séparément, à hauteur de KRW 201,1 Md pour avoir collecté l'activité de 11,17 millions de membres sur des sites web et applications tiers via son programme d'affiliation Coupang Partners. Ce total constitue un record en Corée.
Le Connecticut interdit la vente de données de géolocalisation précise
Le gouverneur Lamont a signé le SB 4, qui interdit la vente de données de géolocalisation précise et ajoute, à compter du 1er octobre 2026, des obligations de transparence sur la reconnaissance faciale. Des textes d'accompagnement restreignent la tarification par surveillance (surveillance pricing) à partir de la même date et créent, à compter du 1er janvier 2027, un régime d'enregistrement des courtiers en données.
La Californie conclut avec GM un règlement de 12,75 millions de dollars sur les données de conduite
Le procureur général, l'Agence californienne de protection de la vie privée et des procureurs locaux sont parvenus à un règlement de 12,75 millions de dollars avec General Motors, portant sur des données de comportement de conduite et de localisation vendues à des courtiers en données sans le consentement des consommateurs, le règlement CCPA le plus important à ce jour.
L'Italie exige le consentement pour les pixels de suivi dans les e-mails marketing
Les lignes directrices du Garante sur les pixels de suivi dans les e-mails (provvedimento n° 284 du 17 avril 2026), publiées dans la Gazzetta Ufficiale le 29 avril, appliquent aux ouvertures d'e-mails la règle d'accès aux terminaux du Code de la vie privée : la mesure des ouvertures par destinataire, l'ajustement de la fréquence d'envoi selon l'engagement ou le profilage du comportement de lecture exigent un consentement préalable, qui peut coexister avec le consentement marketing si la demande est neutre et si le consentement peut être retiré de façon sélective. La mesure agrégée anonymisée du taux d'ouverture, les messages de sécurité et d'authentification et les avis de service obligatoires sont exemptés, et les expéditeurs disposent de six mois, jusqu'au 29 octobre 2026, pour se mettre en conformité.
Le Bangladesh adopte sa loi sur la protection des données personnelles
La loi de 2026 sur la protection des données personnelles a remplacé l'ordonnance de 2025 du gouvernement intérimaire et est considérée comme en vigueur depuis le 6 novembre 2025, à l'exception des dispositions relatives au responsable en chef des données, aux réclamations, aux amendes et aux indemnisations, qui attendent un avis du gouvernement au moins 18 mois après l'adoption de la loi. Une loi distincte crée la National Data Management Authority en tant qu'autorité de régulation.
Le Cabinet japonais approuve le projet de modification de l'APPI
Le Cabinet japonais a approuvé la modification triennale de l'APPI et l'a transmise à la Diète : exceptions de consentement pour les statistiques et le développement de l'IA, consentement parental pour les moins de 16 ans, et renforcement des pouvoirs de contrôle de la PPC, la mise en œuvre devant suivre par le biais des règles de la PPC.
Le CEPD lance sa cinquième action coordonnée de mise en application
Le CEPD a lancé le 19 mars son dispositif d'action coordonnée pour 2026, un exercice qui passe simultanément au crible un même thème de conformité auprès de dizaines d'autorités nationales, et qui a déjà porté, les années précédentes, sur les DPO, les droits d'accès et l'effacement.
L'ECA Digital du Brésil entre en vigueur
La loi brésilienne de protection en ligne des enfants et des adolescents est entrée en vigueur six mois après son adoption en septembre 2025. Elle impose une vérification de l'âge et des outils de contrôle parental, interdit la publicité fondée sur le profilage des mineurs, et est appliquée par l'ANPD, devenue une agence de régulation à part entière en février.
Le Burundi adopte sa première loi sur la protection des données
La loi n° 1/03 est entrée en vigueur dès sa promulgation, accordant six mois au secteur privé et un an au secteur public pour se mettre en conformité. L'Agence de protection des données personnelles qu'elle crée attend toujours son décret d'application.
Les dispositions de la DUAA britannique relatives à la protection des données entrent en vigueur
L'essentiel des modifications apportées par la loi sur l'utilisation et l'accès aux données au RGPD britannique, à la DPA 2018 et au PECR a pris effet le 5 février 2026 en vertu du SI 2026/82, l'ICO s'efforçant dans l'urgence de finaliser ses lignes directrices tout en signalant qu'elle évaluera les pratiques au regard des règles en vigueur au moment des faits.
L'Arabie saoudite publie ses premières décisions de mise en application du PDPL
Les comités des infractions de la SDAIA ont annoncé 48 décisions au titre de la loi sur la protection des données personnelles (PDPL), notamment des sanctions pour l'envoi de messages publicitaires et marketing sans le consentement des destinataires. Le montant des sanctions n'a pas été communiqué.
Trois nouvelles lois d'États américains sur la protection des données entrent en vigueur
Les lois générales de l'Indiana, du Kentucky et du Rhode Island sont entrées en vigueur le 1er janvier 2026, portant à vingt le nombre de régimes en vigueur. Le Rhode Island arrive avec un seuil de 35 000 consommateurs, parmi les plus bas du pays, et sans délai de régularisation.
La loi vietnamienne sur la protection des données personnelles entre en vigueur
La loi 91/2025 et son décret d'application 356/2025 ont remplacé le décret 13, faisant passer le régime vietnamien de protection des données, fondé sur le consentement, du niveau réglementaire au niveau législatif, avec des dépôts d'analyses d'impact auprès du ministère de la Sécurité publique.
Les règlements californiens sur les ADMT, les analyses de risque et les audits entrent en vigueur
Le paquet réglementaire de la CPPA sur les technologies de décision automatisée, les analyses de risque et les audits de cybersécurité est entré en vigueur le 1er janvier 2026, avec une mise en conformité échelonnée. Les droits relatifs à la décision automatisée (information préalable, accès et opposition) deviennent opérants le 1er janvier 2027, et les certifications d'audit de cybersécurité s'appliquent progressivement à partir d'avril 2028. Ensemble, ils constituent la plus importante extension des obligations de la CCPA depuis la CPRA elle-même.
L'ordonnance du Brunei sur la protection des données personnelles entre en vigueur
L'essentiel des obligations de fond prévues par l'ordonnance de 2025 sur la protection des données personnelles est entré en vigueur après une période de grâce d'un an, rendant applicable par l'AITI la première loi du Brunei sur la protection des données dans le secteur privé.
Le délai de régularisation du Delaware expire
Le délai de mise en conformité (cure period) de la DPDPA du Delaware a pris fin le 31 décembre 2025, la première d'une série d'extinctions échelonnées (le Montana suit le 1er avril 2026) qui permettent aux procureurs généraux des États de passer directement aux sanctions sans avertissement préalable.
La Commission européenne propose le Digital Omnibus
La Commission a proposé son paquet Digital Omnibus, associant des modifications du RGPD et de la directive ePrivacy (les cookies intégrés au RGPD, des signaux de consentement lisibles par machine, un point d'entrée unique pour les notifications de violation, une définition resserrée des données personnelles) à des modifications de l'AI Act. Le CEPD et l'EDPS ont par la suite soutenu l'objectif de simplification, tout en soulevant des préoccupations importantes dans un avis conjoint.
L'Inde notifie les DPDP Rules et lance le compte à rebours de la mise en conformité
Le MeitY a notifié les DPDP Rules 2025 le 13 novembre, mettant immédiatement en vigueur les dispositions instituant le Conseil de protection des données. Les dispositions relatives aux gestionnaires de consentement s'appliquent à compter du 13 novembre 2026, et les obligations de fond, les pouvoirs de sanction du Conseil ainsi que des amendes pouvant atteindre 250 crores de roupies (INR) s'appliquent à compter du 13 mai 2027.
L'amendement 13 israélien entre en vigueur
La plus vaste réforme du droit israélien de la protection de la vie privée depuis 1981 est entrée en vigueur, dotant l'Autorité de protection de la vie privée de sanctions administratives et de définitions modernes de type RGPD.
La Commission engage le renouvellement de l'adéquation du Royaume-Uni jusqu'à décembre 2031
La Commission a publié des projets de décision renouvelant les deux constats d'adéquation relatifs au Royaume-Uni après avoir évalué le Data (Use and Access) Act. Les renouvellements ont été finalisés avant l'expiration des anciennes décisions fin 2025 et courent jusqu'au 27 décembre 2031, sous réserve d'un suivi.
Le Vietnam adopte sa loi sur la protection des données personnelles
L'Assemblée nationale a adopté la loi 91/2025/QH15, dotant le Vietnam d'une loi de rang législatif sur la protection de la vie privée applicable à compter du 1er janvier 2026 et confirmant le modèle du décret 13, fondé sur le consentement préalable et une lourde charge déclarative.
Le Data (Use and Access) Act britannique reçoit la sanction royale
Le DUAA est devenu loi, modifiant le RGPD britannique, le DPA 2018 et le PECR par l'introduction d'intérêts légitimes reconnus, de clarifications sur le marketing direct, d'exceptions en matière de cookies et d'un alignement des amendes du PECR sur les niveaux du RGPD britannique.
Les amendes russes proportionnelles au chiffre d'affaires pour les fuites de données entrent en vigueur
La refonte du régime de responsabilité en Russie a introduit des amendes proportionnelles au chiffre d'affaires (jusqu'à 3 % du chiffre d'affaires) pour les fuites de données personnelles, ainsi qu'une responsabilité pénale pour le trafic de données, ce qui augmente fortement le coût des violations touchant les données des citoyens russes.
La nouvelle loi fédérale mexicaine sur la protection de la vie privée entre en vigueur
La LFPDPPP refondue est entrée en vigueur un jour après sa publication, préservant les droits ARCO et le consentement tacite, tout en transférant le contrôle de l'application de la loi de l'INAI, dissous, au SABG, qui relève du pouvoir exécutif.
La Commission engage le retrait du règlement ePrivacy
Le programme de travail 2025 de la Commission a inscrit le règlement ePrivacy au retrait après près d'une décennie de blocage, laissant la directive de 2002 et ses 27 transpositions nationales comme loi de référence de l'UE sur les cookies pour l'avenir prévisible.
La réforme canadienne de la protection de la vie privée s'éteint avec la prorogation du Parlement
Le projet de loi C-27, qui aurait remplacé la PIPEDA par la CPPA et ajouté une loi sur l'intelligence artificielle, est mort au feuilleton lors de la prorogation du Parlement en janvier 2025, laissant le régime fédéral canadien sans pouvoir de sanction, la loi 25 du Québec continuant de dicter le rythme à l'échelle nationale.