Cybersécurité et protection des données : nouvelles obligations européennes en 2026

Le paysage réglementaire européen en matière de cybersécurité et de protection des données connaît deux avancées significatives, dont les échéances sont fixées à juin 2026. Ces textes imposent des cadres stricts aux acteurs concernés, avec des mécanismes de conformité renforcés et des obligations documentaires accrues.

Renforcement des exigences du Cyber Resilience Act

À compter du 11 juin 2026, le Règlement (UE) 2024/2847 modifiant le Cyber Resilience Act (2020/1828) entrera en vigueur. Ce texte vise à uniformiser les exigences de cybersécurité pour les produits dotés d'éléments numériques, qu'il s'agisse de logiciels ou de matériels, commercialisés sur le marché européen. Certaines catégories de produits, comme les dispositifs médicaux ou les véhicules motorisés, restent exclues du champ d'application.

Le règlement introduit un processus de notification et de surveillance des organismes d'évaluation de la conformité (OEC). Les États membres désigneront des autorités compétentes pour évaluer et notifier ces OEC, garantissant leur indépendance, leur compétence et leur impartialité. Ces organismes devront répondre à des critères exigeants et rendre des comptes aux autorités nationales, tandis que la Commission européenne publiera une liste publique des OEC notifiés. Une coordination renforcée entre les États membres et les OEC assurera une application homogène du texte au sein de l'Union.

Modèle de PIA sous le RGPD : consultation close en juin 2026

Le 9 juin 2026, le Comité européen de la protection des données (CEPD) clôturera la consultation publique relative au modèle de fiche d'impact relative à la protection des données (PIA) sous le RGPD. Ce modèle s'adresse aux responsables de traitement menant des activités à haut risque, notamment :

• Traitements à grande échelle de catégories particulières de données personnelles ;
• Surveillance systématique d'aires accessibles au public ;
• Décisions automatisées produisant des effets juridiques ou significatifs sur les personnes ;
• Profilage, croisement ou combinaison de jeux de données ;
• Traitements impliquant des personnes vulnérables.

Le modèle impose une documentation exhaustive des activités de traitement, incluant la description systématique des flux de données, des finalités, des actifs techniques supports, ainsi qu'une analyse de conformité au regard de l'article 6 du RGPD. Les responsables de traitement devront notamment :

• Démontrer la minimisation des données, la limitation des durées de conservation et la qualité des données ;
• Préciser les mesures techniques et organisationnelles mises en œuvre pour garantir les droits des personnes concernées, la protection des données dès la conception et par défaut, ainsi que la sécurité des traitements ;
• Évaluer la nécessité et la proportionnalité du traitement, identifier les risques inhérents (défauts de conception ou événements accidentels/illicites) et élaborer un plan d'action incluant des mesures d'atténuation complémentaires ;
• Documenter l'avis du délégué à la protection des données (DPO) et, le cas échéant, les positions des personnes concernées ou de leurs représentants ;
• Conclure par une décision formelle d'approbation, d'approbation conditionnelle, de rejet ou de renvoi à l'autorité de contrôle compétente.

Source : Digital https://digitalpolicyalert.org/