RGPD : jurisprudence et sanctions récentes

La Cour de cassation a rendu un arrêt le 24 juin 2026 précisant que la violation du RGPD ne suffit pas à établir un préjudice ouvrant droit à réparation. La personne concernée doit démontrer l’existence d’un préjudice pour obtenir gain de cause.

L’autorité italienne de protection des données a infligé une amende de 2 millions d’euros à la société Lusha le 14 juillet 2026. La sanction vise des manquements aux principes de licéité, de loyauté, de transparence et de minimisation des données.

La CNIL a publié le 3 juillet 2026 les résultats d’une enquête sur le rôle du DPO à l’ère de l’IA, menée en collaboration avec le ministère du Travail et des Solidarités ainsi que l’AFCDP.

Une société a été sanctionnée par l’autorité italienne pour avoir utilisé un traitement automatisé produisant des effets significatifs sur les personnes concernées, sans les en informer.

L’autorité espagnole de protection des données a infligé une amende à une université pour avoir recours à la reconnaissance faciale lors d’examens en ligne, estimant que le consentement des étudiants n’était pas libre.

La CJUE a statué le 16 juillet 2026 que les courriels professionnels bénéficient de la protection de la Charte des droits fondamentaux de l’UE, mais que cette protection n’empêche pas leur saisie par une autorité de concurrence.

Ce que cela implique

• Les autorités de protection des données sanctionnent les manquements aux principes de licéité et de minimisation.