Veille réglementaire : Actualités européennes et françaises en gouvernance numérique et protection des données

Registre numérique des produits : la Commission européenne clôt une consultation majeure

La Commission européenne a clos, le 27 mai 2026, une consultation publique relative à un projet de règlement d’exécution précisant les modalités de mise en œuvre du registre numérique des produits, prévu par le règlement (UE) 2024/1781. Ce texte impose aux opérateurs économiques vérifiés de maintenir des données d’enregistrement exactes, complètes et actualisées, et de les mettre à jour en cas de modification, y compris concernant leur représentant légal.

Les opérateurs peuvent déléguer des droits d’accès à des utilisateurs agissant en leur nom, mais conservent une responsabilité pleine et entière sur leurs actions. Chaque État membre doit désigner un administrateur national unique comme interlocuteur officiel auprès de la Commission pour la gestion des droits d’accès au registre, avec la possibilité de déléguer ces droits à des autorités nationales compétentes.

Traitement des données personnelles : un cadre strict et des obligations renforcées

La Commission européenne agit en tant que responsable de traitement au sens du règlement (UE) 2018/1725 pour les données personnelles collectées, incluant noms, identifiants de connexion, adresses postales et électroniques, métadonnées des documents téléversés, ainsi que des identifiants personnels comme les numéros de passeport ou les identifiants électroniques nationaux. Ces données ne peuvent être utilisées que pour la gestion des droits d’accès au registre et doivent être supprimées en cas de suppression de compte ou de révocation d’accès, sauf si leur conservation est requise par le droit de l’Union.

Les États membres traitant des données personnelles dans le cadre de leurs missions sont considérés comme responsables de traitement au sens du règlement (UE) 2016/679.

Sécurité et conformité : des exigences techniques et organisationnelles élevées

Le projet de règlement prévoit la mise en place d’un plan de sécurité informatique, la réalisation d’audits techniques et de contrôles aléatoires, ainsi que l’enregistrement systématique des événements de sécurité. La Commission se réserve le droit de suspendre l’accès au registre sans préavis en cas de défaillance, cyberattaque ou nécessité urgente de sécurité. Les périodes d’indisponibilité doivent être conservées pendant au moins cinq ans.

Le registre doit également respecter le cadre de souveraineté cloud. L’identification des opérateurs repose sur des signatures électroniques qualifiées, des sceaux ou des attestations conformes au règlement (UE) n° 910/2014, avec une validité maximale de trois ans. Les opérateurs non renouvelés perdent la capacité d’enregistrer de nouveaux passeports numériques de produits.

Services satellites mobiles : la Commission propose un nouveau cadre d’autorisation

Le 27 mai 2026, la Commission européenne a proposé un règlement établissant une procédure d’autorisation pour les systèmes fournissant des services mobiles par satellite (MSS) utilisant la bande harmonisée de 2 GHz. Ce texte abroge la décision n° 626/2008/CE et instaure une procédure de sélection comparative au niveau de l’Union pour l’attribution des droits d’utilisation de cette bande.

La bande de fréquences disponible est divisée en six blocs appariés de 5 MHz : deux réservés à un système MSS ou hybride sécurisé dédié aux communications gouvernementales, deux pour les nouveaux entrants de l’Union, et deux ouverts à tous les candidats sous réserve d’un plafond de 10 MHz par opérateur commercial. Les candidats doivent s’engager à couvrir au moins 95 % de la population et 90 % du territoire terrestre de chaque État membre dans un délai de cinq ans.

Sanctions en France : la CNIL inflige une amende de 5 millions d’euros à IQVIA Operations France

Le 26 mai 2026, la Commission nationale de l’informatique et des libertés (CNIL) a prononcé une amende administrative de 5 millions d’euros à l’encontre d’IQVIA Operations France pour des manquements à la loi Informatique et Libertés et au RGPD. Les infractions concernent notamment l’absence de segmentation réseau et d’analyse régulière des logs pour l’entrepôt de données de prescriptions longitudinales (LRX), ainsi que des lacunes dans l’information des patients et l’authentification forte pour l’entrepôt de données de dossiers médicaux électroniques (EMR).

La CNIL a également constaté des manquements à l’obligation d’information individuelle des pharmacies partenaires et à l’interdiction de transmission systématique de données patients depuis des pharmacies non participantes. Une injonction de mise en conformité assortie d’une astreinte de 10 000 euros par jour de retard après six mois a été prononcée.

Source : Digital https://digitalpolicyalert.org/