Numéro 13 | octobre 2026, semaine 2

L'autorité italienne de protection des données inflige une amende de 7 millions d'euros à IQVIA

Compétence

Italie

Nom légal du contrevenant

IQVIA Solutions Italy Srl

Domicile de l'infracteur

Italie

Infraction présumée

Manquement à la protection des données de santé

Action d'exécution

Amende de 7 millions d'euros

Statut de l'affaire

Mesure administrative

L’autorité italienne de protection des données, le Garante, a infligé à IQVIA Solutions Italy Srl, une entreprise fournissant des informations, des analyses et des services de conseil en matière de santé, une amende de 7 millions d’euros pour le traitement de données de santé relatives à environ un million de patients.

L'entreprise, qui manipule des données de santé et des données de recherche clinique, a créé une base de données à l'aide d'informations issues de 800 médecins généralistes pour des études financées par des laboratoires pharmaceutiques. Selon l'autorité de contrôle, ces informations n'étaient pas anonymisées. Les codes patient permettaient de suivre les personnes dans le temps et des détails tels que l'âge, le sexe, les diagnostics, les médicaments, les tests, les vaccinations et la localisation pouvaient également servir à identifier les patients.

L’organe de régulation a également constaté qu’IQVIA traitait des données de santé sans base juridique appropriée et n’expliquait pas clairement l’utilisation de ces données. L’entreprise n’avait pas non plus fixé de périodes de conservation claires, certaines données remontant à 2001.

Les autres problèmes incluaient l'absence d'une évaluation d'impact requise et des mesures de sécurité insuffisantes. La base de données contenait également les noms, codes fiscaux, adresses et coordonnées de plus de 3 300 patients, dont plus de 3 000 étaient liés à des informations de santé.

L’entreprise s’est vu accorder un délai de 120 jours pour mettre ses pratiques de traitement des données en conformité si elle souhaite poursuivre ses activités. À défaut, les données devront être anonymisées de manière indépendante par des médecins, conformément aux garanties fixées par l’autorité de régulation.

Dans une décision distincte, le Garante a infligé une amende de 39 000 € à la société de sécurité La Patria, basée à Bologne, pour des violations du RGPD concernant les données de ses salariés. L’affaire fait suite à la plainte d’un ancien salarié après que l’entreprise avait refusé de lui fournir les données GPS de sa voiture de fonction, qu’il souhaitait utiliser dans le cadre d’un litige disciplinaire. L’autorité a constaté que l’entreprise n’avait pas répondu de manière appropriée à sa demande d’accès et n’avait pas suffisamment informé ses salariés du traitement des données GPS. Elle a également relevé des inexactitudes dans les avis de confidentialité de l’entreprise.

Par ailleurs, l’Institut national de recherche métrologique (NRIM) de Turin s’est vu infliger une amende de 10 000 € pour utilisation illégale de son système de vidéosurveillance. L’Institut s’était mis d’accord avec les syndicats sur les emplacements où les caméras pouvaient être installées, mais a par la suite ajouté huit caméras et modifié leur position sans en informer les salariés. Les caméras étaient activées pendant les heures de travail, ce qui a entraîné la collecte illicite de données à caractère personnel des salariés et des visiteurs.

La Roumanie amende une entreprise alimentaire pour données biométriques.

Compétence

Roumanie

Nom légal du contrevenant

TIP TOP FOOD INDUSTRY

Domicile de l'infracteur

Roumanie

Infraction présumée

Traitement illicite des données biométriques

Action d'exécution

Amende de 5 000 €

Statut de l'affaire

Mesure administrative

L’Autorité nationale de supervision du traitement des données à caractère personnel (ANSPDCP) de Roumanie a infligé à TIP TOP FOOD INDUSTRY une amende de 26 236 RON (environ 5 000 €) pour traitement illicite des données biométriques de ses salariés. Cette sanction fait suite à la plainte d’une personne concernant l’utilisation par l’entreprise des empreintes digitales des salariés à des fins de contrôle d’accès et d’enregistrement du temps de travail.

Selon l’ANSPDCP, l’entreprise a traité les données biométriques de ses salariés sans fondement juridique valable, enfreignant l’article 9 du Règlement général sur la protection des données (GDPR). L’autorité a également constaté une violation de l’article 5(1)(c), qui établit le principe de minimisation des données.

Outre l’amende, l’ANSPDCP a ordonné à TIP TOP FOOD INDUSTRY de remplacer son système de contrôle d’accès et de pointage par empreintes digitales par une solution alternative pouvant servir aux mêmes fins sans traitement de données biométriques.

Par ailleurs, l’autorité a infligé une amende de 26 294 RON (5 000 €) à l’opérateur de centre d’appels GLOBAL CUSTOMER CARE SERVICES S.R.L. à la suite d’une cyberattaque ayant entraîné un accès non autorisé à des données à caractère personnel, notamment celles des employés et anciens employés. L’entreprise ne disposait pas des mesures de sécurité adéquates requises par le RGPD et lui a été ordonné d’améliorer sa sécurité informatique en déployant des systèmes de surveillance et de journalisation des accès, ainsi qu’en conservant les journaux d’activité pendant au moins 30 jours.

Le groupe scolaire Zuid-Kempen risque une amende de 1 000 € au titre du GDPR

Compétence

Belgique

Nom légal du contrevenant

OZCS

Domicile de l'infracteur

Belgique

Infraction présumée

Non-conformité aux principes du GDPR

Action d'exécution

Amende de 1 000 €

Statut de l'affaire

Mesure administrative

Un groupe scolaire belge pourrait se voir infliger une amende de 1 000 € au titre du RGPD après qu'un avocat général de la Cour de justice de l’Union européenne a déclaré que les écoles privées financées par l’État ne sont pas à l’abri de telles sanctions.

L’affaire a débuté en 2019, lorsqu’un père a porté plainte après que l’école de son enfant avait envoyé aux élèves un questionnaire en ligne sur leur bien-être sans informer les parents au préalable. Il a déclaré que l’école n’avait pas recueilli le consentement, avait collecté plus de données que nécessaire et n’avait pas expliqué correctement l’utilisation prévue des données.

L’Autorité belge de protection des données a ensuite constaté quatre violations du RGPD et a initialement infligé une amende de 2 000 € à l’Onderwijsgroep Zusters der Christelijke Scholen Zuid-Kempen VZW, connue sous le nom d’OZCS. L’amende a ensuite été réduite à 1 000 €.

L’OZCS a fait valoir que le droit belge protège les autorités publiques contre les amendes en matière de protection des données. Elle a estimé que, dans la mesure où ses écoles reçoivent un financement public et fournissent un service public, elle devait bénéficier de la même protection. Mais l’avocat général Manuel Campos Sánchez-Bordona a exprimé un avis contraire dans un avis rendu le 10 septembre 2026. Il a déclaré que la règle belge ne saurait empêcher l’imposition d’une amende à une organisation privée au seul motif qu’elle propose un enseignement subventionné par l’État.

Le litige a fait l’objet de plusieurs procédures devant les tribunaux belges. La Cour de cassation belge a finalement demandé à la Cour de justice de l’Union européenne, à Luxembourg, de clarifier la loi. L’affaire C-458/25 porte sur la question de savoir si les organisations privées effectuant des missions d’intérêt public peuvent être passibles d’une amende au titre du RGPD. L’avis de l’avocat général ne constitue pas une décision définitive. La Cour de justice rendra la décision finale.

La Croatie inflige une amende de 2,59 millions d’euros à un opérateur de jeux d’argent pour des infractions au RGPD

Compétence

Croatie

Nom légal du contrevenant

Opérateur de jeux d'argent non identifié

Domicile de l'infracteur

Croatie

Infraction présumée

Traitement illicite des données biométriques

Action d'exécution

2,59 millions d'euros d'amende

Statut de l'affaire

Mesure administrative

L’autorité croate chargée de la protection des données a infligé une amende de 2,59 millions d’euros à un opérateur de jeux d’argent anonyme pour de multiples violations du GDPR, notamment le traitement illicite de données biométriques et l’absence de consentement valide.

L’enquête a révélé que l’opérateur proposait aux joueurs la possibilité de s’identifier à l’aide d’une puce RFID ou de leurs empreintes digitales, en plus de l’identification par carte d’identité. Bien que l’opérateur ait déclaré avoir collecté deux empreintes digitales, les autorités ont constaté que quatre empreintes digitales avaient été collectées et utilisées à des fins d’identification biométrique.

L’autorité a estimé que le prélèvement de quatre empreintes digitales était excessif aux fins d’identification des joueurs. L’opérateur a fait valoir que des empreintes supplémentaires étaient nécessaires à titre de sauvegarde en cas de lésions cutanées chez un joueur, mais l’autorité a jugé qu’il n’avait pas démontré la nécessité d’un tel volume de données biométriques.

L’autorité a également constaté que le consentement au traitement biométrique n’était pas valide. Les clauses de consentement regroupaient différentes finalités de traitement, ce qui empêchait les joueurs de faire des choix distincts concernant le traitement biométrique facultatif.

De plus, les documents d’enregistrement fournissaient des informations incomplètes et incohérentes concernant les finalités et les bases juridiques du traitement des données à caractère personnel. L’autorité a indiqué que les joueurs n’avaient pas reçu d’informations suffisamment claires sur la manière dont leurs données, y compris leurs empreintes digitales, étaient utilisées.

La DNSC roumaine inflige sa première amende en vertu des règles de notification de la directive NIS2

Compétence

Roumanie

Nom légal du contrevenant

Institution anonyme de l'administration centrale

Domicile de l'infracteur

Roumanie

Infraction présumée

Non-respect des exigences NIS2

Action d'exécution

Amende de 9 350 €

Statut de l'affaire

Mesure administrative

La Direction nationale de la cybersécurité (DNSC) a infligé une amende de 50 000 lei (environ 9 350 €) à une institution de l’administration publique centrale pour non-respect d’un délai de notification prévu par le cadre NIS2 de cybersécurité du pays.

La sanction a été prononcée le 29 septembre 2026. Le DNSC n’a pas divulgué le nom de l’institution.

Selon la DNSC, l’institution n’a pas respecté l’obligation de notification prévue à l’article 18, paragraphe 2, de l’Ordonnance d’urgence du gouvernement n° 155/2024. Cette disposition oblige les entités relevant du champ d’application de la législation à notifier la DNSC aux fins de leur enregistrement en tant qu’entités essentielles ou importantes.

Ce manquement constitue une infraction au titre de l’article 60, paragraphe 1, point o), de la même ordonnance. La DNSC a indiqué qu’il s’agissait de la première sanction qu’elle avait infligée pour non-respect de cette obligation de notification.