Numéro 14 | octobre 2026, semaine 3

L'autorité de contrôle irlandaise constate des violations du RGPD dans un établissement de Children’s Health Ireland

Compétence

Irlande

Nom légal du contrevenant

Children’s Health Ireland (CHI)

Domicile de l'infracteur

Irlande

Infraction présumée

Échec de la protection des données des enfants

Action d'exécution

Une réprimande et l'injonction de compléter l'évaluation des données

Statut de l'affaire

Mesure administrative

La Commission irlandaise de protection des données (DPC) a constaté que Children’s Health Ireland (CHI) avait enfreint les règles du RGPD relatives à la sécurité et à la confidentialité des dossiers de santé des enfants dans son établissement de l’hôpital universitaire de Tallaght.

Cette décision, notifiée à CHI le 10 septembre 2026, fait suite à une enquête ouverte en août 2025 après que des signalements protégés ont soulevé des inquiétudes concernant le traitement et la sécurité des dossiers médicaux papier.

La DPC a également appris que des documents contenant des données à caractère personnel sensibles sur des enfants avaient débordé d'un bac à déchets confidentiels et avaient ensuite été retirés. Le bac était situé à côté de la porte du cabinet du médecin hospitalier non-consultant.

La DPC a constaté que la CHI avait enfreint l'article 5, paragraphe 1, point f), et l'article 32, paragraphe 1, du règlement général sur la protection des données (RGPD). L'article 5, paragraphe 1, point f), exige que les données à caractère personnel soient protégées de manière sécurisée et confidentielle, tandis que l'article 32 impose aux organisations de mettre en place des mesures de sécurité appropriées pour protéger les données à caractère personnel.

La DPC a réprimandé CHI et lui a ordonné de compléter les évaluations d'impact sur la protection des données couvrant le stockage des dossiers médicaux et la gestion des déchets confidentiels. CHI doit également mettre pleinement en œuvre les mesures et procédures de sécurité identifiées dans ces évaluations. CHI a reçu l'ordre de soumettre les évaluations complétées à la DPC dans un délai de quatre semaines à compter de la décision.

L'autorité italienne de protection des données inflige des amendes à deux entités pour des violations de la vie privée

Compétence

Italie

Nom légal du contrevenant

Plusieurs entités

Domicile de l'infracteur

Italie

Infraction présumée

Violation des règles du RGPD

Action d'exécution

Une amende de 8 000 € ; une amende de 4 000 €

Statut de l'affaire

Mesure administrative

L'autorité italienne de protection des données, le Garante, a infligé des amendes à deux entités pour violation des règles du RGPD. Dans le premier cas, l'autorité a infligé une amende de 8 000 € à la Fondation Rome Technopole pour avoir publié illégalement en ligne les données à caractère personnel de 480 demandeurs de bourse.

L'enquête a débuté après qu'un étudiant a déposé une plainte concernant un fichier Excel contenant le classement des candidats retenus pour des bourses destinées aux diplômés de premier cycle. Ce fichier, publié sur le site web de la Fondation, contenait des données personnelles sensibles telles que les adresses domicile, les numéros fiscaux, les dates de naissance, les adresses e-mail, les détails des documents d'identité, les dossiers universitaires et les informations bancaires, y compris les IBAN.

En réponse à la demande d’informations de l’Autorité, la Fondation a indiqué avoir supprimé le fichier environ 12 heures après sa publication. Elle a expliqué que l’incident résultait d’un malentendu concernant les règles de transparence administrative.

Le Garante a constaté que la Fondation avait violé les principes de licéité et de minimisation des données prévus par la législation sur la protection des données et ne disposait d’aucune base juridique adéquate pour rendre ces informations publiques.

La deuxième affaire concerne la commune d’Arvier, soumise à une amende de 4 000 € pour plusieurs infractions liées à son système de vidéosurveillance. L’enquête a fait suite à la plainte d’une citoyenne affirmant qu’une caméra filmait son domicile, y compris ses fenêtres et ses balcons. L’autorité de contrôle a constaté que le système ne reposait pas sur une base juridique claire, captait des images non nécessaires de propriétés privées et fournissait des informations insuffisantes au public. Elle a également relevé des faiblesses dans l’analyse d’impact relative à la protection des données réalisée par la commune.

La municipalité a été sommée de revoir ses caméras, de corriger leurs angles, de protéger les habitations privées par le masquage des images si nécessaire, de clarifier les finalités de la surveillance et d’améliorer ses avis de confidentialité et son évaluation de la protection des données.

La FCC propose plus de 10 millions de dollars d’amendes pour des fraudes au programme Lifeline

Compétence

États-Unis

Nom légal du contrevenant

AirVoice Wireless et TAG Mobile

Domicile de l'infracteur

États-Unis

Infraction présumée

Fraude électronique

Action d'exécution

Amendes proposées de 2,67 millions de dollars et 7,45 millions de dollars, respectivement

Statut de l'affaire

Mesure administrative

La Commission fédérale des communications (FCC) des États-Unis propose des amendes de plus de 10 millions de dollars contre deux opérateurs mobiles accusés de fraude dans le cadre d’un programme fédéral qui aide les ménages à faibles revenus à payer leurs frais de téléphone.

AirVoice Wireless et TAG Mobile, toutes deux exploitées par HTH Communications, basée à Houston, sont accusées d’avoir soumis des demandes de remboursement en double, d’avoir établi de fausses attestations et d’avoir enfreint les règles fédérales.

Les entreprises auraient soumis des réclamations pour les mêmes abonnés, modifiant parfois leurs adresses afin de percevoir des paiements pour une même personne dans différents États. L’agence a également accusé les entreprises de fraude par fil potentielle et de violations des règles du programme.

La FCC propose une amende de 2,67 millions de dollars contre AirVoice Wireless pour 74 réclamations en double et trois demandes de remboursement irrégulières. TAG Mobile est visée par une proposition d'amende de 7,45 millions de dollars pour 318 réclamations en double, trois demandes irrégulières, ainsi que d'autres infractions présumées.

La Norvège inflige une amende de 8 M€ à Xandr de Microsoft pour des données utilisateurs de Grindr

Compétence

Norvège

Nom légal du contrevenant

Xandr

Domicile de l'infracteur

États-Unis

Infraction présumée

Partage illicite de données à caractère personnel

Action d'exécution

Amende de 8 millions d'euros

Statut de l'affaire

Mesure administrative

L’autorité norvégienne de protection des données (Datatilsynet) a infligé une amende de 92 millions de couronnes norvégiennes (environ 8 millions d’euros) à Xandr, l’unité de technologie publicitaire de Microsoft, pour avoir partagé les données personnelles sensibles des utilisateurs de Grindr avec des milliers d’annonceurs sans fondement juridique valable.

Les données, partagées entre juillet 2018 et avril 2020, pouvaient révéler l’orientation sexuelle des utilisateurs. Elles ont été transmises via des enchères publicitaires automatisées, permettant ainsi aux entreprises de cibler les utilisateurs par des publicités personnalisées à leur insu.

Xandr a fait valoir qu’elle partait du principe que Grindr avait obtenu le consentement des utilisateurs. Cependant, l’Autorité norvégienne de protection des données a rejeté cette explication, estimant que les entreprises ne peuvent pas éviter leur responsabilité en blâmant les autres. Elle a jugé que Xandr partageait la responsabilité juridique avec Grindr et n’avait pas vérifié si un consentement valide avait été obtenu.

L'affaire a débuté en 2020 après la plainte déposée par le Conseil norvégien des consommateurs contre Xandr, alors connu sous le nom d'AppNexus.

Grindr s’est vu infliger une amende de 65 millions de couronnes norvégiennes (environ 5,7 millions d’euros) pour les mêmes manquements en 2021. L’amende infligée à Xandr est la plus élevée jamais prononcée par l’autorité norvégienne de protection des données. Xandr dispose de trois semaines pour faire appel de cette décision.

La Finlande inflige une amende de 33 000 € à une entreprise du secteur de la santé pour suivi par cookies

Compétence

Finlande

Nom légal du contrevenant

Mindemo Oy

Domicile de l'infracteur

Finlande

Infraction présumée

Violation des règles de protection des données

Action d'exécution

Une amende de 33 000 €

Statut de l'affaire

Mesure administrative

Le médiateur finlandais de la protection des données a infligé une amende de 33 000 € au prestataire de soins de santé finlandais Mindemo Oy (anciennement Heltti Oy) pour n'avoir pas correctement protégé les données personnelles des utilisateurs à travers les cookies du site web et les outils de suivi.

Le service de réservation en ligne de rendez-vous thérapeutiques de l'entreprise partageait les informations des utilisateurs avec Google, Meta et Microsoft lorsque ces derniers acceptaient les cookies ; si les visiteurs refusaient les cookies, les données n'étaient pas partagées.

L’enquête a révélé que des informations avaient été transmises à des fournisseurs de services de traçage pendant au moins un an. Ces données comprenaient des détails de santé, tels que les réservations et confirmations de rendez-vous, le type de thérapie sélectionné et le nom du thérapeute. Ces informations n’avaient pas été correctement anonymisées ni protégées contre leur association à des utilisateurs individuels.

Outre l’amende, Mindemo a reçu un avertissement pour insuffisances dans la sécurité du traitement des données à caractère personnel.

L’entreprise a déclaré avoir supprimé les outils de suivi de son site web et de son service de prise de rendez-vous pendant l’enquête. Elle avait également demandé aux prestataires de services de supprimer les données qu’ils avaient collectées.