Amendes RGPD publiées en septembre et octobre 2026 : sécurité, sous-traitants et droits des personnes
Sept décisions RGPD en Norvège, Irlande, France, Suède, Grèce et Italie : sécurité insuffisante, contrats de sous-traitance absents, demandes ignorées.
Entre début septembre et mi-octobre 2026, le Comité européen de la protection des données (CEPD) a relayé une série d'amendes RGPD prononcées par des autorités nationales. Outre les grandes affaires Uber et Google traitées dans Contrôle du RGPD en 2026, deux thèmes ressortent : une sécurité insuffisante, et des consentements et demandes non respectés.
Sécurité et sous-traitants
- HSE, 645 000 euros, Irlande (28 août 2026). Des intrus ont accédé à des dossiers médicaux papier conservés dans d'anciens hôpitaux psychiatriques. Amendes, réprimande et injonctions.
- Hôpital Privé de la Loire, 500 000 euros, France (3 septembre 2026). Un attaquant a accédé aux données de 524 867 patients : pas d'authentification multifacteur pour les utilisateurs extérieurs, accès non limité à l'équipe de soins, pas de détection en temps réel, et les 202 246 "personnes de confiance", dont les données ont aussi été volées, n'ont pas été informées.
- Miljödata, 1,8 million de couronnes suédoises, Suède (22 septembre 2026). Une cyberattaque contre un prestataire informatique a touché 2,2 millions de personnes ; pas de contrôles suffisants lors de l'installation de nouveaux logiciels ni de surveillance en temps réel.
- Ministère grec de la Cohésion sociale et de la Famille, 200 000 euros, et son sous-traitant E.E.T.A.A., 150 000 euros (28 juillet 2026). Des systèmes obsolètes malgré des risques connus et des manquements à l'article 28 ; tous deux doivent conclure un contrat de sous-traitance.
Consentement et droits des personnes
- Xandr, 92 millions de couronnes norvégiennes (environ 8,6 millions d'euros), Norvège (2 octobre 2026). La société publicitaire a traité, dans le cadre d'enchères en temps réel, des données d'utilisateurs d'une application de rencontre destinée aux personnes gays, bi, trans et queer sans base légale valable. Elle s'appuyait sur le consentement recueilli par l'application, qui n'était pas valable : chaque responsable conjoint doit vérifier lui-même le consentement. C'est la plus forte amende jamais infligée par l'autorité norvégienne, et elle est définitive.
- EXTIA, 300 000 euros, France (21 juillet 2026). Sur 265 demandes d'effacement reçues en 2024, 12 n'ont jamais été traitées et 166 personnes n'ont jamais été informées de la suite donnée.
- BBVA, 5 508 000 euros, Italie (3 juillet 2026). Un client s'est opposé à la prospection dans l'application de la banque, mais a reçu des notifications promotionnelles pendant sept mois à cause d'un défaut de synchronisation entre systèmes internes.
Que faire maintenant
Vérifiez l'authentification multifacteur et la surveillance des systèmes contenant des données sensibles, un contrat de sous-traitance signé avec chaque prestataire, et qu'une demande ou une opposition parvient bien au système qui doit l'appliquer.
Dazr Compliance réunit les contrôles de sécurité RGPD, un registre des prestataires avec liens vers les contrats et dates de revue, le registre de l'article 30 et un registre des violations avec compte à rebours de 72 heures, avec des rappels quand une revue arrive à échéance.
Sources
- Datatilsynet: Microsoft company fined NOK 92 million (updated 3 November 2026)
- EDPB: Norwegian DPA fines Xandr EUR 8 600 000 for unlawful processing of personal data (16 October 2026)
- Data Protection Commission: Final decision following inquiry into the Health Service Executive (HSE)
- CNIL: Health data breach, EUR 500,000 fine against Hôpital Privé de la Loire
- IMY: Administrative fine against Miljödata
- EDPB: Hellenic DPA decision on a data breach involving E.E.T.A.A. S.A. as processor (8 October 2026)
- CNIL: Failure to respect the rights of individuals, EUR 300,000 fine against EXTIA
- EDPB: News, national news from data protection authorities
- EDPB: Italian DPA fines BBVA EUR 5 508 000 for failing to respect a customer's objection to direct marketing (9 October 2026)
À titre d’information, ne constitue pas un conseil juridique. Dernière mise à jour le 7 novembre 2026.
Également disponible en: English, Nederlands, Italiano, Deutsch, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål