EU Kids Act : une proposition de règlement pour mieux protéger les mineurs en ligne

 

Ce qu'il faut retenir

Le 17 septembre 2026, la Commission européenne a présenté une nouvelle proposition de règlement destinée à renforcer la sécurité des mineurs en ligne, dénommée « EU Kids Act ». L’objectif de ce texte est de renforcer la protection des mineurs en ligne, face en particulier aux risques liés à certaines fonctionnalités addictives, tout en harmonisant les règles applicables dans l’Union européenne.

L’EU Kids Act poursuit un double objectif : harmoniser les règles applicables aux mineurs en ligne et renforcer les obligations de sécurité pesant sur les fournisseurs de services numériques. Pour ce faire, la proposition porte d’une part sur la fixation de tranches d’âge pour les mineurs afin de déterminer l’accès aux services numériques, et d’autre part sur la conception des services numériques afin de limiter leur impact addictif. Le texte doit enfin être replacé dans le cadre réglementaire européen existant, en particulier le DSA, le RGPD et l’AI Act.

Lire la suite de l'article : https://www.deleporte-wentz-avocat.com/actualite-eu-kids-act-une-proposition-de-reglement-pour-mieux-proteger-les-mineurs-en-ligne 

 

 

Droit à l’effacement : supprimer les données ne suffit pas

 

Ce qu'il faut retenir 

La gestion des demandes d’exercice des droits ne se réduit pas à l’exécution technique d’une suppression de données. Dans une délibération du 21 juillet 2026, la CNIL a sanctionné la société EXTIA à hauteur de 300.000 euros pour des manquements dans le traitement de demandes d’exercice des droits, principalement des demandes d’effacement de données.

 

Supprimer les données ne suffit pas. En application de l’article 12 du RGPD, toute demande d’effacement doit non seulement être examinée mais également être suivie d’une réponse à la personne concernée. Par ailleurs, conformément au principe de responsabilité, le responsable du traitement doit être en mesure de démontrer le respect de ses obligations au moyen d’une documentation cohérente et d’une traçabilité suffisante.

Lire la suite de l'article: https://www.deleporte-wentz-avocat.com/actualite-droit-a-l-effacement-supprimer-les-donnees-ne-suffit-pas 

Logiciels cryptographiques et biens à double usage : quelles obligations auprès du SBDU ?

 

Ce qu'il faut retenir

L’exportation d’un logiciel intégrant des fonctions cryptographiques peut relever de deux réglementations distinctes : le régime français de la cryptologie, régi par la LCEN, impose selon les cas une déclaration ou une demande d’autorisation auprès de l’ANSSI ; le règlement du 20 mai 2021 sur les biens à double usage soumet certains logiciels et technologies à un contrôle à l’exportation. (1) Ces régimes poursuivent des finalités différentes mais peuvent se cumuler pour une même opération.

Un premier article était consacré aux formalités auprès de l’ANSSI. Le présent article expose le régime applicable aux logiciels cryptographiques en matière de biens à double usage, leur classement et les autorisations d’exportation susceptibles d’être requises.

Lire la suite de l'article: https://www.deleporte-wentz-avocat.com/actualite-logiciels-cryptographiques-et-biens-a-double-usage-quelles-obligations-aupres-du-sbdu

 

Outils collaboratifs dans l’enseignement et conformité au RGPD : les recommandations de la CNIL

 

Ce qu'il faut retenir

Espaces numériques de travail (ENT), messageries, suites bureautiques en ligne, espaces de stockage ou plateformes collaboratives : les établissements scolaires et universitaires recourent largement à des outils collaboratifs, souvent hébergés dans le cloud, qui impliquent, dans la plupart des cas, des traitements de données personnelles.

Le 24 août 2026, quelques jours avant la rentrée, la CNIL a publié deux recommandations consacrées à ces outils : l’une pour l’enseignement du premier et du second degré et l’autre pour l’enseignement supérieur. (1)

Ces recommandations sont très similaires. Elles comprennent cependant quelques points spécifiques à l’enseignement scolaire. Il est utile, par ailleurs, de rappeler les critères rendant nécessaire la désignation d’un DPO par les établissements d’enseignement.

Lire la suite de l'article: https://www.deleporte-wentz-avocat.com/actualite-outils-collaboratifs-dans-l-enseignement-et-conformite-au-rgpd-les-recommandations-de-la-cnil 

AI Act : entrée en application des obligations de transparence et des règles de contrôle des modèles de GPAI

 

Ce qu'il faut retenir

Le règlement sur l’intelligence artificielle (« AI Act ») est applicable progressivement depuis 2025. (1)

Après une première série de dispositions applicables depuis le 2 février 2025 (dont l’obligation de prendre des mesures pour assurer un niveau suffisant de maîtrise de l’IA et l’interdiction des systèmes d’IA présentant un risque inacceptable), une deuxième étape a été franchie le 2 août 2025, avec l’application des dispositions concernant les modèles d’IA à usage général (« GPAI »), certaines règles de gouvernance et une grande partie du régime des sanctions. (2) 

Le 2 août 2026 constitue la troisième grande étape du calendrier d’application de l’AI Act. Parmi les principales mesures devenues applicables à cette date figurent les obligations de transparence prévues à l’article 50, les mécanismes de réclamation ainsi que les pouvoirs de surveillance et de contrôle de la Commission à l’égard des fournisseurs de modèles d’IA à usage général. En revanche, la date d’entrée en application des dispositions concernant les systèmes d’IA à haut risque a été repoussée.

Lire la suite de l'article: https://www.deleporte-wentz-avocat.com/actualite-ai-act-entree-en-application-des-obligations-de-transparence-et-des-regles-de-controle-des-modeles-de-gpai 

Logiciels cryptographiques : comprendre les formalités d’importation et d’exportation auprès de l’ANSSI

 

Ce qu'il faut retenir

Le chiffrement est intégré dans une très grande variété de logiciels, tels que les VPN, les solutions de cybersécurité, les messageries sécurisées ou les applications cloud par exemple. Selon les fonctions cryptographiques du logiciel et l’opération envisagée, une déclaration ou une demande d’autorisation auprès de l’ANSSI peut être nécessaire.

Deux réglementations doivent être distinguées : le régime français des moyens de cryptologie, issu de la loi pour la confiance dans l’économie numérique (LCEN), et le régime européen des biens à double usage. Ces deux régimes sont complémentaires et peuvent conduire, pour une même exportation, à accomplir des démarches à la fois auprès de l’ANSSI et du Service des biens à double usage (SBDU). Le régime applicable dépend principalement des fonctions cryptographiques du logiciel et de l’opération envisagée.

Cet article concerne les formalités à accomplir auprès de l’ANSSI. Les formalités relatives aux biens à double usage sont abordées dans un second article.

Lire la suite de l'article: https://www.deleporte-wentz-avocat.com/actualite-logiciels-cryptographiques-comprendre-les-formalites-d-importation-et-d-exportation-aupres-de-l-anssi 

IA agentique et protection des données personnelles : comment maintenir la conformité au RGPD ?

 

Ce qu'il faut retenir 

Face au développement de l’utilisation d’agents d’IA, la question de l’accès aux données personnelles et de leur protection se pose.

Les agents d’IA se distinguent des outils d’IA générative classiques par leur capacité à prendre des décisions de manière autonome, orchestrer des actions complexes et interagir avec des services tiers, avec ou sans validation humaine. Cette autonomie engendre de nouveaux usages, mais elle modifie aussi profondément la manière dont les données personnelles sont traitées, c’est-à-dire collectées, utilisées, conservées et transmises. 

Les traitements de données personnelles mis en œuvre dans le cadre de l’utilisation d’agents d’IA sont soumis au RGPD. Toutefois, leur fonctionnement nécessite d’adapter les modalités de mise en œuvre des règles existantes en matière de protection des données personnelles. C’est dans ce contexte que la CNIL et le Conseil de l’IA et du Numérique (CIANum) viennent de publier une note analysant les conditions d’application du RGPD à l’IA agentique. (1)

L’utilisation d’agents d’IA implique de déterminer comment maintenir la conformité au RGPD dans un environnement où plusieurs agents, mémoires et services peuvent intervenir successivement dans l’exécution d’une même tâche. Trois séries d’actions relatives à la conformité du système doivent être engagées : déterminer les données auxquelles l’agent peut accéder, encadrer les actions qu’il peut accomplir de manière autonome et mettre en place la traçabilité des tâches exécutées par l’agent. 

Lire la suite de l'article: https://www.deleporte-wentz-avocat.com/actualite-ia-agentique-et-protection-des-donnees-personnelles-comment-maintenir-la-conformite-au-rgpd

AI Act : le règlement omnibus numérique sur l’IA reporte et simplifie les obligations de conformité

 

Ce qu'il faut retenir 

Le règlement dit “omnibus numérique sur l’IA”, qui vise à simplifier et rationaliser certaines règles relatives à l’intelligence artificielle a été adopté le 8 juillet 2026. (1) Ce texte s’inscrit dans un mouvement plus large de simplification du cadre réglementaire européen applicable aux entreprises. 

Le règlement omnibus numérique sur l’IA n’abroge pas le règlement européen sur l’intelligence artificielle (“règlement sur l’intelligence artificielle”, “RIA” ou “AI Act”), adopté il y a à peine 2 ans. (2) Il en ajuste certains mécanismes, afin de faciliter sa mise en œuvre.

Ce règlement a pour but de préserver les objectifs de l’AI Act, tout en évitant que sa mise en œuvre ne devienne excessivement complexe, coûteuse ou incertaine pour les opérateurs économiques. Il doit donc être lu comme une révision opérationnelle de l’AI Act en ce qu’il reporte certaines échéances, clarifie plusieurs notions clés et introduit de nouvelles mesures ciblées.

Lire la suite de l'article :  https://www.deleporte-wentz-avocat.com/actualite-ai-act-le-reglement-omnibus-numerique-sur-l-ia-reporte-et-simplifie-les-obligations-de-conformite

RGPD : ne pas confondre données sensibles et données confidentielles

 

 Ce qu’il faut retenir

Le RGPD accorde un niveau de protection renforcé pour les données sensibles. Toutefois, la notion de “données sensibles” est souvent confondue avec les données confidentielles. Ces deux expressions ne sont pas synonymes en droit de la protection des données.

Alors que les données sensibles sont définies et encadrées par l’article 9 du RGPD, le règlement ne consacre pas, en tant que telle, la notion de “données confidentielles”. La confidentialité est néanmoins au cœur du dispositif.

Cette distinction entre données sensibles et données confidentielles n’a rien de théorique. Pour les responsables de traitement, elle permet d’éviter deux erreurs fréquentes : qualifier à tort de “sensibles” des données qui relèvent d’un niveau élevé de sécurité ou, à l’inverse, sous-estimer les contraintes particulières attachées aux catégories de données visées par l’article 9 du RGPD. Bien distinguer ces notions permet ainsi de mieux structurer sa conformité, mieux hiérarchiser ses risques et mieux sécuriser ses traitements.

 

Lire la suite de l'article : https://www.deleporte-wentz-avocat.com/actualite-rgpd-ne-pas-confondre-donnees-sensibles-et-donnees-confidentielles

Omnibus numérique européen : un paquet de mesures pour harmoniser le droit du numérique

 

Ce qu’il faut retenir

L’omnibus numérique est une initiative législative de la Commission européenne destinée à simplifier le cadre réglementaire de l’UE par modifications de plusieurs textes existants. Il ne s’agit pas d’un règlement autonome se substituant aux instruments actuels, mais d’un paquet de révisions qui touche simultanément le droit des données, de la cybersécurité, des communications électroniques et de l’intelligence artificielle.

Cette initiative fait l’objet de deux propositions de règlements distincts, publiées par la Commission le 19 novembre 2025 : une proposition relative à l’intelligence artificielle - Omnibus numérique sur l’IA et une proposition générale concernant les autres textes - Omnibus numérique général. 

Lire la suite de l'article : https://www.deleporte-wentz-avocat.com/actualite-omnibus-numerique-europeen-un-paquet-de-mesures-pour-harmoniser-le-droit-du-numerique

DSA : quelles obligations pour les TPE et PME ?

Ce qu’il faut retenir

Le règlement sur les services numériques, ou Digital Services Act (DSA) est pleinement applicable depuis février 2024. Le DSA impose un ensemble d’obligations en matière de responsabilité, de transparence et de gestion des risques pour les fournisseurs de services intermédiaires, dont les hébergeurs, les plateformes en ligne et les places de marché opérant dans l’UE. (1) 

Ce texte prévoit un certain nombre d’aménagements afin de prendre en compte l’impact que la mise en oeuvre de ces obligations pourrait avoir sur les petites entreprises.

L’objet du présent article est de faire le point sur les dispositions spécifiquement applicables aux TPE et PME - micro et petites entreprises, exploitant des services numériques couverts par le DSA.

Lire la suite de l'article : https://www.deleporte-wentz-avocat.com/actualite-dsa-quelles-obligations-pour-les-tpe-et-pme

Accessibilité numérique : quelles obligations légales pour les services numériques ?

 

 Ce qu’il faut retenir

L’accessibilité numérique est devenue un enjeu incontournable pour les prestataires de services numériques. Au-delà d’une obligation légale, elle constitue un levier stratégique de performance et d’inclusion. En France, l’exigence d’accessibilité trouve ses racines dans la loi du 11 février 2005 et n’a cessé d’évoluer sous l’influence du droit européen, notamment avec la directive 2016/2102 sur l’accessibilité des services publics en ligne et la directive 2019/882 dite European Accessibility Act.

L’accessibilité numérique a d’abord été cantonnée au secteur public. La directive de 2019 sur les exigences en matière d’accessibilité applicables aux produits et services a élargi le périmètre d’application au secteur privé. Malgré une première date d’entrée en application fixée au 28 juin 2025, le niveau de conformité des services numériques à la réglementation reste encore très insuffisant.

 

Lire la suite de l'article :  https://www.deleporte-wentz-avocat.com/actualite-accessibilite-numerique-quelles-obligations-legales-pour-les-services-numeriques

Sites internet : l’absence de mentions légales est un délit pénal

Ce qu’il faut retenir

Toute personne, physique ou morale, qui édite un site web doit publier des mentions légales conformes à la loi. Le défaut de mentions légales est un délit pénal.

Lire la suite de l'article : https://www.deleporte-wentz-avocat.com/actualite-sites-internet-l-absence-de-mentions-legales-est-un-delit-penal 

Sécurité numérique des enfants : la Commission européenne publie les lignes directrices dans le cadre du DSA

 

Ce qu’il faut retenir

Les lignes directrices de la Commission européenne en application du DSA fixent un cadre inédit pour la protection des mineurs en ligne, en imposant aux plateformes numériques des obligations étendues telles que l’assurance de l’âge, la sécurité dès la conception, des règles de modération renforcées et une gouvernance responsable.

Lire la suite de l'article : https://www.deleporte-wentz-avocat.com/actualite-securite-numerique-des-enfants-la-commission-europeenne-publie-les-lignes-directrices-dans-le-cadre-du-dsa

AI Act : le gouvernement propose une gouvernance répartie sur les autorités existantes

 

 Ce qu’il faut retenir

Le gouvernement vient de proposer son schéma de gouvernance pour l’application de l’AI Act. Plutôt que de créer une nouvelle autorité dédiée, plusieurs autorités existantes seront en charge de la supervision de l’application du règlement, sur la base de leurs domaines de compétences respectifs.

Lire la suite de l'article : https://www.deleporte-wentz-avocat.com/actualite-ai-act-le-gouvernement-propose-une-gouvernance-repartie-sur-les-autorites-existantes

Sites pornographiques : l’obligation de vérification de l’âge des internautes se concrétise

 

Ce qu’il faut retenir

Après une brève suspension, l’arrêté du 26 février 2025, qui étend l’obligation de vérification de l’âge des internautes à des sites pornographiques européens, a été rétabli par le Conseil d’Etat le 15 juillet 2025. L’obligation de vérification de l’âge des internautes souhaitant consulter des sites pornographiques s’étend désormais aux sites établis en France et à l’international, ainsi qu’aux sites européens désignés par cet arrêté.

L’objet du présent article est de rappeler les contours de l’obligation de vérification de l’âge des internautes à la charge des éditeurs de sites pornographiques, les points essentiels de l’arrêt du Conseil d’Etat rétablissant l’arrêté du 26 février 2025 et la situation dans le reste de l’Europe en matière de vérification de l’âge des internautes.

 

Lire la suite de l'article : https://www.deleporte-wentz-avocat.com/actualite-sites-pornographiques-l-obligation-de-verification-de-l-age-des-internautes-se-concretise 

Cookies sans consentement : résolution du contrat de prestation web pour défaut de délivrance conforme

 

Ce qu’il faut retenir

La Cour d’appel de Bordeaux a prononcé la résolution d’un contrat de fourniture de site internet pour non-conformité à la réglementation sur la protection des données et manquements contractuels du prestataire.

Lire la suite de l'article : https://www.deleporte-wentz-avocat.com/actualite-cookies-sans-consentement-resolution-du-contrat-de-prestation-web-pour-defaut-de-delivrance-conforme

AI Act : quelles obligations pour les fournisseurs de modèles d’IA à usage général (GPAI) ?

Ce qu’il faut retenir

Le Règlement européen sur l’intelligence artificielle (ou “AI Act”), adopté le 13 juin 2024, marque une avancée déterminante dans l’encadrement des technologies d’IA dans l’UE. Les fournisseurs de systèmes d’IA sont soumis à des obligations particulières en matière de conformité, de gouvernance, de sécurité et de transparence concernant le développement et la mise sur le marché de systèmes d’IA. Ce second article est une synthèse sur les obligations concernant les fournisseurs de modèles d’IA à usage général (GPAI).

 

Lire la suite de l'article:  https://www.deleporte-wentz-avocat.com/actualite-ai-act-quelles-obligations-pour-les-fournisseurs-de-modeles-d-ia-a-usage-general-gpai

AI Act : quelles obligations pour les fournisseurs de systèmes d’IA à haut risque ?

 

 

Ce qu’il faut retenir

Le Règlement européen sur l’intelligence artificielle (ou “AI Act”), adopté le 13 juin 2024, marque une avancée déterminante dans l’encadrement des technologies d’IA dans l’UE. Les fournisseurs de systèmes d’IA sont soumis à des obligations particulières en matière de conformité, de gouvernance, de sécurité et de transparence concernant le développement et la mise sur le marché de systèmes d’IA. Ce premier article est une synthèse sur les obligations concernant les fournisseurs de systèmes d’IA à haut risque.

 

Lire la suite de l'article : https://www.deleporte-wentz-avocat.com/actualite-ai-act-quelles-obligations-pour-les-fournisseurs-de-systemes-d-ia-a-haut-risque

La CNIL intensifie les sanctions pour manquements au RGPD grâce à la procédure simplifiée

Ce qu’il faut retenir

En 2024, la CNIL a prononcé 69 nouvelles sanctions dans le cadre de la procédure simplifiée. Ces sanctions, qui portent sur divers manquements au RGPD, représentent un montant total de 715.500 euros.

 

Lire la suite de l'article : https://www.deleporte-wentz-avocat.com/actualite-la-cnil-intensifie-les-sanctions-pour-manquements-au-rgpd-grace-a-la-procedure-simplifiee