Dipeeo

🚨 824 990 000 €. C’est le montant de la 3e amende infligée à en 3 ans, le 24 août dernier. Son algorithme a débranché le compte de centaines de chauffeurs. Ça fait cher le licenciement…
Pas de RH. Pas d'humain dans la boucle. Juste un robot qui désactivait automatiquement le compte des chauffeurs suspectés de fraude, ou trop mal notés par les clients.
Résultat : plus aucune course, plus aucun revenu, du jour au lendemain.

Pourtant, les décisions automatisées sont strictement encadrées par l’article 22 du : il faut une véritable intervention humaine, et la personne concernée doit pouvoir contester.

Ce montant à 9 chiffres peut donner l'impression que seuls les géants sont concernés. C'est faux. La taille de l'entreprise n'y change rien.
Chez Dipeeo, de plus en plus de clients nous sollicitent pour mettre en place un outil de décisions automatisées : gain de temps, traitement à grande échelle, réduction des tâches répétitives… Une opportunité réelle, à condition de ne pas oublier le cadre RGPD.

Finance, RH, marketing, service client… Presque tous les services sont concernés. Par exemple : un ATS qui refuse des candidatures, une IA qui calcule des refus de crédit, ou un algorithme qui supprime des comptes clients (comme chez Uber). Et la liste ne s'arrête pas là.

Pour vous aider à identifier les bonnes pratiques en cas de décisions automatisées, on vous a préparé un carrousel à enregistrer ⤵️

Trois choses à retenir :
• Un humain doit pouvoir modifier ou annuler la décision, pas juste la valider les yeux fermés.
• La personne concernée doit savoir qu'un algorithme est impliqué et comprendre les critères utilisés.
• Un moyen simple doit exister pour contester la décision et demander qu'un humain réexamine le dossier.

Chez , en tant que externe déclaré auprès de la , nos juristes identifient les décisions automatisées à risque dans vos outils. Et on prend en charge toute votre conformité RGPD et de A à Z.

Connaître la date et l’heure d’ouverture des e-mails que vous envoyez ? C’est fini depuis le 14 avril.

Vous n’avez pas pu passer à côté : le 14 avril dernier, la CNIL a publié sa nouvelle recommandation sur les pixels de suivi dans les e-mails.

La règle est désormais claire : pour utiliser ces pixels à des fins de suivi ou de mesure, vous devez recueillir le consentement préalable de la personne.

En tant que DPO externe de plus de 600 clients, on reçoit beaucoup de questions sur le sujet.

Voici les 5 qui reviennent le plus :

1️⃣ Les liens traçants sont-ils concernés ?

Oui. S’ils permettent de savoir qui clique dans un e-mail à des fins de suivi ou de statistiques, le consentement est en principe nécessaire. Une exemption peut s’appliquer si le lien est strictement nécessaire au service demandé.

2️⃣ La CNIL va-t-elle contrôler les entreprises ?

C’est possible, notamment à la suite d’une plainte ou dans le cadre de ses contrôles. En revanche, impossible de savoir qui sera contrôlé et quand.

3️⃣ Peut-on simplement proposer de s’opposer au suivi ?

Pour les nouveaux contacts, la CNIL demande un consentement préalable : une simple possibilité de s’opposer ne suffit donc pas.
Cependant, comme souvent en droit, ça reste ensuite un choix bénéfice/risque : si vous décidez de continuer malgré tout, faites-le en ayant clairement conscience du risque juridique.

4️⃣ Est-ce pareil dans les autres pays ?

Le principe vient de la directive ePrivacy et s’applique dans toute l’UE, même si les modalités peuvent varier légèrement selon les pays.

5️⃣ Comment recueillir le consentement ?

Pour les contacts entrants : ajoutez une case dédiée dans vos formulaires de collecte.
Pour les contacts déjà en base : demandez leur accord dans un premier e-mail sans pixel de suivi.

Avoir un DPO, c’est aussi ça : pouvoir poser toutes vos questions, sans limite, et trouver la solution la plus adaptée à votre entreprise.

Objectif : sécuriser vos pratiques sans bloquer votre business.

🧾 Facturation électronique : avez-vous pensé au RGPD ?

À partir du 1er septembre 2026, toutes les entreprises devront être capables de recevoir des factures électroniques.

Les grandes entreprises et les ETI devront également les émettre. Les PME, TPE et microentreprises auront, elles, jusqu’au 1er septembre 2027.

Mais la facturation électronique n’est pas qu’un sujet comptable.

Elle crée aussi de nouveaux flux de données personnelles (coucou le RGPD 👋).

Vos factures peuvent contenir des informations sur vos clients : nom, coordonnées, adresse, informations de paiement… voire des informations bien plus sensibles dans certains secteurs.

Ces données vont circuler entre vos outils comptables, votre plateforme de facturation, ses sous-traitants et l’administration fiscale.

Et vous, en tant qu’entreprise, vous restez responsable de leur traitement.
Retrouvez dans ce carrousel les 4 actions RGPD à mettre en place dès maintenant pour limiter les risques.

⚠️ Une fois ces 4 actions mises en place, attention aussi à deux sujets :
▪️ La réutilisation des données : les données collectées pour établir une facture ne peuvent pas être réutilisées librement pour d’autres finalités, comme enrichir un CRM, profiler un client ou lui adresser de la prospection commerciale.
▪️ La durée de conservation : même en cas de demande d’effacement, les factures ne doivent pas être supprimées lorsqu’une obligation légale impose leur conservation. En matière comptable, elles doivent notamment être conservées pendant 10 ans.

Chez , on prend en charge votre conformité de A à Z et on sécurise les flux de données liés à votre facturation : mise à jour de vos documents RGPD, audit de vos sous-traitants et rédaction de vos DPA.

📞À partir du 11 août 2026, fini les appels commerciaux non sollicités pour les particuliers.

Les entreprises BtoC doivent désormais obtenir le consentement d’une personne avant de la démarcher par téléphone.

Le décret du 23 juillet 2026 en précise désormais les modalités pratiques.

2 informations clés à retenir :
▪️ La preuve du consentement doit être conservée pendant 3 ans sous format numérique.
▪️ Le consentement est valable 1 an maximum, sans reconduction tacite.

Si vous souhaitez continuer à prospecter par téléphone, découvrez les 5 actions à mettre en place dès maintenant.

En cas de non-respect, les sanctions sont sévères :

💸 Jusqu’à 375 000 € d’amende par appel non conforme pour une entreprise.
🧾 L’annulation du contrat conclu à la suite de l’appel et le remboursement des sommes versées.
📢 La publication de la sanction prononcée par la .

Entreprises : vous n’êtes pas (encore ?) concernées.

Vous pouvez continuer à appeler vos prospects sur la base de l’intérêt légitime, sous réserve de respecter certaines règles. Retrouvez-les dans notre guide Prospection commerciale (disponible en premier commentaire.)

Chez , en tant que DPO externe déclaré auprès de la , on prend en charge la mise en conformité de votre prospection téléphonique pour vous permettre de continuer à appeler vos prospects en toute sérénité.

Le 9 juillet dernier, la a rappelé les règles applicables à la surveillance des salariés.

Et non, vous ne pouvez pas surveiller vos collaborateurs comme vous le souhaitez.

Caméras, badgeuses, géolocalisation, logiciels de suivi d'activité, contrôle des connexions informatiques... Ces dispositifs sont autorisés, mais uniquement sous certaines conditions.

Avant de mettre en place un dispositif de contrôle, posez-vous 3 questions :

✅ Est-il justifié et proportionné à l'objectif poursuivi ?
✅ Le CSE a-t-il été consulté (pour les entreprises de 50 salariés et plus) ?
✅ Les salariés ont-ils été informés en amont ?

🚫 En revanche, certains dispositifs restent interdits.

C'est notamment le cas des keyloggers, qui enregistrent toutes les frappes au clavier et instaurent une surveillance permanente des salariés (le fameux dispositif qui a récemment fait polémique chez Meta aux États-Unis).

La rappelle également un principe souvent oublié : un dispositif ne peut pas être détourné de sa finalité.

Concrètement, une caméra installée pour sécuriser les locaux ne peut pas être utilisée pour surveiller en permanence le travail des salariés.

Et en cas de contrôle ou de plainte, ce n'est pas à la de démontrer votre non-conformité.

➡️ C'est à l'employeur de prouver que son dispositif respecte le .

Vous devez notamment être en mesure de justifier :

- L’objectif objectif poursuivi ;
- L’ l'analyse de proportionnalité ;
- Les données collectées ;
- Leur durée de conservation ;
- L'information des salariés ;
- Et la consultation du CSE (pour les entreprises qui en ont un)

Pour vous aider à y voir plus clair, découvrez quels dispositifs de contrôle sont autorisés par la , selon l'objectif poursuivi.

Chez , en tant que DPO externe déclaré à la , nous prenons en charge votre conformité de A à Z. Nos juristes sécurisent vos dispositifs de contrôle pour qu'ils restent conformes au et ne deviennent pas un risque juridique.

🚨Évitez, vous aussi, de vous faire épingler par la .

La CNIL a récemment dressé un bilan sur les sanctions prononcées dans le cadre de procédures simplifiées depuis le début de l’année.

Ces procédures, utilisées depuis 2022 par la , restent anonymes, sont plafonnées à 20 000 € et ne nécessitent qu’un seul membre de la CNIL.

Ces sanctions sont moins médiatisées, mais beaucoup plus rapides.

Résultat ? 23 sanctions prononcées pour un montant total de 133 750 €.

Leur point commun ?

19 des 23 sanctions font suite à une plainte d'une personne concernée.

Comprenez : un salarié, un client ou un candidat estime que ses droits n'ont pas été respectés, dépose une plainte auprès de la CNIL... la CNIL contrôle, et la sanction peut tomber.

Les principaux motifs de sanction sont toujours les mêmes :

- Une vidéosurveillance disproportionnée.
- Des cookies non conformes.
- Des demandes d'exercice des droits ignorées ou traitées hors délai.
- Un défaut de coopération avec la CNIL.

La bonne nouvelle, c’est que ces quatre sujets sont parmi les plus simples à sécuriser quand ils sont anticipés.

Voici un résumé des bonnes pratiques 👇

📩 Avez-vous lu le dernier email de Doctolib ?

Probablement pas.

Début juillet, Doctolib a envoyé un email intitulé : « Doctolib s'engage dans la recherche pour améliorer la santé. »

Derrière le ton rassurant, un projet plus sensible :

À partir d'août 2026, Doctolib va utiliser certaines de vos données de santé pour entraîner son IA.

Et ça peut également concerner vos enfants rattachés à votre compte.
Et si vous ne faites rien, vos données pourront être utilisées.

Pourquoi ?

Parce que Doctolib ne demande pas votre consentement. Le traitement repose sur l'intérêt légitime, dans le cadre de la méthodologie de référence MR-004, qui autorise, sous certaines conditions, la réutilisation de données de santé à des fins de recherche.

En contrepartie, les personnes doivent être informées et pouvoir exercer leur droit d'opposition.

Est-ce légal de la part de Doctolib ? Oui.

Est-ce que cela signifie que tout est conforme ? Pas forcément.

Plusieurs questions juridiques restent ouvertes :

- Les deux titulaires de l'autorité parentale ont-ils bien été informés lorsque des données d'enfants sont concernées ?
- Une information envoyée dans un email au titre très rassurant, un soir de juillet, répond-elle réellement à l'obligation de transparence ?
- Les données réutilisées sont-elles limitées à ce qui est strictement nécessaire ?
- Le test de mise en balance de l'intérêt légitime est-il suffisamment robuste lorsqu'il porte sur des données de santé et sur un projet d'IA ayant également une dimension économique ?

À ce stade seul un contrôle de la CNIL pourrait permettre de répondre à ces questions.
Par contre si vous ne souhaitez pas que vos données (et celles de vos enfants) soient utilisées dans ce projet, vous pouvez exercer votre droit d'opposition en remplissant ce formulaire : https://buff.ly/kIcMW4P

💬 Une question demeure : lorsqu'il s'agit de données de santé, le droit d'opposition est-il suffisant, ou un consentement explicite aurait-il dû être recueilli ?

🚨 La CNIL a récemment publié son rapport annuel 2025.

Et il envoie un signal clair aux entreprises : la régulation s'intensifie, les sanctions explosent, et la cybersécurité devient LE chantier prioritaire de 2026.

On décrypte les 4 chiffres clés à retenir 👇

Entreprises, voici les bonnes pratiques à mettre en place dès maintenant :

→ Renforcez votre cybersécurité : mettez en place l'authentification multifacteur (MFA), appliquez une gestion stricte des habilitations avec une r***e régulière des droits d'accès (départs, changements de poste), journalisez les accès pour détecter et analyser les incidents et sensibilisez régulièrement vos équipes.

→ Structurez la gestion des droits des personnes : formalisez une procédure interne, respectez le délai d'un mois pour répondre et assurez-vous que les suppressions demandées sont réellement effectives.

→ Vérifiez vos bandeaux cookies : informez clairement les utilisateurs, ne déposez aucun cookie avant leur consentement et permettez de refuser les cookies aussi facilement que de les accepter.

→ Encadrez et auditez vos sous-traitants : tenez votre registre à jour, mettez à jour vos DPA, vérifiez leurs garanties de sécurité et réalisez des audits réguliers.

Chez Dipeeo, en tant que DPO externe déclaré à la CNIL, on prend en charge l'intégralité de votre conformité RGPD et AI Act pour que vous puissiez rester concentré sur ce qui compte vraiment : votre business.

🚨 La CNIL annonce 4 priorités de contrôle pour 2026.

Chaque année, la CNIL fixe des thématiques prioritaires sur lesquelles elle concentre ses contrôles. Objectif : cibler les secteurs et pratiques les plus à risque pour la protection des données. Pour 2026, 4 axes ont été retenus.
On vous détaille ce que ça implique concrètement pour vous :👇

1️⃣ Recrutement : En 2023, la CNIL avait publié un guide complet sur la protection des données des candidats. En 2026, elle passe au contrôle. Collectez-vous uniquement les données nécessaires à l'évaluation d'une candidature ? Les CV sont-ils supprimés au bout de 2 ans ? Vos candidats sont-ils informés via une politique de confidentialité dédiée ?

2️⃣ Répertoire Électoral Unique (REU) : Avec le retour des élections, la CNIL a reçu 63 % de signalements en plus concernant des SMS de prospection non sollicités. Elle va vérifier que les données de ce répertoire (47 millions d'électeurs) ne sont pas détournées à des fins de profilage ou de prospection commerciale. Le message vaut pour toutes les organisations : une donnée collectée pour un usage précis ne peut pas servir à autre chose. C'est le principe de limitation des finalités.

3️⃣ Fédérations sportives : Une trentaine de fédérations ont été cyberattaquées depuis janvier 2026. Avec l'explosion des inscriptions post-JO, les données collectées (souvent de santé, parfois de mineurs) doivent être strictement minimisées, conservées le temps nécessaire seulement, et protégées par des prestataires fiables.

4️⃣ Transparence en ligne : Politique de confidentialité à jour, mentions légales complètes, bandeau cookies qui laisse refuser aussi facilement qu'accepter : la CNIL va évaluer, dans le cadre d'une action coordonnée au niveau européen, la qualité de l'information donnée aux internautes sur l'utilisation de leurs données.

⚠️ Une précision importante : ces 4 priorités ne représentent qu'environ 20 % des contrôles annuels de la CNIL. Les 80 % restants portent sur l'ensemble de vos traitements. La conformité, c'est partout, tout le temps.

Chez Dipeeo, en tant que DPO externe déclaré à la CNIL, on prend en charge votre conformité RGPD et AI Act de A à Z.