The Tech Counsel - juillet 2026
Bienvenue dans l’édition de juillet de The Tech Counsel — dans le numéro de ce mois, nous examinons un large éventail d’évolutions qui façonnent la technologie, la protection des données et la régulation des plateformes en Europe et au-delà. Nous abordons de nouvelles orientations réglementaires pour l’industrie du jeu vidéo, de nouvelles orientations du CEPD sur l’anonymisation, le web scraping et la blockchain, une jurisprudence importante en matière de RGPD, l’application du DSA et du DMA à l’encontre de grandes plateformes, l’évolution des règles applicables au commerce électronique et au consentement aux cookies, ainsi que les approches internationales émergentes en matière d’IA, de protection des enfants et de transferts de données.
Intelligence artificielle
Le Digital Omnibus sur l’IA enfin signé
Le 8 juillet 2026, les présidents du Parlement européen et du Conseil ont formellement signé le Digital Omnibus sur l’IA, qui actualise et modernise l’AI Act de l’UE initial dans le cadre du paquet Digital Omnibus plus large visant à simplifier la réglementation et à réduire les charges administratives.
Les échéances de conformité pour les obligations les plus strictes ont été reportées au 2 décembre 2027 pour les systèmes d’IA à haut risque autonomes, et au 2 août 2028 pour les systèmes d’IA intégrés en tant que composants de sécurité dans d’autres produits. L’Omnibus introduit une interdiction stricte et accélérée (à compter du 2 décembre 2026) des systèmes d’IA qui génèrent du matériel pédopornographique ou des images intimes non consenties de personnes réelles, ainsi qu’une période de transition de quatre mois pour le filigranage lisible par machine des contenus générés par l’IA. L’autorisation de traiter des données personnelles sensibles afin de détecter et de corriger les biais a été étendue des fournisseurs à haut risque à l’ensemble des fournisseurs de systèmes d’IA et de modèles d’IA à usage général, et l’obligation de former le personnel à la maîtrise de l’IA a été assouplie.
Le CEPD publie de nouvelles orientations sur le scraping de données pour l’IA, l’anonymisation et la blockchain
Le 8 juillet, le CEPD a publié trois mesures qui redéfinissent la manière dont les organisations abordent la protection des données dans le développement de l’IA et les technologies distribuées.
Anonymisation : les orientations précisent quand des données peuvent être considérées comme véritablement anonymes, en se concentrant sur la possibilité d’isoler des individus, de les relier à d’autres ensembles de données ou de les réidentifier par inférence. Elles reprennent le raisonnement de la Cour de justice dans l’affaire C-413/23 P (CEPD/CRU) et adoptent un critère relatif, fondé sur le contexte — le seuil s’apprécie au cas par cas, et non de manière catégorique.
Web scraping pour l’IA générative : les orientations détaillent les conditions pour se fonder sur l’intérêt légitime comme base légale du scraping de données destiné à entraîner l’IA générative, notamment le scraping à partir de sources fiables uniquement, la minimisation des données et la reconnaissance du fait que le traitement de catégories particulières de données est en principe interdit en l’absence à la fois d’une base au titre de l’article 6 et d’une exception au titre de l’article 9, paragraphe 2. Les deux projets d’orientations étaient ouverts à consultation jusqu’au 30 octobre 2026.
Blockchain : les orientations définitives confirment que le stockage de données à caractère personnel on-chain devrait être évité chaque fois qu’il entre en conflit avec les principes du RGPD, que des identifiants on-chain tels que les adresses de portefeuille peuvent constituer des données à caractère personnel, et qu’une impossibilité technique ne saurait justifier un manquement. Une AIPD est obligatoire avant toute mise en œuvre.
La Safe Social Media Act du Canada
Le Canada a déposé le projet de loi C-34, la Safe Social Media Act, qui vise à rendre les services de médias sociaux et les chatbots reposant sur l’IA plus sûrs pour les enfants. Le texte établit des obligations de conception adaptée à l’âge et, fait notable, étend la couverture réglementaire aux chatbots d’IA — une catégorie que la plupart des cadres existants de protection de l’enfance n’abordent pas de manière exhaustive — au moyen de trois obligations fondamentales : le devoir de protéger les enfants, le devoir d’agir de manière responsable et le devoir de rendre certains contenus inaccessibles.
Une juridiction allemande estime que l’AI Overview de Google est un « éditeur »
Le tribunal régional de Munich I (Landgericht München I) a rendu une décision marquante (affaire n° 26 O 869/26, 28 mai 2026) jugeant que Google est directement responsable, en tant qu’« éditeur », des contenus diffamatoires générés par sa fonctionnalité AI Overview. Le tribunal a estimé que le contenu de l’AI Overview constitue une expression propre à Google, et non une simple agrégation de contenus de tiers, car il synthétise, structure et présente l’information de manière indépendante, en créant de nouvelles affirmations qui ne figurent pas dans les sources sous-jacentes. Le tribunal a rejeté l’argument de Google tiré de l’exemption d’hébergement (safe harbour) du DSA. La décision reste susceptible d’appel, mais constitue un précédent important en matière de responsabilité pour les contenus produits par l’IA.
Google étend l’entraînement de l’IA aux données des utilisateurs
Google a modifié ses paramètres de confidentialité afin d’utiliser les données de services tels que Search, Gmail et Docs pour entraîner ses systèmes d’IA générative. Les options d’opposition disponibles sont fragmentées entre plusieurs interfaces, et les données déjà collectées ont pu être utilisées à des fins d’entraînement avant toute opposition. Pour les utilisateurs de l’UE, les exigences du RGPD relatives à la base légale, à la limitation des finalités et à l’information transparente s’appliquent directement, et les orientations du CEPD soulignent que l’entraînement d’une IA générative sur des données à caractère personnel déclenche l’ensemble des obligations du RGPD.
Vie privée
Un arrêt de la Cour suprême des États-Unis soulève des questions pour le cadre de protection des données UE–États-Unis
Dans l’affaire Trump v. Slaughter, la Cour suprême des États-Unis a jugé que la protection contre la révocation pour motif valable (for cause) des commissaires de la FTC, prévue par le FTC Act, est inconstitutionnelle. Étant donné que la décision d’adéquation de la Commission relative au Data Privacy Framework repose sur la FTC en tant qu’organe de contrôle pour le pilier commercial, les défenseurs de la vie privée soutiennent que l’arrêt fragilise les garanties d’indépendance du cadre. Aucune constatation formelle de l’UE n’a établi l’invalidité du DPF ; les organisations peuvent continuer à s’en prévaloir, mais devraient maintenir des mécanismes de repli tels que les clauses contractuelles types (CCT).
Des États membres et Google militent pour préserver les bannières de consentement aux cookies
Une coalition d’États membres de l’UE, soutenue par Google, plaide pour le maintien du cadre actuel de consentement aux cookies, s’opposant aux défenseurs de la vie privée qui font valoir que les bannières provoquent une « fatigue du consentement ». Alors que la Commission souhaitait initialement supprimer les bannières dans le cadre du Digital Omnibus et les remplacer par un signal automatisé, la prise de position du Conseil de juin indique que les bannières seront maintenues.
Les premières orientations réglementaires de l’UE ciblent la protection des données dans les jeux vidéo
En juin 2026, les autorités espagnole (AEPD) et belge (APD) ont publié conjointement des Recommandations et bonnes pratiques pour la protection des données dans les jeux vidéo — les premières orientations réglementaires ciblant spécifiquement l’industrie du jeu vidéo. Ce document de 104 pages érige la protection des données dès la conception et par défaut en principe non négociable, insiste sur une cartographie rigoureuse des rôles au sens du RGPD entre éditeurs, développeurs, plateformes, régies publicitaires et prestataires d’analyse (y compris le problème des « poupées russes » que constituent les SDK imbriqués), et soumet les mécanismes de monétisation tels que les loot boxes à un contrôle renforcé. La protection des mineurs traverse l’ensemble du cadre.
Le CEPD et l’AMLA élaboreront des orientations communes sur le partage de données à des fins de lutte contre le blanchiment
Le CEPD et la nouvelle Autorité de lutte contre le blanchiment de capitaux (AMLA) ont annoncé un partenariat visant à élaborer des orientations communes sur le partage de données à des fins de lutte contre le blanchiment de capitaux, afin de répondre aux tensions de longue date entre la conformité en matière de vie privée et la prévention de la criminalité financière. La base juridique est l’article 75 du règlement anti-blanchiment, applicable à partir du 10 juillet 2027, une consultation publique étant prévue pour le premier semestre 2027.
Recueil de décisions du CEPD sur le droit d’opposition et le droit à l’effacement
Le CEPD a publié un recueil de décisions synthétisant les décisions du guichet unique concernant le droit d’opposition (article 21) et le droit à l’effacement (article 17). Parmi les thèmes clés figurent le traitement de ces deux droits comme étroitement liés, la garantie que les droits soient faciles à exercer, la demande d’une identification supplémentaire uniquement en cas de doute raisonnable, et la reconnaissance du fait que l’effacement peut être requis même en l’absence de demande formelle. Le droit à l’effacement n’est pas absolu, mais les exceptions relatives à la conservation doivent être nécessaires à une finalité juridique précise et clairement expliquées.
La CJUE juge qu’une violation du RGPD n’exclut pas automatiquement une preuve
Dans l’affaire NTH Haustechnik GmbH/EM (affaire C-484/24), la CJUE a confirmé que le respect du RGPD demeure pertinent dans les litiges, mais ne crée pas de règle automatique d’exclusion des preuves. Le droit national régit la recevabilité des preuves, sous réserve des principes de proportionnalité et de protection des données du droit de l’Union. Les employeurs devraient veiller à ce que les dossiers RH, les éléments d’enquête et les journaux d’appareils soient conservés selon des règles claires de conservation à des fins contentieuses (litigation hold), plutôt que selon des pratiques indéfinies « au cas où ».
Le Conseil de l’UE entreprend de rétablir les mesures provisoires CSAM
Le Conseil a pris des mesures pour rétablir les mesures provisoires de lutte contre le matériel pédopornographique en ligne, en prolongeant les obligations des fournisseurs de communications électroniques tandis que se poursuivent les négociations sur le cadre global « Chat Control ». La prolongation préserve le statu quo, mais ne résout pas les désaccords sous-jacents relatifs au chiffrement et à la surveillance de masse.
Autres sujets numériques
La Commission conclut à titre préliminaire à une violation du DSA par Instagram et Facebook
La Commission a émis des conclusions préliminaires selon lesquelles Meta a enfreint le DSA en raison de la « conception addictive » d’Instagram et de Facebook. L’enquête de deux ans a conclu que Meta n’avait pas correctement évalué les risques que la conception de sa plateforme fait peser sur le bien-être des utilisateurs, en particulier des mineurs, en pointant des fonctionnalités telles que les recommandations personnalisées, la lecture automatique et le défilement infini. Si une décision d’infraction définitive suit, les amendes pourraient atteindre 6 % du chiffre d’affaires annuel mondial total de Meta.
Le nouveau « bouton de rétractation » de l’UE transforme le commerce électronique
À compter du 19 juin 2026, les acheteurs en ligne dans toute l’UE peuvent annuler un achat en ligne aussi facilement qu’ils l’ont effectué. La directive (UE) 2023/2673 introduit un nouvel article 11 bis obligeant les professionnels à fournir une « fonction de rétractation » dédiée — un bouton bien visible portant la mention « se rétracter du contrat » qui reste affiché pendant toute la durée du délai de rétractation. L’obligation s’applique largement aux contrats à distance pour lesquels le droit de l’Union accorde un droit de rétractation, ainsi qu’aux entreprises hors UE qui dirigent leurs activités vers les consommateurs de l’UE.
Apple perd son recours devant la juridiction de l’UE contre sa désignation comme contrôleur d’accès au titre du DMA
Le Tribunal a rejeté le recours d’Apple contre sa désignation comme contrôleur d’accès au titre du DMA, confirmant le pouvoir de la Commission de soumettre l’entreprise aux obligations du règlement, notamment la mise en place d’une distribution alternative d’applications, l’interdiction de l’auto-préférence et la garantie de l’interopérabilité. L’arrêt confirme que les recours procéduraux contre les désignations de contrôleurs d’accès se heurtent à un seuil élevé.
La Commission estime à titre préliminaire qu’AWS et Azure devraient être des contrôleurs d’accès au titre du DMA
La Commission a publié son avis préliminaire selon lequel Amazon Web Services et Microsoft Azure devraient être désignés comme contrôleurs d’accès au regard de leurs services d’informatique en nuage, nonobstant le fait qu’ils ne satisfont pas aux seuils quantitatifs du DMA, au motif qu’ils agissent comme des points d’accès importants dotés de positions bien établies, de coûts de changement élevés et de vastes écosystèmes environnants. Les deux entreprises conservent leurs droits de la défense avant toute décision définitive.