FÉRAL partage régulièrement sur sa page LinkedIn des réactions aux actualités juridiques qui ont marqué nos domaines d’activités. Retrouvez régulièrement un récap’ des informations qu’il ne fallait pas manquer.
Facturation électronique : la CNIL précise les enjeux relatifs à la protection des données personnelles
Depuis le 1er septembre 2026, toutes les entreprises doivent être en mesure de recevoir des factures électroniques. Les grandes entreprises et ETI doivent également pouvoir les émettre sous ce format. Ces obligations s’étendront à toutes les entreprises au 1er septembre 2027.
Lorsque les factures contiennent des données personnelles, les principes du RGPD s’appliquent, notamment :
Dans le cadre de la communication, via des plateformes agréées par l’État, de données relatives à des ventes aux particuliers et aux entreprises étrangères, l’entreprise agit en qualité de responsable du traitement, tandis que la plateforme agit en tant que sous-traitant ;
En application du principe de minimisation, seules les données personnelles nécessaires à l’objectif poursuivi doivent être traitées ;
La réutilisation des données par la plateforme pour son propre compte n’est possible que si elle est compatible avec le traitement initial et avec l’autorisation écrite de l’entreprise. Une vigilance particulière s’impose quant aux CGU de la plateforme ;
Les factures électroniques sont soumises à la durée légale de conservation de dix ans applicable aux documents comptables ;
Sécurité : la plateforme doit répondre à des exigences élevées de sécurité au sens du Code général des impôts, sans dispenser l’entreprise d’évaluer la nécessité de mesures organisationnelles et techniques propres à sa situation.
Lire le communiqué de presse de la CNIL du 10 septembre 2026
Cyber Resilience Act : les fabricants doivent signaler les vulnérabilités et incidents de sécurité affectant leurs produits numériques
Le Cyber Resilience Act (CRA) vise à harmoniser et renforcer le cadre européen de cybersécurité, en introduisant de nouvelles exigences essentielles applicables aux produits comportant des éléments numériques. Il impose aux fabricants, importateurs et distributeurs des obligations dès la conception et tout au long du cycle de vie de ces produits.
Sont notamment concernés les produits numériques « par défaut », comme les smartphones et ordinateurs, mais également certaines catégories de produits dits importants ou critiques, listées en annexes du règlement.
Dans le cadre de l’entrée en application progressive du CRA, les fabricants doivent désormais signaler les vulnérabilités activement exploitées ainsi que les incidents graves de sécurité affectant leurs produits numériques. Ces signalements sont effectués via la Plateforme Unique de Signalement (SRP), administrée par l’Agence de l’Union européenne pour la cybersécurité (ENISA).
Une alerte précoce doit être transmise par l’intermédiaire de la SRP dans un délai maximal de 24 heures à compter de la prise de connaissance de la vulnérabilité ou de l’incident. Sauf si les informations pertinentes ont déjà été communiquées, une notification plus détaillée doit être transmise dans un délai maximal de 72 heures à compter de la prise de connaissance.
Pour rappel, le non-respect des exigences essentielles de cybersécurité et des obligations imposées aux fabricants peut exposer à des sanctions administratives significatives, pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial.
Le CRA sera pleinement applicable à partir du 11 décembre 2027. À cette échéance, les produits mis sur le marché devront être conformes au règlement et les autorités de surveillance du marché pourront effectuer leurs contrôles. En France, la surveillance sera assurée par l’Agence nationale des fréquences (ANFR).
Lire le Règlement (UE) 2024/2847 du Parlement européen et du Conseil concernant des exigences de cybersécurité horizontales pour les produits comportant des éléments numériques
L’EDPB a adopté ses lignes directrices sur l’articulation entre le DSA et le RGPD
Dans ses lignes directrices adoptées le 17 septembre 2026, le Comité européen de la protection des données (EDPB) a apporté plusieurs précisions sur l’application du RGPD aux obligations prévues par le Digital Services Act (DSA). Il a notamment précisé que :
S’agissant de la détection volontaire de contenus illicites, l’article 7 du DSA ne constitue pas, à lui seul, une base légale pour traiter des données personnelles. Le CEPD a considéré que l’intérêt légitime peut, selon les cas, être retenu, sous réserve de satisfaire aux conditions applicables à cette base légale.
Certaines décisions de retrait de contenus peuvent être soumises aux règles encadrant les décisions entièrement automatisées. Une intervention humaine purement formelle ne suffit pas : lorsque la personne s’appuie largement sur la recommandation de l’algorithme, la décision demeure considérée comme automatisée.
Les très grandes plateformes et moteurs de recherche doivent proposer une option de système de recommandation ne reposant pas sur le profilage, sans inciter les utilisateurs à choisir l’option profilée. Lorsque l’option sans profilage est activée, la plateforme ne peut pas continuer à collecter des données en vue de profiler l’utilisateur.
Les dark patterns peuvent relever du RGPD, selon les cas, notamment lorsqu’ils incitent l’utilisateur à transmettre davantage de données à caractère personnel.ard des critères de mise en balance des droits, libertés et intérêts en présence dégagés par la CEDH.
Lire les lignes directrices 3/2025 sur l’articulation entre le DSA et le RGPD du 17 septembre 2026 (en anglais)
IA et doublage : le tribunal de Tokyo a reconnu une protection de la voix
À l’occasion d’une affaire introduite par un célèbre comédien de doublage au sujet de vidéos utilisant une narration générée par IA présentant de fortes similitudes avec sa voix, le tribunal de district de Tokyo a reconnu qu’une voix pouvait bénéficier d’une protection au titre du droit à l’image.
Dans un jugement du 30 septembre 2026, les juges japonais ont considéré que, comme le portrait, la voix constituait un symbole de la personnalité et pouvait présenter un « pouvoir d’attraction sur la clientèle », notamment pour un artiste interprète.
Cette décision fait écho à l’arrêt rendu le 24 juin dernier par la Cour de cassation, qui a consacré la voix comme un attribut de la personnalité protégé au titre du droit au respect de la vie privée, sur le fondement de l’article 9 du Code civil.
Lire le jugement du Tribunal de district de Tokyo du 30 septembre 2026, n°97097 (en japonais)
