FÉRAL partage régulièrement sur sa page LinkedIn des réactions aux actualités juridiques qui ont marqué nos domaines d’activités. Retrouvez régulièrement un récap’ des informations qu’il ne fallait pas manquer.
Contrefaçon de marque : la Cour de cassation a précisé les contours de la responsabilité personnelle du gérant de SARL
Par un arrêt du 7 octobre 2026, la chambre commerciale de la Cour de cassation a précisé les conditions dans lesquelles la faute du gérant de SARL pouvait engager sa responsabilité personnelle à l’égard des tiers.
La Cour a rappelé qu’une infraction pénale intentionnelle commise par le gérant constituait en elle-même, une faute séparable de ses fonctions sociales. Lorsqu’il était soutenu qu’un gérant avait commis le délit intentionnel de contrefaçon de marque, le juge devait donc rechercher si ses actes étaient constitutifs de ce délit.
Si tel était le cas, sa responsabilité personnelle était engagée, sans qu’il soit nécessaire de caractériser une faute d’une particulière gravité.
La Cour a également rappelé qu’une faute intentionnelle d’une particulière gravité, incompatible avec l’exercice normal des fonctions sociales, constituait une faute séparable des fonctions du gérant. Elle a jugé que le refus d’exécuter une décision de justice ordonnant à la société de produire des pièces caractérisait une telle faute.
Lire l’arrêt de la Cour de cassation du 7 octobre 2026, n° 25-14.170
Enregistrement des réunions du CSE par l’employeur : la Cour de cassation a rappelé les exigences du droit du travail et du RGPD
Par un arrêt du 7 octobre 2026, la chambre sociale de la Cour de cassation a jugé que l’employeur ne pouvait pas enregistrer les réunions du comité social et économique (CSE) à des fins étrangères à celles prévues par le Code du travail, au regard notamment des exigences du RGPD en matière de licéité des traitements de données personnelles.
Conformément au Code du travail, l’employeur ou la délégation du personnel du CSE peut décider de procéder à l’enregistrement ou à la sténographie des séances du comité uniquement afin d’aider à la rédaction du procès-verbal des délibérations de l’instance, prérogative exclusive du secrétaire du comité.
Après avoir rappelé qu’un tel enregistrement constitue un traitement de données personnelles, la Cour a confirmé que l’employeur avait méconnu le principe de licéité du traitement en enregistrant les séances afin de vérifier la fidélité des procès-verbaux aux débats, de retracer le déroulement des réunions et de se constituer des preuves du contenu des échanges.
La juridiction d’appel avait donc, à bon droit, constaté l’existence d’un trouble manifestement illicite et interdit à l’employeur, sous astreinte, tout enregistrement, quel qu’en soit le procédé.
En pratique, cet arrêt rappelle que tout dispositif d’enregistrement doit respecter les finalités prévues par le Code du travail ainsi que les exigences du RGPD, y compris lorsqu’il repose sur de nouveaux outils de transcription par IA.
Lire l’arrêt de la Cour de cassation du 7 octobre 2026, n° 25-10.664
Traceurs dans les applications mobiles : la CNIL a sanctionné un distributeur à hauteur de 7 millions d’euros
Le 22 octobre 2026, la CNIL a sanctionné deux sociétés d’un groupe de distribution, en qualité de responsables conjoints du traitement, pour avoir eu recours dans leur application mobile, sans le consentement des utilisateurs, à un traceur permettant de personnaliser les contenus recommandés et d’entraîner l’algorithme de recommandation.
En vertu de la loi Informatique et Libertés (LIL), le recours à des traceurs suppose le consentement préalable de l’utilisateur avant tout stockage d’informations sur son terminal ou tout accès à des informations déjà stockées sur celui-ci. Deux exceptions existent : lorsque ces actions sont strictement nécessaires à la fourniture d’un service de communication en ligne expressément demandé par l’utilisateur, ou lorsqu’elles ont pour finalité exclusive de permettre ou faciliter une communication par voie électronique.
En l’espèce, si les sociétés considéraient que le recours à des traceurs relevait d’une simple « aide à la navigation », l’autorité a constaté que la personnalisation des produits affichés ou encore la recommandation de produits complémentaires relevaient notamment du ciblage commercial et n’entraient donc pas dans le champ des exceptions.
La CNIL a prononcé des amendes administratives de 6 millions et 1 million d’euros, calculées en tenant compte du chiffre d’affaires du groupe. Les deux sociétés doivent aussi démontrer leur mise en conformité dans un délai d’un mois, sous astreinte de 10 000 euros par jour de retard.
Pour fixer le montant de ces sanctions, l’autorité a retenu deux éléments majeurs :
- La gravité du manquement, les opérations ayant été réalisées sans consentement et malgré le refus de l’utilisateur, exprimé en cliquant sur « Continuer sans accepter » ;
- La négligence des sociétés, qui ne pouvaient ignorer leurs obligations au regard des recommandations et des sanctions antérieures issues de la doctrine répressive bien établie de la CNIL.
Lire la délibération de la CNIL du 22 octobre 2026, n° SAN-2026-015
L’ANSSI a publié 7 principes pour sécuriser les systèmes d’IA agentique
Le 30 octobre 2026, l’ANSSI a publié un guide non contraignant sur la sécurisation des systèmes d’IA agentique, à destination notamment des architectes, RSSI, exploitants et développeurs.
L’ANSSI considère que même lorsqu’un agent IA réalise une action autorisée, celle-ci peut être dommageable comme l’agent IA peut se tromper, être manipulé ou combiner dangereusement des opérations permises. La sécurité repose donc notamment sur le cloisonnement, la maîtrise des accès et des contrôles déterministes que les agents ne peuvent pas outrepasser.
Les 7 principes préconisés peuvent être regroupés autour de trois axes :
- La gouvernance : l’ANSSI préconise une analyse de risque dès la conception, des accès strictement délimités ainsi qu’une approbation humaine pour les actions critiques, notamment l’accès aux données sensibles, les modifications de droits ou les mises en production ;
- La maîtrise technique : l’ANSSI recommande de recourir à des environnements cloisonnés et à des vérifications automatiques des habilitations, en refusant l’action par défaut. Les entrées et sorties de l’agent IA doivent également être considérées comme non fiables et un mécanisme d’arrêt d’urgence doit être prévu ;
- La traçabilité : l’ANSSI recommande de tester les systèmes avant et pendant leur déploiement, de les superviser en production et de mettre en place une journalisation protégée contre les modifications de l’agent. Le référentiel des responsables en matière de gouvernance doit également être tenu à jour.
Le cabinet FÉRAL reste à votre disposition pour vous accompagner dans l’évaluation de vos systèmes d’IA agentique et leur mise en conformité.
Lire le guide « Sécuriser un système IA agentique » de l’ANSSI du 30 octobre 2026
