[20/03/2025] Une deuxième plainte déposée contre OpenAI par Noyb pour violation du RGPD

IA générative : ChatGPT viole le principe d'exactitude des données protégé par le RGPD, selon Noyb. Noyb dépose sa deuxième plainte contre le roi de l'IA générative, OpenAI, et son chatbot ChatGPT. L'association présidée par le militant Max Schrems l'accuse de violer le principe d'exactitude des données personnelles, protégé par le RGPD, en raison de la génération d'hallucinations.

France

La pression montre le recours à Microsoft dans le secteur éducatif. Le choix de Microsoft pour héberger les données de certains systèmes de l'éducation nationale, de l'enseignement supérieur, ainsi que de Polytechnique a provoqué une levée de boucliers. Pour rappel, le 19 mars, le média Next (anciennement Next INpact) révélait qu'un marché public de l'éducation avait été attribué à la firme américaine. De son côté, La Lettre indique que Polytechnique migrait l'ensemble de ses données vers Microsoft 365, malgré l'inquiétude des chercheurs pour la confidentialité des données.

Le député vendéen Philippe Latombe a posé deux questions au gouvernement. En parallèle, plusieurs organisations sont montées au créneau. L'association Hexatrust, qui représente les entreprises dans la cyber et le cloud, a dénoncé la mise en "échec scolaire de la souveraineté numérique" rappelant le contexte international particulièrement tendu. De son côté, le CNLL, l’Union des entreprises du logiciel libre et du numérique ouvert, a exprimé "sa consternation et sa ferme condamnation" et exige l'arrêt immédiat de la migration des données de Polytechnique ainsi que l'annulation du marché public du ministère de l'Education nationale.

La Cnil lance une consultation sur le dossier patient informatisé. Jusqu'au 16 mai 2025, les parties intéressées peuvent faire parvenir leurs commentaires sur le projet de recommandation de la Commission nationale de l'informatique et des libertés à propos de la conformité et de la sécurité du dossier patient informatisé (DPI). A cette occasion, elle rapporte avoir été alertée à plusieurs reprises au sujet d’accès illégitimes aux données de patients contenues dans leurs DPI. Elle a ainsi conduit 13 contrôles auprès d’établissements de santé entre 2020 et 2023 et a constaté des manquements à l’obligation d’assurer la sécurité et la confidentialité des données, voire des manquements au respect du secret professionnel.

Europe

Bruxelles propose de prolonger de 6 mois la décision d'adéquation avec le Royaume-Uni. La Commission européenne a proposé le 18 mars d'adopter une prolongation de six mois des deux décisions d'adéquation de 2021 signées avec le Royaume-Uni. Au lieu de juin prochain, les flux de données personnelles seraient facilités jusqu'au 27 décembre 2025. "Notre proposition permettra à la Commission d'évaluer s'il convient de renouveler ces décisions sur la base d'un cadre juridique stable, tout en préservant la continuité des flux de données vers le Royaume-Uni", a déclaré Michael McGrath, le commissaire à la démocratie, à la justice, à l'État de droit et à la protection des consommateurs.

Les projets de décision de prolongation seront désormais transmis au Comité européen de la protection des données pour avis, dans le cadre de la procédure d'adoption.

Après des ajustements réglementaires, Meta Assistant débarque finalement en Europe. À partir de cette semaine, Meta AI - l'assistant développé par Meta - sera déployé dans 41 pays européens, y compris ceux de l'Union européenne, ainsi que dans 21 territoires d'outre-mer européens. Annoncé en 2023, le déploiement du chatbot à base d'IA générative a pris plus de temps au sein de l'UE pour cause de réglementation.

"Nous continuons à naviguer dans un système réglementaire européen complexe, mais nous sommes heureux d’y être enfin parvenus", écrit l'entreprise américaine. Elle ne précise pas en revanche la stratégie choisie pour se conformer aux exigences du Règlement général sur la protection des données, en particulier la possibilité de traiter les données personnelles des utilisateurs à des fins d'entraînement du chatbot.

Pour rappel, c'est la Data Protection Commission (DPC), l'autorité irlandaise de protection des données, qui avait exigé de Meta qu'il retarde le lancement de son assistant au sein de l'UE.

Amazon ne réussit pas à faire annuler son amende record de 746 millions d'euros. Le 18 mars, le tribunal administratif grand-ducal a rejeté l'appel introduit par l'entreprise américaine visant à faire annuler l'amende de 746 millions d'euros infligés par l'autorité de protection des données locale pour la violation du RGPD. Amazon dit "envisager" de faire appel de ce rejet devant la Cour administrative.

International

La Californie se penche sur le traitement des données de localisation. Rob Bonta, le procureur général de Californie, a annoncé l'ouverture d'une enquête sur le secteur des données de localisation. Des courriers ont ainsi été adressés aux réseaux publicitaires, aux fournisseurs d'applications mobiles et aux courtiers en données qui semblent enfreindre la loi californienne sur la protection de la vie privée des consommateurs (CCPA).

Cette enquête se concentre sur la manière dont les entreprises concernées offrent et mettent en œuvre le droit des consommateurs à s'opposer à la vente et au partage de leurs informations personnelles, ainsi que leur droit à limiter l'utilisation de leurs informations personnelles sensibles, notamment leurs données de géolocalisation.