Édition

Ceci est une édition permanente. Elle reprend le briefing tel que publié à cette date et ne change pas.

L'EDPB adopte ses lignes directrices définitives sur les traitements de données via les technologies blockchain

L'EDPB a finalisé ses lignes directrices précisant les modalités selon lesquelles les responsables du traitement et les sous-traitants doivent respecter leurs obligations de protection des données lors du déploiement de réseaux blockchain.

À l'issue d'une consultation publique, l'EDPB a publié la version définitive des lignes directrices 02/2025 relatives au traitement des données à caractère personnel par le biais de la blockchain. Ce texte fournit des orientations concrètes sur l'application des principes fondamentaux du RGPD aux architectures de registres distribués et décentralisés, notamment s'agissant de la qualification des acteurs de gouvernance, des bases légales et de l'exercice des droits des personnes concernées.

L'EDPB clarifie l'application du RGPD aux technologies blockchain dans ses lignes directrices 02/2025.

Qui cela engage
Les responsables du traitement et les sous-traitants en France et dans l'Union européenne concevant ou exploitant des architectures blockchain traitant des données à caractère personnel.
Ce qui a changé
L'EDPB a formellement arrêté et publié les exigences réglementaires définitives ainsi que les critères de conformité applicables à l'utilisation des technologies blockchain dans le respect du droit européen de la protection des données.

La question du jour

Une organisation confie la gestion de son infrastructure informatique à un prestataire sans encadrer formellement le recours aux sous-traitants et sans procéder à des revues périodiques des comptes d'accès. Quels manquements aux obligations de sécurité et de conformité sont ainsi caractérisés ?

  1. L'absence de garanties contractuelles avec les sous-traitants et le défaut d'évaluation régulière des mesures techniques.
  2. Le refus injustifié de notifier la violation de données et le manquement au principe général de minimisation de la collecte.
  3. La méconnaissance des règles d'information préalable des personnes et l'absence de tenue formelle du registre des activités.
  4. Le défaut d'évaluation formelle des risques d'impact et la violation des exigences applicables aux transferts internationaux.

Répondre à cette question sur le site

À savoir également

  1. L'ICO réprimande des organismes gallois après qu'un compte de test obsolète a permis une attaque par rançongiciel

    Les intrus ont exécuté l'assaut par rançongiciel le 1 novembre 2024, dérobant 42 Go de données et chiffrant 182,7 Go de données sur les systèmes internes. Deux programmes opérationnels d'aide aux enfants et aux familles étaient à l'origine des fichiers compromis. Sur trois environnements distincts, des comptes d'administration réseau avaient conservé des identifiants non renouvelés depuis plus de dix ans en l'absence de vérifications périodiques. L'autorité a constaté que Data Cymru opérait sans le contrat de sous-traitance ultérieure prescrit par l'article 28(4) du RGPD britannique, tout en omettant l'attribution de la maintenance des annuaires. Les deux entités ont remédié à cette carence contractuelle le 30 avril 2025 et ont instauré une authentification multifacteur obligatoire pour sécuriser les accès distants.

  2. L'OPC lance un code national de confidentialité pour encadrer le traitement des données des mineurs

    Les organisations soumises au droit canadien de la protection des renseignements personnels doivent adapter leurs parcours d inscription pour recueillir un consentement explicite préalable aux traitements secondaires et supprimer le profilage comportemental ciblant les mineurs de moins de 13 ans.

Compilé ce matin là à partir de sources officielles, judiciaires et réglementaires. Les sources primaires sont liées sur chaque sujet.