Le régime de l’obligation de sécurité prévue par l’article 32 du RGPD – Délibération de la formation restreinte n° SAN-2026-002 du 8 janvier 2026 prononçant une sanction pécuniaire à l’encontre de la société FREE

Le régime de l’obligation de sécurité prévue par l’article 32 du RGPD – Délibération de la formation restreinte n° SAN-2026-002 du 8 janvier 2026 prononçant une sanction pécuniaire à l’encontre de la société FREE : La formation restreinte qualifie l’article 32 du RGPD d’obligation de moyens. La violation de données ne suffit pas, à elle seule, à établir le manquement. Il faut apprécier concrètement si les mesures techniques et organisationnelles étaient adaptées aux risques, au regard notamment de leur probabilité, de leur gravité, de l’état des connaissances, des coûts et des caractéristiques du traitement. Les recommandations de la CNIL et de l’ANSSI peuvent éclairer cette appréciation sans constituer le fondement autonome de la sanction.