Le Radar CARINEL — Aout 2026 : l'essentiel de la sûreté et de la sécurité physique
- il y a 8 heures
- 19 min de lecture
Chaque mois, l'actualité réglementaire, jurisprudentielle et opérationnelle en matière de sûreté et de sécurité physique s'accumule sur des dizaines de sources différentes — textes officiels, décisions de la CNIL, bulletins du CERT-FR, statistiques de la délinquance, alertes de gestion de crise. Pour un directeur sécurité-sûreté ou un responsable d'établissement, suivre l'ensemble de ces flux en continu représente une charge de veille difficilement compatible avec la gestion opérationnelle quotidienne.
Le Radar CARINEL a été conçu pour combler cet écart. Chaque édition consolide, sur une fenêtre calendaire stricte d'un mois, les faits marquants sélectionnés selon leur portée opérationnelle réelle pour les organisations : évolutions du plan Vigipirate, jurisprudence CNIL applicable à la vidéoprotection, vulnérabilités critiques touchant les systèmes physiques et convergents, statistiques de criminalité, catastrophes naturelles et dispositifs de résilience. Chaque information est datée et sourcée directement auprès de son émetteur officiel (SGDSN, ministère de l'Intérieur, CNIL, CERT-FR, SSMSI), sans reformulation d'agrégateurs tiers.
Cette approche reflète la conviction méthodologique de CARINEL : la sûreté efficace repose sur une lecture convergente des risques, où une évolution réglementaire portuaire, une sanction CNIL sur la vidéosurveillance et une vulnérabilité Fortinet ne sont pas des sujets cloisonnés, mais des signaux d'un même écosystème de risque.
Cette édition couvre la période du 1 juillet 2026 au 31 juillet 2026.
Synthèse — Faits marquants du mois
8 juillet 2026 — À la demande du Premier ministre, les directrices et directeurs de cabinet des ministres du Gouvernement se sont réunis le 8 juillet 2026 en Comité interministériel pour la résilience nationale (CIRN) et ont déterminé les priorités de l'action de l'État pour accélérer le renforcement de la résilience de la Nation.
6 juillet 2026 — La CNIL a annoncé avoir prononcé 23 nouvelles sanctions depuis janvier 2026 dans le cadre de sa procédure simplifiée, dont 19 ont pour origine des plaintes, pour un montant cumulé d'amendes de 133 750 euros — avec la vidéosurveillance excessive en tête des motifs.
9 juillet 2026 — Le SSMSI a publié sa 10e édition du bilan statistique « Insécurité et délinquance », consacré à l'année 2025, révélant des évolutions contrastées des 18 indicateurs suivis, certaines restant orientées à la hausse, notamment en matière d'atteintes aux personnes.
16 juillet 2026 — L'arrêté du 8 juillet 2026, publié au Journal officiel le 16 juillet, est entré en vigueur pour renforcer les règles de sûreté dans les zones portuaires à accès contrôlé, les zones à accès restreint et les installations portuaires, avec pour objectif de mieux sécuriser ces espaces sensibles face aux risques d'intrusion.
13–15 juillet 2026 — Le bilan des festivités du 13 au 15 juillet 2026 témoigne d'une mobilisation renforcée des forces de sécurité intérieure, sans incident majeur. Au total, 533 interpellations ont été réalisées sur les deux nuits cumulées (contre 714 en 2025) et 403 gardes à vue (contre 573 en 2025).
1. Sûreté & Sécurité physique
1.1 Modernisation réglementaire de la sûreté portuaire
La grande actualité réglementaire de juillet 2026 en matière de sécurité physique concerne les infrastructures maritimes.
Depuis l'entrée en vigueur de l'arrêté du 8 juillet 2026, publié au Journal officiel le 16 juillet, les règles de sûreté sont renforcées dans les zones portuaires à accès contrôlé, les zones à accès restreint et les installations portuaires. L'objectif est clair : mieux sécuriser ces espaces sensibles face aux risques d'intrusion, de trafic illicite ou de menace pour les infrastructures maritimes.
Concrètement, toute personne souhaitant accéder à une zone concernée devra être en mesure de présenter son titre d'accès et, si nécessaire, une pièce d'identité.
Ce texte s'inscrit dans une dynamique de réforme plus profonde engagée fin juin.
Le paysage de la sûreté portuaire française entame une modernisation à marche forcée : l'arrêté du 29 juin 2026 avait abrogé plusieurs dispositions historiques datant de 2008 pour ancrer les infrastructures maritimes dans les standards de sécurité technologiques et physiques de 2026. Ce texte introduisait notamment une distinction formelle entre l'inspection-filtrage « socle » et « renforcée », et consacrait le principe du moindre privilège, à savoir la limitation stricte des accès informatiques ou physiques au besoin d'en connaître ou d'agir.
En conséquence, sous quatre mois (novembre 2026), chaque opérateur portuaire devra soumettre au Préfet un Plan de Sûreté actualisé intégrant ces nouvelles exigences ; au 1er janvier 2027, le titre d'accès provisoire verra sa validité maximale se durcir, passant de 5 à 3 mois renouvelables.
1.2 Sécurité événementielle — Fête nationale 2026
Le 14 juillet 2026 a constitué un test opérationnel de grande ampleur.
Le ministre de l'Intérieur, Laurent Nuñez, a salué l'engagement de l'ensemble des forces de sécurité intérieure et des services de secours, dont la mobilisation a permis à des millions de Français de participer aux célébrations dans des conditions de sécurité, notamment dans la nuit du 14 au 15 juillet à Lyon et à Paris.
Au total, 70 000 policiers et gendarmes avaient été mobilisés sur l'ensemble du territoire pour les festivités du 14 juillet.
Globalement sur les deux nuits, le nombre de véhicules incendiés a baissé de 21 % (889 en 2025 à 701 en 2026), les incendies de voies publiques ont diminué de 38 % (de 1 022 à 637).
1.3 Formations CNAPS — Tableau actualisé en juillet 2026
Sur le volet sécurité privée, le CNAPS a mis à jour sa documentation de référence.
Le CNAPS a publié le 29 juillet 2026 un tableau actualisé des formations agents (« Tableau des formations Agents juillet 2026 »), listant les certifications professionnelles enregistrées au RNCP permettant de justifier de l'aptitude professionnelle pour l'obtention d'une carte professionnelle.
Ce document, disponible sur le site officiel cnaps.interieur.gouv.fr, constitue une référence pour tout organisme de formation et tout candidat à l'exercice des métiers de la sécurité privée.
Le CNAPS délivre les agréments aux sociétés, les cartes professionnelles aux agents et contrôle le respect des obligations réglementaires ; il peut sanctionner (avertissement, suspension, retrait d'agrément) en cas de manquement.
> À retenir pour les collectivités : Tout prestataire de sécurité privée doit disposer d'un agrément CNAPS en cours de validité. La consultation du tableau de formations actualisé au 29/07/2026 est recommandée avant toute passation de marché public de gardiennage ou de surveillance.
2. Vidéosurveillance & Vidéoprotection
2.1 Bilan CNIL : 23 sanctions simplifiées, la vidéosurveillance en tête
La CNIL a publié le 6 juillet 2026 un bilan intermédiaire de son activité répressive sur la procédure simplifiée.
Vidéosurveillance excessive, cookies, non-respect des droits des personnes ou encore défaut de coopération avec la CNIL : depuis janvier 2026, 23 nouvelles sanctions ont été prononcées dans le cadre de la procédure simplifiée, dont 19 ont pour origine des plaintes.
Une sanction simplifiée ne peut pas excéder 20 000 € et la CNIL ne peut pas divulguer le nom de l'organisme sanctionné. Le montant cumulé des amendes s'élève à 133 750 euros.
Ces décisions portent principalement sur la vidéosurveillance, les cookies et le non-respect des droits d'accès et d'effacement, associé à un défaut de coopération avec la CNIL. Sur 23 sanctions, 8 concernent le non-respect des droits d'accès ou d'effacement de plaignants, dont 4 sont associées à un défaut de coopération avec la CNIL.
La CNIL a également publié le 9 juillet 2026 une fiche thématique sur la surveillance des salariés.
16 organismes avaient déjà été sanctionnés en 2025 pour non-respect des règles applicables à la vidéosurveillance des salariés. En l'absence de circonstances exceptionnelles, la surveillance vidéo permanente de salariés constitue une atteinte à la protection des données personnelles.
2.2 AI Act : une échéance critique imminente pour la vidéosurveillance IA
Bien que la date-pivot du 2 août 2026 soit postérieure à la période couverte, les préparatifs ont constitué tout le mois de juillet un sujet de conformité majeur pour les opérateurs de vidéosurveillance algorithmique.
Selon la CNIL, le 2 août 2026 (24 mois après l'entrée en vigueur) toutes les dispositions du règlement sur l'IA deviennent applicables, en particulier les règles relatives aux systèmes d'IA à haut risque de l'annexe III — visant les systèmes d'IA dans les domaines de la biométrie, des infrastructures critiques, de l'application de la loi ou encore de l'administration de la justice.
Toutefois, une révision de calendrier est intervenue.
Le calendrier a été revu par le Digital Omnibus sur l'IA, un texte publié au Journal officiel de l'Union européenne le 24 juillet 2026 et entré en vigueur trois jours plus tard. Les obligations les plus lourdes concernant les systèmes classés à haut risque (recrutement, notation de crédit, éducation, biométrie) n'entreront en application que le 2 décembre 2027 pour les systèmes autonomes, et le 2 août 2028 pour ceux intégrés à des produits déjà réglementés.
Échéance | Obligation AI Act |
2 février 2025 | Interdiction des systèmes IA à risque inacceptable |
2 août 2025 | Modèles d'IA à usage général, sanctions |
2 août 2026 | Obligations de transparence (chatbots, deepfakes) |
2 décembre 2027 | Systèmes IA à haut risque autonomes (biométrie, infrastructures…) |
2 août 2028 | Systèmes IA haut risque intégrés à des produits réglementés |
Sources : CNIL (cnil.fr), Blog du Modérateur, Toute l'Europe (blogdumoderateur.com, touteleurope.eu – 24 juillet 2026 / août 2026)
2.3 Point de vigilance : reconnaissance faciale et VSA
Les dispositifs de vidéoprotection augmentée ne peuvent pas impliquer le traitement de données biométriques, et notamment la reconnaissance faciale. Les traitements doivent permettre de détecter et de signaler, en temps réel, des événements prédéterminés à des agents qui procèdent ensuite à une analyse humaine.
La Commission européenne rappelle que certaines pratiques sont interdites, notamment l'identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives, sauf exceptions très étroites prévues par la loi.
> À retenir pour les collectivités : Tout système de vidéosurveillance augmenté déployé dans l'espace public (bâtiment communal, équipement sportif, marché…) doit faire l'objet d'une analyse d'impact RGPD (AIPD) préalable et d'une autorisation préfectorale. La mise à jour des registres de traitements avant le 2 août 2026 était une obligation immédiate.
3. Gestion de crise & Résilience
3.1 Comité interministériel pour la résilience nationale — 8 juillet 2026
L'événement institutionnel majeur du mois est la tenue d'un nouveau CIRN.
À la demande du Premier ministre, les directrices et directeurs de cabinet des ministres du Gouvernement se sont réunis le 8 juillet 2026 en Comité interministériel pour la résilience nationale (CIRN). Ils ont déterminé les priorités de l'action de l'État pour accélérer le renforcement de la résilience de la Nation.
Ce CIRN s'inscrit dans la continuité des nombreux chantiers menés pour assurer la défense et la sécurité de la France, des Français et de nos partenaires européens, face aux menaces et aux risques documentés et objectivés par la Revue nationale stratégique actualisée en juillet 2025.
Ce CIRN fait écho à la publication du SGDSN sur le site sgdsn.gouv.fr intitulée « Renforcer la résilience du pays face à l'amplification des risques et des menaces ». Il constitue le premier CIRN de 2026 et témoigne d'une accélération de la mise en œuvre de la stratégie nationale de résilience, avec un accent particulier sur la déclinaison territoriale auprès des collectivités locales.
3.2 Plans de continuité d'activité — Obligation d'actualisation annuelle
Pour améliorer la préparation des services publics à des situations de crise, le Plan de résilience des services publics prévoit la mise à jour des plans de continuité d'activité et de reprise d'activité (PCA/PRA). Dès 2026, puis « au moins une fois par an », « chaque service s'assurera de l'actualisation de ces plans face à l'évolution de la menace, et s'assurera que [chacun] comprend un scénario » de cybersécurité.
Autre grand principe mis en exergue : l'identification des services publics essentiels, qu'il conviendra de conforter en cas de crise et de ceux qui seront « mis à l'arrêt » dans une telle situation, leurs agents devant être réaffectés pour permettre la « continuité minimale » des services publics.
Le plan comporte par ailleurs un important volet en matière d'information et de sensibilisation des 5,7 millions d'agents publics aux « enjeux de résilience ». Un « livret sur la résilience » dédié aux agents publics sera diffusé à chacun d'eux, rappelant notamment les fondamentaux de la continuité d'activité, de la gestion de crise et les bons réflexes à adopter.
> À retenir pour les collectivités : L'obligation d'actualiser annuellement le PCA et d'y intégrer un scénario cyber s'applique désormais à toutes les administrations. Le SGDSN met à disposition son guide PCA téléchargeable sur sgdsn.gouv.fr. Les collectivités non encore dotées d'un PCA formalisé s'exposent à un risque de non-conformité croissant.
4. Terrorisme & Radicalisation
4.1 Vigipirate 2026 : nouvelle architecture et posture « été-automne »
L'actualité du mois de juillet est dominée par la mise en œuvre concrète du nouveau plan Vigipirate 2026, dont la posture « été-automne » est active depuis le 22 juin.
Diffusée le 22 juin 2026, la dernière version du plan Vigipirate s'appuie sur trois piliers : le développement d'une culture de la sécurité au sein de la société, un nouveau système de niveaux d'alerte permettant une réponse souple et adaptée de l'État, et la mise en œuvre de nouvelles mesures renforçant l'action gouvernementale dans la lutte contre le terrorisme.
Depuis le 22 juin 2026, le plan Vigipirate 2026 comprend 3 stades d'alerte : le stade « vigilance » (niveau initial) ; le stade « vigilance renforcée » (niveau intermédiaire) ; le stade « alerte attentat » (niveau le plus élevé), qui peut être activé pendant 12 jours renouvelables sur décision expresse du Premier ministre.
Stade | Niveau | Activation |
Vigilance | Initial | Permanent |
Vigilance renforcée | Intermédiaire | En vigueur été-automne 2026 |
Alerte attentat | Maximal | 12 jours renouvelables — PM |
4.2 Priorités opérationnelles de la posture estivale
Positionnée au nouveau stade « vigilance renforcée », la posture « été-automne 2026 » met l'accent sur : la lutte contre la menace drones au regard de la récente recrudescence de survols en Europe et sur le territoire national ; la sécurité des sites touristiques et zones d'affluence en vue des vacances estivales et de Noël 2026 ; la sécurité des bâtiments publics et institutionnels.
La refonte du 22 juin 2026 visait deux choses : rendre le plan plus lisible, et plus rapide à ajuster. Le volet cyber bascule vers un autre dispositif, si bien que Vigipirate se concentre désormais sur le terrorisme, avec un document public à l'appui : « Faire Face Ensemble ».
4.3 Contexte de menace
Depuis 2012, le terrorisme a coûté la vie à 275 personnes en France. La menace n'a pas reculé, elle a changé de visage : des profils plus isolés, souvent radicalisés en ligne, plus difficiles à repérer.
La DGSI recense 16 projets déjoués depuis 2024, dont 7 en 2025.
> À retenir pour les collectivités : La nouvelle architecture à trois stades simplifie les obligations opérationnelles des gestionnaires d'ERP et de bâtiments publics. Chaque collectivité doit mettre à jour ses plans de sécurité internes (Plan Particulier de Mise en Sûreté, plans d'évacuation) en cohérence avec la nouvelle terminologie Vigipirate 2026 et le document « Faire Face Ensemble » (sgdsn.gouv.fr/vigipirate).
5. Criminalité & Délinquance
5.1 Interstats Conjoncture N° 130 — Juillet 2026 : hausse des indicateurs en juin
La majorité des indicateurs conjoncturels des crimes et délits (hors homicides et violences sexuelles) sont en augmentation en juin 2026.
L'indicateur du nombre de violences physiques intrafamiliales est celui qui progresse le plus (+13 %), devant les violences physiques hors cadre familial et les vols avec armes (+4 % chacun). À l'inverse, l'indicateur du nombre de mis en cause pour trafic de stupéfiants est celui qui baisse le plus (-13 %).
Sur la tendance trimestrielle, les données sont tout aussi préoccupantes.
Sur le dernier trimestre (avril à juin), la majorité des indicateurs sont en hausse par rapport au trimestre précédent. L'augmentation la plus importante est observée pour les vols violents sans arme (+10 %), devant les cambriolages de logement (+7 %). L'indicateur du nombre de mis en cause pour trafic de stupéfiants est le seul qui diminue (-4 %). Les homicides du dernier trimestre sont également en augmentation par rapport au trimestre précédent.
🔐 Cybersécurité & CERT-FR
Alertes et vulnérabilités critiques (juillet 2026)
Le mois de juillet 2026 a été particulièrement dense sur le front des vulnérabilités.
Le CERT-FR a publié quatre alertes (CERTFR-ALE) actives en juillet : le 15 juillet pour SonicWall Secure Mobile Access, le 20 juillet pour WordPress, le 22 juillet pour Microsoft SharePoint, et le 28 juillet pour F5 BIG-IP Access Policy Manager.
SonicWall SMA 1000 — CERTFR-2026-ALE-006 (15 juillet 2026) :
Le 14 juillet 2026, SonicWall a publié un avis concernant deux vulnérabilités affectant les équipements SMA 1000. La CVE-2026-15409 (CVSS 10.0) permet une falsification de requêtes côté serveur (SSRF) par un attaquant non authentifié ; la CVE-2026-15410 permet à un attaquant authentifié avec droits administrateur d'exécuter du code arbitraire à distance. L'éditeur confirme que ces deux vulnérabilités sont activement exploitées.
Microsoft SharePoint — CERTFR-2026-ALE-008 (22 juillet 2026) :
Le 14 juillet 2026, à l'occasion de sa mise à jour mensuelle, Microsoft a publié des correctifs pour les vulnérabilités critiques CVE-2026-50522 et CVE-2026-58644 affectant SharePoint, permettant à un attaquant non authentifié d'exécuter du code arbitraire.
WordPress — CERTFR-2026-ALE-007 (20 juillet 2026) :
Le 17 juillet 2026, WordPress a publié un correctif pour deux vulnérabilités : CVE-2026-60137 (injection SQL) et CVE-2026-63030 (contournement de politique de sécurité), exploitables de manière combinée.
Noyau Linux / KVM (semaine 28) :
Le bulletin CERTFR-2026-ACT-030, daté du 13 juillet 2026, recense pour la semaine du 6 au 12 juillet des failles critiques affectant Junos OS Evolved et IBM WebSphere, ainsi que trois vulnérabilités avec preuves de concept publiques dans KVM et le noyau Linux.
Parmi celles-ci, la CVE-2026-53359 « Januscape » affecte les hyperviseurs KVM sur architecture x86 et permet une évasion vers le système hôte ; IBM WebSphere recense les CVE-2026-11546 et CVE-2026-11714 (SSRF, score CVSS 9.8).
Ruby on Rails (fin juillet) :
Le 29 juillet 2026, Ruby on Rails diffusait un correctif pour la CVE-2026-66066 affectant ActiveStorage, permettant à un attaquant non authentifié une lecture arbitraire de fichier et l'exécution de code à distance. Le CERT-FR a également mis à jour ses avis sur Roundcube, Traefik, Moodle et Ivanti IEMM.
Événement majeur : Attribution Turla / FSB — CERTFR-2026-CTI-004 & 005 (13 juillet 2026)
Il s'agit du fait cyber le plus significatif du mois.
Le 13 juillet 2026, les autorités françaises ont publié une déclaration d'attribution dénonçant les agissements du 16e Centre du service fédéral de sécurité de la fédération de Russie (FSB), dans la continuité de l'attribution d'APT 28 au GRU en avril 2025.
Les membres du Centre de Coordination des Crises Cyber (C4) ont observé le ciblage et la compromission d'entités françaises au moyen du mode opératoire d'attaque Turla, opéré par le 16e Centre du FSB, actif depuis au moins 2004 à des fins de collecte de renseignement.
La victimologie française inclut des ministères, des entités du secteur diplomatique, de la défense, de la justice et des technologies. Les campagnes d'espionnage associées à Turla contre l'Ukraine, les pays de l'OTAN et les États membres de l'UE se poursuivent dans le contexte de la guerre d'agression russe.
Ces activités malveillantes ont fait l'objet de deux déclarations formelles d'attribution, l'une du ministre français des Affaires étrangères et l'autre de la Haute Représentante de l'UE.
> ⚠️ Point d'attention collectivités :
Le rapport d'attribution Turla a été publié deux jours avant la rafale d'alertes techniques (SonicWall, Microsoft). La CVE-2026-15409 obtient un score CVSS de 10.0 et Microsoft a corrigé 570 vulnérabilités dont une faille RDP wormable (CVE-2026-56190, score 9.8).
🇪🇺 NIS2 · DORA · Directive REC
La loi Résilience : un été de crispation parlementaire
Publié le 5 juillet 2026, un article de référence constate que la loi Résilience, censée être examinée en séance publique à l'Assemblée nationale en juillet 2026, ne figure pas au programme de la session extraordinaire, en raison d'un affrontement autour du chiffrement opposant la DGSI aux parlementaires. Vingt mois après l'échéance européenne, la France n'a toujours pas transposé NIS 2.
Le texte n'ayant pas été inscrit à l'ordre du jour de la session extraordinaire de juillet 2026, l'examen en hémicycle est désormais attendu en septembre 2026, avec une promulgation dans la foulée si le texte passe sans navette prolongée.
Pendant ce temps, près de 15 000 entités françaises attendent de connaître leurs obligations et s'exposent à des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial.
La Commission européenne avait déjà émis un avis motivé le 7 mai 2025 pour défaut de notification de transposition complète, procédure d'infraction pouvant conduire à une saisine de la Cour de justice de l'UE.
Ce que les entités doivent anticiper dès maintenant
Le 17 mars 2026, l'ANSSI avait publié le Référentiel Cyber France (ReCyF), traduisant les obligations NIS2 en 20 objectifs de sécurité concrets pour les entités essentielles et 15 pour les entités importantes. Ce document n'est pas encore juridiquement contraignant, mais il le deviendra à la publication des décrets d'application.
Texte | Statut juillet 2026 | Échéance clé |
Loi Résilience (NIS2 + REC) | Non inscrit à la session extraordinaire | Vote attendu sept. 2026 |
DORA | Applicable depuis le 17 janv. 2025 | Premiers contrôles ACPR en cours |
ReCyF (ANSSI) | Publié le 17 mars 2026 | Contraignant à la promulgation de la loi |
Sanctions NIS2 | Non encore applicables en France | Dès promulgation + décrets |
Le projet de loi résilience imposera à 15 000 entités une déclaration d'incident sous 72 heures, faisant de la panne technique un sujet de communication publique.
Les amendes pourront atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle, et 7 millions d'euros ou 1,4 % pour une entité importante.
⚖️ Juridique & Sanctions CNIL
Bilan procédure simplifiée — 6 juillet 2026
Le 6 juillet 2026, la CNIL a dressé le bilan de sa procédure simplifiée : vidéosurveillance excessive, cookies, non-respect des droits des personnes ou encore défaut de coopération avec la CNIL — 23 nouvelles sanctions ont été prononcées depuis janvier 2026, dont 19 issues de plaintes.
Ces 23 sanctions représentent un montant cumulé de 133 750 euros. Elles portent principalement sur la vidéosurveillance, les cookies et le non-respect des droits d'accès et d'effacement. Sur 23 sanctions, 8 concernent le non-respect des droits d'accès ou d'effacement, dont 4 associées à un défaut de coopération avec la CNIL.
Parmi les organismes sanctionnés figurent notamment des entreprises dans la restauration rapide, le transport urbain ou l'exploitation de commerces en gare. La CNIL a relevé soit l'absence d'autorisation préfectorale pour des dispositifs de vidéosurveillance, soit une surveillance permanente des salariés, manquant au principe de minimisation.
Formation restreinte — Séance du 2 juillet 2026
La séance restreinte du 2 juillet 2026 illustre comment des manquements organisationnels sur le droit à l'effacement peuvent conduire à une sanction potentielle de 450 000 € : 145 demandes non traitées, une lettre automatisée trompeuse sur les durées de conservation, aucun DPO visible. Le délibéré était attendu fin juillet 2026.
Plénières CNIL de juillet 2026
La séance plénière du 2 juillet 2026 a notamment examiné les résultats de l'enquête « DPO et IA » avec le ministère du Travail et l'AFPA, les enjeux du « bac à sable » silver économie, et les méthodes de contrôle de l'âge sur les plateformes en ligne.
La séance du 21 juillet 2026 a examiné un projet de délibération sur le traitement « CLEM », ainsi qu'un avis sur le référentiel d'accréditation des organismes de certification pour l'hébergement de données de santé à caractère personnel.
CEPD — Réunion de Dublin (16-17 juillet 2026)
Lors d'une réunion à haut niveau tenue à Dublin les 16 et 17 juillet 2026, le Comité européen de la protection des données (CEPD) a plaidé en faveur d'une base légale claire pour le partage d'informations entre les régulateurs ayant des compétences différentes.
Le CEPD invite la Commission européenne à proposer une base légale permettant aux régulateurs d'échanger des informations, y compris confidentielles, pertinentes pour l'application de la législation dans leurs domaines respectifs.
Le CEPD a également abordé la pression croissante sur les ressources des autorités de protection des données, due à l'augmentation du nombre et de la complexité des plaintes, notamment en lien avec l'intelligence artificielle.
> 📌 À retenir pour les collectivités :
Vidéosurveillance excessive, bandeaux cookies non conformes, non-respect des droits d'accès et d'effacement : les motifs se répètent. Sur les 23 dossiers CNIL de 2026, 19 ont pour origine une plainte déposée par une personne concernée — un citoyen, un salarié ou
un visiteur peut déclencher la procédure.
🌪️ Risques & Catastrophes
Canicule historique — été 2026
La France s'est dirigée vers un quatrième épisode caniculaire depuis la fin du mois de mai 2026, une succession d'une précocité et d'une fréquence exceptionnelles. Dès le 23 juillet, tous les modèles confirmaient le retour des grosses chaleurs sur une grande partie du pays pour les derniers jours de juillet.
Entre le 1er juin et la fin juillet, la température moyenne nationale a atteint 23,76 °C en 2026, contre 22,36 °C sur la même période en 2003.
La mise en place et le perfectionnement du Plan Canicule ont restructuré la gestion des crises thermiques. La Direction Générale de la Santé et le ministère de la Santé déclenchent des protocoles stricts au sein des EHPAD : salles rafraîchies obligatoires, registres d'hydratation et appels de suivi pour les personnes isolées.
Arrêté CatNat du 10 juillet 2026 — JO du 17 juillet
Un arrêté du 10 juillet 2026, publié au Journal officiel du 17 juillet 2026, reconnaît l'état de catastrophe naturelle pour 57 communes dans 28 départements, pour des événements d'inondation, vents cycloniques ou mouvements de terrain liés à la sécheresse et à la réhydratation des sols.
Les 28 départements concernés comprennent notamment l'Aude, l'Aveyron, le Cantal, les Côtes-d'Armor, la Drôme, l'Hérault, le Nord, les Pyrénées-Orientales, la Savoie, les Yvelines, la Somme ou encore la Vendée.
Mégafeux en Gironde et menace sur les sites Seveso — 22-28 juillet 2026
C'est l'événement de risque majeur du mois.
L'incendie historique déclaré en Gironde le 22 juillet 2026 a parcouru, en cinq jours, 42 000 hectares totalement ou partiellement détruits, entraîné l'évacuation de 220 000 personnes et la destruction de 240 habitations.
Cet incendie incontrôlable a fait peser un risque sur les sites sensibles situés à proximité : trois établissements classés Seveso seuil haut se trouvent dans les zones évacuées. Parmi eux, à Saint-Médard-en-Jalles, Roxel France (filiale MBDA) fabrique des propulseurs et ArianeGroup assure le chargement en propergol des missiles M51 de la Force océanique stratégique (FOST) française.
Le Premier ministre a annoncé dès le 24 juillet le déploiement de dispositifs de protection spécifiques autour des sites industriels les plus sensibles. La Gironde abrite 35 établissements classés Seveso, répartis entre les catégories « seuil haut » et « seuil bas ».
Incendie Seveso dans le Cher — 8 juillet 2026
Un feu de forêt s'est propagé près de Bourges (Cher) pour atteindre le site industriel KNDS, classé Seveso seuil haut. Les habitants de la commune de Morthomiers les plus proches ont été évacués, l'usine présentant « un risque d'explosion et d'incendie ».
La préfecture a ensuite annoncé que le risque concernant le site KNDS était « écarté ».
> 🔥 Enjeu systémique :
Ce n'est qu'après les incendies de 2022 qu'une étude Callendar a mis en évidence que 316 sites Seveso français étaient suffisamment proches de massifs forestiers pour être menacés. Avec le changement climatique, près des trois quarts de ces installations pourraient être exposées à un risque élevé d'ici 2050, contre environ un tiers au début des années 2000.
🔍 OSINT & Threat Intelligence
L'attribution Turla comme cas d'école CTI
Le rapport CERTFR-2026-CTI-004/005 du 13 juillet 2026 constitue une ressource CTI de premier plan pour les praticiens de la veille.
Les membres du C4 ont observé le ciblage et la compromission d'entités françaises au moyen du MOA Turla, opéré par le 16e Centre du FSB. Depuis au moins 2004, ce mode opératoire a été mis en œuvre à des fins de collecte de renseignement contre des entités stratégiques.
Selon MITRE ATT&CK, Turla est un groupe de cyberespionnage attribué au FSB russe. Il a compromis des victimes dans plus de 50 pays depuis 2004, ciblant les gouvernements, ambassades, militaires, universités, secteurs de la recherche et pharmaceutiques. Turla est connu pour ses campagnes de watering hole et de spear-phishing, et l'utilisation d'outils maison comme Uroburos.
Turla est connu pour exploiter des failles anciennes dans des infrastructures négligées, pas pour du zero-day grand public.
L'exploitation d'une vulnérabilité SharePoint documentée dans l'enquête du C4 (
les attaquants ont exploité une vulnérabilité liée à SharePoint pour installer un code malveillant, les machines compromises étant utilisées comme relais dans l'infrastructure
) illustre la pertinence d'une veille croisée entre rapports d'attribution et alertes CVE.
Lignes directrices EDPB sur le web scraping et l'anonymisation — 8 juillet 2026
Le 8 juillet 2026, lors de sa dernière plénière, l'EDPB a adopté des lignes directrices sur l'anonymisation et des lignes directrices sur le web scraping dans le contexte de l'IA générative. Le Comité a également adopté la version finale de ses lignes directrices sur le traitement de données personnelles via les technologies blockchain.
Ces textes constituent des références pour les praticiens OSINT traitant des données à caractère personnel.
Veille réputationnelle et OSINT : bonnes pratiques 2026
L'analyste CTI collecte les données depuis les sources OSINT, les feeds commerciaux et le dark web, les corrèle, et produit des rapports exploitables. Ce profil combine des compétences techniques (réseaux, systèmes, analyse de malware) avec une capacité d'analyse stratégique (géopolitique, motivations des acteurs).
En 2026, 68 % des plateformes de threat intelligence intègrent de l'IA pour automatiser la corrélation d'indicateurs, réduire les faux positifs et accélérer l'analyse.
> 🛡️ Recommandation OSINT collectivités : Croiser systématiquement les IOC publiés par le CERT-FR (flux CERTFR-IOC) avec les assets exposés sur Internet (serveurs SharePoint, VPN, CMS WordPress).
Les flux d'indicateurs de compromission CERTFR-IOC sont à diffusion restreinte ; pour la cellule de crise cyber, l'abonnement aux flux RSS et la définition d'un protocole de relecture quotidien sont des prérequis de base.
Contactez nos experts CARINEL
📅 RDV gratuit : www.carinel.com/test-avec-nos-experts
📞 Téléphone : 01 89 71 59 06
📧 Email : info@carinel.com
🌐 Site : www.carinel.com
Commentaires