Le Radar CARINEL — Juillet 2026 : l'essentiel de la sûreté et de la sécurité physique
- il y a 15 heures
- 18 min de lecture
Chaque mois, l'actualité réglementaire, jurisprudentielle et opérationnelle en matière de sûreté et de sécurité physique s'accumule sur des dizaines de sources différentes — textes officiels, décisions de la CNIL, bulletins du CERT-FR, statistiques de la délinquance, alertes de gestion de crise. Pour un directeur sécurité-sûreté ou un responsable d'établissement, suivre l'ensemble de ces flux en continu représente une charge de veille difficilement compatible avec la gestion opérationnelle quotidienne.
Le Radar CARINEL a été conçu pour combler cet écart. Chaque édition consolide, sur une fenêtre calendaire stricte d'un mois, les faits marquants sélectionnés selon leur portée opérationnelle réelle pour les organisations : évolutions du plan Vigipirate, jurisprudence CNIL applicable à la vidéoprotection, vulnérabilités critiques touchant les systèmes physiques et convergents, statistiques de criminalité, catastrophes naturelles et dispositifs de résilience. Chaque information est datée et sourcée directement auprès de son émetteur officiel (SGDSN, ministère de l'Intérieur, CNIL, CERT-FR, SSMSI), sans reformulation d'agrégateurs tiers.
Cette approche reflète la conviction méthodologique de CARINEL : la sûreté efficace repose sur une lecture convergente des risques, où une évolution réglementaire portuaire, une sanction CNIL sur la vidéosurveillance et une vulnérabilité Fortinet ne sont pas des sujets cloisonnés, mais des signaux d'un même écosystème de risque.
Cette édition couvre la période du 1 juin 2026 au 30 juin 2026.
Synthèse — Faits marquants du mois
> Les 5 points essentiels de juin 2026 à retenir pour vos organisations
1. 22 juin 2026 — Nouveau plan VIGIPIRATE en vigueur.
La posture Vigipirate pour la période « été-automne 2026 » prend effet à compter du 22 juin 2026 et est la première à mettre en œuvre le nouveau plan VIGIPIRATE 2026.
Ce plan réformé introduit une nouvelle architecture à trois stades et 249 mesures. (Source : sgdsn.gouv.fr / interieur.gouv.fr, 22 juin 2026)
2. 29 juin 2026 — Réforme majeure de la sûreté portuaire.
L'arrêté du 29 juin 2026 abroge plusieurs dispositions historiques datant de 2008 pour ancrer les infrastructures maritimes dans les standards de sécurité technologiques et physiques de 2026.
(Source : lofficieldesmetiers.fr, 3 juillet 2026)
3. Juin 2026 — Bilan CNIL : 23 sanctions simplifiées en 6 mois, dont plusieurs pour vidéosurveillance.
Depuis janvier 2026, la CNIL a prononcé 23 nouvelles sanctions dans le cadre de sa procédure simplifiée, pour un montant cumulé d'amendes de 133 750 euros ; ces décisions portent principalement sur la vidéosurveillance, les cookies et le non-respect des droits d'accès et d'effacement.
(Source : cnil.fr, bilan publié le 6 juillet 2026)
4. 25-26 juin 2026 — Actions SG-CIPDR dans le cadre de la SNPD 2026-2030.
Le 25 juin 2026, le Pôle Prévention de la Délinquance du SG-CIPDR, en collaboration avec la Direction Nationale de la sécurité publique (DNSP) et la Direction Générale de la Gendarmerie Nationale (DGGN), a mené une action conjointe.
(Source : cipdr.gouv.fr, 26 juin 2026)
5. Juin 2026 (données publiées juillet 2026) — Hausse significative de la délinquance enregistrée.
La majorité des indicateurs conjoncturels des crimes et délits sont en augmentation en juin 2026 : les violences physiques intrafamiliales progressent le plus (+13 %), devant les violences physiques hors cadre familial et les vols avec armes (+4 % chacun) ; à l'inverse, le nombre de mis en cause pour trafic de stupéfiants baisse le plus (-13 %).
(Source : Interstats Conjoncture N° 130, interieur.gouv.fr, juillet 2026)
Sûreté & Sécurité physique
Nouveau plan VIGIPIRATE 2026 : impact direct sur les gestionnaires de sites
Diffusée le 22 juin 2026, la dernière version du plan Vigipirate s'appuie sur trois piliers : le développement d'une culture de la sécurité au sein de la société ; un nouveau système de niveaux d'alerte permettant une réponse souple et adaptée de l'État ; la mise en œuvre de nouvelles mesures renforçant l'action gouvernementale dans la lutte contre le terrorisme.
Le plan compte désormais 249 mesures (contre environ 300 auparavant) ; elles s'appliquent à une grille rénovée composée de 9 activités clés de la Nation et de 6 fonctions de coordination de la gestion de crise.
Le plan se recentre sur la menace terroriste, le volet cyber relevant désormais du PDSN (Plan de défense et de sécurité nationale) ; il s'accompagne d'un document public, « Faire Face Ensemble ».
Pour les responsables sûreté de sites sensibles et d'ERP,
cette actualité réglementaire est suffisamment structurante pour justifier une relecture immédiate du plan de sûreté.
Arrêté du 29 juin 2026 : modernisation de la sûreté portuaire
Le paysage de la sûreté portuaire française entame une modernisation à marche forcée : l'arrêté du 29 juin 2026 abroge plusieurs dispositions historiques datant de 2008 pour ancrer les infrastructures maritimes dans les standards de sécurité technologiques et physiques de 2026.
Ce texte introduit notamment une distinction formelle entre l'inspection-filtrage « socle » et « renforcée », et consacre
le principe du moindre privilège, à savoir la limitation stricte des accès informatiques ou physiques au besoin d'en connaître ou d'agir.
Le calendrier réglementaire est exigeant :
sous quatre mois (novembre 2026), chaque opérateur portuaire doit soumettre au Préfet un Plan de Sûreté actualisé intégrant ces nouvelles exigences ; au 1er janvier 2027, le titre d'accès provisoire verra sa validité maximale se durcir, passant de 5 à 3 mois renouvelables.
D'ici juillet 2028, l'intégralité des parcs de titres d'accès physiques cryptés et numériques devra être mise en conformité aux normes ANSSI/CNIL, cette réforme poussant les ports français vers une convergence forte entre sûreté physique et cybersécurité.
Sécurité privée : le CNAPS en mobilisation estivale
Le secteur de la sécurité privée est strictement encadré par le CNAPS (Conseil National des Activités Privées de Sécurité) ; que l'on soit client cherchant une société de gardiennage, dirigeant d'entreprise de sécurité ou agent souhaitant exercer, il est essentiel de connaître les obligations légales.
Le CNAPS compte aujourd'hui 302 575 agents privés de sécurité bénéficiaires d'une carte professionnelle.
Un accord-cadre France Travail / CNAPS signé en mai 2026 finance à 100 % le TFP APS des demandeurs d'emploi avec contrat garanti
, ce qui constitue un levier fort de recrutement et de professionnalisation du secteur.
Données CNAPS | Valeur |
Agents bénéficiaires d'une carte professionnelle | 302 575 |
Durée de la carte professionnelle | 5 ans |
Formation MAC obligatoire au renouvellement | 31 heures tous les 5 ans |
Sanction maximale sans agrément (article L.612-14 CSI) | 18 000 € d'amende + 1 an d'emprisonnement |
Sources : cnaps.interieur.gouv.fr (données au 22 juillet 2026) ; bg2sp.fr, cirrus-shield.fr (juin 2026)
Vidéosurveillance & Vidéoprotection
Bilan CNIL procédure simplifiée : la vidéosurveillance en tête des sanctions
Le signal le plus fort du semestre concerne la vidéosurveillance.
Depuis janvier 2026, la CNIL a prononcé 23 nouvelles sanctions dans le cadre de sa procédure simplifiée, pour un montant cumulé d'amendes de 133 750 euros ; ces décisions portent principalement sur la vidéosurveillance, les cookies et le non-respect des droits d'accès et d'effacement, associé à un défaut de coopération avec la CNIL.
Motifs de sanctions (procédure simplifiée, janv.–juin 2026) | Détail |
Vidéosurveillance excessive des salariés | Plusieurs sociétés restauration rapide, transport urbain, commerces en gare |
Non-respect des droits d'accès / d'effacement | 8 sanctions sur 23 |
Défaut de coopération avec la CNIL | 4 de ces 8 dossiers |
Origine des dossiers | 19 sur 23 issus de plaintes de particuliers |
Amende moyenne par dossier | 5 815 € (plafond légal : 20 000 €) |
Source : cnil.fr, « 23 nouvelles sanctions depuis janvier au titre de la procédure simplifiée », bilan publié le 6 juillet 2026
Plusieurs entreprises de la restauration rapide, du transport urbain ou de l'exploitation de commerces en gare ont été épinglées en 2026 pour avoir filmé leurs employés en continu, sans justification particulière, ce qui constitue un manquement direct au principe de minimisation des données imposé par le RGPD.
Certaines de ces sociétés opéraient même sans autorisation préfectorale, une obligation pourtant incontournable pour tout dispositif de vidéoprotection installé sur le lieu de travail.
Vidéosurveillance souveraine : l'enjeu du stockage des images
Une question de fond a pris de l'ampleur en juin 2026 : celle de la souveraineté des VMS (Video Management Systems) — Cloud Act, RGPD, NIS2 étant les trois textes de référence permettant de vérifier si une installation est réellement souveraine.
Cette problématique rejoint directement les obligations issues du Code de la sécurité intérieure :
la durée de conservation doit être inscrite dans l'arrêté préfectoral pour les lieux ouverts au public, et dans le registre RGPD pour les lieux non ouverts au public ; au-delà, l'écrasement doit être automatique, sous peine de sanction CNIL.
Point d'attention collectivités locales : la CNIL rappelle que
si les caméras filment un lieu ouvert au public (espaces d'entrée et de sortie du public, zones marchandes, comptoirs, caisses), le dispositif doit être autorisé par le préfet du département.
La non-conformité documentaire expose désormais à des contrôles de plus en plus réactifs, y compris pour les PME et les établissements de taille modeste, comme l'illustre la sanction de 7 500 € prononcée au cours du 2e trimestre 2026 contre une société exploitant des boutiques-toilettes. (Source : datanaos.com, analyse T2 2026)
Gestion de crise & Résilience
Plan de résilience des services publics : mise à jour des PCA obligatoire dès 2026
Le contexte de ce mois est marqué par la montée en puissance des obligations de continuité d'activité pour les acteurs publics.
Le ministre de l'Action publique, de la Fonction publique et de la Simplification a dévoilé un « plan de résilience des services publics », qui vise autant à préparer les différents services à poursuivre leur fonctionnement en cas de crise qu'à sensibiliser les agents à la gestion de crise.
Pour améliorer la préparation des services publics à des situations de crise, le plan prévoit la mise à jour des plans de continuité d'activité et de reprise d'activité (PCA/PRA) ; dès 2026, puis « au moins une fois par an », « chaque service s'assurera de l'actualisation de ces plans face à l'évolution de la menace, et s'assurera que [chacun] comprend un scénario » de cybersécurité.
Le plan comporte par ailleurs un important volet en matière d'information et sensibilisation des 5,7 millions d'agents publics aux « enjeux de résilience ».
Un « livret sur la résilience » dédié aux agents publics sera diffusé à chacun d'eux ; il rappellera, entre autres, les fondamentaux de la continuité d'activité, de la gestion de crise et les bons réflexes à adopter.
Fondation de France : appel à projets résilience des territoires ouvert le 23 juin 2026
Face à la multiplication des crises et des catastrophes naturelles et à leur complexité, la Fondation de France souhaite encourager les initiatives citoyennes pour accélérer la résilience des territoires face aux crises et catastrophes (tempêtes, inondations, tremblements de terre, canicules, incendies…) ; l'ouverture des candidatures est fixée au 23 juin 2026, avec une date limite de candidature au 21 septembre 2026.
À la clé : jusqu'à 50 000 € par projet.
L'objectif est de développer dans la durée une culture de la résilience partagée par les habitants et l'ensemble des acteurs qui gèrent les territoires concernés.
Les collectivités locales, associations et services de l'État figurent parmi les porteurs de projets éligibles.
(Source : fondationdefrance.org, 22 juin 2026 — https://www.fondationdefrance.org/fr/appels-a-projets/pour-des-territoires-et-un-habitat-resilients-face-aux-crises-et-catastrophes)
Journée nationale de la Résilience 2026 (JNR) : 5e édition, dynamique territoriale
En 2026, la 5e édition de la Journée Nationale de la Résilience se tiendra tout au long de l'année, avec comme point d'orgue le 13 octobre, en cohérence avec la journée internationale pour la réduction des risques de catastrophes de l'ONU.
Elle vise notamment à identifier les risques majeurs proches de chez soi, et à comprendre les dispositifs d'alerte et les gestes qui sauvent.
En 2025, plus de 15 000 actions ont eu lieu sur tout le territoire.
(Source : securite-civile.interieur.gouv.fr)
Terrorisme & Radicalisation
Plan VIGIPIRATE 2026 : une doctrine rénovée, en vigueur au 22 juin
L'événement structurant du mois de juin 2026 en matière de terrorisme est sans conteste la réforme du plan Vigipirate.
La refonte du 22 juin 2026 visait deux choses : rendre le plan plus lisible, et plus rapide à ajuster.
Le volet cyber bascule vers un autre dispositif, si bien que Vigipirate se concentre désormais sur le terrorisme, avec un document public à l'appui, « Faire Face Ensemble ».
Depuis le 22 juin 2026, le plan Vigipirate 2026 comprend 3 stades d'alerte : le stade « vigilance », qui correspond au niveau d'alerte initial ; le stade « vigilance renforcée », qui correspond au niveau d'alerte intermédiaire ; le stade « alerte attentat », qui correspond au niveau d'alerte le plus élevé.
Celui-ci peut être activé pendant 12 jours renouvelables sur décision expresse du Premier ministre.
La posture « été-automne 2026 » fixe trois priorités opérationnelles :
la lutte contre la menace drones au regard de la récente recrudescence de survols en Europe et sur le territoire national, la sécurité des sites touristiques et zones d'affluence en vue des vacances estivales et de Noël 2026, et la sécurité des bâtiments publics et institutionnels.
Paramètre | Nouveau plan Vigipirate 2026 |
Date d'entrée en vigueur | 22 juin 2026 |
Nombre de stades | 3 (vigilance / vigilance renforcée / alerte attentat) |
Nombre de mesures | 249 |
Posture actuelle | Vigilance renforcée (été-automne 2026) |
Durée max. stade « alerte attentat » | 12 jours renouvelables (décision Premier ministre) |
Document public de référence | « Faire Face Ensemble » (SGDSN) |
Menaces prioritaires identifiées | Drones, zones d'affluence, bâtiments publics |
Sources : sgdsn.gouv.fr, interieur.gouv.fr, seine-maritime.gouv.fr (mise à jour 22-23 juin 2026)
SG-CIPDR : mise en œuvre de la SNPD 2026-2030 et mobilisation de juin
Le SG-CIPDR a été particulièrement actif en juin 2026 dans le cadre du déploiement de la nouvelle Stratégie nationale de prévention de la délinquance.
Dans le cadre de la mise en œuvre de la SNPD 2026-2030, le Pôle Prévention de la Délinquance du SG-CIPDR a mené des actions le 11 juin 2026.
À l'invitation de la présidence tournante chypriote de l'UE et du réseau EUCPN (European Crime Prevention Network), le pôle Prévention de la délinquance du SG-CIPDR a présenté la nouvelle Stratégie nationale de prévention de la délinquance 2026-2030 le 10 juin 2026.
Par circulaire du 23 juin 2026, le SG-CIPDR et la Mission interministérielle de vigilance et de lutte contre les dérives sectaires (MIVILUDES) ont mobilisé des crédits du Fonds Interministériel pour la Prévention de la Délinquance (FIPD) au titre de l'année 2026.
Rappel stratégique :
face à une délinquance plus précoce, plus violente et de plus en plus présente dans le champ numérique, la SNPD 2026-2030 propose 50 mesures concrètes, pragmatiques et opérationnelles pour anticiper les basculements et renforcer la sécurité de tous.
La stratégie réaffirme le rôle central des maires, renforce la gouvernance territoriale et crée une Académie numérique de la prévention pour mutualiser les ressources, diffuser les bonnes pratiques et former les professionnels.
(Source : cipdr.gouv.fr, publications de juin 2026 — https://www.cipdr.gouv.fr/)
Criminalité & Délinquance
Interstats Conjoncture N° 129 (juin 2026) : hausse généralisée des indicateurs
Le SSMSI (Service statistique ministériel de la sécurité intérieure) livre une photographie préoccupante pour le mois de juin 2026.
La majorité des indicateurs conjoncturels des crimes et délits (hors homicides et violences sexuelles) sont en augmentation en juin 2026 ; l'indicateur du nombre de violences physiques intrafamiliales est celui qui progresse le plus (+13 %), devant les violences physiques hors cadre familial et les vols avec armes (+4 % chacun) ; à l'inverse, l'indicateur du nombre de mis en cause pour trafic de stupéfiants est celui qui baisse le plus (-13 %).
Cybersécurité & CERT-FR
Vulnérabilités critiques du mois : une activité intense sur tout juin 2026
Le CERT-FR a maintenu un rythme de publication soutenu tout au long du mois, avec plusieurs pics critiques.
Le 4 juin 2026, Cisco a publié un avis de sécurité relatif à la vulnérabilité CVE-2026-20245 affectant l'interface en ligne de commande de Cisco Catalyst SD-WAN Manager.
L'éditeur n'a pas encore produit de version corrective et ne fournit pas de mesure d'atténuation.
Dans la foulée,
le CERT-FR a émis, du 1er au 7 juin, les avis CERTFR-2026-AVI-0668 à 0674, couvrant notamment des vulnérabilités dans Kaspersky Anti Targeted Attack Platform, Keycloak, Laravel, NetApp et Mitel.
Lors de la semaine du 8 au 14 juin,
le 9 juin 2026, Microsoft a publié des versions correctives
dans le cadre de son Patch Tuesday mensuel.
Le CERT-FR a également signalé des vulnérabilités dans les produits Schneider Electric EcoStruxure IT Data Center Expert et dans de multiples produits Siemens, ainsi qu'une vulnérabilité dans Oracle PeopleSoft.
Côté ICS/SCADA, ces alertes concernant Schneider Electric méritent une attention particulière des collectivités dotées d'infrastructures de gestion énergétique.
Incident majeur de la période : FortiBleed
L'événement cybersécurité le plus marquant de juin 2026 est la campagne baptisée FortiBleed.
Identifiée le 17 juin 2026, elle a compromis environ 75 000 appareils dans 194 pays via du credential stuffing, des attaques par dictionnaire et du brute-force automatisé.
En juin 2026, des chercheurs ont révélé une fuite massive de données critiques, dénommée FortiBleed, ciblant les équipements Fortinet à l'échelle mondiale. Une base de données contenant les identifiants d'accès de plus de 75 000 pare-feu et passerelles VPN Fortinet est disponible en libre accès sur Internet.
Tous les appareils Fortinet dont l'interface d'administration ou les accès VPN sont exposés sur Internet sont à risque.
Parallèlement, mi-juin 2026, l'exploitation active de trois vulnérabilités critiques dans FortiSandbox a été signalée.
En parallèle, trois failles critiques dans FortiSandbox, dont deux à CVSS 9.1, étaient activement exploitées.
Pour les collectivités et administrations utilisant des équipements Fortinet en périmétrie réseau, une vérification immédiate de l'exposition des interfaces d'administration est requise.
Fin juin,
la semaine du 22 au 28 juin a vu le CERT-FR émettre des publications relatives à des vulnérabilités dans PaperCut Print Deploy Client, CPython pour Windows, Microsoft Edge, Microsoft Azure Linux, Moodle, Postfix, Squid, Tenable Identity Exposure, cURL/libcurl et GitLab.
À noter également :
le 24 juin 2026, un chercheur en sécurité a publié un billet concernant la vulnérabilité CVE-2026-46242, surnommée Bad Epoll, affectant le noyau Linux. Elle permet à un attaquant non privilégié et local de provoquer une élévation de privilège.
Une preuve de concept est disponible publiquement.
Incident notable : cyberattaque de Tchap
Le parquet de Paris a ouvert une enquête sur la cyberattaque de Tchap, messagerie instantanée chiffrée utilisée par les agents publics, annoncée le 9 juin 2026.
Le site spécialisé FrenchBreaches a fait état de revendications publiées sur le dark web selon lesquelles plus de 643 000 messages de 73 000 agents dans 976 salons de discussions auraient été exposés.
Cette attaque, visant directement un outil de communication interministériel, constitue un signal fort sur la vulnérabilité des outils numériques de l'État.
Référence | Produit concerné | Criticité | Statut correctif |
CERTFR-2026-ACT-025 | Cisco Catalyst SD-WAN (CVE-2026-20245) | Critique | Aucun correctif disponible |
CERTFR-2026-ACT-026 | Microsoft (Patch Tuesday) | Critique | Correctif publié le 09/06 |
CERTFR-2026-ACT-027 | Fortinet (FortiBleed, FortiSandbox) | Critique – CVSS 9.1 | Application urgente requise |
CERTFR-2026-ACT-028 | Linux Kernel (Bad Epoll / CVE-2026-46242) | Élevée | PoC public disponible |
CERTFR-2026-ACT-028 | GitLab, Moodle, Postfix, Squid | Variable | Correctifs disponibles |
> 🔴 Recommandation CERT-FR :
ce bulletin ne remplace pas l'analyse de l'ensemble des avis publiés. Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information.
NIS2 · DORA · Directive REC
État de la transposition française : toujours en suspens au 30 juin 2026
La situation reste préoccupante pour les entités qui attendent un cadre réglementaire stabilisé.
Au 2 juin 2026, la loi Résilience n'est toujours pas votée définitivement ni promulguée.
Le projet de loi, qui transpose simultanément NIS2, la directive CER et DORA, a été soumis au Sénat en octobre 2024 puis transmis à l'Assemblée nationale. Une adoption est visée pour l'été 2026, sans date officielle fixée. Cette situation a conduit la Commission européenne à renvoyer la France devant la Cour de justice de l'UE pour retard de transposition.
Au 2 juin 2026, la loi n'était ni votée définitivement ni promulguée, alors que vingt des vingt-sept États membres avaient déjà transposé le texte.
Le Sénat, via une question écrite publiée au JO du Sénat, a interpellé le gouvernement sur le sujet :
de nombreuses collectivités, en particulier les plus petites d'entre elles, demeurent insuffisamment dotées en moyens humains, techniques et financiers pour faire face à ces risques ; la directive NIS2 n'a toujours pas été pleinement transposée en droit français et le projet de loi n'a pas encore achevé son parcours législatif.
Ce que prévoit la future loi Résilience — ce que les collectivités doivent anticiper
La directive NIS2 est transposée en France par la loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui désigne l'ANSSI comme autorité nationale et soumet environ 15 000 entités françaises à des obligations de gestion des risques cyber, d'enregistrement et de notification d'incidents, sous peine de sanctions pouvant atteindre 10 M€ ou 2 % du chiffre d'affaires mondial.
Point crucial pour les collectivités territoriales :
les collectivités territoriales entrent dans le périmètre français — régions, départements, communes de plus de 30 000 habitants et leurs groupements — une extension nationale que la directive laissait à l'appréciation des États membres.
NIS2 introduit également la responsabilité personnelle des dirigeants, pouvant aller jusqu'à une interdiction temporaire d'exercer, ainsi que la publication possible des sanctions par l'ANSSI.
Calendrier CRA : jalon de juin 2026
Le chapitre IV du Cyber Resilience Act (CRA), relatif à la notification des organismes d'évaluation de la conformité, est entré en application le 11 juin 2026.
Il s'agit d'un jalon intermédiaire du CRA avant son entrée en vigueur complète.
Le CRA introduit des exigences essentielles de cybersécurité applicables à tous les produits comportant des éléments numériques mis sur le marché de l'Union, du jouet connecté au logiciel professionnel. Le règlement couvre les fabricants, importateurs et distributeurs.
Texte | Statut en France (juin 2026) | Prochaine échéance |
NIS2 (directive UE 2022/2555) | Loi Résilience non encore promulguée | Vote AN visé été 2026 |
DORA (règlement UE) | En attente de la même loi Résilience | Vote AN visé été 2026 |
Directive REC | Même véhicule législatif | Vote AN visé été 2026 |
Cyber Resilience Act | Application partielle (ch. IV) au 11/06/2026 | Application complète 2027 |
Juridique & Sanctions CNIL
Sanction phare de la période : IQVIA (données de santé, 5 M€)
La décision la plus marquante dans la continuité directe du mois est la délibération SAN-2026-008 publiée fin mai.
Le 26 mai 2026, la société IQVIA OPERATIONS FRANCE a été sanctionnée d'une amende de 5 millions d'euros, notamment pour non-respect des garanties visant à limiter les risques pour les personnes dans le cadre de la gestion d'entrepôts de données de santé.
Pour procéder à ses études, la société s'appuyait sur deux entrepôts de données de santé autorisés par la CNIL : l'entrepôt LRX, autorisé en 2018, alimenté par des données collectées auprès d'environ 14 000 pharmacies, et l'entrepôt EMR, autorisé en 2021, alimenté par des données collectées auprès de plusieurs milliers de médecins.
Sur le plan juridique,
dans le cadre de la procédure, IQVIA a soutenu que les données figurant dans les entrepôts étaient anonymes. La formation restreinte a au contraire considéré que ces données n'étaient pas anonymes, mais seulement pseudonymes, la réidentification des personnes concernées étant possible avec des moyens raisonnables.
Cette décision clarifie de façon décisive la frontière entre pseudonymisation et anonymisation — une distinction capitale pour toutes les collectivités gérant des données sensibles (fichiers de bénéficiaires sociaux, données RH, données de santé municipales).
Bilan procédures simplifiées et publication CNIL du 24 juin 2026
Depuis janvier 2026, la CNIL a prononcé 23 nouvelles sanctions dans le cadre de sa procédure simplifiée, pour un montant cumulé d'amendes de 133 750 euros. Ces décisions portent principalement sur la vidéosurveillance, les cookies et le non-respect des droits d'accès et d'effacement, associé à un défaut de coopération avec la CNIL.
Sur 23 sanctions, 8 concernent le non-respect des droits d'accès ou d'effacement de plaignants, dont 4 sont associées à un défaut de coopération avec la CNIL.
Le 24 juin 2026,
la CNIL a publié une page d'alerte à destination des victimes de violations de données, leur demandant de rester vigilantes face aux offres d'accompagnement.
Période | Décision | Montant | Motif |
26 mai 2026 | IQVIA Operations France (SAN-2026-008) | 5 000 000 € | Données de santé, pseudonymisation, droits patients |
Janv.–juin 2026 | 23 sanctions simplifiées cumulées | 133 750 € | Vidéosurveillance, cookies, droits d'accès/effacement |
Tendances sectorielles et signal d'alerte pour les collectivités
En 2026, la CNIL maintient 400+ procédures simplifiées annuelles et 15-25 sanctions formelles. Les motifs dominants : cookies/traceurs (35 %), défaut de sécurité (25 %), prospection commerciale illégale (20 %), droits des personnes (15 %).
Pour les collectivités territoriales, la gestion de la vidéoprotection reste un point de vigilance majeur : les sanctions liées à la vidéosurveillance excessive et à l'absence d'AIPD (Analyse d'Impact sur la Protection des Données) sont récurrentes dans les décisions simplifiées de ce trimestre.
Risques & Catastrophes
Canicule historique de juin 2026 : un épisode majeur à multiples conséquences
L'épisode caniculaire historique de juin 2026 a produit des conséquences de plus en plus lourdes, avec un bilan provisoire de mortalité revu à la hausse et plusieurs incendies mobilisant les secours dans le sud de la France.
Plus intenses que la canicule d'août 2003 selon Météo-France, les fortes chaleurs du mois de juin se sont accompagnées, selon des données encore partielles, de 2 025 décès supplémentaires.
Le département de Saône-et-Loire a été placé en vigilance rouge canicule à partir du lundi 22 juin à 12h, avec des températures atteignant 39°C la journée et 23°C la nuit, cet épisode devant se maintenir pendant une grande partie de la semaine.
Les effectifs journaliers des sapeurs-pompiers ont été renforcés en raison du niveau élevé de risques d'incendie de végétation, et le plan ORSEC départemental « Gestion sanitaire des vagues de chaleur, niveau rouge » a été activé.
Sous l'effet des températures très élevées, de la faible humidité de l'air et de la levée du vent, le risque de feux de forêt s'est étendu à de nombreuses régions françaises. C'est notamment sur le centre-ouest de la France et près de la Méditerranée que ce risque a été le plus élevé.
Orages violents des 27-28 juin : rupture de canicule dévastatrice
La fin du mois a été marquée par des intempéries exceptionnelles.
Après la canicule étouffante, de violents orages ont balayé la France dans la nuit du 27 au 28 juin. Rafales à plus de 140 km/h, grêle géante et milliers d'éclairs ont causé de lourds dégâts matériels, privé 63 000 foyers d'électricité et fait plusieurs blessés. Les secours ont été massivement mobilisés.
Plus de 20 000 éclairs ont été recensés en Dordogne et près de 4 000 impacts de foudre dans le Nord et le Pas-de-Calais. Un record local de 144 km/h a été enregistré à Blois, et la foudre a frappé le sommet de la tour Eiffel à Paris.
Dans le Nord, la préfecture a comptabilisé 405 interventions des pompiers pour des inondations et des chutes d'arbres.
Des structures communales ont été directement touchées :
à Landrecies (Nord), l'école a dû fermer en raison de plafonds menaçant de s'effondrer, et à Roisies (Nord), la salle des fêtes a perdu son toit.
Arrêté CatNat du 12 juin 2026 : 183 communes reconnues
Un arrêté du 12 juin 2026 publié au Journal officiel du 13 juin 2026 porte reconnaissance de l'état de catastrophe naturelle dans 48 départements. Près de 183 communes le sont pour des dommages causés par des inondations et des coulées de boue survenues principalement au début de l'année 2026.
Cet arrêté concerne également des mouvements de terrain différentiels consécutifs à la sécheresse et à la réhydratation des sols survenus en 2025.
Événement | Période | Territoires concernés | Dispositifs activés |
Canicule historique | 19 juin → fin juin 2026 | National (>40°C sur l'Ouest) | ORSEC chaleur, plans blancs |
Incendies végétation | 22-26 juin 2026 | Sud, Centre-Ouest, Méditerranée | Renforts pompiers, interdictions |
Orages violents | Nuit 27-28 juin 2026 | Nord, Hauts-de-France, Centre-Val-de-Loire, Yvelines | 405 interventions pompiers (Nord) |
Arrêté CatNat | 12 juin 2026 (JO 13/06) | 48 départements, 183 communes | Ouverture droits à indemnisation |
> ⚠️ Délai de déclaration CatNat :
les sinistrés doivent déclarer dès qu'ils ont connaissance des dégâts et au plus tard 30 jours après la publication de l'arrêté au Journal officiel, de préférence par lettre recommandée avec accusé de réception.
OSINT & Threat Intelligence
Panorama ANSSI 2025 : contexte de fond pour juin 2026
Bien que publié en mars 2026 (CERTFR-2026-CTI-002), ce rapport continue de structurer la lecture de la menace en juin 2026.
Le nombre d'incidents confirmés reste stable : 1 366 en 2025, contre 1 361 en 2024. Quatre secteurs concentrent à eux seuls 76 % de ces incidents : l'éducation et la recherche (34 %), les ministères et collectivités territoriales (24 %), la santé (10 %).
Les incidents liés à de simples exfiltrations de données ont significativement augmenté : l'ANSSI a été informée de 196 incidents de ce type en 2025 contre 130 en 2024.
Ransomware en juin 2026 : recul apparent, réalité structurellement dégradée
104 demandes d'assistance pour rançongiciel ont été reçues par Cybermalveillance.gouv.fr de la part d'entreprises, associations et collectivités en juin 2026, soit à peu près autant qu'en mai.
Pour le mois de juin 2026, un total de 705 incidents de rançongiciel a été comptabilisé à travers le monde, marquant une légère décélération par rapport au mois précédent. Ce recul mensuel de 4,3 % s'inscrit dans une tendance saisonnière traditionnelle — l'activité baisse en juin pour atteindre son taux le plus bas annuel en juillet.
Contactez nos experts CARINEL
📅 RDV gratuit : www.carinel.com/test-avec-nos-experts
📞 Téléphone : 01 89 71 59 06
📧 Email : info@carinel.com
🌐 Site : www.carinel.com
Commentaires