Contact
Share
Discover our News & Publications
Posted on 12 November 2026 in News > > Media, Data & Technologies

The proposed EU Digital Fairness Act is here! How could it affect our daily lives?

On 11 November 2026, the European Commission published a consumer law package comprising three proposals: a Digital Fairness Act (“DFA”), a Directive simplifying certain consumer protection rules (“Simplification Directive”) and a new Consumer Protection Cooperation Regulation (“New CPC Regulation”). The DFA sets out the new substantive rules, the Simplification Directive trims existing ones, and the New CPC Regulation strengthens enforcement. Here is what the package would mean in practice for businesses and consumers.

At a glance

  • A regulation, not a directive: The Unfair Commercial Practices Directive 2005/29/EC (“UCPD”) will be repealed and replaced by the DFA which will directly apply in all 27 EU Member States.
  • New digital rules: The DFA will cover dark patterns, influencer marketing, personalised ads and prices, virtual currencies and loot boxes, addictive design, ticket pricing, free trials, subscriptions and AI shopping agents.
  • Brussels as enforcer: Under the New CPC Regulation, the EU Commission will be able to investigate large-scale infringements directly and fine up to 6% of worldwide annual turnover.
  • Easier proof: Courts and authorities will be able to require traders to disclose how an online practice is designed and operates as well as its effect on consumer behaviour.

Ten real-life situations

The scenarios below are illustrative and modelled on practices that consumers and authorities already face today.

1. The countdown timer and the hidden “No thanks” button

The situation: A fashion app shows “Offer ends in 4:59”, pre-ticks add-ons in the basket and greys out the decline button.

Today Under the DFA
The authority or the consumer must show, on a case-by-case basis, that the practice is misleading or aggressive.
  • Interfaces designed to deceive, manipulate or materially distort behaviour are banned.
  • A new list of dark patterns prohibited in all circumstances is appended to the DFA, which the EU Commission can update.

Why it matters: For practices on the list, traders can no longer argue that the average consumer was not affected and user experience design becomes a compliance matter.

2. The influencer and the energy supplement

The situation: An influencer with a teenage audience promotes a supplement with a hashtag buried in the caption, under a contract arranged by the brand’s agency.

Today Under the DFA
Liability for hidden advertising rests mainly on the influencer, under the general UCPD principles.
  • Clear disclosure of commercial content is required and exploiting minors’ trust is prohibited.
  • Promoting unsafe products, or products whose advertising is banned, is also prohibited.
  • The brand must ensure, by contract or other means, that the influencer complies with such obligations.

Why it matters: Brands and agencies become responsible for compliance along the chain and compliance clauses in every influencer contract are therefore to be expected.

3. The teenager, the ad and the “distress price”

The situations:

  • A games publisher shows profiled ads to a user it knows is 15 years old.
  • A travel site raises prices for a user whose browsing history suggests an urgent family emergency.
Today Under the DFA
The ban on profiled ads to minors in the Digital Services Act (Regulation (EU) 2022/2065, “DSA”) applies only to online platforms, and personalised pricing is not specifically regulated.
  • Traders other than online platforms (already covered by the DSA) are banned from profiling-based ads to consumers they know with reasonable certainty to be minors, and from profiled ads using special categories of data under Article 9 of the General Data Protection Regulation (EU) 2016/679 (“GDPR”).
  • Profiling-based personalised prices are banned where reasonably likely to harm a consumer whom the trader knows with reasonable certainty to be a minor or vulnerable.

Why it matters: Ad-tech chains and pricing algorithms will need safeguards against targeting minors and against exploiting vulnerability.

4. Gems, mystery packs and pay-to-win

The situations:

  • A football video game sells “gems” in bundles of 550 and 1,200 while a pack costs 300.
  • Random packs may contain a star player and paying speeds up progress.
Today Under the DFA
There are no specific rules, and each practice is assessed under general commercial unfairness principles.
  • The real or estimated money value must be shown and paid currencies are switched off by default for minors (subject to parent or guardian approval).
  • For loot boxes, the odds must be disclosed beforehand, everyone must be able to switch them off and they may not be offered to minors.
  • Pay-to-win and pay-to-progress are also banned for minors.

Why it matters: Monetisation models aimed at children must be redesigned.

5. Infinite scroll and streaks

The situation: A short-video app combines infinite scroll, autoplay and daily “streak” rewards.

Today Under the DFA
There is no legal obligation to offer an off switch. Adult consumers must be able to switch off features that encourage compulsive or excessive use (traders covered by the EU KIDS Act rules on minors are excluded), and the EU Commission can update the list of such features.

Why it matters: Wellbeing tools become mandatory product features.

6. The stadium tour and the EUR 350 ticket

The situations:

  • After 40 minutes in a virtual queue, a ticket advertised at EUR 90 costs EUR 350 under “demand pricing”.
  • A resale site hides the face value.
Today Under the DFA
Disclosure is limited to general price information rules.
  • In the queue, the current price is updated in real time, together with whether it may change and the maximum price.
  • Sellers must disclose how many tickets are available at the advertised price and the maximum price.
  • Resellers must also show the original price and the seat details.

Why it matters: Fans know the price ceiling before they commit, and bait pricing loses its effect.

7. The forgotten free trial

The situations:

  • A 7-day free trial of a fitness app silently becomes a EUR 79.99 annual plan.
  • Cancelling requires a phone call during office hours.
Today Under the DFA and the Simplification Directive
The trial usually converts automatically. Cancellation hurdles are challenged on a case-by-case basis as aggressive practices.
  • A reminder on a durable medium and express consent are required and, without them, the consumer is not bound.
  • Consumers get reminders before renewal and can end an automatically extended open-ended contract at any time on short notice.
  • An online cancellation facility and access to a human contact are also required.
  • For audio and video streaming subscriptions, the Simplification Directive replaces the 14-day withdrawal right with a one-month withdrawal right, against payment of the average monthly fee.

Why it matters: Subscription traps stop generating revenue. Renewal and cancellation journeys must be rebuilt.

8. “Buy me the cheapest ticket to Brussels”

The situation: A consumer instructs an AI assistant to book a train ticket under EUR 50, and the assistant contracts with the rail operator’s booking bot.

Today Under the DFA
Consumer law is not designed for machine-to-machine contracting.
  • The consumer can set the agent’s main parameters and the agent passes on the consumer’s contact details and traders may not force consumers to use bots.
  • In fully automated contracting, pre-contractual information may be given in machine-readable form, but confirmation on a durable medium remains mandatory.

Why it matters: This is a first EU framework for agentic commerce, with lighter formalities and new safeguards.

9. Unsolicited marketing messages

The situation: A reseller sends promotional SMS messages to people who never opted in, and its call centre cold calls them.

Today Under the DFA and the Simplification Directive

The Directive 2002/58/EC (“ePrivacy Directive”) distinguishes three scenarios:

(i) new contacts: direct marketing by automatic calling machines, fax or e-mail requires the recipient’s prior consent (opt-in);

(ii) existing customers: a business that obtained a customer’s e-mail details when selling a product or service may use them to market its own similar products without prior consent, provided the customer can object free of charge when the details are collected and, in each message, (opt-out); and

(iii) other channels (such as calls made by a person): each Member State chooses between opt-in and opt-out.

Each Member State has transposed these rules with its own nuances, and they are mainly enforced by privacy and telecoms regulators.

  • Recast: for communications to consumers, the DFA takes over the ePrivacy Directive’s rules as a directly applicable obligation on traders, keeping the opt-in principle, the opt-out for existing customers and the duty to provide a valid opt-out e-mail address.
  • Additions: (i) consent must meet the GDPR standard, (ii) SMS and MMS are expressly named and fax is dropped, (iii) calls made by a person require prior consent, or are subject to opt-out only where the law of the consumer’s country of residence provides for it, and (iv) breaches become unfair commercial practices, enforceable with consumer-law remedies and fines.

Why it matters: Marketing spam moves into EU consumer law so that consumers, consumer authorities, consumer associations and potentially the EU Commission can act directly and coherently against it.

10. The pan-EU marketplace

The situation: A global marketplace uses fake discounts and forced gamification in all 27 Member States.

Today Under the DFA and the New CPC Regulation
National authorities coordinate under the Consumer Protection Cooperation Regulation (Regulation (EU) 2017/2394, “CPC Regulation”). In coordinated actions, UCPD requires Member States to provide for maximum fines of at least 4% of the trader’s annual turnover in the Member States concerned.
  • Pursuant to the New CPC Regulation referred to by the DFA, the EU Commission could act directly where an infringement affects at least two thirds of the Member States, together representing two thirds of the EU population, and the trader is not an SME, and could issue a fine up to 6% of worldwide annual turnover.
  • Under the DFA, courts and authorities may also order disclosure of how online design and algorithms work, and a refusal to disclose can count against the trader.
  • A trader held liable for an unfair online practice can turn against business partners who caused or contributed to the infringement.

Why it matters: Large (non-SME) traders face EU-level enforcement, while SMEs remain subject to national enforcement only and all traders gain recourse against their business partners, such as software suppliers.

What are the main changes for existing legislation

Legal text Effect of the proposal
Directive 2005/29/EC (UCPD) Repealed. Its general provisions, misleading and aggressive practices rules and blacklist are carried over into the DFA. The financial services, immovable property and doorstep-selling derogations are kept.
Consumer Rights Directive 2011/83/EU (CRD) The DFA adds new rules on trials, renewals and cancellation and lightens formalities for fully automated contracts. The Simplification Directive also removes the dark-pattern rule for financial services and the withdrawal function, both moved into the DFA, deletes certain information duties, simplifies micro transactions and creates a one-month cancellation right for streaming subscriptions.
Directive 2002/58/EC (ePrivacy) Protection against unsolicited direct marketing to consumers moves into the DFA.
Regulation (EU) 2022/2065 (DSA) The ban on profiled ads to minors and on ads using sensitive data is extended to traders other than online platforms. The DSA prevails in case of conflict on specific aspects.
CPC Regulation (EU) 2017/2394 To be repealed by the New CPC Regulation, which gives the EU Commission direct enforcement powers, sets time limits for coordinated actions, requires non-EU traders targeting EU consumers to appoint an EU legal representative and amends the passenger rights and geo-blocking regulations.

Should businesses act now?

No immediate compliance action is required as the package is only at proposal stage, and its content may change significantly before adoption. Businesses with consumer-facing digital activities may nonetheless wish to monitor the negotiations and identify at an early stage the features most likely to be affected (dark patterns, subscriptions, personalisation, in-game monetisation, influencer marketing…), so that any future redesign can be planned well ahead.

Next steps

The three proposals now proceed through the ordinary legislative procedure, under which they must be negotiated and adopted by the European Parliament and the Council. Given the scope and political sensitivity of the package, adoption is unlikely to be quick. The EU Commission’s indicative timeline for the New CPC Regulation points to adoption in 2027 and application in 2028/2029, while the Simplification Directive would have to be transposed within 12 months of its entry into force. The DFA will set its own date of application in the final text. Stay tuned for further developments!

Posted on 12 November 2026 in News > > Media, Data & Technologies

Le projet de Digital Fairness Act européen est arrivé ! Quel impact pourrait-il avoir sur notre quotidien ?

Le projet de Digital Fairness Act européen est arrivé ! Quel impact pourrait-il avoir sur notre quotidien ?

Ce 11 novembre 2026, la Commission européenne a publié un ensemble de propositions législatives relatives au droit de la consommation, comprenant trois textes : le Digital Fairness Act (« DFA »), une directive simplifiant certaines règles de protection des consommateurs (« Directive de Simplification ») et un nouveau règlement relatif à la coopération en matière de protection des consommateurs (« Nouveau Règlement CPC »).

Le DFA établit de nouvelles règles de fond, la Directive de Simplification allège certaines règles existantes et le Nouveau Règlement CPC renforce leur application. Voici ce que ce nouveau « package » législatif pourrait signifier concrètement pour les entreprises et les consommateurs.

En bref

Un règlement, et non une directive : la directive 2005/29/CE relative aux pratiques commerciales déloyales (« UCPD ») sera abrogée et remplacée par le DFA, qui sera directement applicable dans les 27 États membres de l’Union européenne.

De nouvelles règles numériques : le DFA couvrira les pratiques de conception trompeuses ou manipulatrices (« dark patterns »), le marketing d’influence, les publicités et les prix personnalisés, les monnaies virtuelles et les coffres à butin (« loot boxes »), les mécanismes de conception favorisant l’addiction, la tarification des billets d’évènements, les essais gratuits, les abonnements et les agents d’achat fondés sur l’intelligence artificielle.

Bruxelles chargée de faire appliquer les règles : en vertu du Nouveau Règlement CPC, la Commission européenne pourra enquêter directement sur les infractions de grande ampleur et infliger des amendes pouvant atteindre 6 % du chiffre d’affaires annuel mondial.

Une preuve facilitée : les juridictions et les autorités compétentes pourront exiger des professionnels qu’ils divulguent la manière dont une pratique en ligne est conçue et fonctionne, ainsi que ses effets sur le comportement des consommateurs.

Dix situations de la vie quotidienne

Les scénarii ci-dessous sont donnés à titre d’illustration et s’inspirent de pratiques auxquelles les consommateurs et les autorités sont déjà confrontés aujourd’hui.

1. Le compte à rebours et le bouton « Non merci » dissimulé

La situation : une application de prêt-à-porter affiche « L’offre expire dans 4:59 », coche à l’avance des options supplémentaires dans le panier et grise le bouton permettant de les refuser.

Aujourd’hui Dans le cadre du DFA
L’autorité ou le consommateur doit démontrer, au cas par cas, que la pratique est trompeuse ou agressive.
  • Les interfaces conçues pour tromper, manipuler ou altérer substantiellement le comportement des consommateurs sont interdites.
  • Une nouvelle liste de pratiques de conception trompeuses interdites en toutes circonstances est annexée au DFA et pourra être mise à jour par la Commission européenne.

Pourquoi est-ce important ? Pour les pratiques figurant sur cette liste, les professionnels ne pourront plus faire valoir que le consommateur moyen n’a pas été affecté. La conception de l’expérience utilisateur devient ainsi un enjeu de conformité.

2. L’influenceur et le complément énergétique

La situation : un influenceur dont l’audience comprend des adolescents fait la promotion d’un complément alimentaire en utilisant un hashtag dissimulé dans la légende, dans le cadre d’un contrat organisé par l’agence de la marque.

Aujourd’hui Dans le cadre du DFA
La responsabilité en matière de publicité dissimulée repose principalement sur l’influenceur, en vertu des principes généraux de l’UCPD.
  • Une identification claire du contenu commercial est requise et l’exploitation de la confiance des mineurs est interdite.
  • La promotion de produits dangereux ou de produits dont la publicité est interdite est également prohibée.
  • La marque doit veiller, par contrat ou par d’autres moyens, à ce que l’influenceur respecte ces obligations.

Pourquoi est-ce important ? Les marques et les agences de marketing deviennent responsables du respect des règles tout au long de la chaîne, et l’on peut donc s’attendre à ce que des clauses de conformité soient intégrées dans chaque contrat promotionnel ou de sponsoring avec des influenceurs.

3. L’adolescent, la publicité et le « prix de détresse »

Les situations :

  • Un éditeur de jeux vidéo diffuse des publicités fondées sur le profilage à un utilisateur dont il sait qu’il est âgé de 15 ans.
  • Un site de voyage augmente ses prix pour un utilisateur dont l’historique de navigation laisse supposer une urgence familiale.
Aujourd’hui Dans le cadre du DFA
L’interdiction des publicités fondées sur le profilage des mineurs prévue par le règlement sur les services numériques (Règlement (UE) 2022/2065, « DSA ») ne s’applique qu’aux plateformes en ligne, et la tarification personnalisée ne fait pas l’objet d’une réglementation spécifique.
  • Il est interdit aux professionnels autres que les plateformes en ligne (déjà couvertes par le DSA) de diffuser des publicités fondées sur le profilage auprès de consommateurs dont ils savent avec une certitude raisonnable qu’ils sont mineurs, ainsi que des publicités fondées sur le profilage utilisant des catégories particulières de données au sens de l’article 9 du règlement général sur la protection des données (UE) 2016/679 (« RGPD »).
  • Les prix personnalisés fondés sur le profilage sont interdits lorsqu’ils sont raisonnablement susceptibles de porter préjudice à un consommateur dont le professionnel sait avec une certitude raisonnable qu’il est mineur ou vulnérable.

Pourquoi est-ce important ? Les chaînes d’acteurs de la publicité numérique (ad-tech) et les algorithmes de tarification devront intégrer des garanties contre le ciblage des mineurs et l’exploitation de la vulnérabilité.

4. Gemmes, packs mystères et « pay-to-win »

Les situations :

  • Un jeu vidéo de football vend des « gemmes » par lots de 550 et 1 200, alors qu’un pack coûte 300 gemmes.
  • Des packs aléatoires peuvent contenir un joueur vedette et le paiement permet de progresser plus rapidement.
Aujourd’hui Dans le cadre du DFA
Il n’existe pas de règles spécifiques et chaque pratique est évaluée au regard des principes généraux relatifs aux pratiques commerciales déloyales.
  • La valeur monétaire réelle ou estimée doit être affichée et les monnaies payantes sont désactivées par défaut pour les mineurs (sous réserve de l’autorisation d’un parent ou d’un tuteur).
  • Pour les coffres à butin (« loot boxes »), les probabilités d’obtention doivent être communiquées au préalable, chacun doit pouvoir les désactiver et ils ne peuvent pas être proposés aux mineurs.
  • Les mécanismes permettant de gagner ou de progresser en payant (« pay-to-win » et « pay-to-progress ») sont également interdits pour les mineurs.

Pourquoi est-ce important ? Les modèles de monétisation destinés aux enfants devront être repensés.

5. Défilement infini et récompenses de connexion quotidienne

La situation : une application de vidéos courtes combine le défilement infini, la lecture automatique et des récompenses liées à des séries de jours consécutifs d’utilisation (« streaks »).

Aujourd’hui Dans le cadre du DFA
Il n’existe aucune obligation légale de proposer une fonction de désactivation. Les consommateurs adultes doivent pouvoir désactiver les fonctionnalités qui encouragent une utilisation compulsive ou excessive (les professionnels soumis aux règles de l’EU KIDS Act relatives aux mineurs sont exclus), et la Commission européenne peut mettre à jour la liste de ces fonctionnalités.

Pourquoi est-ce important ? Les outils favorisant le bien-être deviennent des fonctionnalités obligatoires des produits.

6. La tournée des stades et le billet à 350 EUR

Les situations :

  • Après 40 minutes dans une file d’attente virtuelle, un billet annoncé à 90 EUR coûte finalement 350 EUR en raison d’une tarification fondée sur la demande (« demand pricing »).
  • Un site de revente dissimule la valeur faciale du billet.
Aujourd’hui Dans le cadre du DFA
Les obligations de transparence se limitent aux règles générales relatives à l’information sur les prix.
  • Dans la file d’attente, le prix en vigueur est actualisé en temps réel, avec une indication précisant s’il est susceptible de changer et quel est le prix maximal.
  • Les vendeurs doivent indiquer combien de billets sont disponibles au prix annoncé ainsi que le prix maximal.
  • Les revendeurs doivent également afficher le prix d’origine et les informations relatives aux places.

Pourquoi est-ce important ? Les spectateurs connaissent le prix plafond avant de s’engager, et les pratiques de prix d’appel trompeurs perdent de leur efficacité.

7. L’essai gratuit oublié

Les situations :

  • Un essai gratuit de sept jours d’une application de fitness se transforme discrètement en un abonnement annuel de 79,99 EUR.
  • La résiliation nécessite un appel téléphonique pendant les heures de bureau.
Aujourd’hui Dans le cadre du DFA et de la Directive de Simplification
L’essai se transforme généralement de manière automatique. Les obstacles à la résiliation sont contestés au cas par cas en tant que pratiques agressives.
  • Un rappel sur un support durable et un consentement exprès sont requis et, à défaut, le consommateur n’est pas engagé.
  • Les consommateurs reçoivent des rappels avant le renouvellement et peuvent mettre fin à tout moment, moyennant un court préavis, à un contrat à durée indéterminée automatiquement prolongé.
  • Un dispositif de résiliation en ligne et la possibilité de contacter une personne physique sont également requis.
  • Pour les abonnements à des services de streaming audio et vidéo, la Directive de Simplification remplace le droit de rétractation de 14 jours par un droit de rétractation d’un mois, moyennant le paiement de la redevance mensuelle moyenne.

Pourquoi est-ce important ? Les abonnements trompeurs cessent de générer des revenus. Les parcours de renouvellement et de résiliation doivent être repensés.

8. « Achète-moi le billet le moins cher pour Bruxelles »

La situation : un consommateur demande à un assistant fondé sur l’intelligence artificielle de réserver un billet de train à moins de 50 EUR, et l’assistant conclut le contrat avec l’agent automatisé de réservation de l’opérateur ferroviaire.

Aujourd’hui Dans le cadre du DFA
Le droit de la consommation n’est pas conçu pour les contrats conclus entre machines.
  • Le consommateur peut définir les principaux paramètres de l’agent, lequel transmet les coordonnées du consommateur, et les professionnels ne peuvent pas obliger les consommateurs à utiliser des agents automatisés.
  • Dans le cadre de contrats entièrement automatisés, les informations précontractuelles peuvent être fournies dans un format lisible par machine, mais une confirmation sur un support durable reste obligatoire.

Pourquoi est-ce important ? Il s’agit d’un premier cadre européen pour le commerce fondé sur des agents autonomes (« agentic commerce »), avec des formalités allégées et de nouvelles garanties.

9. Les communications commerciales non sollicitées

La situation : un revendeur envoie des SMS promotionnels à des personnes qui n’ont jamais donné leur consentement, tandis que son centre d’appels effectue des appels commerciaux non sollicités.

Aujourd’hui Dans le cadre du DFA et de la Directive de Simplification

La directive 2002/58/CE (« Directive ePrivacy ») distingue trois situations :

(i) Nouveaux contacts : le marketing direct par automates d’appel, télécopie ou courrier électronique nécessite le consentement préalable du destinataire (opt-in) ;

(ii) Clients existants : une entreprise ayant obtenu les coordonnées électroniques d’un client lors de la vente d’un produit ou d’un service peut les utiliser pour commercialiser ses propres produits similaires sans consentement préalable, à condition que le client puisse s’y opposer gratuitement lors de la collecte des coordonnées et dans chaque message (opt-out) ; et

(iii) Autres canaux (tels que les appels effectués par une personne physique) : chaque État membre choisit entre un système de consentement préalable (opt-in) et un système de droit d’opposition (opt-out).

Chaque État membre a transposé ces règles avec ses propres particularités, et leur application est principalement assurée par les autorités chargées de la protection des données et des télécommunications.

  • Refonte : pour les communications adressées aux consommateurs, le DFA reprend les règles de la Directive ePrivacy sous la forme d’une obligation directement applicable aux professionnels, en maintenant le principe du consentement préalable, le droit d’opposition pour les clients existants et l’obligation de fournir une adresse électronique valable permettant d’exercer ce droit d’opposition.
  • Ajouts : (i) le consentement doit répondre aux exigences du RGPD, (ii) les SMS et MMS sont expressément mentionnés et la télécopie est supprimée, (iii) les appels effectués par une personne physique nécessitent un consentement préalable ou ne sont soumis qu’à un droit d’opposition lorsque le droit du pays de résidence du consommateur le prévoit, et (iv) les violations deviennent des pratiques commerciales déloyales, pouvant faire l’objet des voies de recours et des amendes prévues par le droit de la consommation.

Pourquoi est-ce important ? Les communications commerciales non sollicitées entrent dans le champ du droit européen de la consommation, permettant ainsi aux consommateurs, aux autorités de protection des consommateurs, aux associations de consommateurs et, potentiellement, à la Commission européenne d’agir directement et de manière cohérente contre ces pratiques.

10. La place de marché paneuropéenne

La situation : une place de marché mondiale utilise de fausses réductions et des mécanismes de ludification forcée dans les 27 États membres.

Aujourd’hui Dans le cadre du DFA et du Nouveau Règlement CPC
Les autorités nationales coordonnent leurs actions dans le cadre du règlement relatif à la coopération en matière de protection des consommateurs (Règlement (UE) 2017/2394, « Règlement CPC »). Dans le cadre d’actions coordonnées, l’UCPD impose aux États membres de prévoir des amendes maximales d’au moins 4 % du chiffre d’affaires annuel du professionnel dans les États membres concernés.
  • En vertu du Nouveau Règlement CPC auquel renvoie le DFA, la Commission européenne pourrait intervenir directement lorsqu’une infraction touche au moins deux tiers des États membres, représentant ensemble deux tiers de la population de l’Union européenne, et que le professionnel n’est pas une PME. Elle pourrait alors infliger une amende pouvant atteindre 6 % du chiffre d’affaires annuel mondial.
  • Dans le cadre du DFA, les juridictions et les autorités peuvent également ordonner la divulgation d’informations sur le fonctionnement de la conception des interfaces en ligne et des algorithmes, et un refus de divulgation peut être retenu à l’encontre du professionnel.
  • Un professionnel tenu responsable d’une pratique déloyale en ligne peut se retourner contre les partenaires commerciaux qui ont causé l’infraction ou y ont contribué.

Pourquoi est-ce important ? Les grandes entreprises (hors PME) sont exposées à une application des règles au niveau européen, tandis que les PME restent soumises uniquement à leur application au niveau national. Tous les professionnels disposent par ailleurs d’un recours contre leurs partenaires commerciaux, tels que les fournisseurs de logiciels.

Quelles sont les principales modifications apportées à la législation existante ?

Texte juridique Effet de la proposition
Directive 2005/29/CE (UCPD) Abrogée. Ses dispositions générales, les règles relatives aux pratiques trompeuses et agressives ainsi que la liste noire sont reprises dans le DFA. Les dérogations relatives aux services financiers, aux biens immobiliers et à la vente à domicile sont maintenues.
Directive 2011/83/UE relative aux droits des consommateurs (CRD) Le DFA ajoute de nouvelles règles sur les essais gratuits, les renouvellements et les résiliations, et allège les formalités applicables aux contrats entièrement automatisés. La directive de simplification supprime également la règle relative aux interfaces trompeuses dans les services financiers et la fonction de rétractation, toutes deux transférées dans le DFA, supprime certaines obligations d’information, simplifie les microtransactions et crée un droit de résiliation d’un mois pour les abonnements aux services de streaming.
Directive 2002/58/CE (ePrivacy) La protection contre le marketing direct non sollicité à destination des consommateurs est transférée dans le DFA.
Règlement (UE) 2022/2065 (DSA) L’interdiction des publicités fondées sur le profilage des mineurs et des publicités utilisant des données sensibles est étendue aux professionnels autres que les plateformes en ligne. Le DSA prévaut en cas de conflit sur certains aspects spécifiques.
Règlement CPC (UE) 2017/2394 Il doit être abrogé par le nouveau règlement CPC, qui confère à la Commission européenne des pouvoirs directs pour faire appliquer les règles, fixe des délais pour les actions coordonnées, impose aux professionnels établis hors de l’Union européenne qui ciblent les consommateurs européens de désigner un représentant légal dans l’Union européenne et modifie les règlements relatifs aux droits des passagers et au blocage géographique.

Les entreprises doivent-elles agir dès maintenant ?

Aucune mesure immédiate de mise en conformité n’est nécessaire, puisque cet ensemble législatif n’est qu’au stade des propositions et que son contenu pourrait évoluer sensiblement avant son adoption définitive.

Les entreprises exerçant des activités numériques destinées aux consommateurs peuvent néanmoins souhaiter suivre les négociations et identifier, à un stade précoce, les fonctionnalités les plus susceptibles d’être concernées (interfaces trompeuses, abonnements, personnalisation, monétisation dans les jeux, marketing d’influence…), afin de pouvoir anticiper suffisamment tôt toute refonte future.

Prochaines étapes

Les trois propositions poursuivent désormais leur parcours dans le cadre de la procédure législative ordinaire, au cours de laquelle elles devront être négociées et adoptées par le Parlement européen et le Conseil.

Compte tenu de l’ampleur et de la sensibilité politique de cet ensemble de textes, leur adoption ne devrait pas être rapide.

Le calendrier indicatif de la Commission européenne pour le Nouveau Règlement CPC prévoit une adoption en 2027 et une application en 2028/2029, tandis que la Directive de Simplification devrait être transposée dans un délai de 12 mois à compter de son entrée en vigueur.

Le DFA fixera sa propre date d’application dans le texte définitif.

Restez informés des prochaines évolutions !

Posted on 19 October 2026 in News > > Media, Data & Technologies

Newsflash – Cyberincidents au Luxembourg : cinq enseignements juridiques issus des nouvelles recommandations opérationnelles

Dans le contexte de la loi luxembourgeoise du 5 mai 2026 mettant en œuvre le cadre européen de cybersécurité NIS2 [1], de nouvelles recommandations opérationnelles ont été publiées le 28 septembre 2026 afin d’aider les organisations à faire face aux cyberincidents malveillants.

Le guide intitulé Operational Guidance for Incident Handling (le « Guide ») [2] a été publié conjointement par l’Agence nationale de la sécurité des systèmes d’information (« ANSSI »), l’autorité de surveillance du secteur financier (« CSSF »), le Computer Incident Response Center Luxembourg (« CIRCL »), l’équipe gouvernementale de réponse aux incidents informatiques (« GovCERT »), le Haut-Commissariat à la protection nationale (« HCPN ») et l’Institut luxembourgeois de régulation (« ILR ») (collectivement, les « Autorités »).

Champ d’application du Guide

Le Guide constitue un outil pratique destiné aux organisations confrontées à un cyberincident malveillant. Il comprend un cadre général d’évaluation initiale et d’orientation des incidents, suivi de huit protocoles spécifiques couvrant :

  • les attaques par déni de service ;
  • les logiciels malveillants (y compris les rançongiciels) ;
  • les attaques utilisant les canaux de communication (telles que le phishing ou hameçonnage) ;
  • le vol d’identifiants et la compromission de comptes ;
  • l’exploitation de vulnérabilités ;
  • les menaces internes ;
  • l’exfiltration de données ; et
  • les attaques affectant la chaîne d’approvisionnement informatique.

Les erreurs humaines et les défaillances des systèmes ne relèvent pas du champ d’application du Guide.

Le Guide ne remplace pas les politiques et procédures internes et, surtout, ne traite pas des obligations légales découlant d’un cyberincident (par exemple, le dépôt d’une plainte ou les notifications à la CSSF, à l’ILR ou à la CNPD). Ces obligations doivent donc faire l’objet d’une analyse distincte.

Cinq enseignements juridiques clés

  • Prendre en compte les délais de notification dès l’évaluation initiale de l’incident. Le Guide prévoit que les délais de notification obligatoires (notamment ceux découlant de NIS2, du règlement sur la résilience opérationnelle numérique (« DORA ») et des réglementations sectorielles) doivent être pris en considération dès la phase initiale d’évaluation de l’incident. L’analyse juridique correspondante doit donc être menée parallèlement à la réponse technique, dès le premier jour.
  • Un cyberincident peut également constituer une violation de données à caractère personnel. En cas d’exfiltration de données à caractère personnel, le Guide recommande une coordination avec le délégué à la protection des données (« DPO »), en faisant expressément référence au règlement général sur la protection des données (« RGPD »). La question de savoir si cette violation doit être notifiée à la Commission nationale pour la protection des données (« CNPD ») ou aux personnes concernées nécessite une analyse juridique de la part du DPO et des équipes chargées de la conformité et des questions juridiques.
  • Ne pas payer de rançon. En cas d’attaque par rançongiciel, le Guide indique que les organisations ne devraient pas payer la rançon, dans la mesure où ce paiement ne garantit pas la récupération des données et pourrait contrevenir aux régimes de sanctions nationaux, européens ou internationaux.
  • Les enquêtes internes doivent respecter les droits des salariés. En présence de menaces internes, les opérations de surveillance et de collecte de preuves doivent être réalisées à l’aide d’outils et de procédures approuvés, tout en respectant la législation applicable et les politiques internes. Les équipes des ressources humaines et les services juridiques devraient donc être associés dès le début des investigations.
  • Anticiper le recours à des experts externes et les dispositions contractuelles. Le Guide recommande de mobiliser rapidement, si nécessaire, des experts internes ou externes en cybersécurité, des consultants et des conseils juridiques, ainsi que d’envisager une prise de contact précoce avec des équipes externes de réponse aux incidents ou avec l’assureur cyber lorsque des accords contractuels existent. En cas d’incident affectant la chaîne d’approvisionnement informatique, il recommande également de réexaminer les risques liés aux fournisseurs et d’envisager des clauses contractuelles de sécurité ainsi que des droits de désactivation d’urgence (« kill-switch »), permettant à une organisation de désactiver un produit, une mise à jour ou un flux de données.

Prochaines étapes pour les organisations

L’efficacité du Guide dépend avant tout du niveau de préparation des organisations.

Nous recommandons de vérifier que les procédures de réponse aux incidents prévoient une remontée rapide des informations, la préservation des preuves, l’implication en temps utile des équipes juridiques, de conformité et des ressources humaines, ainsi qu’une évaluation précoce des obligations de notification.

Il est également recommandé de réexaminer dès à présent les polices de cyberassurance et les contrats conclus avec les fournisseurs informatiques, plutôt que d’attendre la survenance d’une crise.

—

[1] Loi du 5 mai 2026 relative à des mesures visant à assurer un niveau élevé de cybersécurité et portant modification de la loi modifiée du 14 août 2000 relative au commerce électronique, de la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la protection nationale et de la loi du 17 décembre 2021 sur les réseaux et les services de communications électroniques.

[2] Operational Guidance for Incident Handling, publié le 28 septembre 2026.

 

Pour en savoir plus : Media, Data & Technologies

Posted on 19 October 2026 in News > > Media, Data & Technologies

Newsflash – Cyber incidents in Luxembourg: five legal takeaways from the new operational guidance

In the context of the Luxembourg law of 5 May 2026 implementing the NIS2 cybersecurity framework [1], new operational guidance was published on 28 September 2026 to help organisations respond to malicious cyber incidents.

The Operational Guidance for Incident Handling (the “Guidance”) [2] was jointly published by the National Cybersecurity Agency (“ANSSI”), the financial sector supervisory authority (“CSSF”), the Computer Incident Response Center Luxembourg (“CIRCL”), the governmental incident response team (“GovCERT”), the High Commission for National Protection (“HCPN”) and the Luxembourg Regulatory Institute (“ILR”), (collectively the “Authorities”).

Scope of the Guidance

The Guidance is a practical tool for organisations facing a malicious cyber incident. It consists of a general triage and routing framework followed by eight incident-specific rulebooks covering:

  • denial-of-service attacks,
  • malware (including ransomware),
  • attacks through communication channels (such as phishing),
  • theft of credentials and compromised accounts,
  • exploitation of vulnerabilities,
  • insider threats,
  • data exfiltration, and
  • attacks affecting the IT supply chain.

Human error and system failures remain outside the Guidance’s scope.

The Guidance does not replace internal policies and procedures and, importantly, does not address the legal obligations triggered by a cyber incident (e.g. filing a complaint or notifying the CSSF, the ILR or the CNPD), and these remain to be assessed separately.

Five key legal takeaways

  • Start the reporting clock at triage. The Guidance requires mandatory reporting timelines (such as NIS2, Digital Operational Resilience Act (“DORA”) and sector-specific rules) to be considered immediately at triage. The corresponding legal analysis should therefore run in parallel with the technical response from day one.
  • A cyber incident may also be a personal data breach. Where personal data is exfiltrated, the Guidance recommends coordinating with the Data Protection Officer (“DPO”), with an express reference to the General Data Protection Regulation (“GDPR”). Whether or not the breach must be notified to the Luxembourg data protection authority (“CNPD”) or to data subjects remains subject to a legal assessment for the DPO, compliance and legal teams.
  • Do not pay any ransom. For ransomware incidents, the Guidance states that organisations should not pay the ransom as payment does not guarantee recovery and may breach national, EU or international sanctions law.
  • Insider investigations must respect employees’ rights. For insider threats, monitoring and evidence gathering should use approved tools and procedures but must also comply with applicable laws and internal policies. Human resources and legal teams should therefore be involved from the outset.
  • Prepare external support and contracts. The Guidance recommends rapidly onboarding internal or external cyber experts, consultants and legal counsel where needed, and considering early contact with external incident-response teams or the cyber-insurance provider where contractual arrangements exist. For IT supply-chain incidents, it also recommends reviewing vendor risk, and considering contractual security clauses and “kill-switch” rights allowing an organisation to disable a product, update or data flow.

Next steps for organisations

The Guidance is only as effective as an organisation’s preparation. We recommend checking that incident-response procedures provide for rapid escalation, evidence preservation, timely involvement of legal, compliance and HR teams, and early assessment of reporting obligations, as well as reviewing cyber-insurance policies and IT supplier contracts now rather than during a crisis.

—

[1] Law of 5 May 2026 on measures aimed at ensuring a high level of cybersecurity and amending the amended Law of 14 August 2000 on electronic commerce, the amended Law of 23 July 2016 establishing a High Commission for National Protection, and the Law of 17 December 2021 on electronic communications networks and services.

[2] Operational Guidance For Incident Handling published on 28 September 2026.

 

To read more about our practice: Media, Data & Technologies

Posted on 1 September 2026 in News > > Employment, Pensions & Immigration

Luxembourg : les absences pour cause de maladie peuvent-elles justifier un licenciement ?

Dans un jugement du 12 juin 2026, le Tribunal du travail de Luxembourg rappelle dans quelles conditions des absences pour maladie peuvent justifier un licenciement avec préavis.

Les conditions d’un licenciement pour absences pour cause de maladie

Les absences du salarié pour cause de maladie peuvent constituer un motif de licenciement lorsque trois conditions cumulatives sont réunies :

1. un absentéisme habituel pour raison de santé (périodes d’absence anormalement longues ou fréquentes pour cause de maladie), et

2. cet absentéisme provoque une gêne indiscutable au fonctionnement de l’entreprise (une désorganisation/perturbation de celle-ci), et

3. l’employeur ne peut plus compter sur la collaboration suffisamment régulière du salarié pour les nécessités du fonctionnement de l’entreprise.

Maladie professionnelle et accident du travail

Il existe toutefois une limite importante : lorsque les absences trouvent leur origine dans une maladie professionnelle ou un accident du travail, elles ne peuvent pas justifier le licenciement. Elles relèvent alors des risques que l’employeur doit supporter dans le cadre de son activité.

La désorganisation de l’entreprise doit-elle être prouvée dans tous les cas ?

Non, le Tribunal rappelle que la perturbation du fonctionnement de l’entreprise peut être présumée lorsque la fréquence des absences est telle que l’employeur ne peut plus compter sur une collaboration régulière et efficace du salarié.

Celui-ci conserve néanmoins la possibilité de renverser cette présomption en démontrant que ses absences n’ont pas désorganisé le service.

Enfin, la nature et l’envergure de l’entreprise, de même que l’affirmation selon laquelle un salarié serait facilement remplaçable, ne suffisent pas à exclure l’existence d’une perturbation. Celle-ci doit être appréciée concrètement, au regard des circonstances propres à chaque situation.

 Tribunal du travail de Luxembourg, jugement du 12 juin 2026.

Posted on 1 September 2026 in News > > Employment, Pensions & Immigration

Luxembourg: can sickness absences justify dismissal?

In a judgment dated 12 June 2026, the Luxembourg Labour Court reiterated the circumstances in which sickness absences can justify dismissal with notice.

Conditions for dismissal based on sickness absences

Absences due to illness may constitute valid grounds for dismissal where the following three cumulative conditions are met:

1. the employee has a pattern of health-related absenteeism, characterised by unusually long or frequent periods of absence due to illness;

2. those absences cause a clear disruption to the organisation and operation of the business; and

3. the employer can no longer rely on the employee’s sufficiently regular attendance to meet the operational needs of the business.

Occupational illness and workplace accidents

There is a significant limitation: where the employee’s absences are due to an occupational illness or a workplace accident, the employer cannot justify dismissal.

Such absences are regarded as forming part of the risks inherent in the employer’s business and must therefore be borne by the employer.

Must disruption to the business be proved in any case?

The Labour Court reiterated that disruption to the business may be presumed where the frequency of the employee’s sickness absences is such that the employer can no longer rely on their regular and effective attendance.

The employee may nevertheless rebut this presumption by demonstrating that their absences did not disrupt the organisation or operation of the relevant department.

Finally, the nature or size of the business, as well as the assertion that an employee can be easily replaced, are not sufficient alone to rule out disruption. Whether disruption occurred must be assessed in light of the specific circumstances of each case.

Luxembourg Labour Court, judgment dated 12 June 2026.

Posted on 27 July 2026 in News > > Media, Data & Technologies

Besprechungen aufzeichnen: Die richtigen DSGVO-Maßnahmen

Das Aufzeichnen von Besprechungen ist inzwischen mit wenigen Klicks möglich. Nach dem Start der Aufnahme übernimmt ein mittlerweile durch künstliche Intelligenz unterstütztes Transkriptionstool die Erstellung eines nahezu sofort verfügbaren Protokolls.

Die Vorteile liegen auf der Hand: Die Beteiligten erhalten unkompliziert eine zuverlässige schriftliche Wiedergabe der Gespräche, Missverständnisse lassen sich vermeiden und getroffene Entscheidungen können leichter nachverfolgt werden. Was aus organisatorischer Sicht praktisch erscheint, wirft jedoch auch wichtige rechtliche Fragen auf.

In Luxemburg ist eine berufliche Besprechung kein öffentlicher Raum. Unabhängig davon, ob sie unter Kolleginnen und Kollegen, mit einem Kunden, einem Dienstleister oder den Mitgliedern eines Vereins stattfindet, handelt es sich grundsätzlich um einen privaten Austausch. Sobald die Besprechung aufgezeichnet wird, werden die Stimmen, die getätigten Äußerungen und gegebenenfalls auch die zum Ausdruck gebrachten Meinungen zu personenbezogenen Daten. Damit fällt die Verarbeitung in den Anwendungsbereich der DSGVO [1].

Die CNPD [2] hat dies in ihrem Themendossier über Tonaufzeichnungen von Besprechungen [3] ausdrücklich klargestellt: Eine solche Praxis ist nicht grundsätzlich verboten. Sie muss jedoch gerechtfertigt, klar geregelt und verhältnismäßig sein.

Vorherige Information der Teilnehmenden

Der erste Schritt sollte nicht technischer, sondern menschlicher Natur sein. Die Teilnehmenden müssen darüber informiert werden, dass die Besprechung aufgezeichnet wird, zu welchem Zweck dies geschieht, wie die Aufnahme verwendet wird und wie lange sie gespeichert bleibt.

Ein kurzer Hinweis zu Beginn der Besprechung reicht nicht immer aus, insbesondere wenn Aufzeichnungen regelmäßig erfolgen. Im beruflichen Kontext ist der Arbeitgeber zu besonderer Vorsicht verpflichtet. Die Beschäftigten müssen die Tragweite der Maßnahme und ihre konkreten Auswirkungen nachvollziehen können.

Die Aufzeichnung darf weder zu einem Klima permanenter Überwachung führen noch zweckentfremdet werden. Eine Audiodatei, die zur Erstellung eines Protokolls gespeichert wurde, sollte beispielsweise nicht zu einem späteren Zeitpunkt zur Bewertung der Leistung einer Mitarbeiterin oder eines Mitarbeiters verwendet werden.

Die Rechtsgrundlage für die Aufzeichnung

Die CNPD nennt zwei mögliche Rechtsgrundlagen [4].

Die erste Rechtsgrundlage ist die Einwilligung. Theoretisch erscheint die Lösung einfach: Alle Beteiligten erklären sich mit der Aufzeichnung einverstanden. In der Praxis gestaltet sich dies jedoch deutlich schwieriger. Im Rahmen eines Arbeitsverhältnisses kann sich eine Mitarbeiterin oder ein Mitarbeiter kaum völlig frei fühlen, eine Einwilligung zu verweigern, insbesondere wenn die Aufzeichnung vom Arbeitgeber oder von einer vorgesetzten Person vorgeschlagen wird.

Als zweite mögliche Rechtsgrundlage kommt das berechtigte Interesse in Betracht. Dieses kann einschlägig sein, wenn die Aufzeichnung einem tatsächlichen Bedarf dient, etwa der Erstellung einer zuverlässigen Transkription einer komplexen oder besonders wichtigen Besprechung. Es muss jedoch nachgewiesen werden, dass die Aufzeichnung erforderlich ist und keine weniger intrusive Alternative zur Verfügung steht. Denkbar wären beispielsweise handschriftliche oder digitale Notizen, ein von den Teilnehmenden bestätigtes Protokoll oder eine Transkription, bei der die Audiodatei nicht dauerhaft gespeichert wird.

Die richtigen Maßnahmen

Bevor Sie eine Besprechung aufzeichnen, sollten Sie sich einige einfache Fragen stellen:

Warum muss diese Besprechung aufgezeichnet werden? Wer erhält Zugriff auf die Datei? Wie lange wird sie gespeichert? Wurden die Teilnehmenden ordnungsgemäß informiert? Ist die Aufzeichnung tatsächlich erforderlich oder lediglich bequem?

Wird die Aufzeichnung von Besprechungen zu einer regelmäßigen Praxis, sollte sie durch eine interne Richtlinie oder eine Charta geregelt werden. Bei Besprechungen mit externen Teilnehmenden sollte bereits in der schriftlichen Einladung auf die geplante Aufzeichnung hingewiesen werden. Ergänzend kann ein Link zu einem Datenschutzhinweis bereitgestellt werden. Auf diese Weise lassen sich klare Regeln festlegen und improvisierte Vorgehensweisen vermeiden, die häufig mit den größten Risiken verbunden sind.

Die Aufzeichnung von Besprechungen sollte daher nicht zu einem Automatismus werden. Die CNPD weist darauf hin, dass jede Situation anhand ihres jeweiligen konkreten Kontexts beurteilt werden muss [5].

Bei Fragen zur Rechtmäßigkeit der Aufzeichnung Ihrer Besprechungen oder zur Erstellung geeigneter interner Dokumente, wie etwa einer Richtlinie, einer Charta oder eines Datenschutzhinweises, steht Ihnen unser Team Media, Data & Technology gerne zur Verfügung, um Sie zu begleiten und individuell zu beraten.

[1] Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung).

[2] Nationale Kommission für den Datenschutz (Commission Nationale pour la Protection des Données).

[3] CNPD, Themendossier „Enregistrement sonore des réunions“ vom 1. April 2026.

[4] Ebenda.

[5] Ebenda.

Posted on 27 July 2026 in News > > Media, Data & Technologies

Recording meetings: best practices under the GDPR

Recording meetings has become commonplace. With a single click, an AI-powered transcription tool can produce a written record almost instantly.

The benefits are clear: easy access to an accurate written transcript of the discussion, fewer misunderstandings, and easier follow-up on decisions. But what seems practical from an organisational point of view also raises significant legal questions.

In Luxembourg, a business meeting is not a public forum. Whether held among colleagues or with a client, a service provider or members of an association, it is generally a private exchange. Once the meeting is recorded, participants’ voices, statements and, in some cases, opinions are captured as personal data. The GDPR [1] therefore applies.

As the CNPD [2] explained in its recent guidance on the audio recording of meetings [3], the practice of recording meetings is not prohibited but must be justified, appropriately governed, and proportionate.

Informing participants in advance

The first consideration should be a human aspect, rather than a technical one. Participants must be informed that the meeting will be recorded, why it is being recorded, how the recording will be used, and how long it will be retained.

A brief announcement at the start of the meeting may not always be sufficient, particularly where meetings are regularly recorded. In an employment context, employers must be particularly careful. Employees must be given sufficient information to understand the nature and scope of the arrangement, and its practical implications.

Recording should not create a climate of constant surveillance or be used for purposes other than those for which it was originally made. For example, an audio recording retained to prepare minutes should not subsequently be used to assess an employee’s performance.

The legal bases for recording

The CNPD identifies two possible legal bases [4].

The first is consent. In theory, this appears straightforward: everyone agrees to the recording. In practice, however, it is far more complicated. In an employment relationship, an employee may not feel genuinely free to refuse, particularly where the recording is proposed by their employer or line manager.

The second possible basis is legitimate interests. This may be appropriate where the recording meets a genuine need, such as producing a reliable transcript of a complex or important meeting. However, it must still be demonstrable that the recording is necessary and that no less intrusive alternative is available, such as taking notes, preparing minutes to be approved by the participants or producing a transcript without retaining the audio recording.

Best practice considerations

Before recording a meeting, you should ask yourself a few simple questions.

Why does this meeting need to be recorded? Who will have access to the recording? How long will it be retained? Have the participants been properly informed? Is the recording genuinely necessary, or is it merely convenient?

Where recording meetings becomes a regular internal practice, it is advisable to set out the applicable arrangements in an internal policy or set of guidelines. For meetings involving external participants, advance notice of the intended recording may be provided in the meeting invitation, for example by including a link to a privacy notice. These measures help to establish a clear framework and avoid ad hoc practices, which often pose the greatest risks.

Recording a meeting should therefore never become the default. The CNPD emphasises that each situation must be assessed in light of its particular context [5].

If you have any questions about the lawfulness of recording your meetings or need assistance preparing appropriate internal documents, such as a policy, set of guidelines or privacy notice, our Media, Data & Technologies team is available to assist you and provide advice tailored to your needs.

—

[1] Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation).

[2] Commission Nationale pour la Protection des Données (National Commission for Data Protection).

[3] CNPD, Guidance on ‘Enregistrement sonore des réunions’ dated 1 April 2026.

[4] Ibid.

[5] Ibid.

Posted on 27 July 2026 in News > > Media, Data & Technologies

Enregistrer une réunion : les bons réflexes RGPD à adopter

L’enregistrement des réunions est devenu un réflexe facile. Un clic, puis un outil de transcription désormais dopé à l’intelligence artificielle se charge de produire un compte rendu presque instantané.

L’intérêt est évident : disposer facilement d’une retranscription écrite fidèle des échanges, éviter les malentendus et faciliter le suivi des décisions. Mais ce qui paraît pratique sur le plan organisationnel soulève aussi de vraies questions juridiques.

Au Luxembourg, une réunion professionnelle n’est pas un espace public. Qu’elle se tienne entre collègues, avec un client, un prestataire ou les membres d’une association, elle reste en principe un échange privé. Dès lors qu’elle est enregistrée, les voix, les propos tenus et parfois les opinions exprimées deviennent des données à caractère personnel. Le champ d’application du RGPD [1] entre donc en jeu.

La CNPD [2] l’a rappelé dans son dossier thématique consacré à l’enregistrement sonore des réunions [3], cette pratique n’est pas interdite mais elle doit être justifiée, encadrée et proportionnée.

L’information préalable des participants

Le premier réflexe ne devrait pas être technique, mais humain. Les participants à la réunion doivent savoir qu’ils sont enregistrés, pourquoi ils le sont, ce qui sera fait de l’enregistrement et pendant combien de temps il sera conservé.

Une simple phrase lancée au début de la réunion ne suffira pas toujours, surtout si les enregistrements deviennent réguliers. Dans un contexte professionnel, l’employeur doit être particulièrement vigilant. Les salariés doivent pouvoir comprendre la portée du dispositif et ses conséquences concrètes.

L’enregistrement ne doit pas créer un climat de surveillance permanente, ni être détourné de son objectif initial. Un fichier audio conservé pour établir un compte rendu ne devrait pas, par exemple, être réutilisé plus tard pour apprécier la performance d’un salarié.

La base légale de l’enregistrement

La CNPD évoque deux bases juridiques possibles [4].

La première est le consentement. Théoriquement, la solution paraît simple : chacun accepte d’être enregistré. En pratique, elle l’est beaucoup moins. Dans une relation de travail, un salarié peut difficilement se sentir totalement libre de refuser, surtout si l’enregistrement est proposé par son employeur ou son supérieur hiérarchique.

La seconde base possible est l’intérêt légitime. Elle peut être pertinente lorsque l’enregistrement répond à un besoin réel, comme obtenir une transcription fiable d’une réunion complexe ou importante. Mais encore faut-il démontrer que cet enregistrement est nécessaire et qu’il n’existe pas de solution moins intrusive, comme une prise de notes, un procès-verbal validé par les participants ou une transcription sans conservation durable de l’audio.

Les bons réflexes

Avant d’enregistrer, vous devez vous poser quelques questions simples.

Pourquoi cette réunion doit-elle être enregistrée ? Qui aura accès au fichier ? Combien de temps sera-t-il conservé ? Les participants ont-ils été informés correctement ? L’enregistrement est-il vraiment nécessaire ou seulement confortable ?

Lorsque la pratique devient récurrente, il est préférable de l’encadrer dans une politique interne ou une charte. Pour les réunions auxquelles participent des personnes externes, l’enregistrement devrait être annoncé dès l’invitation écrite, éventuellement au moyen d’un lien vers une notice d’information. Cela permet de fixer des règles claires et d’éviter les usages improvisés, qui sont souvent les plus risqués.

L’enregistrement des réunions ne doit donc pas devenir un automatisme. La CNPD rappelle que chaque situation doit être analysée au regard de son contexte propre [5].

Si vous avez des questions concernant la légalité de l’enregistrement de vos réunions ou la mise en place de documents internes adaptés, tels qu’une politique, une charte ou une notice d’information, notre équipe Media, Data & Technology se tient à votre disposition pour vous accompagner et vous fournir des conseils adaptés.

—

[1] Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données).

[2] Commission Nationale pour la Protection des Données.

[3] CNPD, Dossier thématique « Enregistrement sonore des réunions » du 1er avril 2026.

[4] Ibid.

[5] Ibid.

Posted on 11 July 2026 in News > > Employment, Pensions & Immigration

Transparence salariale: agir sans attendre

Subscribe to our news updates