Catégorie : Infos juridiques

  • Pratiques anticoncurrentielles : un gentlemen’s agreement sur le recrutement

    Pratiques anticoncurrentielles : un gentlemen’s agreement sur le recrutement

    Par principe, la concurrence entre les différents acteurs d’un marché doit rester libre. Pour autant, afin de garantir un marché où chacun doit avoir sa chance, certaines règles existent afin d’empêcher les pratiques déloyales. Et c’est notamment le cas en matière de recrutement…

    Des accords verbaux imprécis créateurs de risques

    Dans un marché qui se veut libre, la concurrence entre les acteurs d’un secteur se met en place naturellement.

    Cependant, plusieurs acteurs pourraient être tentés d’adopter des pratiques déloyales pour conserver leurs avantages et s’assurer une place de choix dans ce marché.

    Afin de maintenir une libre concurrence, plusieurs règles existent et l’Autorité de la concurrence peut être amenée à sanctionner les entreprises pour lesquelles la tentation aura été trop forte…

    Un exemple récent a mis en évidence des pratiques qui peuvent exister en matière de recrutement dans des marchés en tension.

    En effet, l’Autorité a pu se pencher sur des accords qui liaient plusieurs entreprises des secteurs de l’ingénierie, du conseil en technologies et des services informatiques.

    Ces secteurs connaissent une forte tension en termes d’emploi et de main-d’œuvre qualifiée qui peut constituer un atout stratégique pour une entreprise.

    Ainsi, des mouvements de personnels trop importants peuvent s’avérer handicapants pour une société qui, d’une part, perd alors des compétences précieuses et, d’autre part, risque de voir le coût d’une telle main-d’œuvre augmenter, celle-ci préférant généralement aller vers le plus offrant.

    Dans ce contexte, il a été porté à la connaissance de l’Autorité de la concurrence l’existence d’accords entre plusieurs entreprises du secteur.

    Ces accords passés sous la forme de gentlemen’s agreements, c’est-à-dire de façon non écrite, avaient pour effet de garantir que chacune des parties à l’accord s’abstiendrait de recruter du personnel issu des effectifs des autres parties.

    Les différents accords identifiés s’appliquaient sans durée de validité et portaient sur le non-recrutement de profils stratégiques tant pour le débauchage que pour des candidatures spontanées.

    L’Autorité de la concurrence a considéré que ces accords constituaient des ententes anticoncurrentielles, notamment du fait de leur application non limitée dans le temps et dans l’espace.

    Elle note la particulière gravité de ces pratiques en ce qu’elles ont également affecté des collaborateurs en limitant leurs perspectives d’évolution et de mobilité professionnelle.

    Les entreprises concernées ont été sanctionnées par des amendes dont les montants cumulés s’élèvent à 29 500 000 €. Il leur a également été demandé de publier des informations relatives à la décision de l’Autorité sur leurs réseaux sociaux et dans la presse spécialisée.

    Il est important de noter qu’en parallèle, l’Autorité a décidé de ne pas prendre de sanction contre ces entreprises pour des clauses de non-sollicitation aux effets semblables aux accords précédents, insérées dans des contrats de partenariat.

    Il est précisé que, dans ces cas précis, ces clauses ne constituaient pas des pratiques anticoncurrentielles au regard des limitations claires de leur application temporelle et matérielle et des objectifs poursuivis.

    En revanche, l’Autorité précise bien qu’il ne s’agît pas ici d’un blanc-seing pour l’utilisation de ces clauses. Une appréciation au cas par cas est nécessaire et des sanctions pourraient tout de même être prises à l’avenir dans d’autres dossiers.

    Pratiques anticoncurrentielles : un gentlemen’s agreement sur le recrutement – © Copyright WebLex

  • Création d’entreprise : bénéficier de l’ARE ou de l’ARCE

    Création d’entreprise : bénéficier de l’ARE ou de l’ARCE

    Au moment de créer une entreprise, France Travail propose 2 types d’aides : soit le maintien de l’aide au retour à l’emploi (ARE), cumulable avec les revenus de la nouvelle activité professionnelle, soit l’aide à la reprise et à la création d’entreprise (ARCE). Des dispositifs qui ont fait l’objet d’évolutions en 2025…

    Créer ou reprendre une entreprise : bénéficier de l’ARCE

    L’aide à la reprise et à la création d’entreprise (ARCE) est une aide financière versée par France Travail aux porteurs d’un projet de création ou de reprise d’entreprise, qui se fait en 2 temps :

    • un 1er versement qui correspond à la moitié de l’aide au début de l’activité
    • un 2nd versement qui intervient 6 mois après la date du 1er versement sous réserve d’attester d’une poursuite de l’activité non salariée et, nouvelle condition applicable depuis le 1er avril 2025, de ne pas exercer un emploi sous CDI à temps plein.

    Le montant de l’ARCE est égal à 60 % du capital restant des droits à l’allocation d’aide au retour à l’emploi (une déduction de 3 % étant appliquée pour le financement des retraites complémentaires).

    En cas de cessation de l’activité créée ou reprise après le second versement de l’ARCE, il est possible de bénéficier d’une reprise de l’allocation d’aide au retour à l’emploi, 40 % des droits étant disponibles par principe. Le paiement de l’aide au retour à l’emploi reprend après application d’un différé (qui dépend des allocations perçues lors du 2nd versement de l’ARCE).

    Cela suppose, pour rappel, de se réinscrire comme demandeur d’emploi auprès de France Travail et, depuis le 1er avril 2025, d’avoir cessé l’activité non salariée au titre de laquelle l’ARCE a été attribuée (si cette activité non salariée existe toujours, la reprise du droit à l’aide au retour à l’emploi est impossible).

    Créer ou reprendre une entreprise : bénéficier de l’ARE

    Le soutien de France Travail aux créateurs et repreneurs d’entreprise peut aussi prendre la forme d’un maintien de l’aide au retour à l’emploi (ARE) dont bénéficient les demandeurs d’emploi, et d’un cumul possible de cette aide avec les revenus de l’entreprise créée.

    En l’absence de rémunération versée par l’entreprise créée ou reprise, le créateur ou repreneur peut bénéficier de 100 % de son ARE jusqu’à la fin de ses droits, sous réserve d’attester, par un procès-verbal, l’absence de rémunération. 

    Une particularité mérite toutefois d’être signalée pour les créateurs et repreneurs soumis au statut des travailleurs non-salariés (les gérants majoritaires de SARL notamment) : le versement de l’ARE sera limité à 70 % de son montant, une régularisation étant effectuée l’année suivante pour le solde, sur la base de la déclaration de revenus du créateur ou repreneur.

    Il est aussi possible de cumuler l’ARE avec des revenus professionnels obtenus dans la cadre de l’activité créée ou reprise : dans ce cas, depuis le 1er avril 2025, le cumul de l’ARE avec les revenus professionnels non-salariés est limité à 60 % des droits restants dont est titulaire le créateur ou repreneur d’entreprise.

    Toujours depuis le 1er avril 2025, il faut aussi noter que le paiement de l’ARE sera mensualisé sur une base fixe de 30 jours calendaires quel que soit le mois (auparavant, le montant mensuel de l’ARE versée variait selon le nombre de jours du mois concerné).

    Création d’entreprise : bénéficier de l’ARE ou de l’ARCE – © Copyright WebLex

  • Loi d’adaptation au droit européen : quelques mesures diverses…

    Loi d’adaptation au droit européen : quelques mesures diverses…

    Dans le cadre d’une adaptation du droit français au droit de l’Union européenne (UE), une récente loi a apporté plusieurs précisions en matière de droit à la consommation, de commande publique ou de consultation de fichier automobile… Faisons le point.

    Loi d’adaptation : encore quelques nouveautés !

    Afin de mettre en cohérence le droit français avec le droit de l’UE, le Gouvernement est habilité à prendre par voie d’ordonnance de nouvelles règles en matière de contrats de crédit à la consommation et de contrats de services financiers conclus à distance.

    Affaire à suivre…

    En outre, la loi permet d’élargir l’accès des conducteurs aux informations qui figurent dans le fichier des véhicules assurés (FVA).

    Enfin, en matière de marchés publics, le droit français est mis en conformité avec celui de l’UE. Ainsi, ne sont plus, par principe, considérés comme innovants les travaux, fournitures ou services proposés par les jeunes entreprises.

    Loi d’adaptation au droit européen : quelques mesures diverses… – © Copyright WebLex

  • Loi d’adaptation au droit européen : du nouveau pour le registre des bénéficiaires effectifs

    Loi d’adaptation au droit européen : du nouveau pour le registre des bénéficiaires effectifs

    Dans le cadre d’une adaptation du droit français au droit de l’Union européenne (UE), une récente loi a restreint l’accès du grand public au registre des bénéficiaires effectifs afin de respecter les droits fondamentaux de ces derniers. Quel accès est prévu à présent ?

    Registre des bénéficiaires effectifs : un accès plus sélectif !

    Pour rappel, les informations relatives aux bénéficiaires effectifs étaient, jusqu’à présent, publiques.

    Cependant, la Cour de justice de l’Union européenne (CJUE) a rendu en 2022 une décision dans laquelle elle jugeait cet accès du grand public contraire au respect de la vie privée et familiale et à la protection des données à caractère personnel des bénéficiaires effectifs.

    La loi d’adaptation met donc en concordance la règlementation française avec le droit de l’UE en restreignant l’accès aux informations du registre des bénéficiaires effectifs.

    D’une part, ont désormais accès gratuitement à l’intégralité des informations relatives aux bénéficiaires effectifs les personnes concernées en 1er lieu, à savoir :

    • les sociétés ou entités pour leurs propres déclarations ;
    • les particuliers ayant déclarés être bénéficiaires effectifs pour leurs propres informations.

    D’autre part, les autorités ont, dans le cadre de leur mission, un accès intégral à ces informations, notamment les autorités judiciaires, l’administration fiscale, les douanes, la gendarmerie, la police, les agences de contrôle anti-corruption, de lutte contre le blanchiment, le financement du terrorisme ou de transparence, un certain nombre d’organes de l’Union européenne (UE), etc.

    La liste complète de ces autorités est disponible ici.

    Des personnes peuvent également avoir accès à certaines informations, sous réserve de justifier d’un intérêt légitime pour la prévention ou la lutte contre le blanchiment de capitaux, ses infractions sous-jacentes ou le financement du terrorisme.

    Les informations qui sont dans ce cas mises à leur disposition sont celles relatives :

    • à l’identité du bénéficiaire (nom, nom d’usage, pseudonyme, prénoms, mois et années de naissance) ;
    • à son État de résidence ;
    • à la chaîne de propriété et aux données historiques (ces 2 éléments seront applicables à la date fixée par un décret à venir ou, au plus tard, le 10 juillet 2026) ;
    • à sa nationalité ;
    • la nature et à l’étendue des intérêts effectifs qu’il détient dans la société ou l’entité.

    Sont présumées justifier d’un intérêt légitime les personnes ayant un lien, même indirect, à la prévention ou la lutte contre le blanchiment de capitaux, ses infractions sous-jacentes ou le financement du terrorisme, à savoir notamment :

    • les personnes agissant à des fins journalistiques, à des fins de signalement ou pour toute autre forme d’expression médiatique ;
    • les organismes à but non lucratif ;
    • les chercheurs universitaires ;
    • les administrations de l’État, les collectivités territoriales, leurs établissements publics ;
    • les personnes ayant des obligations de vigilance ; les parlementaires, etc.

    La liste complète des personnes présumées avoir un intérêt légitime est disponible ici, ainsi que les limites à la diffusion des informations ainsi récoltées dans le cadre de leur travail.

    Notez que les sociétés peuvent demander la liste des personnes ayant consulté leurs informations ou, lorsque l’identité de la personne est protégée par la loi (par exemple les journalistes), la catégorie à laquelle ladite personne appartient.

    Loi d’adaptation au droit européen : du nouveau pour le registre des bénéficiaires effectifs – © Copyright WebLex

  • Loi d’adaptation au droit européen : du nouveau en matière d’énergie

    Loi d’adaptation au droit européen : du nouveau en matière d’énergie

    Dans le cadre d’une adaptation du droit français au droit de l’Union européenne (UE), une récente loi a apporté plusieurs précisions en matière d’énergie. Au menu : cartographie, installations d’énergie renouvelables, solarisation et végétalisation des toitures. Faisons le point.

    Énergie : un assouplissement des règles en perspective

    Cartographie des zones favorables

    La loi d’adaptation met en place un projet de cartographie des zones favorables au développement des énergie renouvelables, nouvel outil pour atteindre les objectifs de la politique énergétique nationale de lutte contre l’urgence écologique et climatique.

    Cette carte délimitera les zones en vue du déploiement d’installations de production d’énergies renouvelables, de leurs ouvrages de raccordement au réseau public de transport d’électricité et des infrastructures de stockage.

    Réalisée par les pouvoirs publics, cette carte devra tenir compte :

    • de la disponibilité de l’énergie produite à partir de sources renouvelables et du potentiel de production d’énergies renouvelables des différentes technologies ;
    • de la demande d’énergie prévue, des gains d’efficacité attendus et de l’intégration du système énergétique ;
    • de la disponibilité des infrastructures énergétiques pertinentes, y compris des infrastructures de réseau et des installations de stockage et d’autres outils de flexibilité, ou des possibilités de construction ou de modernisation de ces infrastructures de réseau et de ces installations de stockage.

    Dérogation à la préservation du patrimoine naturel

    Pour rappel, il existe une règlementation qui vise à protéger, par principe, les sites d’intérêt géologique, d’habitats naturels, d’espèces animales non domestiques ou végétales non cultivées et de leurs habitats.

    Toutes conditions remplies, une dérogation peut être délivrée pour certains projets.

    Jusqu’ici, seuls les projets d’installations d’énergies renouvelables ou de stockage d’énergie dans le système électrique étaient dispensés d’obtenir cette dérogation.

    La loi d’adaptation introduit une nouvelle exception. Ainsi, une dérogation n’est pas requise lorsque le projet :

    • comporte des mesures d’évitement et de réduction présentant des garanties d’effectivité qui diminuent le risque de destruction ou de perturbation des espèces protégées, au point que ce risque apparaisse comme n’étant pas suffisamment caractérisé ;
    • intègre un dispositif de suivi permettant d’évaluer l’efficacité de ces mesures et, le cas échéant, de prendre toute mesure supplémentaire nécessaire pour garantir l’absence d’incidence négative importante sur le maintien, dans un état de conservation favorable, des populations des espèces concernées.

    Solarisation et végétalisation des bâtiments et parkings

    Jusqu’à présent, s’agissant de la réglementation propre à la solarisation et la végétalisation des bâtiments et parkings, certains textes utilisaient la notion « d’aires de stationnement » et d’autres celle de « parcs de stationnement extérieurs de plus de 500 m² ».

    La loi lève toute ambiguïté en généralisation l’expression de « parcs de stationnement extérieurs de plus de 500 m² ».

    Par ailleurs, plusieurs assouplissements sont à noter.

    D’abord, il est précisé qu’au moins la moitié de la surface de ces parcs de stationnement doit intégrer des revêtements de surface, des aménagements hydrauliques ou des dispositifs végétalisés favorisant la perméabilité et l’infiltration des eaux pluviales ou leur évaporation.

    Ensuite, si ces obligations de solarisation ou de végétalisation s’appliquent toujours en cas d’extension ou de rénovation lourdes, ce n’est plus le cas dans les hypothèses de conclusion ou de renouvellement d’un nouveau contrat de concession de service public, de prestation de services ou de bail commercial, ce qui constitue un assouplissement de la règlementation.

    Notez que les obligations de solarisation et de végétalisation des bâtiments ne sont plus applicables sur les ombrières, mais uniquement sur les toitures desdits bâtiments.

    Enfin, les sanctions prévues en cas de méconnaissance des obligations en matière de solarisation ou de végétalisation des bâtiments et parcs de stationnement ne peuvent plus être cumulées.

    Concernant l’obligation d’installer des panneaux photovoltaïques sur les parcs de stationnement de plus de 1 500 m² faisant l’objet d’un contrat de concession ou d’une délégation de service public, un calendrier d’entrée en vigueur a été mis en place initialement.

    Ce calendrier a été modifié pour corriger une erreur matérielle. Retenez que l’obligation s’applique à compter :

    • du 1er juillet 2026 si le contrat a été signé ou renouvelé avant le 1er juillet 2026 ;
    • du 1er juillet 2028 si le contrat a été signé ou renouvelé après le 1erjuillet 2026.

    Dans les cas où le parc n’est pas géré en concession ou en délégation de service public, l’obligation entre en vigueur :

    • le 1er juillet 2026 pour les parcs dont la superficie est égale ou supérieure à 10 000 m² ;
    • le 1er juillet 2028 pour ceux dont la superficie est inférieure à 10 000 m² et supérieure à 1 500 m².

    La possibilité de report de l’obligation, prévue au 1er janvier 2028, pour les parcs de plus de 10 000 m² sous conditions a été prolongée d’un an. Ainsi, elle bénéficie au propriétaire du parc à condition de justifier d’un engagement contractuel avec versement d’un acompte avec le 31 décembre 2025 (au lieu du 31 décembre 2024) et de la signature d’un bon de commande de panneaux photovoltaïques répondant à des critères de performances avant le 30 juin 2026 (au lieu du 31 décembre 2025).

    Notez enfin que les surfaces empruntées spécifiquement par des poids-lourds de plus de 7,5 tonnes sont exclues du calcul de surface à équiper en ombrières.

    Loi d’adaptation au droit européen : du nouveau en matière d’énergie – © Copyright WebLex

  • Fuites de données : la sécurité des bases de données doit s’améliorer

    Fuites de données : la sécurité des bases de données doit s’améliorer

    Après une année 2024 particulièrement marquée par des fuites de données personnelles massives, la Commission nationale de l’informatique et des libertés (CNIL) tient à faire certains rappels concernant la protection des bases de données massives…

    Renforcer la sécurité des données après une année 2024 difficile

    La Commission nationale de l’informatique et des libertés (CNIL) a relevé que le nombre de fuites de données personnelles en 2024 a été très important et a touché plusieurs millions de personnes.

    Il est mis en évidence certains points communs qui se dégagent entre plusieurs incidents importants.

    En effet, la commission note que de nombreux incidents concernent des bases de données de taille importante en exploitant plus ou moins les mêmes failles de sécurité :

    • usurpation de couples identifiant / mot de passe ;
    • une faiblesse non détectée dans la sécurité de la base de données avant son exploitation commerciale ;
    • intervention d’un sous-traitant dont les mesures de sécurité sont insuffisantes.

    La CNIL rappelle que le traitement de bases de données massives comporte des risques plus importants du fait même que tout incident peut toucher une plus large portion de la population.

    La commission publie donc à nouveau son guide de la sécurité des données personnelles qui constitue un socle à appliquer impérativement.

    Néanmoins, la CNIL tient à mettre en avant certaines mesures qui doivent bénéficier d’une attention particulière de la part des exploitants de bases de données :

    • mettre en place des procédures d’authentification multifacteur ;
    • journaliser, analyser et limiter les flux de données qui transitent sur le système d’information ;
    • sensibiliser les personnes pour limiter le risque humain ;
    • encadrer la sécurité des données avec les sous-traitants.

    La CNIL indique renforcer son action dans les années à venir pour accompagner et contrôler les entreprises concernées. Elle indique également qu’elle accentuera ses efforts de sensibilisation du grand public sur ces risques.

    Fuites de données : la sécurité des bases de données doit s’améliorer – © Copyright WebLex

  • Guichet unique : de nouvelles fonctionnalités disponibles !

    Guichet unique : de nouvelles fonctionnalités disponibles !

    Depuis le 1er janvier 2023, le guichet unique est l’unique plateforme de dépôt des formalités… ou presque ! En raison de dysfonctionnements, des solutions de secours ont été mises en place pour assurer la continuité des formalités en parallèle du déploiement du guichet unique. De nouvelles améliorations sont disponibles depuis le 29 avril 2025 : lesquelles ?

    Guichet unique : son déploiement se poursuit !

    Outre des améliorations ergonomiques, plusieurs mises à jour ont été mises en place depuis le début de l’année 2025.

    Ainsi, le guichet unique a, notamment, été mis en conformité avec le RGPD. Concrètement, les données confidentielles déjà présentes sur le registre national des entreprises (RNE) et non diffusées ne sont plus affichées (notamment sur la synthèse), ni demandées systématiquement.

    Depuis le 29 avril 2025, le guichet unique a de nouveau été mis à jour sur 6 points :

    • les formalités peuvent être transférées entre les utilisateurs travaillant au sein d’un même cabinet ;
    • la formalité de modification pour un apport partiel d’actif est ouverte ;
    • une notification est générée en cas de dépôt d’un compte annuel ou d’un acte ;
    • une nouvelle mise en forme des fichiers de synthèse PDF relatifs au dépôt des comptes annuels et au dépôt d’actes est disponible ;
    • une aide à la saisie des bénéficiaires effectifs à partir des représentants existants dans la formalité est disponible ;
    • la saisie d’une commune bénéficie d’un accompagnement à partir de l’identification du lieu-dit.

    Des illustrations de ces nouveautés sont disponibles ici.

    Guichet unique : de nouvelles fonctionnalités disponibles ! – © Copyright WebLex

  • CNIL : étendre son influence internationale dans les années à venir

    CNIL : étendre son influence internationale dans les années à venir

    La Commission nationale de l’informatique et des libertés (CNIL) a pour mission de veiller en France à la bonne application des règles relatives à la protection des données personnelles. Mais elle joue également un rôle sur les scènes européenne et internationale…

    Protection des données : promouvoir les modèles français et européens dans le monde

    En plus de ses missions de contrôles et de protection des droits des personnes au niveau national, la Commission nationale de l’informatique et des libertés (CNIL) entend faire entendre sa voix aux niveaux européen et international.

    En suivant les recommandations du Comité européen de la protection des données (CEPD), la CNIL vise à renforcer son influence au niveau mondial en pesant dans les discussions sur des sujets considérés comme structurants à l’échelle européenne et internationale.

    Ainsi, sa stratégie européenne et internationale, pour la période 2025-2028 (détaillée ici), va s’articuler autour de 3 axes principaux :

    • fluidifier la coopération européenne ;
    • promouvoir des standards internationaux de protection des données élevés ;
    • consolider l’influence européenne et internationale de la CNIL en proposant une vision innovante mais stricte de la protection des données.

    CNIL : étendre son influence internationale dans les années à venir – © Copyright WebLex

  • Aménagement du territoire : du nouveau pour le classement des communes

    Aménagement du territoire : du nouveau pour le classement des communes

    En 2024 a été acté l’aménagement des zones de revitalisation rurale (ZRR) en créant, en remplacement, les zones France ruralités revitalisation (ZFRR). Cette réforme a eu pour conséquence la sortie de nombreuses communes de ce dispositif. Une conséquence qui vient d’être corrigée…

    Classement ZFRR : réintégration de près de 2 200 communes dans le dispositif

    Initialement, la loi de finances pour 2024 a créé le dispositif zones France ruralités revitalisation (ZFRR) en remplacement du dispositif zones de revitalisation rurale (ZRR), qui prévoit notamment des incitations fiscales et sociales à l’implantation d’entreprises dans ces territoires.

    Dans le cadre de cette réforme, il était prévu un dispositif plus restrictif excluant près de 2 200 communes de ce dispositif, et ce depuis le 1er juillet 2024.

    En vue de corriger cette conséquence, il est prévu, dans le cadre de la loi de finances pour 2025, de réintégrer les communes auparavant situées en ZRR et n’ayant pas été classées ZFRR au 1er juillet 2024, pour qu’elles puissent bénéficier des effets de ce nouveau zonage.

    Une réintégration qui vient d’être actée avec la publication de la nouvelle liste des communes éligibles à ce dispositif, disponible ici.

    Aménagement du territoire : du nouveau pour le classement des communes – © Copyright WebLex

  • Authentification multifacteur et protection des données : la CNIL vous guide !

    Authentification multifacteur et protection des données : la CNIL vous guide !

    Pour se protéger des cyberattaques, la solution de l’authentification multifacteur peut être pertinente. Encore faut-il que sa mise en place se fasse dans le respect du RGPD. Pour aider les utilisateurs et les fournisseurs de ces solutions, la CNIL a publié des recommandations. Faisons le point.

    Allier cybersécurité et protection des données personnelles

    Pour rappel, l’authentification multifacteur, dite MFA pour multi-factor authentication, est un système permettant de vérifier l’identité d’un utilisateur, avant de lui donner l’accès aux ressources d’un système d’information, en utilisant plusieurs preuves, appelées « facteurs », qui appartiennent à au moins 2 des catégories suivantes :

    • les facteurs de connaissance, qui correspondent à « ce que la personne sait » (par exemple un mot de passe ou un code confidentiel) ;
    • les facteurs de possession, qui correspondent à « ce que la personne a » (par exemple une carte à puce, une clé USB ou encore une application d’authentification installée sur un appareil dit « enrôlé ») ;
    • les facteurs d’inhérence, qui correspondent à « ce que la personne est ou fait » (par exemple les empreintes digitales, l’ADN, la morphologie, la manière de frapper sur le clavier, etc.).

    Si ces méthodes d’authentification sont plus sécurisées qu’une authentification simple, elles peuvent potentiellement utiliser des données personnelles, d’où la nécessité de respecter le RGPD.

    La CNIL a donc mis à disposition des ressources afin de sécuriser les utilisateurs et d’inciter les fournisseurs à intégrer ces questions dès la conception de ces solutions.

    Les recommandations de la CNIL visent particulièrement plusieurs sujets, à savoir :

    • les conditions et les besoins en sécurité qui font de la MFA une solution adaptée ;
    • le respect des principes du RGPD, (base légale, collecte et conservation des données, etc.) ;
    • la détermination de la qualification des acteurs intervenant dans une solution de MFA ;
    • le choix des modalités de la MFA, notamment les catégories de facteurs choisies et leurs conditions de conformité au RGPD ;
    • l’usage du facteur d’inhérence ;
    • le choix de l’envoi d’un code à usage unique par SMS ;
    • l’utilisation de l’équipement personnel des salariés comme facteur de possession, etc.

    Authentification multifacteur et protection des données : la CNIL vous guide ! – © Copyright WebLex