Une année 2025 qui a marqué un tournant
L'année 2025 s'est caractérisée par une intensification notable de l'activité de la Commission nationale de l'informatique et des libertés (CNIL). Outre des sanctions financières significatives, l'autorité a multiplié les mises en demeure, les contrôles thématiques et les campagnes d'information ciblées sur des secteurs sensibles tels que le numérique, l'intelligence artificielle, le commerce en ligne ou encore les systèmes de vidéo-surveillance. Cette dynamique doit être comprise à la lumière de l'évolution du paysage technologique, mais aussi des priorités affichées par les autorités européennes de protection des données.
Alors que le RGPD célèbre ses premières années d'application uniforme dans l'Union européenne, et que de nouveaux cadres réglementaires comme l'AI Act viennent s'ajouter aux exigences en matière de protection des données, la CNIL semble s'orienter vers une approche davantage proactive et systématique des contrôles.
Évolution des priorités affichées par la CNIL
Depuis plusieurs années, la CNIL a progressivement élargi son spectre d'action, passant d'un rôle essentiellement réactif à une posture plus anticipative. Les plans pluriannuels de contrôle mettent en avant des axes récurrents :
- la transparence des traitements, notamment sur les plateformes numériques grand public ;
- la conformité des bases légales des traitements automatisés et des fondements contractuels des sous-traitants ;
- la sécurité des systèmes d'information et la gestion des violations de données ;
- l'application effective des droits des personnes concernées.
La publication régulière de délibérations sanctionnant des manquements tels que l'absence d'analyse d'impact (AIPD) pour des traitements à risque élevé ou l'insuffisance de transparence autour de l'utilisation de cookies et autres traceurs illustre cette approche ciblée.
Cette évolution se retrouve également dans la coopération accrue entre la CNIL et les autres autorités de contrôle européennes, sous l'égide du Comité européen de la protection des données (CEPD), en particulier dans le cadre du mécanisme du guichet unique.
Les signaux forts pour 2026
Plusieurs éléments permettent d'anticiper une intensification des contrôles en 2026 :
La croissance des technologies émergentes : l'utilisation de l'intelligence artificielle générative et des systèmes de prise de décision automatisée soulève des questions de conformité récurrentes, notamment en matière de transparence, de base légale et de risques différenciés pour les droits et libertés. La CNIL a clairement indiqué que l'accompagnement mais aussi le contrôle de ces technologies figureront parmi ses priorités.
La mise en place de l'AI Act et le renforcement des obligations de gouvernance des technologies à haut risque vont créer des synergies avec le RGPD. La CNIL a d'ores et déjà annoncé qu'elle entendait articuler ses actions de contrôle autour de ces deux cadres, en privilégiant les traitements combinant risques élevés et données sensibles.
La pression sur les grandes plateformes numériques : après des sanctions emblématiques concernant les traceurs publicitaires, la CNIL pourrait élargir son scope à d'autres géants du numérique, en vérifiant par exemple les mécanismes de consentement, les paramètres par défaut, ou l'efficacité opérationnelle des droits d'accès et d'effacement.
Enfin, la volonté d'harmonisation européenne incite les autorités nationales à multiplier les contrôles coordonnés. Des campagnes conjointes autour de thématiques transversales (cookies, sécurité, bases légales) ont déjà été annoncées au niveau du CEPD pour 2026.
Ce que les organisations doivent anticiper
Pour anticiper cette probable intensification des contrôles, les organisations doivent engager ou renforcer plusieurs chantiers de conformité.
1. Revoir leurs analyses d'impact (AIPD)
L'obligation d'AIPD, prévue à l'article 35 du RGPD, s'applique dès lors que le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés. Dans le contexte de l'IA générative, du profilage automatisé ou de la prise de décision algorithmique, de nombreuses organisations n'ont pas encore documenté formellement ces analyses. Une revue ambitieuse des AIPD existantes et la planification d'AIPD complémentaires constituent un levier de conformité essentiel.
2. Documenter les fondements juridiques des traitements
Une base légale claire (consentement, exécution de contrat, intérêt légitime, etc.) doit être définie et justifiée pour chaque traitement. Cette documentation doit être évolutive et refléter les modifications de finalité, de périmètre ou de contexte opérationnel.
3. Sécuriser les transferts internationaux de données
Les organisations qui s'appuient sur des serveurs ou des prestataires hors de l'Union européenne doivent s'assurer que les mécanismes de transfert (clauses contractuelles types, règles internes d'entreprise, etc.) sont à jour et effectifs. Le RGPD impose des garanties appropriées et vérifiables pour ces flux.
4. Assurer l'effectivité des droits des personnes
Les droits d'accès, de rectification, de limitation du traitement, d'opposition, de portabilité et d'effacement doivent être respectés non seulement sur le plan formel, mais aussi sur le plan opérationnel. Les délais légaux doivent être scrupuleusement respectés et documentés.
5. Renforcer la gouvernance interne
La désignation d'un délégué à la protection des données (DPO) lorsque cela est requis, la mise en place de formations régulières, et l'intégration des obligations de protection des données dès la conception des systèmes (privacy by design) sont des éléments qui améliorent à la fois la conformité et la résilience en cas de contrôle.
Quels secteurs sont particulièrement exposés ?
Certains secteurs sont particulièrement vulnérables à un contrôle renforcé de la CNIL. Les plateformes numériques grand public, les startups développant des solutions de scoring ou d'IA d'aide à la décision, les sites de e-commerce exploitant des traceurs publicitaires, les organisations manipulant des données sensibles (santé, finance) et les fournisseurs de services cloud font partie des cibles probables. La raison en est simple : ces acteurs combinent souvent des volumes importants de données, des logiques de traitement complexes et un impact potentiel élevé sur les droits des personnes.
Il est hautement probable que la CNIL poursuive, voire intensifie, ses contrôles en 2026, compte tenu de l'évolution technologique, de l'interaction entre le RGPD et l'AI Act, et des priorités européennes en matière de protection des données. Pour les organisations, l'enjeu est clair : transformer la conformité au RGPD d'une simple obligation administrative à une composante structurante de la gouvernance des données.
Anticiper ces contrôles signifie consolider ses dispositifs de conformité, documenter ses traitements, sécuriser ses flux de données et intégrer de manière proactive les principes de la protection des données dès la conception des projets. Plus qu'une exigence réglementaire, c'est aujourd'hui un levier de confiance et de compétitivité durable.