Une annee 2025 qui a marque un tournant
L’annee 2025 s’est caracterisee par une intensification notable de l’activite de la Commission nationale de l’informatique et des libertes (CNIL). Outre des sanctions financieres significatives, l’autorite a multiplie les mises en demeure, les controles thematiques et les campagnes d’information ciblees sur des secteurs sensibles tels que le numerique, l’intelligence artificielle, le commerce en ligne ou encore les systemes de video-surveillance. Cette dynamique doit etre comprise a la lumiere de l’evolution du paysage technologique, mais aussi des priorites affichees par les autorites europeennes de protection des donnees.
Alors que le RGPD celebre ses premieres annees d’application uniforme dans l’Union europeenne, et que de nouveaux cadres reglementaires comme l’AI Act viennent s’ajouter aux exigences en matiere de protection des donnees, la CNIL semble s’orienter vers une approche davantage proactive et systematique des controles.
Evolution des priorites affichees par la CNIL
Depuis plusieurs annees, la CNIL a progressivement elargi son spectre d’action, passant d’un role essentiellement reactif a une posture plus anticipative. Les plans pluriannuels de controle mettent en avant des axes recurrents :
- la transparence des traitements, notamment sur les plateformes numeriques grand public ;
- la conformite des bases legales des traitements automatises et des fondements contractuels des sous-traitants ;
- la securite des systemes d’information et la gestion des violations de donnees ;
- l’application effective des droits des personnes concernees.
La publication reguliere de deliberations sanctionnant des manquements tels que l’absence d’analyse d’impact (AIPD) pour des traitements a risque eleve ou l’insuffisance de transparence autour de l’utilisation de cookies et autres traceurs illustre cette approche ciblee.
Cette evolution se retrouve egalement dans la cooperation accrue entre la CNIL et les autres autorites de controle europeennes, sous l’egide du Comite europeen de la protection des donnees (CEPD), en particulier dans le cadre du mecanisme du guichet unique.
Les signaux forts pour 2026
Plusieurs elements permettent d’anticiper une intensification des controles en 2026 :
La croissance des technologies emergentes : l’utilisation de l’intelligence artificielle generative et des systemes de prise de decision automatisee souleve des questions de conformite recurrentes, notamment en matiere de transparence, de base legale et de risques differencies pour les droits et libertes. La CNIL a clairement indique que l’accompagnement mais aussi le controle de ces technologies figureront parmi ses priorites.
La mise en place de l’AI Act et le renforcement des obligations de gouvernance des technologies a haut risque vont creer des synergies avec le RGPD. La CNIL a d’ores et deja annonce qu’elle entendait articuler ses actions de controle autour de ces deux cadres, en privilegiant les traitements combinant risques eleves et donnees sensibles.
La pression sur les grandes plateformes numeriques : apres des sanctions emblematiques concernant les traceurs publicitaires, la CNIL pourrait elargir son scope a d’autres geants du numerique, en verifiant par exemple les mecanismes de consentement, les parametres par defaut, ou l’efficacite operationnelle des droits d’acces et d’effacement.
Enfin, la volonte d’harmonisation europeenne incite les autorites nationales a multiplier les controles coordonnes. Des campagnes conjointes autour de thematiques transversales (cookies, securite, bases legales) ont deja ete annoncees au niveau du CEPD pour 2026.
Ce que les organisations doivent anticiper
Pour anticiper cette probable intensification des controles, les organisations doivent engager ou renforcer plusieurs chantiers de conformite.
1. Revoir leurs analyses d’impact (AIPD)
L’obligation d’AIPD, prevue a l’article 35 du RGPD, s’applique des lors que le traitement est susceptible d’engendrer un risque eleve pour les droits et libertes. Dans le contexte de l’IA generative, du profilage automatise ou de la prise de decision algorithmique, de nombreuses organisations n’ont pas encore documente formellement ces analyses. Une revue ambitieuse des AIPD existantes et la planification d’AIPD complementaires constituent un levier de conformite essentiel.
2. Documenter les fondements juridiques des traitements
Une base legale claire (consentement, execution de contrat, interet legitime, etc.) doit etre definie et justifiee pour chaque traitement. Cette documentation doit etre evolutive et refleter les modifications de finalite, de perimetre ou de contexte operationnel.
3. Securiser les transferts internationaux de donnees
Les organisations qui s’appuient sur des serveurs ou des prestataires hors de l’Union europeenne doivent s’assurer que les mecanismes de transfert (clauses contractuelles types, regles internes d’entreprise, etc.) sont a jour et effectifs. Le RGPD impose des garanties appropriees et verifiables pour ces flux.
4. Assurer l’effectivite des droits des personnes
Les droits d’acces, de rectification, de limitation du traitement, d’opposition, de portabilite et d’effacement doivent etre respectes non seulement sur le plan formel, mais aussi sur le plan operationnel. Les delais legaux doivent etre scrupuleusement respectes et documentes.
5. Renforcer la gouvernance interne
La designation d’un delegue a la protection des donnees (DPO) lorsque cela est requis, la mise en place de formations regulieres, et l’integration des obligations de protection des donnees des la conception des systemes (privacy by design) sont des elements qui ameliorent a la fois la conformite et la resilience en cas de controle.
Quels secteurs sont particulierement exposes ?
Certains secteurs sont particulierement vulnerables a un controle renforce de la CNIL. Les plateformes numeriques grand public, les startups developpant des solutions de scoring ou d’IA d’aide a la decision, les sites de e-commerce exploitant des traceurs publicitaires, les organisations manipulant des donnees sensibles (sante, finance) et les fournisseurs de services cloud font partie des cibles probables. La raison en est simple : ces acteurs combinent souvent des volumes importants de donnees, des logiques de traitement complexes et un impact potentiel eleve sur les droits des personnes.
Il est hautement probable que la CNIL poursuive, voire intensifie, ses controles en 2026, compte tenu de l'evolution technologique, de l'interaction entre le RGPD et l'AI Act, et des priorites europeennes en matiere de protection des donnees. Pour les organisations, l'enjeu est clair : transformer la conformite au RGPD d'une simple obligation administrative a une composante structurante de la gouvernance des donnees.
Anticiper ces controles signifie consolider ses dispositifs de conformite, documenter ses traitements, securiser ses flux de donnees et integrer de maniere proactive les principes de la protection des donnees des la conception des projets. Plus qu'une exigence reglementaire, c'est aujourd'hui un levier de confiance et de competitivite durable.