Dernières nouvelles du RGPD en France : Évolutions, analyses approfondies et enjeux juridiques – Mon Expert RGPD

Le cadre européen de protection des données personnelles traverse une période d’activité normative et répressive sans précédent. Entre les sanctions record prononcées par la CNIL et ses homologues européens, les lignes directrices adoptées en cascade par le Comité européen de la protection des données, et les tensions persistantes autour du Data Privacy Framework transatlantique, les responsables de traitement et délégués à la protection des données font face à un volume d’évolutions qui dépasse largement le rythme habituel de la veille juridique. L’intelligence artificielle agentique, le scraping pour l’entraînement des modèles génératifs, la biométrie au travail, la protection des mineurs en ligne : autant de dossiers qui cristallisent aujourd’hui les enjeux juridiques les plus saillants du droit des données en France et dans l’Union européenne. Ce panorama s’adresse aux praticiens qui connaissent déjà les fondamentaux du RGPD et cherchent une lecture opérationnelle des dernières décisions, textes et orientations doctrinales publiés par les autorités compétentes.

En bref :

• La CNIL a prononcé 23 sanctions simplifiées depuis janvier 2026, majoritairement déclenchées par des plaintes individuelles portant sur la vidéosurveillance, les cookies et le non-respect des délais de réponse aux demandes de droits.
• Le CEPD a adopté ses lignes directrices 02/2026 sur l’anonymisation et sur le scraping dans le contexte de l’IA générative, soumises à consultation publique jusqu’au 30 octobre 2026.
• Le Data Privacy Framework est sous pression après l’arrêt Trump v. Slaughter fragilisant l’indépendance de la FTC, avec des appels à un réexamen formel de la décision d’adéquation fondée sur l’article 45 RGPD.
• L’amende de 5 millions d’euros contre IQVIA rappelle que la pseudonymisation ne suffit pas à écarter l’application du RGPD lorsqu’un risque de réidentification subsiste.
• La CNIL oriente ses contrôles 2026 sur la cybersécurité, le MFA pour les grandes bases de données, le recrutement algorithmique et les fédérations sportives.
• Le Conseil d’État confirme définitivement l’amende de 40 M€ contre Criteo, consolidant la jurisprudence sur l’exigence d’un consentement valable dans l’écosystème publicitaire.
• Les violations de données se multiplient dans le secteur public français (ANTS, Parcoursup, CNOUS, Éducation nationale), avec des détections souvent tardives par rapport au délai de 72 heures de l’article 33 RGPD.

Sanctions CNIL et jurisprudence nationale : les décisions structurantes de 2026

Le bilan répressif de la CNIL pour l’année écoulée marque une rupture avec les années précédentes. Le montant cumulé des amendes prononcées en 2025 a atteint près de 486,8 millions d’euros, soit un ratio multiplié par presque neuf par rapport à 2024, porté principalement par deux sanctions prononcées dans le cadre du plan d’action sur les cookies : 150 millions d’euros contre Shein et 325 millions contre Google. Ces deux décisions illustrent que les manquements aux règles de recueil du consentement (articles 6 et 7 RGPD) restent le principal vecteur de sanctions lourdes en France.

La procédure de sanction simplifiée, réservée aux dossiers de faible ou moyenne gravité, monte en charge de manière significative. Sur les 23 nouvelles décisions prononcées depuis janvier 2026, 19 trouvent leur origine dans une plainte individuelle au titre de l’article 77 RGPD. Les manquements récurrents concernent la vidéosurveillance disproportionnée des salariés, la non-conformité des bandeaux cookies, l’absence de réponse aux demandes d’exercice de droits et le défaut de coopération avec l’autorité. Ce dernier point mérite attention : dix des seize décisions prononcées en avril 2026 sanctionnaient uniquement un défaut de réponse aux sollicitations de la CNIL, sans manquement substantiel au fond, sur le fondement de l’article 31 RGPD.

Sur le terrain judiciaire, le Conseil d’État a rendu deux séries d’arrêts particulièrement structurants. Par ses décisions du 4 mars 2026, il a définitivement confirmé l’amende de 40 millions d’euros contre Criteo, validant l’analyse de la CNIL sur l’absence de preuve de consentement valide pour le ciblage publicitaire, le défaut d’information et les obstacles au droit d’accès. Cette décision constitue une référence pour l’ensemble de l’écosystème adtech : l’invocation de l’intérêt légitime sans démonstration du consentement n’est plus défendable. Par ses arrêts du 13 février 2026, la même juridiction a confirmé les sanctions prononcées contre GERS, Santestat et Cegedim Santé, ancrant en droit positif français le principe selon lequel la pseudonymisation ne fait pas sortir les données du champ du RGPD si le risque de réidentification n’est pas insignifiant.

Cette dernière position a été réaffirmée par la CNIL elle-même dans sa délibération du 26 mai 2026 contre IQVIA, condamnée à 5 millions d’euros pour avoir exploité deux entrepôts de données de santé alimentés par des pharmacies et cabinets médicaux partenaires. L’autorité a écarté l’argument selon lequel la pseudonymisation rendrait les données anonymes, en relevant qu’un identifiant unique par patient, croisé avec des données de localisation, permettait de reconstituer des parcours individuels. Pour les responsables de traitement gérant des bases de données médicales ou parapharmacie, cet arrêt impose de refaire l’analyse de réidentification en tenant compte des identifiants persistants.

Le contentieux Ledger et la portée des sanctions non publiées

Un épisode procédural inédit a marqué le premier semestre : le tribunal judiciaire de Paris a ordonné à Ledger de transmettre au juge la version confidentielle de la délibération CNIL ayant conduit à une amende de 750 000 euros en octobre 2024. Cette décision, restée non publique, concernait des manquements liés à la fuite de données survenue en 2020. L’affaire démontre qu’une sanction non publiée n’échappe pas au contentieux civil indemnitaire : sa substance peut être versée aux débats, ce qui rapproche mécaniquement le risque réglementaire du risque indemnitaire devant le juge judiciaire. Les DPO doivent en tirer une conséquence pratique : la documentation des durées de conservation et des mesures de sécurité doit être aussi rigoureuse pour les traitements peu exposés médiatiquement que pour les opérations à fort volume.

Pour les acteurs qui s’interrogent sur les évolutions réglementaires du RGPD en 2026, la tendance de fond est claire : les autorités européennes coordonnent leurs approches et la jurisprudence se consolide autour de standards techniques précis, non plus de simples obligations de moyens.

Lignes directrices du CEPD : anonymisation, IA générative et blockchain

Le 7 juillet 2026, le Comité européen de la protection des données a adopté un triple paquet doctrinal particulièrement attendu par les praticiens. Les lignes directrices 02/2026 sur l’anonymisation actualisent l’avis 05/2014 du G29 en intégrant la jurisprudence de la CJUE et les enseignements tirés des traitements à grande échelle. Un responsable ayant déjà qualifié un jeu de données d’anonyme selon l’avis de 2014 n’est pas tenu de procéder immédiatement à une réévaluation, mais un réexamen périodique du risque de réidentification est explicitement recommandé. Les deux textes — anonymisation et scraping dans le contexte de l’IA générative — sont soumis à consultation publique jusqu’au 30 octobre 2026.

Le volet scraping éclaire une zone grise particulièrement sensible pour les développeurs de modèles fondationnels : la base légale de la collecte massive de données publiées sur Internet à des fins d’entraînement. Le CEPD ne tranche pas définitivement, mais pose les critères d’analyse : finalité de la collecte initiale, compatibilité avec le réemploi, information des personnes, proportionnalité. Les responsables de traitement qui constituent des corpus d’entraînement doivent documenter chacun de ces éléments avant de procéder à toute aspiration de données.

Les lignes directrices sur la blockchain, adoptées en version finale lors de la même plénière, traitent de la tension structurelle entre l’immuabilité du registre distribué et le droit à l’effacement consacré par l’article 17 RGPD. La position du CEPD converge vers une approche de conception : les données personnelles ne doivent pas être inscrites en clair sur la chaîne, et les architectures doivent intégrer minimisation et limitation de conservation dès la phase de développement (article 25 RGPD). Pour les projets en cours qui contreviennent à ce principe, les voies de remédiation sont limitées et coûteuses.

L’IA agentique : nouveau défi pour la cartographie des responsabilités

La CNIL et le Conseil de l’IA et du Numérique ont publié conjointement une note exploratoire sur l’IA agentique, ces systèmes capables d’agir sur leur environnement de façon autonome, sans intervention humaine directe à chaque étape. Ce type d’architecture déplace le point de vigilance vers la traçabilité des flux et la documentation des chaînes de responsabilité. Concrètement, un agent autonome peut déclencher en cascade des traitements impliquant plusieurs sous-traitants successifs, rendant difficile l’identification du responsable de traitement au sens de l’article 4(7) RGPD pour chaque opération.

Cette problématique croise directement les exigences de l’AI Act pour les systèmes à usage général : obligation de maîtrise de l’IA (article 4, entrée en vigueur en février 2026), traçabilité des données d’entraînement (article 10), et transparence envers les déployeurs (article 13). Les DPO dont le périmètre intègre désormais des systèmes agentiques doivent cartographier les traitements déclenchés par ces agents avant tout déploiement en production, en s’appuyant sur une AIPD documentée au titre de l’article 35 RGPD.

L’enquête publiée le 3 juillet 2026 par la CNIL, le ministère du Travail et l’AFCDP sur l’évolution du métier de DPO face à l’IA confirme que les délégués à la protection des données sont de plus en plus sollicités sur des dossiers IA complexes, sans toujours disposer des ressources correspondantes. Pour aller plus loin sur les compétences clés du Data Protection Officer en 2026, les exigences se sont nettement étoffées depuis l’entrée en application progressive de l’AI Act.

Transferts internationaux : le Data Privacy Framework sous tension structurelle

Le second semestre de l’année a été marqué par une fragilisation accélérée du Data Privacy Framework (DPF), mécanisme d’adéquation adopté en juillet 2023 par la Commission européenne pour encadrer les transferts de données personnelles vers les États-Unis. L’arrêt Trump v. Slaughter, rendu par la Cour suprême américaine le 29 juin 2026 par six voix contre trois, a jugé inconstitutionnelle la protection contre la révocation sans motif des commissaires de la Federal Trade Commission. Or la FTC est citée 259 fois dans la décision d’adéquation et constitue l’organe de contrôle central sur lequel repose la démonstration d’un niveau de protection « essentiellement équivalent » exigée par l’article 45 RGPD et l’article 8(3) de la Charte des droits fondamentaux.

L’association noyb a adressé le jour même un courrier à la Commission européenne réclamant l’abrogation ordonnée de l’accord. CDT Europe et 36 organisations supplémentaires ont suivi avec une lettre ouverte au commissaire McGrath demandant l’ouverture d’un réexamen public au titre des obligations de surveillance continue imposées par l’article 45 RGPD. La décision d’adéquation reste formellement en vigueur tant que la Commission ne l’a pas suspendue, mais le fondement même de l’adéquation est désormais juridiquement contesté.

Microsoft a obtenu l’autorisation d’intervenir devant la CJUE dans le litige visant le DPF, signalant l’ampleur des intérêts commerciaux en jeu. Pour les responsables de traitement dont les chaînes de valeur reposent sur des prestataires américains certifiés DPF — hébergeurs, outils SaaS, plateformes analytics — la stratégie de continuité impose de préparer dès maintenant un plan de bascule vers les clauses contractuelles types (article 46 RGPD) assorties d’une transfer impact assessment à jour. L’histoire des arrêts Schrems I et II enseigne que l’invalidation peut survenir rapidement et sans préavis opérationnel suffisant.

Par contraste, la Commission européenne a finalisé en janvier 2026 une décision d’adéquation mutuelle avec le Brésil fondée sur l’équivalence de la Lei Geral de Proteção de Dados avec le RGPD. Cette première adéquation avec un pays d’Amérique latine supprime la nécessité de recourir aux CCT pour les flux vers les entités brésiliennes, sous réserve de mettre à jour les registres des activités de traitement (article 30) et les mentions légales correspondantes.

Mécanisme de transfert	Base juridique RGPD	Statut 2026	Niveau de risque
Data Privacy Framework (USA)	Art. 45	Contesté (arrêt Trump v. Slaughter)	Élevé — prévoir mécanisme de repli
Clauses contractuelles types + TIA	Art. 46	Opérationnel	Moyen — nécessite TIA documentée
Règles d’entreprise contraignantes (BCR)	Art. 47	Opérationnel (CEPD Rec. 1/2026 en consultation)	Faible si approuvées
Décision d’adéquation Brésil	Art. 45	Adoptée (janvier 2026)	Faible
Transferts vers la Russie	Art. 44 à 49	Illicite sans garanties effectives (Yango, 100 M€)	Très élevé

La sanction Yango : 100 millions d’euros pour des transferts vers la Russie

L’autorité néerlandaise des données personnelles (AP) a annoncé en mai 2026 une amende de 100 millions d’euros contre MLU B.V., éditeur européen de l’application de VTC Yango, pour transferts non conformes de données de chauffeurs et passagers vers des serveurs russes. La Russie ne disposant ni de décision d’adéquation ni d’autorité de contrôle indépendante, les garanties appropriées au sens de l’article 46 RGPD faisaient défaut. L’autorité a mené son enquête en coopération avec ses homologues norvégienne et finlandaise depuis fin 2023. Cette décision constitue un signal fort : même en l’absence de contexte publicitaire ou de données de santé, le simple fait de transférer des données de géolocalisation précise et d’identifiants officiels vers un pays tiers à haut risque d’accès gouvernemental suffit à caractériser une violation grave.

Violations de données massives et obligations de notification : les enseignements de l’année

Le baromètre des fuites de données présenté au Forum InCyber a recensé 8 613 violations notifiées à la CNIL entre septembre 2024 et septembre 2025, soit une hausse de 45 % en un an, représentant près de 24 incidents déclarés par jour. Les incidents d’origine intentionnelle progressent de plus de 60 %, portés par la généralisation du phishing, le vol d’identifiants et les attaques contre les prestataires mutualisés.

Le secteur public français a concentré plusieurs violations majeures mettant en évidence des défaillances structurelles dans la détection des incidents. L’intrusion dans le système Parcoursup de la région académique d’Occitanie, remontant à octobre 2025 mais détectée seulement en mars 2026 — soit cinq mois après les faits — illustre le décalage entre le délai de 72 heures imposé par l’article 33 RGPD et les capacités réelles de détection de nombreux systèmes d’information publics. Cette faille a exposé les données personnelles d’environ 705 000 candidats, incluant le statut boursier et les données des responsables légaux des mineurs.

Des violations de nature comparable ont frappé le CNOUS (774 000 étudiants, dont 139 000 avec copies de pièces d’identité dérobées), le système COMPAS du ministère de l’Éducation nationale (243 000 agents) et l’ANTS (données d’identité de plusieurs millions d’usagers). Dans ce dernier cas, l’interpellation d’un adolescent de 15 ans suspecté d’être à l’origine du piratage a conduit le gouvernement à débloquer une enveloppe de 200 millions d’euros sur cinq ans pour la cybersécurité des grands services numériques de l’État. La simultanéité de ces incidents pointe vers un problème systémique : la supervision des comptes à privilège dans les modules déportés des systèmes d’information publics reste insuffisante.

Sur le plan des obligations, l’AEPD espagnole a prononcé en juin 2026 une amende de 500 000 euros contre une entité financière au motif qu’elle ne disposait d’aucun mécanisme de détection des violations affectant ses traitements. La logique est désormais constante dans la jurisprudence des autorités : l’incapacité à détecter une violation constitue un manquement autonome à l’article 32 RGPD, indépendamment de l’incident lui-même. Une organisation qui ne peut pas détecter une violation ne peut pas non plus respecter le délai de 72 heures, ce qui aggrave mécaniquement la qualification.

Pour approfondir les mesures renforcées que la CNIL prévoit dans le cadre du RGPD, les exigences de l’article 32 se précisent autour de quatre axes : déploiement du MFA, journalisation des accès (rétention de six à douze mois), sensibilisation des utilisateurs et encadrement contractuel des sous-traitants.

L’affaire Almerys : la chaîne de responsabilité du sous-traitant en pratique

L’incident survenu chez Almerys, prestataire de tiers-payant, illustre de façon concrète la chaîne de responsabilités issue de l’article 28 RGPD. Alan, en qualité de responsable de traitement, a reçu la notification d’Almerys le 22 mai 2026 et a immédiatement notifié l’ACPR et préparé la notification à la CNIL, tout en communiquant aux adhérents concernés. Le dispositif a fonctionné conformément au schéma attendu par le règlement : c’est le responsable de traitement qui supporte l’obligation de notification dans les 72 heures courant à compter de sa prise de connaissance, même si la brèche s’est produite chez le sous-traitant. La clarté des clauses contractuelles sur le délai de notification amont — idéalement inférieur à 24 heures — est déterminante pour tenir ce calendrier.

Les violations de données soulèvent également une question de communication aux personnes concernées. La CNIL a publié une mise en garde en juin 2026 contre des courriels frauduleux proposant, parfois contre paiement, de faire supprimer des données exposées. Ce phénomène d’arnaque secondaire impose aux responsables de traitement d’intégrer dans leurs modèles de notification un avertissement explicite sur les fausses offres d’accompagnement, afin que les victimes d’une violation puissent identifier les communications officielles.

Protection des données sensibles et droits des personnes : évolutions jurisprudentielles

La Cour de justice de l’Union européenne a rendu plusieurs arrêts structurants depuis le début de l’année. Dans l’affaire C-474/24 (NADA Autriche), décidée le 14 juillet 2026, la Grande chambre a jugé que la publication sur Internet du nom d’un sportif sanctionné pour dopage constitue bien un traitement de données personnelles soumis au RGPD, sans exclusion au titre de l’article 2(2)(a). La Cour a posé une grille de proportionnalité en trois temps : le responsable de traitement doit procéder à une mise en balance individuelle avant publication (gravité de l’infraction, notoriété, situation personnelle), limiter les données diffusées au strict nécessaire, et prévoir un retrait automatique à l’expiration de la sanction. Cette grille dépasse le secteur sportif : toute autorité ou organisme qui publie des décisions nominatives en ligne — y compris la CNIL elle-même — doit documenter la nécessité, borner la durée de mise en ligne et prévoir le retrait automatique.

Dans l’affaire C-199/24 (Legal Newsdesk Sweden), rendue le 9 juillet 2026, la Cour a précisé que la simple mise en ligne, contre rémunération, de décisions de condamnation pénale ne constitue pas en principe un traitement à des fins journalistiques au sens de l’article 85 RGPD. L’exception journalistique suppose une finalité d’information du public et un contenu élaboré selon des règles déontologiques. À défaut, l’exploitant reste pleinement soumis aux obligations du RGPD, notamment au régime renforcé de l’article 10 sur les données relatives aux condamnations pénales. Pour les éditeurs de bases de données juridiques, cette décision impose de documenter rigoureusement la finalité éditoriale pour pouvoir invoquer l’exemption.

Le droit d’effacement est également au cœur d’une affaire pendante devant la Grande chambre de la CJUE. L’affaire C-12/25 (Bisdom Gent), dont l’audience s’est tenue le 30 juin 2026, pose la question de l’applicabilité du droit à l’effacement aux registres de baptême. Une personne souhaitant quitter l’Église catholique réclame la suppression de ses données ; le diocèse refuse et se borne à une annotation en marge. La Cour devra dire si une simple annotation équivaut à un effacement au sens du règlement, et comment articuler l’article 17 avec la liberté de religion. L’arrêt, attendu fin 2026 ou en 2027, intéressera tous les responsables de traitement qui invoquent des exceptions à l’effacement : la documentation de la finalité et de la base juridique de la conservation sera déterminante.

Pour les organisations qui gèrent des demandes de droits, les obligations pratiques sont rappelées régulièrement par les autorités. L’APD belge a adressé en mars 2026 un avertissement formel à deux organismes publics wallons pour non-réponse dans le délai d’un mois prévu par l’article 12(3) RGPD. Le cas du Servicio Extremeño de Salud, objet d’une procédure de sanction de l’AEPD pour refus persistant d’exécuter une injonction sur une demande d’accès de mineur, illustre que le non-respect d’une injonction de l’autorité de contrôle expose à la fourchette maximale de l’article 83(6) — jusqu’à 20 millions d’euros — indépendamment du manquement de fond. Pour approfondir les obligations autour du droit à l’effacement et la gestion des demandes de suppression, les exigences procédurales sont aussi contraignantes que les exigences substantielles.

• Article 15 RGPD (droit d’accès) : délai d’un mois, prorogeable de deux mois pour les demandes complexes ; interdiction de conditionner la réponse à un abonnement payant (affaire LinkedIn/noyb, mai 2026).
• Article 17 RGPD (droit à l’effacement) : chaque refus doit documenter précisément l’exception invoquée au paragraphe 3 ; une annotation en marge ne vaut pas effacement selon la question posée à la CJUE.
• Article 21 RGPD (droit d’opposition) : mécanisme opt-out insuffisant pour les réutilisations de données de santé à des fins de recherche IA (affaire Doctolib, août 2026).
• Article 22 RGPD (décisions automatisées) : tout score orientant un contrôle ou une décision affectant des personnes impose une base légale documentée et une intervention humaine effective (affaire France Travail, juillet 2026).
• Article 33 RGPD (notification 72h) : le délai court dès la prise de connaissance par le responsable de traitement, même si la brèche est survenue chez un sous-traitant.
• Article 34 RGPD (communication aux personnes) : la communication doit être officiellement identifiable pour éviter l’exploitation frauduleuse de la confusion post-incident.

Données de santé : enjeux spécifiques et incidents récents

Les données de santé, catégorie particulière au sens de l’article 9 RGPD, ont concentré plusieurs incidents majeurs. La violation chez Pulsy (GRADeS Grand Est), survenue le 18 juin 2026, a conduit à l’exfiltration d’un fichier d’environ 5 millions de lignes de données administratives de patients, dont l’Identité nationale de santé (INS). Ce dernier identifiant, réutilisable pour des fraudes à l’identité dans des contextes médicaux et administratifs, élève le niveau de risque pour les personnes concernées bien au-delà d’une simple fuite de coordonnées. La question d’une communication aux personnes au titre de l’article 34 RGPD se pose avec acuité lorsque l’INS est compromis.

Par ailleurs, l’annonce de Doctolib en juillet 2026 d’exploiter les données de ses 41 millions d’utilisateurs pour son laboratoire de recherche IA soulève des questions non résolues de base légale. Le traitement porte sur des données de santé (article 9 RGPD) et repose sur un mécanisme d’opposition : les usagers doivent remplir un formulaire pour refuser, plutôt que consentir préalablement. Ce choix de design — opt-out plutôt que opt-in — est précisément ce que les autorités ont sanctionné dans d’autres contextes. Le caractère compatible de ce réemploi secondaire avec la finalité initiale de prise de rendez-vous devra être démontré.

Les actualités du CEPD relatives aux évolutions du RGPD et à ses lignes directrices publiées ces derniers mois témoignent d’une convergence européenne progressive sur ces sujets, même si des marges d’interprétation subsistent entre États membres.

IA, biométrie et vie privée au travail : les nouvelles frontières du droit des données

L’intersection entre intelligence artificielle, biométrie et relations de travail constitue l’un des chantiers normatifs les plus actifs de l’année. Plusieurs décisions d’autorités européennes ont fixé des balises que les responsables de traitement employeurs ne peuvent ignorer.

L’autorité suédoise IMY a adressé en juin 2026 une réprimande à Securitas Sverige AB pour avoir filmé en continu ses chauffeurs à l’intérieur de véhicules de service dans le cadre d’un projet pilote d’analyse comportementale. L’autorité a constaté l’absence de base légale valable au sens de l’article 6(1) RGPD pour ce dispositif. La décision pose un principe opérationnel clair : une surveillance comportementale permanente des salariés par caméras intelligentes est présumée disproportionnée, même lorsqu’elle poursuit un objectif de sécurité routière, si l’employeur ne démontre pas une base légale claire et une analyse d’impact préalable.

L’AEPD a par ailleurs prononcé deux amendes, à 200 000 euros chacune, contre des entreprises de VTC ayant imposé à leurs chauffeurs d’installer plusieurs applications sur leurs smartphones personnels. Ces applications collectaient en continu géolocalisation, photos et données comportementales. Les autorités ont retenu une violation du principe de minimisation et l’absence de base légale adéquate. Le Garante italien a sanctionné à hauteur de 12,5 millions d’euros Poste Italiane et Postepay pour avoir requis l’autorisation de surveiller les applications installées sur les mobiles de leurs utilisateurs au motif de détecter des logiciels malveillants — pratique jugée disproportionnée.

Sur la biométrie, la CNIL a actualisé en juin 2026 sa fiche sur le contrôle d’accès et des horaires, réaffirmant que les dispositifs non biométriques — badge, code — doivent être privilégiés dès lors qu’ils assurent un niveau de sécurité suffisant. La biométrie reste disproportionnée pour le seul contrôle des horaires. En Espagne, l’Audiencia Nacional a annulé le guide de l’AEPD sur les pointeuses biométriques, estimant qu’il constituait une circulaire déguisée sans pouvoir normatif. Cette décision ne libéralise pas la biométrie en France : le règlement type de la CNIL demeure applicable et la position de l’autorité française reste plus restrictive que celle désormais contestée outre-Pyrénées.

Le déploiement de l’IA dans les ressources humaines est également scruté par les régulateurs. La CNIL a inscrit parmi ses priorités de contrôle 2026 le recrutement algorithmique, ciblant les grandes entreprises utilisant des outils de tri de CV. Les agents vérifieront si les candidats ont été informés du recours à un traitement automatisé (article 13 RGPD), si une décision repose entièrement sur ce traitement sans intervention humaine effective (article 22), et si les durées de conservation des données candidats sont respectées. Un algorithme de profilage des demandeurs d’emploi pour le contrôle de la recherche d’emploi, révélé par La Quadrature du Net en juillet 2026 chez France Travail, illustre les risques attachés à ce type de dispositif : classification « suspects / non suspects » fondée sur un arbre de décision entraîné sur des contrôles passés, sans base légale documentée au regard de l’article 22 RGPD et sans analyse d’impact préalable.

Pour les responsables de traitement souhaitant structurer la gouvernance de leurs projets IA, la définition précise des finalités de traitement reste le point d’entrée incontournable, en amont de toute décision sur la base légale ou l’architecture technique du système.

L’article 4 de l’AI Act, entré en vigueur en février 2026, impose une obligation de maîtrise de l’IA (« AI literacy ») à toutes les organisations qui déploient ou utilisent des systèmes d’IA. Cette exigence rejoint les missions du DPO et renforce l’argument en faveur d’une intégration systématique des projets IA dans le registre des activités de traitement (article 30 RGPD). Pour les délégués à la protection des données qui cherchent à structurer cette évolution, les formations à choisir pour exceller dans le rôle de DPO en 2026 incluent désormais des modules dédiés à l’AI Act et à ses interactions avec le droit de la protection des données.

{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Quelles sont les sanctions CNIL les plus fru00e9quentes en 2026 ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »En 2026, les sanctions prononcu00e9es par la CNIL dans le cadre de sa procu00e9dure simplifiu00e9e portent principalement sur quatre types de manquements : la vidu00e9osurveillance disproportionnu00e9e des salariu00e9s ou d’espaces publics, la non-conformitu00e9 des bandeaux cookies au regard de l’article 82 de la loi Informatique et Libertu00e9s, l’absence de ru00e9ponse aux demandes d’exercice de droits dans le du00e9lai d’un mois de l’article 12(3) RGPD, et le du00e9faut de coopu00e9ration avec la CNIL au titre de l’article 31. Ces quatre catu00e9gories repru00e9sentent la quasi-totalitu00e9 des 23 sanctions simplifiu00e9es prononcu00e9es depuis janvier 2026, ce qui en fait les points de vu00e9rification prioritaires pour tout responsable de traitement souhaitant ru00e9duire son exposition au risque de sanction. »}},{« @type »: »Question », »name »: »Le Data Privacy Framework est-il encore valide pour les transferts vers les u00c9tats-Unis ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »La du00e9cision d’adu00e9quation encadrant le Data Privacy Framework (DPF) reste formellement en vigueur au moment de la publication de cet article. Toutefois, l’arru00eat Trump v. Slaughter rendu par la Cour supru00eame amu00e9ricaine le 29 juin 2026, qui fragilise l’indu00e9pendance de la Federal Trade Commission, a conduit l’association noyb et plusieurs dizaines d’organisations u00e0 demander u00e0 la Commission europu00e9enne d’ouvrir un ru00e9examen au titre de l’article 45 RGPD. La situation rappelle celle qui a pru00e9cu00e9du00e9 les arru00eats Schrems I et II. La prudence opu00e9rationnelle impose de recenser les transferts fondu00e9s sur le DPF et de pru00e9parer des clauses contractuelles types accompagnu00e9es d’une transfer impact assessment, utilisables en cas d’invalidation. »}},{« @type »: »Question », »name »: »La pseudonymisation suffit-elle u00e0 u00e9carter l’application du RGPD ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Non. Le Conseil d’u00c9tat a du00e9finitivement tranchu00e9 cette question dans ses arru00eats du 13 fu00e9vrier 2026 confirmant les sanctions prononcu00e9es contre Cegedim Santu00e9, GERS et Santestat. La pseudonymisation ne fait pas sortir les donnu00e9es du champ du RGPD du00e8s lors que le risque de ru00e9identification n’est pas insignifiant. La CNIL a appliquu00e9 le mu00eame raisonnement dans sa du00e9libu00e9ration du 26 mai 2026 contre IQVIA, en relevant qu’un identifiant unique par patient croisu00e9 avec des donnu00e9es de localisation permettait de reconstituer des parcours individuels. Les responsables de traitement qui fondent leur analyse sur l’hypothu00e8se que leurs donnu00e9es pseudonymisu00e9es sont anonymes doivent refaire cette u00e9valuation en intu00e9grant tous les u00e9lu00e9ments de contexte disponibles. »}},{« @type »: »Question », »name »: »Quels sont les axes prioritaires des contru00f4les CNIL en 2026 ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »La CNIL a annoncu00e9 que la cybersu00e9curitu00e9 concentrera environ la moitiu00e9 de ses contru00f4les en 2026, avec un focus particulier sur les collectivitu00e9s territoriales et le du00e9ploiement de l’authentification multifacteur pour les grandes bases de donnu00e9es. Les thu00e9matiques sectorielles comprennent le recrutement algorithmique (information des candidats, du00e9cisions automatisu00e9es, duru00e9es de conservation), les fu00e9du00e9rations sportives (donnu00e9es de santu00e9, su00e9curitu00e9) et le ru00e9pertoire u00e9lectoral unique dans le cadre du Coordinated Enforcement Framework 2026 du CEPD sur la transparence (articles 12 u00e0 14 RGPD). L’absence de MFA pour l’accu00e8s aux bases de donnu00e9es de plus de 100 000 enregistrements peut du00e9sormais justifier l’ouverture d’une procu00e9dure de sanction. »}},{« @type »: »Question », »name »: »Quelles obligations s’appliquent au du00e9ploiement de systu00e8mes d’IA dans les organisations ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »L’article 4 de l’AI Act, entru00e9 en vigueur en fu00e9vrier 2026, impose une obligation de mau00eetrise de l’IA (AI literacy) u00e0 toutes les organisations. Pour les traitements de donnu00e9es personnelles, l’article 35 RGPD impose une analyse d’impact pru00e9alable du00e8s lors que le traitement est susceptible d’engendrer un risque u00e9levu00e9, ce qui inclut la plupart des systu00e8mes de profilage, de surveillance comportementale et de du00e9cision automatisu00e9e. Le DPO doit u00eatre intu00e9gru00e9 en amont de tout projet IA, les traitements du00e9clenchu00e9s par les agents autonomes doivent u00eatre cartographiu00e9s dans le registre des activitu00e9s de traitement (article 30), et les donnu00e9es d’entrau00eenement doivent u00eatre documentu00e9es conformu00e9ment aux articles 10 et 13 de l’AI Act. Le non-respect de ces obligations peut conduire u00e0 des sanctions cumulant RGPD et AI Act. »}}]}

Quelles sont les sanctions CNIL les plus fréquentes en 2026 ?

En 2026, les sanctions prononcées par la CNIL dans le cadre de sa procédure simplifiée portent principalement sur quatre types de manquements : la vidéosurveillance disproportionnée des salariés ou d’espaces publics, la non-conformité des bandeaux cookies au regard de l’article 82 de la loi Informatique et Libertés, l’absence de réponse aux demandes d’exercice de droits dans le délai d’un mois de l’article 12(3) RGPD, et le défaut de coopération avec la CNIL au titre de l’article 31. Ces quatre catégories représentent la quasi-totalité des 23 sanctions simplifiées prononcées depuis janvier 2026, ce qui en fait les points de vérification prioritaires pour tout responsable de traitement souhaitant réduire son exposition au risque de sanction.

Le Data Privacy Framework est-il encore valide pour les transferts vers les États-Unis ?

La décision d’adéquation encadrant le Data Privacy Framework (DPF) reste formellement en vigueur au moment de la publication de cet article. Toutefois, l’arrêt Trump v. Slaughter rendu par la Cour suprême américaine le 29 juin 2026, qui fragilise l’indépendance de la Federal Trade Commission, a conduit l’association noyb et plusieurs dizaines d’organisations à demander à la Commission européenne d’ouvrir un réexamen au titre de l’article 45 RGPD. La situation rappelle celle qui a précédé les arrêts Schrems I et II. La prudence opérationnelle impose de recenser les transferts fondés sur le DPF et de préparer des clauses contractuelles types accompagnées d’une transfer impact assessment, utilisables en cas d’invalidation.

La pseudonymisation suffit-elle à écarter l’application du RGPD ?

Non. Le Conseil d’État a définitivement tranché cette question dans ses arrêts du 13 février 2026 confirmant les sanctions prononcées contre Cegedim Santé, GERS et Santestat. La pseudonymisation ne fait pas sortir les données du champ du RGPD dès lors que le risque de réidentification n’est pas insignifiant. La CNIL a appliqué le même raisonnement dans sa délibération du 26 mai 2026 contre IQVIA, en relevant qu’un identifiant unique par patient croisé avec des données de localisation permettait de reconstituer des parcours individuels. Les responsables de traitement qui fondent leur analyse sur l’hypothèse que leurs données pseudonymisées sont anonymes doivent refaire cette évaluation en intégrant tous les éléments de contexte disponibles.

Quels sont les axes prioritaires des contrôles CNIL en 2026 ?

La CNIL a annoncé que la cybersécurité concentrera environ la moitié de ses contrôles en 2026, avec un focus particulier sur les collectivités territoriales et le déploiement de l’authentification multifacteur pour les grandes bases de données. Les thématiques sectorielles comprennent le recrutement algorithmique (information des candidats, décisions automatisées, durées de conservation), les fédérations sportives (données de santé, sécurité) et le répertoire électoral unique dans le cadre du Coordinated Enforcement Framework 2026 du CEPD sur la transparence (articles 12 à 14 RGPD). L’absence de MFA pour l’accès aux bases de données de plus de 100 000 enregistrements peut désormais justifier l’ouverture d’une procédure de sanction.

Quelles obligations s’appliquent au déploiement de systèmes d’IA dans les organisations ?

L’article 4 de l’AI Act, entré en vigueur en février 2026, impose une obligation de maîtrise de l’IA (AI literacy) à toutes les organisations. Pour les traitements de données personnelles, l’article 35 RGPD impose une analyse d’impact préalable dès lors que le traitement est susceptible d’engendrer un risque élevé, ce qui inclut la plupart des systèmes de profilage, de surveillance comportementale et de décision automatisée. Le DPO doit être intégré en amont de tout projet IA, les traitements déclenchés par les agents autonomes doivent être cartographiés dans le registre des activités de traitement (article 30), et les données d’entraînement doivent être documentées conformément aux articles 10 et 13 de l’AI Act. Le non-respect de ces obligations peut conduire à des sanctions cumulant RGPD et AI Act.