La CNIL s’oppose fermement à deux nouveaux projets sécuritaires controversés

Deux dossiers viennent de rappeler que la vidéosurveillance et les dispositifs de captation sonore ne s’installent pas sans cadre légal. La CNIL a retoqué un projet de portiques biométriques prévus dans deux lycées, à Nice et à Marseille, ainsi qu’un réseau de micros destiné à détecter les bruits suspects dans les rues de Saint-Etienne. Ces deux prises de position, documentées notamment par une analyse détaillée des semonces de la CNIL, s’inscrivent dans un contexte plus large où l’autorité durcit le ton sur tous les fronts liés à la sécurité des données.

Ce coup de semonce n’est pas isolé. Le rapport annuel de la CNIL, publié en mai, révèle une année 2025 marquée par une explosion des plaintes, une amende record de 42 millions d’euros contre Free et une bascule assumée vers la cybersécurité comme priorité absolue pour 2026. Pour les dirigeants de PME, souvent sous-traitants au sens du RGPD sans le savoir vraiment, ces décisions ne relèvent pas de l’anecdote : elles dessinent la trajectoire réglementaire des prochains mois et fixent des standards de vigilance que personne ne pourra ignorer.

En bref :

• La CNIL s’oppose à des portiques biométriques dans deux lycées de Nice et Marseille, jugés disproportionnés
• Un réseau de micros à Saint-Etienne est également retoqué pour atteinte à la vie privée
• 2025 a connu un record de 20 150 plaintes reçues par la CNIL, soit 10 % de plus qu’en 2024
• Free et Free Mobile ont écopé d’une amende cumulée de 42 millions d’euros après une fuite de données
• En 2026, la moitié des contrôles et sanctions de la CNIL portera sur la sécurité des données
• Les sous-traitants sont désormais directement dans le viseur des sanctions, au même titre que les responsables de traitement

Que reproche la CNIL aux portiques biométriques de Nice et Marseille ?

Le projet visait à équiper deux établissements scolaires de portiques capables de reconnaître les élèves par leurs traits biométriques, sous couvert de sécuriser les entrées. La CNIL a jugé le dispositif disproportionné au regard de l’objectif poursuivi, un principe central du RGPD que beaucoup de dirigeants sous-estiment. Un contrôle d’accès classique, par badge ou carte magnétique, permet d’atteindre le même résultat sans traiter de données biométriques, qui appartiennent à une catégorie particulière dite sensible.

Cette position rejoint celle exprimée dans plusieurs avis rendus par l’autorité sur des projets similaires, comme le montre l’avis officiel publié au Journal officiel sur un texte réglementaire connexe. Concrètement, pour une PME industrielle, l’enseignement est simple : avant d’installer un système biométrique pour sécuriser un site de production ou un entrepôt, il faut démontrer qu’aucune alternative moins intrusive n’existe. Une usine qui envisage de remplacer ses badges par un système de reconnaissance faciale prend un risque réel si elle n’a pas documenté cette analyse comparative.

La proportionnalité n’est pas un concept abstrait réservé aux juristes. Elle se traduit par une question très concrète que tout responsable de projet doit se poser : le niveau de sécurité recherché justifie-t-il vraiment de collecter une donnée biométrique, difficilement modifiable et particulièrement exposée en cas de fuite ? Documentez systématiquement cette réflexion avant tout déploiement d’un dispositif biométrique dans vos locaux.

Pourquoi le réseau de micros de Saint-Etienne inquiète-t-il autant ?

Le second projet retoqué concernait l’installation de capteurs sonores dans l’espace public, censés détecter des bruits anormaux comme des cris ou des coups de feu. Sur le papier, l’intention sécuritaire semble louable. Dans les faits, la CNIL a pointé les risques d’une captation permanente de conversations, même partielles, dans des lieux fréquentés par des milliers de personnes chaque jour.

Ce type de dossier illustre une tension récurrente entre sécurité et libertés publiques, deux notions que le RGPD tente précisément de concilier sans jamais sacrifier l’une à l’autre. Une PME de services qui envisagerait, par exemple, d’installer des micros dans ses locaux commerciaux pour analyser l’ambiance sonore ou détecter des incidents doit appliquer exactement la même grille d’analyse que celle utilisée pour Saint-Etienne.

Le fait qu’un projet soit porté par une collectivité ou un acteur public ne change rien à l’exigence de conformité. Les principes de minimisation des données et de finalité déterminée s’appliquent identiquement à une mairie, une entreprise privée ou un sous-traitant technique qui installerait ces équipements pour le compte d’un tiers. Vérifiez toujours, avant tout projet de captation sonore ou vidéo, si une finalité moins intrusive permettrait d’atteindre le même objectif de sécurité.

Quel lien avec le rapport annuel 2025 de la CNIL ?

Ces deux oppositions ne sont pas des décisions isolées mais s’inscrivent dans une dynamique documentée par le rapport annuel 2025 de la CNIL, qui dresse le bilan d’une année particulièrement dense. L’autorité y détaille quatre missions : informer le public, accompagner les professionnels, anticiper les usages numériques et sanctionner les manquements les plus graves.

Le document révèle un chiffre marquant : 6 167 violations de données ont été notifiées en 2025, soit une hausse de 9,5 % par rapport à l’année précédente, comme le confirme cette synthèse détaillée du rapport. Un incident sur deux relève directement d’un piratage informatique, ce qui place la sécurité technique au cœur des préoccupations, bien avant les questions de gouvernance interne.

Indicateur 2025	Valeur	Évolution
Plaintes reçues	20 150	+10 % vs 2024
Violations de données notifiées	6 167	+9,5 % vs 2024
Contrôles menés	323	Stable
Sanctions prononcées	83	Montant total : 487 M€
Demandes de conseil traitées	1 351	En hausse

Ces données ne relèvent pas du seul intérêt statistique. Elles annoncent une priorisation claire des moyens de contrôle vers la sécurité technique, un sujet qui concerne directement toute PME manipulant des données de clients ou de salariés. Gardez ce tableau en tête : il donne la mesure exacte de l’intensité réglementaire à venir.

L’amende record contre Free change-t-elle la donne pour les PME ?

Free et Free Mobile ont écopé d’une amende cumulée de 42 millions d’euros après un vol massif de données survenu en octobre 2024. La sanction se décompose en 27 millions d’euros pour Free Mobile et 15 millions d’euros pour Free, un montant que le groupe Iliad a qualifié de sévérité inédite, selon les propos rapportés par Le Parisien dans son analyse de la décision.

Des avocats spécialisés en droit du numérique relativisent pourtant cette qualification d’exceptionnalité. La tarification actuelle de la CNIL dans le cadre du RGPD prévoit une proportionnalité stricte entre le montant de l’amende, le volume de données concernées et le nombre de victimes touchées. Un opérateur traitant des millions de comptes clients s’expose mécaniquement à des montants bien supérieurs à ceux infligés à une PME régionale.

Ce précédent doit néanmoins alerter les directions administratives et financières des entreprises de taille intermédiaire. La logique de calcul reste identique quelle que soit la taille de la structure : négligence dans la sécurisation, absence de chiffrement, retard dans la notification d’un incident. Une PME industrielle qui découvre une fuite de données clients et tarde à la déclarer à la CNIL s’expose au même raisonnement juridique, appliqué à une échelle proportionnée à son activité. Anticipez dès maintenant un protocole écrit de notification d’incident, testé au moins une fois par an avec vos équipes techniques.

Cybersécurité : pourquoi la CNIL muscle-t-elle ses contrôles en 2026 ?

La présidente de la CNIL, Marie-Laure Denis, a annoncé que la moitié des contrôles et des actions répressives de l’institution sera consacrée en 2026 à la sécurité des données. Cette décision fait suite à un constat sans appel : personne n’est épargné, les violations deviennent de plus en plus massives, et elles impliquent de plus en plus souvent des prestataires externes plutôt que les responsables de traitement eux-mêmes.

Ce dernier point mérite une attention particulière pour toute entreprise qui agit comme sous-traitant au sens du RGPD. Concrètement, si votre société héberge, traite ou transmet des données personnelles pour le compte d’un client, vous entrez directement dans le périmètre de vigilance renforcée annoncé par l’autorité. Les manquements en matière de cybersécurité représentent déjà un tiers des contrôles menés et près de 30 % des sanctions prononcées en 2025.

L’article 32 du RGPD impose de mettre en œuvre des mesures techniques et organisationnelles adaptées aux risques identifiés. Ce n’est pas une formule vague : chiffrement des données sensibles, gestion rigoureuse des accès, sauvegardes régulières et testées, procédure de réaction en cas d’incident. La CNIL met à disposition un guide dédié et des recommandations officielles pour aider les organisations à structurer cette démarche sans se perdre dans le jargon juridique.

• Cartographiez précisément les données personnelles que vous traitez en tant que sous-traitant
• Vérifiez que vos contrats prévoient bien les clauses obligatoires de sécurité
• Chiffrez systématiquement les données sensibles stockées ou transmises
• Formez vos équipes à la détection et à la remontée d’incidents suspects
• Testez votre procédure de notification de violation au moins une fois par an

Programmez dès ce trimestre un audit interne de vos pratiques de sécurité, même sommaire, pour identifier les failles avant qu’un contrôle ne le fasse à votre place.

Quelles obligations concrètes pour votre entreprise sous-traitante ?

Être qualifié de sous-traitant au sens du RGPD signifie que votre entreprise traite des données personnelles pour le compte d’un client, sans en déterminer elle-même les finalités. Une société de comptabilité qui gère la paie d’une autre entreprise, un prestataire informatique qui héberge une base clients, ou encore une agence marketing qui exploite des fichiers de prospection entrent typiquement dans cette catégorie.

Ce statut implique des obligations précises, largement détaillées dans ce guide complet sur l’analyse d’impact recommandée par la CNIL. Vous devez notamment tenir un registre des traitements effectués pour vos clients, garantir un niveau de sécurité approprié et informer sans délai le responsable de traitement en cas d’incident affectant les données confiées.

La réutilisation de bases de données constitue un autre point de vigilance fréquent. Un sous-traitant qui exploite les fichiers d’un client pour d’autres finalités que celles initialement prévues dans le contrat commet une infraction, même sans intention malveillante. Ce type de dérive, souvent lié à une volonté d’optimiser des ressources internes, expose l’entreprise à des sanctions identiques à celles frappant les responsables de traitement.

Relisez dès aujourd’hui vos contrats de sous-traitance pour vérifier qu’ils comportent bien les clauses obligatoires prévues par l’article 28 du RGPD.

Comment l’intelligence artificielle est-elle désormais surveillée par la CNIL ?

La CNIL a été désignée autorité de contrôle des usages interdits dans le cadre du règlement européen sur l’intelligence artificielle. Elle devrait prochainement obtenir également la responsabilité de surveiller certains systèmes d’IA à haut risque, notamment dans des domaines sensibles comme l’emploi, l’éducation ou les usages répressifs.

Cette montée en puissance réglementaire concerne directement les PME qui intègrent des solutions d’intelligence artificielle dans leurs processus, que ce soit pour le tri de candidatures, l’analyse de données clients ou l’automatisation de tâches administratives. Un guide pratique détaillé, disponible via cette ressource dédiée à la conformité RGPD des outils d’IA, permet de comprendre les points de vigilance essentiels avant tout déploiement.

La CNIL a également mis en place, avec l’ANSSI et l’Inria, un projet nommé PANAME, une bibliothèque logicielle destinée à vérifier si un modèle d’intelligence artificielle traite effectivement des données personnelles. Cette initiative traduit une volonté claire : ne pas laisser les éditeurs de solutions d’IA échapper aux obligations du RGPD sous prétexte de complexité technique.

Avant d’adopter un outil d’IA dans votre entreprise, exigez de votre éditeur une documentation claire sur le traitement des données personnelles qu’il implique.

Que faire dès maintenant pour sécuriser vos traitements de données ?

Face à cette intensification des contrôles annoncée pour 2026, l’attentisme n’est plus une option viable pour une PME sous-traitante. La première étape consiste à formaliser un plan d’action daté, avec des responsabilités clairement réparties entre direction, informatique et ressources humaines.

La gestion des mots de passe reste un point souvent négligé alors qu’elle constitue une faille d’entrée classique pour les cyberattaques. Des recommandations précises existent, comme le rappelle ce guide sur la gestion des mots de passe conforme au RGPD. Renforcer cette hygiène numérique basique évite une part significative des incidents recensés par la CNIL en 2025.

Enfin, la question des ressources humaines mérite une attention particulière, car de nombreux traitements de données sensibles y transitent : dossiers de candidature, données de santé, évaluations individuelles. Un panorama des erreurs les plus fréquentes est disponible dans cet article consacré aux pièges RGPD en gestion RH, particulièrement utile pour les directions administratives et financières qui supervisent souvent ce périmètre.

Fixez dès cette semaine une réunion avec vos équipes juridiques et techniques pour établir un calendrier de mise en conformité, avant que la vague de contrôles annoncée pour 2026 n’atteigne votre secteur d’activité.

Une PME peut-elle vraiment être sanctionnée comme Free ?

Le montant est proportionnel au volume de données et au nombre de victimes. Une PME s’expose à des sanctions calculées selon les mêmes principes, mais à une échelle adaptée à son activité et à sa taille.

Faut-il un DPA avec chaque client pour lequel on agit comme sous-traitant ?

Oui, l’article 28 du RGPD impose un contrat écrit précisant les obligations de sécurité, la durée du traitement et les modalités de notification en cas d’incident.

Quel délai pour notifier une violation de données à la CNIL ?

Le délai légal est de 72 heures après la découverte de l’incident lorsque celui-ci présente un risque pour les personnes concernées.

Les systèmes biométriques sont-ils interdits en entreprise ?

Non, mais leur usage doit être strictement justifié par une nécessité de sécurité ne pouvant être atteinte par un moyen moins intrusif, sous peine de sanction pour disproportion.

La CNIL contrôle-t-elle aussi les petits sous-traitants ?

Oui, les contrôles ciblent des organismes de toutes tailles, notamment via une procédure simplifiée mise en place depuis 2022 pour traiter plus rapidement les dossiers moins complexes.