CNIL : pourquoi 2026 est l’année où plus personne ne sera épargné

# CNIL : pourquoi 2026 est l’année où plus personne ne sera épargné

487 millions d’euros de sanctions en 2025. C’est le chiffre que la CNIL a inscrit dans son bilan annuel. Et ce n’est pas un pic isolé.

Le nombre de violations de données enregistrées dépasse désormais les 6 000. Les plaintes franchissent le cap des 20 000 pour la première fois. Autrement dit, le régulateur français ne fait plus dans la dentelle.

Mais le vrai changement, c’est la cible. Marie-Laure Denis, présidente de la CNIL, l’a dit au Monde le 18 mai 2026. L’État lui-même est dans le viseur. En 2026, plus personne ne sera épargné.

CNIL 2025-2026 : les chiffres qui font mal

Commençons par les ordres de grandeur. Le bilan 2025 de la CNIL donne le tournis. 487 millions d’euros de sanctions prononcées. C’est quasiment le double du montant de 2023.

Les violations de données atteignent 6 167 cas recensés. Cela représente une hausse de 9,5 % par rapport à 2024. Les plaintes bondissent à 20 150. Personne n’avait jamais vu ça.

Cette progression n’est pas linéaire. Elle s’accélère. La CNIL traite plus de dossiers, elle sanctionne plus lourdement, et elle ne recule devant aucun secteur. France Travail, opérateurs télécoms, hôpitaux, plateformes. Tous y passent.

Derrière ces chiffres, il y a une réalité simple. Les entreprises qui traitent le RGPD comme une formalité administrative sont devenues des cibles faciles. La CNIL le sait. Elle agit en conséquence.

L’État dans le viseur de Marie-Laure Denis

L’entretien de Marie-Laure Denis au Monde du 18 mai 2026 a marqué un tournant. Pour la première fois, la présidente de la CNIL pointe du doigt l’État lui-même. Ses mots sont pesés. « L’État a une responsabilité particulière à l’égard des données des Français. »

Le message est limpide. Les administrations publiques ne sont pas au-dessus des lois. Elles gèrent des millions de données personnelles. Elles subissent des cyberattaques récurrentes. Elles doivent montrer l’exemple en matière de sécurité.

En pratique, cela signifie des contrôles renforcés sur les organismes publics. Les préfectures, les agences gouvernementales, les collectivités. Tous devront prouver qu’ils protègent correctement les données des citoyens.

Cette posture n’est pas nouvelle chez Marie-Laure Denis. Elle l’avait déjà esquissée lors de son audition au Sénat. Mais le passage au Monde officialise le cap. 2026 sera l’année des contrôles dans le secteur public.

La tendance est sans appel. Les sanctions ont plus que doublé en trois ans. Les violations de données progressent chaque année. Les plaintes suivent la même courbe ascendante.

Les 4 chantiers prioritaires pour les entreprises

Face à cette pression réglementaire, les entreprises doivent agir. Mais agir où exactement ? Voici les quatre chantiers que tout responsable conformité doit lancer sans attendre.

Premier chantier : les table-top exercises. Il ne suffit plus d’avoir une procédure de gestion d’incident dans un tiroir. Il faut la tester. Un exercice par semestre minimum. On simule une violation, on chronomètre la réaction, on identifie les failles. C’est concret, c’est rapide, ça coûte peu.

Deuxième chantier : l’audit des sous-traitants. L’article 28 du RGPD impose un encadrement contractuel strict. Pourtant, beaucoup d’entreprises délèguent à des prestataires sans vérifier leur niveau de sécurité. C’est une erreur coûteuse. La CNIL sanctionne le responsable de traitement même quand la faille vient d’un sous-traitant.

Troisième chantier : l’analyse d’impact (AIPD). Les traitements à haut risque nécessitent une AIPD documentée et à jour. Pas une coquille vide signée il y a trois ans. Une vraie cartographie des risques, mise à jour chaque fois que le traitement évolue.

Quatrième chantier : les preuves de sécurité. MFA activé partout. Chiffrement des données sensibles. Segmentation réseau opérationnelle. Sauvegardes testées régulièrement. La CNIL ne demande pas la perfection. Elle demande des preuves tangibles. Des logs, des rapports, des attestations.

L’article 32 du RGPD est désormais un point de contrôle systématique. Le chiffrement, la pseudonymisation et la résilience sont vérifiés à chaque audit. Pas d’échappatoire possible.

Quant à l’article 33, il impose la notification de violation dans les 72 heures. Au-delà, c’est la porte ouverte à une sanction aggravée. La CNIL note systématiquement les retards de notification dans ses décisions.

Sanctions récentes : qui a pris cher ?

Les décisions de la CNIL en 2025 et début 2026 montrent une détermination sans précédent. Aucun secteur n’est épargné.

Du côté de France Travail, la CNIL a rappelé que la protection des données des demandeurs d’emploi exige une vigilance maximale. Les données de santé et les situations financières personnelles méritent une sécurité renforcée.

Les opérateurs télécoms ont également été dans la ligne de mire. Les fuites de données clients, les accès non autorisés aux bases de facturation. Chaque incident donne lieu à un contrôle approfondi et souvent à une sanction.

Le secteur hospitalier n’est pas en reste. Les établissements de santé concentrent des volumes massifs de données sensibles. Un seul ransomware peut compromettre des milliers de dossiers patients. La CNIL le rappelle régulièrement.

Les plateformes numériques font l’objet d’une surveillance accrue. Le ciblage publicitaire, la collecte excessive de données, l’absence de consentement valide. Ces pratiques sont désormais sanctionnées systématiquement.

Le point commun de toutes ces sanctions ? L’article 32 du RGPD. C’est lui qui revient dans presque chaque décision. La sécurité insuffisante du traitement est la faille numéro un constatée par les inspecteurs de la CNIL.

La leçon est claire. Les CNIL sanctions 2026 toucheront toutes les organisations qui n’auront pas investi dans la sécurité avant le passage des inspecteurs. Il ne s’agit plus de se conformer sur le papier. Il faut démontrer des résultats concrets.

Le budget conformité n’est plus une dépense. C’est une assurance. Et le prix d’une amende est autrement plus élevé que celui d’un audit préventif.