Trois sanctions, un même message Trois sanctions suffisent à comprendre le changement de doctrine du régulateur en 2026. Free condamné à une amende cumulée de 42 millions d’euros après une violation massive de données. France Travail, 5 millions d’euros, à la suite d’une cyberattaque d’envergure. IQVIA, acteur majeur des données de santé, sanctionné à hauteur de 5 millions d’euros pour un défaut de sécurisation des données de patients. Des preuves techniques, pas seulement des documents Le point commun à ces trois dossiers : la CNIL ne se contente plus de vérifier l’existence de politiques de confidentialité ou de registres à jour. Elle exige des preuves techniques opérationnelles. Authentification multifacteur, chiffrement, cloisonnement des réseaux, gestion stricte des habilitations d’accès. Un standard hier réservé aux grands groupes, aujourd’hui la référence minimale attendue de toute PME contrôlée. Trois secteurs dans le viseur pour la rentrée Pour la rentrée, trois secteurs concentrent l’attention du régulateur. Le recrutement et les RH d’abord, où la CNIL traque les durées de conservation excessives des candidatures et l’usage non déclaré d’algorithmes de tri des CV. Le sport et les fédérations ensuite, dont la collecte de données de licenciés inclut parfois des données de santé sensibles, comme les certificats médicaux. Le e-commerce et le marketing enfin, via la procédure de sanction simplifiée, ciblant les bandeaux cookies où refuser le traçage reste un parcours du combattant, et la vidéosurveillance excessive des salariés. Le risque IA en toile de fond En toile de fond, l’adoption massive de l’IA générative par les collaborateurs crée un risque nouveau. L’injection involontaire de données clients ou de secrets commerciaux dans des outils tiers. La CNIL, qui finalise ses guides pratiques sur l’IA, pose un principe structurant : le maintien du contrôle humain sur toute décision assistée par un algorithme. Un DPO ne peut plus se contenter d’un registre à jour. Il doit démontrer, preuves techniques à l’appui, que chacun de ces risques est couvert avant la reprise de septembre.
