Temps de lecture :
Chaque début d’année, la CNIL annonce les thématiques sur lesquelles elle concentrera ses contrôles. Connaître ces priorités, c’est savoir où l’attention se portera — et donc où concentrer ses efforts de mise en conformité. Voici ce qu’il faut retenir pour 2026, à la lumière d’un bilan 2025 qui bat des records.
Une année 2025 record, qui pose le décor
Le rapport annuel 2025 de la CNIL donne la mesure de l’intensité de son action : 83 sanctions prononcées pour un montant cumulé inédit de près de 487 millions d’euros, 323 contrôles menés, et une hausse continue des signalements — plus de 20 000 plaintes reçues (+10 % sur un an) et 6 167 notifications de violations de données (+9,5 %). Fait notable : la moitié des incidents notifiés sont liés à du piratage informatique.
Autrement dit, le risque de contrôle ne concerne plus seulement les grands groupes. La majorité des contrôles part d’une plainte ou d’une violation signalée, deux portes d’entrée qui touchent des organisations de toutes tailles.
Les trois thématiques de contrôle prioritaires pour 2026
Pour 2026, la CNIL a retenu trois thématiques. Elles représentent environ 20 % de ses contrôles annuels — le reste répondant aux plaintes et aux violations.
1. Le recrutement
La CNIL vérifiera le respect du RGPD par les recruteurs, avec une attention particulière aux systèmes de prise de décision automatisée, à l’information des candidats et aux durées de conservation des candidatures. Les grandes entreprises et les cabinets de recrutement sont visés en priorité. Concrètement, toute organisation qui recrute — donc presque toutes — a intérêt à revoir la durée de conservation de ses CV et l’information délivrée aux candidats.
2. Le répertoire électoral unique (REU)
Géré par l’INSEE, ce fichier regroupe les données de l’ensemble des électeurs. La CNIL contrôlera les usages qui en sont faits afin d’identifier d’éventuels détournements de finalité. Un point d’attention direct pour les communes et leurs services.
3. Les fédérations sportives
Dans le sillage de la hausse des inscriptions en club après les Jeux de 2024, la CNIL examinera la pertinence des données collectées par les fédérations et les clubs, leurs durées de conservation et les mesures de sécurité en place. Les associations sportives sont concernées au premier chef.
Information des personnes : le contrôle coordonné européen
À ces priorités nationales s’ajoute un cadre d’action coordonné à l’échelle européenne (CEF), piloté avec le Comité européen de la protection des données. Pour 2026, il porte sur la transparence et l’exhaustivité de l’information fournie aux personnes concernées. Traduction pratique : vos mentions d’information, votre politique de confidentialité et votre bandeau cookies doivent dire clairement ce que vous faites des données — et le dire complètement.
La cybersécurité, fil rouge de fond
La cybersécurité n’est pas listée comme thématique 2026 à ce stade : les annonces la concernant seront publiées avec le rapport annuel, en mai 2026. Mais elle reste structurellement centrale — la moitié des violations notifiées en 2025 provenaient d’un piratage. Sécuriser les accès, chiffrer, tenir ses correctifs à jour et savoir réagir à une violation demeure un socle, quelles que soient les priorités affichées.
Ce que cela change pour votre organisation
Une priorité de contrôle n’est pas une menace, c’est une indication. Si votre activité touche l’un de ces sujets, l’ordre des chantiers devient clair :
- Vous recrutez ? Revoyez durées de conservation des candidatures et information des candidats ; encadrez tout outil d’aide à la décision.
- Vous êtes une commune ? Vérifiez la traçabilité des accès et des usages du REU.
- Vous êtes une association ou un club ? Faites le tri dans les données collectées et sécurisez-les.
- Pour tous : une information des personnes claire et complète, et un dossier de conformité présentable rapidement en cas de contrôle.
Une organisation capable de produire sans délai son registre, ses mentions d’information et ses contrats sous-traitants démontre sa bonne foi — un élément qui pèse dans l’appréciation de la CNIL. C’est précisément le travail que j’accompagne, de l’audit au dossier prêt à présenter.
Sources : CNIL, « Les contrôles prioritaires 2026 » et « Rapport annuel 2025 » (cnil.fr). Cet article a une visée informative et ne constitue pas un avis juridique individualisé.