CNIL : après les cookies, la sécurité dans le viseur

Le 9 février 2026, le régulateur français des données (France · CNIL) a publié son bilan 2025 : 83 sanctions et 486 839 500 euros d’amendes, près de neuf fois plus qu’en 2024. Deux décisions du 1er septembre 2025 font presque tout le total : 325 millions d’euros pour Google et 150 millions pour Shein, principalement pour des cookies. En mai, la CNIL a fixé son cap pour 2026 : consacrer à la sécurité des données « la moitié de ses contrôles et de ses actions répressives ».

Les dix premiers mois de 2026 confirment ce virage. Les plus grosses amendes visent désormais moins les cookies que les failles d’accès. En 2026, la CNIL sanctionne moins la publicité que les portes laissées ouvertes.

Ce qui est déjà acté

• Bilan 2025 (France · CNIL) : 259 décisions, dont 83 sanctions, 143 mises en demeure, 31 rappels aux obligations légales et 2 avertissements, pour 323 contrôles et 20 150 plaintes (+10 % sur un an).
• Procédure simplifiée (France · CNIL) : 67 des 83 sanctions de 2025 ont été prononcées par un seul membre de la formation restreinte, avec un plafond de 20 000 euros et sans publication du nom. De janvier à début juillet 2026 : 23 sanctions, 133 750 euros au total, dont 19 issues de plaintes.
• Secteurs visés en 2025 (France · CNIL) : 21 sanctions pour les cookies et traceurs, 16 pour la vidéosurveillance des salariés, 10 pour la prospection, dont 5 visant des candidats aux élections de 2024.
• Télécoms (France · CNIL) : 27 millions d’euros pour Free Mobile et 15 millions pour Free (délibérations du 8 janvier 2026), après une intrusion d’octobre 2024 touchant 24 millions de contrats.
• Service public de l’emploi (France · CNIL) : 5 millions d’euros pour France Travail le 22 janvier 2026 ; l’injonction a été close le 23 septembre, sans liquidation de l’astreinte.
• Données de santé (France · CNIL) : 5 millions d’euros pour IQVIA Operations France le 26 mai 2026, pour ses entrepôts alimentés par des pharmacies et des médecins ; 500 000 euros pour l’Hôpital privé de la Loire (délibération du 21 juillet 2026), après une intrusion touchant 524 867 patients.
• Droits des personnes (France · CNIL) : 300 000 euros pour la société de conseil Extia (21 juillet 2026), pour des demandes d’effacement restées sans réponse.
• Cookies (France · CNIL) : 7 millions d’euros pour FNAC Darty Participations et Services et Fnac Direct (délibération du 22 octobre 2026, publiée le 29 octobre), pour un traceur déposé sans consentement dans leur application mobile, après une plainte de l’association autrichienne noyb.

Ce qui arrive

• Trois thèmes prioritaires de contrôle (France · CNIL, 3 avril 2026) : le recrutement (décisions automatisées, information des candidats, durées de conservation), le répertoire électoral unique tenu par l’INSEE, et les fédérations sportives (données de santé de mineurs, sécurité). Ils pèsent environ 20 % des contrôles.
• La cybersécurité d’abord (France · CNIL, 18 mai 2026) : la moitié des contrôles et des actions répressives, avec une attention aux secteurs qui traitent massivement des données sensibles, comme la localisation, les données bancaires ou les fichiers de l’État.
• La transparence (UE · CEPD, avec la CNIL) : une action coordonnée européenne, pilotée par la CNIL, vérifie en 2026 l’information donnée aux personnes ; un rapport européen suivra.
• Les décisions automatisées (Pays-Bas · autorité de protection des données, avec la CNIL) : près de 825 millions d’euros contre Uber, annoncés le 21 août 2026, pour des désactivations de chauffeurs sans intervention humaine. La plainte d’origine avait été déposée en France en 2020.

Le vrai enjeu : la sécurité devient le premier motif d’amende

Le total de 2025 trompe. Hors Google et Shein, les 81 autres sanctions cumulent 11 839 500 euros. Pour la plupart des organisations, le risque ne ressemble donc pas à une amende record, mais à une décision à quelques milliers d’euros, puis à une injonction.

L’année 2026 change d’échelle. Selon notre décompte des décisions publiées au 29 octobre 2026, les amendes publiques atteignent au moins 59,8 millions d’euros. Les deux plus lourdes (Free Mobile et Free) sanctionnent un défaut de sécurité, comme celles de France Travail, d’IQVIA et de l’hôpital de la Loire : 52,5 millions d’euros à elles cinq. Les cookies restent sanctionnés (7 millions d’euros pour FNAC Darty), mais ne font plus l’essentiel du total. En 2025, la CNIL avait déjà reçu 6 167 notifications de violations, un record, dont une sur deux liée à un piratage.

Les mesures manquantes sont presque toujours les mêmes : authentification forte, journaux analysés, habilitations limitées. Chez France Travail, la CNIL relève que la plupart des mesures nécessaires figuraient dans les analyses d’impact de l’organisme, sans avoir été mises en œuvre.

Trois points de vigilance

1. Le petit montant n’est pas un petit risque. La procédure simplifiée vise les dossiers simples et part surtout de plaintes. En 2025, 14 organismes ont été sanctionnés pour n’avoir pas répondu à la CNIL ; en 2026, des médecins et des avocats ont vu leur astreinte liquidée faute de réponse.

2. L’anonymisation se prouve. IQVIA soutenait que ses données étaient anonymes. La formation restreinte les a jugées seulement pseudonymes : un identifiant unique par patient et le croisement avec des données publiques rendaient la réidentification possible par des moyens raisonnables.

3. Les prestataires sont dans le périmètre. À l’Hôpital privé de la Loire, les médecins libéraux se connectaient sans VPN ni authentification multifacteur. En décembre 2025, un sous-traitant a écopé d’un million d’euros pour avoir conservé les données des utilisateurs de son client après la fin du contrat et les avoir utilisées hors de ses instructions.

Ce qu’une direction doit faire avant 2027

1. Imposer l’authentification multifacteur sur tous les accès distants et les comptes à privilèges, prestataires et partenaires compris.
2. Faire analyser les journaux : des alertes sur les extractions massives, testées, et un responsable nommé pour y répondre.
3. Revoir les habilitations : chacun n’accède qu’aux dossiers qu’il traite, avec une revue au moins annuelle.
4. Auditer le recrutement : outils de tri automatisé, information des candidats, durées de conservation. Les obligations de l’AI Act sur les systèmes à haut risque, dont l’emploi, s’appliqueront le 2 décembre 2027 (UE · Commission européenne), et la CNIL présente ce thème comme le prélude à son futur rôle de surveillance dans le champ du travail.
5. Tenir un registre des demandes de droits, avec le délai d’un mois et la preuve de la réponse.
6. Répondre à la CNIL dans les délais, même quand la demande paraît mineure.
7. Vérifier vos bandeaux cookies : refuser doit être aussi simple qu’accepter.

En 2026, la CNIL ne demande plus si vous avez une politique de sécurité, mais si elle fonctionne.

La question à poser lundi matin

À votre RSSI et à votre DPO : « Si la CNIL contrôlait demain nos accès distants, nos journaux et nos outils de recrutement, que trouverait-elle ? »