Les sites web continuent de commettre des erreurs fréquentes concernant la protection des données et la confidentialité, malgré les obligations existantes. Ces manquements exposent les organisations à des risques juridiques, financiers et d’image lorsqu’ils persistent.
En 2026, la CNIL accentue les contrôles et précise ses attentes autour du RGPD et de la sécurité des données pour les acteurs numériques. Les points suivants synthétisent les enjeux concrets et orientent les actions pratiques à prioriser.
A retenir :
- Mise en place du MFA pour bases de données sensibles
- Registre des traitements actualisé et analyses d’impact documentées
- Traçabilité du consentement pour cookies, prospection et usages numériques
- Mesures adaptées pour la protection des mineurs en ligne
CNIL 2025-2028 : priorités qui concernent les sites web
Les éléments précédents mettent en lumière des priorités opérationnelles que les sites doivent intégrer rapidement. Selon la CNIL, l’autorité concentrera son action sur l’intelligence artificielle, la cybersécurité et la protection des mineurs. Ces orientations impliquent des exigence pratiques pour les responsables de traitement et pour leurs sous-traitants.
Actions concrètes et guides seront proposés pour accompagner les organismes, mais les contrôles augmenteront en intensité. Selon le plan stratégique, l’accompagnement ira de pair avec des vérifications ciblées visant les traitements à risque élevé. Cette évolution appelle à une priorisation claire des chantiers de conformité.
Actions clés CNIL :
- Vérifications ciblées sur IA et traitements massifs de données
- Renforcement des exigences en matière de sécurité des accès
- Audits sur applications mobiles et traceurs in-app
- Contrôles sur la protection des mineurs et consentement adapté
Priorité CNIL
Risque ciblé
Mesures attendues
Exemples pratiques
IA
Entraînement sur données personnelles
Minimisation, transparence, base légale
Traçage des sources d’entraînement
Cybersécurité
Fuites massives, accès non autorisés
MFA, journalisation, sauvegardes testées
Habilitations strictes, MFA sur accès sensibles
Mineurs
Collectes non adaptées, ciblage
Information adaptée, consentement ou contrôle parental
Paramètres par défaut limités pour enfants
Mobile & identité
SDK tiers, permissions excessives
Audit apps, contrôle des traceurs
Révision des SDK et permissions
IA et responsabilité des sites
La priorité IA implique des obligations précises pour qui collecte ou utilise des données personnelles à des fins d’entraînement. Selon la CNIL, il faut documenter la base légale, limiter les données utilisées et garantir les droits des personnes concernées. Concrètement, cela signifie des analyses d’impact rigoureuses et des garanties techniques sur les jeux de données.
Un exemple simple illustre le risque : un modèle entraîné sans anonymisation peut révéler des informations sensibles. Les équipes produit doivent alors intégrer la protection des données dès la conception des services, y compris pour l’IA générative. Cette exigence rejoint naturellement la nécessité de renforcer la sécurité des accès techniques.
Protection des mineurs et obligations pratiques
La focalisation sur les mineurs implique des mesures spécifiques pour les sites et applications concernés par des publics jeunes. Selon Le Parisien, des contrôles ciblés ont déjà révélé des pratiques non conformes sur des plateformes fréquentées par des enfants. Les organismes doivent donc adapter l’information et le recueil du consentement en conséquence.
Des exemples concrets valent mieux qu’un long discours : une appli éducative devra réduire les traceurs et obtenir un consentement parental lorsqu’il est requis. Ces actions s’inscrivent dans un cadre légal renforcé et préparent le passage aux obligations techniques abordées ensuite.
Sécurité des données : obligations pratiques et authentification renforcée
Les priorités précédentes mettent une pression accrue sur la sécurité des données pour les sites, qui doivent démontrer des mesures effective. Selon la CNIL, l’absence de MFA sur des bases sensibles pourra justifier des procédures correctrices dès 2026. Cette exigence transforme la gestion des accès en point central de conformité.
Mesures de sécurité :
- Authentification multifacteur systématique sur accès sensibles
- Journalisation et surveillance des accès aux bases
- Sauvegardes régulières et tests de restauration
- Contrôle strict des sous-traitants et contrats à jour
MFA et gestion des accès
La mise en place du MFA répond à un risque concret d’accès frauduleux aux données sensibles. Selon la CNIL, l’absence de cette mesure sur des bases critiques pourra conduire à des sanctions. En pratique, il faut inventorier les accès, définir des politiques d’habilitation et déployer des outils robustes.
Un responsable informatique raconte son expérience vécue lors d’un contrôle récent, qui a conduit à revoir toute la gestion des accès. « J’ai dû renforcer nos procédures et déployer le MFA sur les comptes administrateurs après un audit », a expliqué le responsable. Ces retours d’expérience soulignent la nécessité d’actions rapides et traçables.
« J’ai dû renforcer nos procédures et déployer le MFA sur les comptes administrateurs après un audit »
Marie L.
Une vidéo explicative aide les équipes à comprendre les étapes techniques et organisationnelles de ce déploiement. L’illustration vidéo montre des cas pratiques et des checklists pour les équipes.
Audit des applications mobiles
Le ciblage des applications mobiles par la CNIL signifie une attention accrue sur les traceurs et SDK intégrés aux apps. Selon Mondaq, les audits mobiles doivent vérifier les autorisations demandées, la présence de traceurs et la conformité des bandeaux. Les développeurs doivent documenter ces choix et limiter les collectes par défaut.
Un audit mobile permet d’identifier les SDK tiers non nécessaires et de réduire l’empreinte de collecte sur les appareils. Les mesures correctives vont de la suppression de traceurs à la modification des paramètres par défaut pour protéger les utilisateurs. Cette démarche prépare la phase suivante relative aux cookies et consentement.
Sanctions, cookies et preuve du consentement pour les sites
La montée en puissance des contrôles se traduit par une exigence renforcée sur la preuve de conformité, notamment pour les cookies et la prospection. Selon la CNIL, les dépôts de traceurs avant consentement et les bandeaux manipulatoires restent des motifs fréquents de sanction. La traçabilité du consentement devient donc un impératif.
Vérifications cookies :
- Preuve horodatée du choix de l’utilisateur pour chaque consentement
- Paramétrage par défaut respectueux de la vie privée
- Élimination des traceurs non essentiels après refus
- Interface utilisateur claire pour accepter ou refuser
Cookies et consentement traçable
La CNIL sanctionne encore les dispositifs qui posent des cookies avant obtention du consentement valide. Selon Le Parisien, des contrôles récents ont confirmé la persistance de ces pratiques sur certains sites. Il faut donc mettre en place des mécanismes techniques permettant d’enregistrer et d’exporter les consentements de manière fiable.
Conformité cookie
Problème observé
Action recommandée
Consentement non horodaté
Impossibilité de prouver l’accord
Enregistrer horodatage et origine du consentement
Traceurs avant refus
Dépôt illégal de cookies
Bloquer les traceurs avant acceptation
Bandeaux manipulateurs
Refus rendu difficile
UI équilibrée avec choix équivalent
Durées de conservation excessives
Conservation non justifiée
Définir durées limitées et justifiées
Sanctions et coopération avec la CNIL
La CNIL considère désormais la non-coopération comme un manquement susceptible d’aggraver une sanction. Selon la CNIL, répondre rapidement est une preuve de sérieux et diminue le risque de mesures correctrices. Les organisations doivent donc nommer un DPO ou un référent joignable pour fournir les éléments requis.
Un témoignage illustre la conséquence pratique d’une mauvaise coopération lors d’un contrôle, avec obligations de mise en conformité imposées rapidement. « Notre association a été contrôlée et cela a changé nos procédures internes » a rapporté un responsable. Cette expérience montre l’intérêt de documenter chaque étape du chantier conformité.
« Notre association a été contrôlée et cela a changé nos procédures internes »
Jean P.
« La preuve écrite de conformité est devenue la meilleure défense lors d’un contrôle »
Sophie M.
« La CNIL vérifie maintenant les mesures techniques et organisationnelles de façon pragmatique »
Antoine R.
Source : CNIL, « Le RGPD, c’est maintenant : les changements à retenir », CNIL, 30 octobre 2025 ; Le Parisien, « Cookies et données personnelles : Il y a encore … », Le Parisien, 2024 ; Mondaq, « Se préparer à une influence croissante de la CNIL », Mondaq, 2025.
