En 2026, le RGPD entre dans une phase de maturité plus exigeante. Les principes sont connus depuis plusieurs années et la pédagogie des autorités a largement précédé la sanction. Le bilan de celles-ci appliquées par la CNIL a d’ailleurs été multiplié par 9 en 2025. La conformité au RGPD devient un vrai sujet stratégique et un enjeu qui engage la responsabilité des directions générales.
Bilan des sanctions CNIL 2025 : des montants multipliés par 9
Les chiffres parlent d’eux-mêmes. En 2025, la CNIL a prononcé :
- 259 décisions (contre 331 en 2024)
- 83 sanctions
- 143 mises en demeure
- 486,8 millions d’euros d’amendes cumulées
Si le nombre de décisions a baissé, le montant total des amendes est en revanche neuf fois supérieur à celui de 2024 (55,2 M€). Deux décisions concentrent à elles seules 98 % des montants : 325 millions d’euros contre Google pour avoir inséré de la publicité dans Gmail sans consentement explicite et 150 millions d’euros contre Shein pour avoir déposé des cookies publicitaires sans consentement..
Le message est clair : le non-respect des règles n’est plus toléré.
Mais limiter l’analyse aux géants du numérique serait une erreur. 19 autres organismes ont été sanctionnés pour des manquements similaires. La CNIL considère désormais que cinq ans après la publication de ses lignes directrices sur les cookies, aucun acteur ne peut ignorer ses obligations.
Cookies, vidéosurveillance, sécurité : les principaux motifs de sanction
Le bilan 2025 met en évidence trois grandes catégories de manquements.
Les cookies et le consentement
Dépôt de traceurs sans consentement explicite, information insuffisante ne permettant pas un consentement éclairé, impossibilité réelle de refuser ou de retirer son accord : ces pratiques ont donné lieu à 21 sanctions. Les autorités rappellent que la conformité des bannières cookies ne relève pas du détail technique. Elle concerne directement le traitement licite des données.
La vidéosurveillance des salariés
16 organismes ont été sanctionnés pour surveillance abusive au travail. La CNIL rappelle un principe fondamental : la vidéosurveillance permanente des salariés constitue une atteinte disproportionnée à leur vie privée, sauf circonstances exceptionnelles dûment justifiées.
Filmer en continu des postes de caisse ou des bureaux expose quasi systématiquement à une sanction.
La sécurité des données et le non-respect des droits
Trois motifs dominent dans les procédures de sanction simplifiées :
- Sécurité insuffisante (mots de passe faibles, comptes partagés, absence de mesures techniques adaptées)
- Non-coopération avec la CNIL
- Non-respect des droits des personnes (demandes d’accès, d’effacement ou d’opposition ignorées)
Autrement dit, les manquements ne relèvent pas uniquement de stratégies complexes de data marketing. Ils concernent aussi des négligences organisationnelles.
Sanctions CNIL 2026 : vers un durcissement structurel du RGPD
En 2026, le RGPD ne change pas de philosophie, mais son application se durcit. Les autorités exigent désormais une preuve continue de conformité et les contrôles devraient continuer de se renforcer.
Plusieurs évolutions sont à surveiller :
- Renforcement des exigences de cybersécurité (authentification forte, journalisation des accès, gestion stricte des habilitations)
- Encadrement plus précis des sous-traitants et audits contractuels renforcés
- Intégration progressive des règles ePrivacy dans le RGPD pour clarifier le cadre des cookies
- Articulation accrue entre RGPD, IA Act, Data Act et futurs textes numériques
Pour les entreprises, cela signifie qu’un projet data ou IA ne peut plus être pensé uniquement sous l’angle technique. La conformité devient transversale, intégrée à la gouvernance globale.
Pourquoi toutes les entreprises sont concernées
Une idée reçue persiste : seules les grandes plateformes seraient exposées.
Or le bilan de la CNIL démontre l’inverse. PME, associations, professionnels libéraux, candidats politiques, structures sociales : les sanctions touchent tous les secteurs.
Les manquements sanctionnés sont souvent liés à une cartographie des traitements obsolète, des registres incomplets, des contrats de sous-traitants insuffisamment encadrés, une gestion approximative des habilitations ou un défaut de sensibilisation interne
Former pour prévenir : la conformité RGPD passe par la sensibilisation
Le durcissement des sanctions de la CNIL en 2026 ne doit pas être perçu uniquement comme un risque financier. Il constitue un signal stratégique.
La protection des données est désormais au croisement de la conformité réglementaire, la cybersécurité, la réputation de l’entreprise et la confiance des clients et des collaborateurs.
Mettre à jour ses procédures ne suffit pas. Les autorités rappellent régulièrement que les négligences humaines restent l’une des premières causes de violation.
Former les équipes devient donc un levier central de maîtrise du risque.
Chez Albacombee, notre expert en Cybersécurité Romain Ranson accompagne, conseille et forme vos équipes vers la conformité opérationnelle.
