CNIL 2026 : contrôles prioritaires et sanctions qui visent les PME

Les sanctions de la CNIL ne visent pas que les géants du numérique. En 2026, l’autorité a multiplié les décisions à quelques milliers d’euros contre des commerces, des cabinets et des associations, le plus souvent après une plainte. Cet article présente les thèmes de contrôle annoncés pour 2026, la procédure simplifiée qui concerne directement les PME, les décisions publiées cette année et les points à vérifier avant un contrôle.

Ce que la CNIL a annoncé pour 2026

Chaque année, la CNIL annonce des thématiques prioritaires qui représentent environ 20 % de ses contrôles. Le 3 avril 2026, elle en a retenu trois. Le recrutement d’abord : prise de décision automatisée, information des candidats et durées de conservation, avec en ligne de mire les grandes entreprises et les cabinets de recrutement. Le répertoire électoral unique ensuite, fichier tenu par l’INSEE dont la CNIL veut vérifier les usages. Les fédérations et clubs sportifs enfin, qui traitent des données de santé et celles de nombreux mineurs, et dont le secteur a été visé par des attaques informatiques. La CNIL participe aussi à une action coordonnée européenne sur la transparence de l’information donnée aux personnes.

Le signal le plus important pour une PME se trouve dans le rapport annuel 2025, publié le 18 mai 2026 : la CNIL y indique qu’elle consacrera en 2026 la moitié de ses contrôles et de ses actions répressives à la sécurité des données. En 2025, elle avait reçu 20 150 plaintes, mené 323 contrôles et prononcé 83 sanctions pour environ 487 millions d’euros ; les manquements à la sécurité représentaient un tiers des contrôles et près de 30 % des sanctions. La CNIL précise enfin que la thématique recrutement préfigure son futur rôle d’autorité de surveillance du marché pour les outils d’IA dans le champ du travail, au titre du règlement européen sur l’IA.

La procédure simplifiée, l’outil qui touche les petites structures

Depuis 2022, la CNIL dispose d’une procédure simplifiée pour les dossiers sans difficulté juridique particulière. Le président de la formation restreinte, ou un membre qu’il désigne, décide seul. L’amende ne peut pas dépasser 20 000 €, et le nom de l’organisme n’est pas rendu public. C’est précisément l’outil qui touche les petites structures. Le 6 juillet 2026, la CNIL a dressé le bilan : 23 sanctions simplifiées depuis janvier 2026, dont 19 issues de plaintes, pour 133 750 € d’amendes cumulées. Les secteurs cités vont de la restauration rapide au transport urbain, en passant par les commerces en gare, la billetterie en ligne, le télémarketing, des avocats et des médecins.

Les manquements reviennent toujours. La vidéosurveillance excessive des salariés, avec des caméras qui filment les postes de travail en permanence, ou un dispositif installé sans autorisation préfectorale. Les cookies déposés avant tout consentement, ou un refus plus difficile à exprimer que l’acceptation. Les demandes d’accès ou d’effacement restées sans réponse, qui ont donné lieu à 8 sanctions, dont 4 doublées d’un défaut de coopération. Et l’absence de réponse aux courriers de la CNIL elle-même, qui a conduit à des amendes, puis à des injonctions, puis à la liquidation d’astreintes.

Les sanctions de 2026 qui ressemblent à votre entreprise

La liste des sanctions publiée par la CNIL décrit chaque organisme par son activité, sans le nommer quand la procédure est simplifiée. Les décisions suivantes, toutes prononcées en 2026 en procédure simplifiée, donnent une idée précise des situations visées et des montants.

Ces montants paraissent modestes à côté des amendes à plusieurs millions, mais ils s’accompagnent souvent d’une injonction sous astreinte, d’une procédure qui mobilise le dirigeant pendant des mois, puis d’une liquidation d’astreinte si l’injonction n’est pas suivie d’effet. La décision du 2 avril 2026 illustre un cumul fréquent dans les petites structures : des caméras qui filment en continu, un contrat de sous-traitance absent et aucune analyse d’impact. Celle du 26 mars 2026 sur l’hébergement de tourisme rappelle que l’encadrement contractuel des sous-traitants est contrôlé au même titre que la collecte elle-même.

Les grandes sanctions de 2026 : la sécurité des données

La formation restreinte, en procédure ordinaire, a aussi rendu en 2026 des décisions lourdes qui concernent toutes les entreprises par ricochet. Le 8 janvier 2026, elle a sanctionné deux opérateurs de téléphonie liés, l’un mobile, l’autre fixe, de 27 millions et 15 millions d’euros à la suite d’une violation de données survenue en octobre 2024 : conservation excessive des données d’anciens abonnés, sécurité insuffisante des accès, information incomplète des personnes. Le 22 janvier 2026, un établissement public administratif a été sanctionné de 5 millions d’euros pour des manquements à la sécurité. Deux décisions du 21 juillet 2026, rendues publiques en septembre, ont visé un hôpital privé dont un seul compte compromis a suffi à extraire les données de plus de 500 000 patients, et une société de conseil qui avait laissé sans suite la majorité des demandes d’effacement reçues en 2024.

La leçon est la même pour une PME : les contrôles de sécurité annoncés pour 2026 porteront sur des mesures élémentaires, comme l’authentification des accès externes, la gestion des habilitations, la détection des activités suspectes et l’information des personnes après une fuite. Si l’incident survient malgré tout, la manière de réagir compte autant que la faille : nous l’expliquons dans comment réagir face à une fuite de données personnelles.

Ce qu’une PME doit vérifier avant un contrôle

Un dirigeant peut vérifier cinq points en une matinée. Les caméras : où filment-elles, les salariés et le public ont-ils été informés, existe-t-il une autorisation préfectorale pour la voie publique, un panneau d’information et une durée de conservation définie. Le site web : le bandeau cookies permet-il de refuser aussi facilement que d’accepter, et aucun traceur publicitaire n’est-il déposé avant le choix du visiteur ; notre guide sur la conformité RGPD des cookies en 2026 détaille les réglages attendus. Les demandes des personnes : qui reçoit une demande d’accès ou d’effacement, et répond-on dans le délai d’un mois. Les sous-traitants : chaque prestataire qui traite des données pour votre compte (hébergeur, logiciel de paie, agence) a-t-il signé un contrat conforme à l’article 28 du RGPD. La sécurité : comptes individuels, authentification multifacteur sur les accès à distance, sauvegardes testées, procédure de notification d’une violation à la CNIL.

Dernier point, le plus simple et le plus souvent négligé : répondez aux courriers de la CNIL. Le défaut de coopération est sanctionné en lui-même, et il transforme un dossier à 3 000 € en une injonction sous astreinte. Pour structurer l’ensemble, appuyez-vous sur notre checklist de conformité RGPD pour 2026.

Questions fréquentes

Sources

• CNIL — « Les contrôles en 2026 : recrutement, répertoire électoral unique et fédérations sportives » (3 avril 2026)
• CNIL — « La CNIL a prononcé 23 nouvelles sanctions depuis janvier au titre de la procédure simplifiée » (6 juillet 2026)
• CNIL — « Les sanctions prononcées par la CNIL », liste des décisions 2026 (état au 14 avril 2026)