Le droit du numérique ne se résume plus à un corpus théorique sur la protection des données personnelles. Nous observons depuis deux ans un basculement net vers l’enforcement, avec des sanctions qui ciblent des manquements opérationnels précis : gestion des demandes d’effacement, interfaces de consentement aux cookies, sécurité des bases de données de santé. Ce durcissement modifie la cartographie des risques pour toute organisation qui traite des données en ligne.
Sanctions CNIL et droit à l’effacement : ce qui a changé depuis 2025
La CNIL a sanctionné la société EXTIA le 21 juillet 2026 pour des manquements liés à la gestion des demandes de suppression de données et à des violations des droits des personnes. Ce type de décision marque un tournant : le droit à l’effacement devient un motif autonome de sanction, et non plus un grief accessoire dans un dossier plus large.
Pour les responsables de traitement, la conséquence directe porte sur l’architecture des workflows internes. Un processus de suppression qui repose sur un traitement manuel, sans traçabilité ni délai formalisé, expose désormais à une mise en demeure rapide. Nous recommandons de documenter chaque demande d’exercice de droit dans un registre horodaté, avec un circuit de validation qui ne dépasse pas le délai réglementaire d’un mois.
Les ressources juridiques compilées sur le site BackUpYourBrain permettent de suivre cette évolution jurisprudentielle, notamment sur les obligations concrètes des sous-traitants face aux demandes d’accès et d’effacement.
Cookies et consentement : la fin des interfaces trompeuses
En novembre 2025, la CNIL a prononcé une amende de 500 000 euros pour des manquements liés aux cookies. Le grief principal visait les mécanismes de refus dégradés, ces interfaces où le bouton « Tout accepter » est mis en avant tandis que le refus nécessite plusieurs clics supplémentaires.
Les dark patterns de consentement constituent un risque financier direct. La tendance ne se limite pas à la France : au niveau européen, la question de la compétence sur les dark patterns fait l’objet de discussions entre Bruxelles et les autorités nationales.
RGPD : la réforme procédurale européenne de 2027
Le GDPR Procedural Regulation, adopté en 2025, entre en application à partir de 2027. Ce texte ne modifie pas les principes du RGPD, mais transforme la manière dont les plaintes transfrontalières sont traitées par les autorités de contrôle.
Trois changements structurels méritent attention :
- Des délais d’instruction contraignants sont imposés aux autorités chefs de file, ce qui devrait réduire les procédures qui s’éternisent parfois sur plusieurs années entre la CNIL, l’autorité irlandaise (DPC) ou la BfDI allemande.
- Les droits de défense des entreprises mises en cause sont renforcés, avec un accès formalisé au dossier et des garanties procédurales harmonisées à l’échelle de l’Union.
- Le mécanisme de coopération entre autorités est revu pour éviter les blocages politiques qui ont paralysé certains dossiers majeurs impliquant des plateformes technologiques.
Pour les juristes d’entreprise, cette réforme impose d’anticiper dès maintenant la structuration des réponses aux plaintes transfrontalières. Un dossier mal préparé face à une autorité de contrôle étrangère ne bénéficiera plus de la lenteur procédurale comme filet de sécurité.
Données de santé et sécurité des systèmes d’information
Un hôpital privé de Saint-Étienne a été sanctionné par la CNIL après le vol de données concernant plusieurs centaines de milliers de patients. Le manquement identifié portait sur un point technique précis : un seul compte utilisateur permettait d’accéder à l’ensemble des dossiers patients, sans cloisonnement ni contrôle d’accès granulaire.
Ce cas illustre un problème récurrent dans le secteur de la santé. Les établissements disposent souvent de systèmes d’information anciens où la gestion des habilitations n’a pas évolué avec le volume de données traitées. La CNIL ne sanctionne pas la cyberattaque elle-même, mais l’insuffisance des mesures techniques et organisationnelles préalables.
Obligations concrètes pour les responsables de traitement en santé
Le minimum attendu par la CNIL repose sur des principes connus mais insuffisamment appliqués : cloisonnement des accès par service, journalisation des connexions, révision périodique des comptes actifs. L’absence de politique de moindre privilège constitue un manquement sanctionnable, indépendamment de la survenance d’un incident.
Les établissements de santé qui externalisent tout ou partie de leur infrastructure doivent aussi vérifier que leurs sous-traitants respectent ces exigences. Le contrat de sous-traitance au sens de l’article 28 du RGPD ne suffit pas : la CNIL attend des audits effectifs et documentés.
Intelligence artificielle et protection des données : le cadre qui se construit
Le AI Act européen impose de nouvelles contraintes sur les systèmes d’IA qui traitent des données personnelles, en particulier pour les systèmes classés à haut risque. Le croisement entre RGPD et AI Act crée une zone de conformité complexe où les bases légales de traitement, les analyses d’impact et les obligations de transparence se superposent.
Nous observons que les organisations qui déploient des outils d’IA générative sous-estiment souvent la question de la base légale du traitement des données d’entraînement. Le consentement est rarement mobilisable à cette échelle. L’intérêt légitime suppose une balance des intérêts documentée, que la plupart des fournisseurs ne mettent pas à disposition de leurs clients.
Pour les directions juridiques, la priorité porte sur la cartographie des flux de données entre l’IA et les bases existantes. Un registre des traitements qui ignore les traitements liés à l’IA est incomplet, et cette lacune sera probablement ciblée par les prochains contrôles.
Le droit du numérique se densifie sur tous les fronts : enforcement renforcé côté CNIL, réforme procédurale européenne, convergence RGPD-AI Act. Les organisations qui attendent les sanctions pour adapter leurs processus accumulent un risque juridique et financier que la temporalité réglementaire ne permet plus d’absorber.