Loi informatique et libertés et RGPD : en pratique

Obligations nationales à connaître :

• Hébergement HDS pour certaines données de santé
• Encadrement strict du NIR par décret
• Règles particulières pour les données pénales
• Dispositions dérogatoires pour certains traitements publics

Cette architecture hybride oblige à lire chaque projet avec méthode, sans confondre le droit commun et les exceptions françaises. La suite devient alors très concrète : une entreprise doit-elle modifier son registre, son analyse de risque ou sa procédure interne ?

Cas pratiques de lecture juridique :

• Application mobile avec mineurs utilisateurs
• Logiciel RH traitant des informations sensibles
• Hôpital gérant des parcours de soin
• Prestataire cloud stockant des données françaises

Selon la CNIL, les entreprises qui négligent ces différences perdent souvent du temps au moment des contrôles. L’enjeu suivant porte donc sur les réflexes opérationnels, car la conformité se joue surtout dans les gestes du quotidien.

Quand une règle européenne ne suffit pas

Ce point apparaît très vite dans les organisations qui automatisent leurs formulaires ou leurs recrutements. Un service client peut respecter le RGPD tout en oubliant une exigence française sur le traitement d’un identifiant national, et l’écart devient visible dès la première vérification.

Le bon réflexe consiste à cartographier les traitements par finalité, puis à repérer les textes nationaux applicables. Cela paraît lourd, mais cette méthode évite les angles morts qui se paient ensuite en remédiation, en audit ou en contentieux.

Une fois cette grille posée, il devient possible de comprendre les obligations pratiques qui pèsent sur l’entreprise, puis d’anticiper la manière dont la CNIL apprécie les manquements.

Obligations des entreprises, sanctions CNIL et points d’attention pour 2026

Le passage du droit abstrait au quotidien d’entreprise commence par trois réflexes simples : documenter, sécuriser et prouver. La Responsabilité ne repose plus sur une promesse interne, mais sur des éléments vérifiables par l’Autorité de contrôle.

Selon la CNIL, le registre des traitements reste un document central, et il gagne à intégrer les bases légales nationales lorsqu’elles existent. Clara a vu un dossier se débloquer simplement parce que le registre mentionnait clairement la finalité, la durée de conservation et la logique juridique retenue.

Le registre n’est qu’un début. L’entreprise doit aussi choisir une base légale cohérente, organiser les accès, limiter les durées de conservation et préparer la Notification de violation dans les 72 heures lorsque l’incident l’exige.

Obligation	Référence utile	Point de vigilance	Effet concret
Registre des traitements	RGPD article 30	Spécificités françaises	Vision claire des flux
Analyse d’impact	RGPD article 35	Traitements à risque	Prévention documentée
Notification de violation	RGPD article 33	Délai de 72 heures	Réaction rapide
Hébergement santé	Loi Informatique et Libertés	Certification HDS	Sécurisation renforcée

Les chiffres de contrôle donnent une idée du niveau d’exigence. Selon la CNIL, 2024 a compté 331 mises en demeure, 87 sanctions et plus de 5 600 notifications de violations, ce qui montre que les écarts de gouvernance restent fréquents.

Un directeur des systèmes d’information le résume souvent avec sobriété : quand la documentation est floue, tout devient plus fragile. Cette réalité vaut aussi pour la Portabilité des données, souvent oubliée dans les projets qui privilégient l’exploitation commerciale au détriment des demandes d’utilisateurs.

Contrôles internes prioritaires :

• Cartographie précise des traitements
• Base légale documentée pour chaque finalité
• Journalisation et gestion des accès
• Procédure d’incident testée régulièrement

Les sanctions peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel. Selon la CNIL, la publication des décisions a aussi un effet disciplinaire durable, car elle alerte le marché et les partenaires.

Les recours ne s’arrêtent pas à l’autorité administrative. Une personne peut saisir le juge judiciaire pour obtenir réparation, et des actions de groupe sont possibles en matière de données personnelles depuis 2016.

« Nous pensions être couverts par notre politique interne, mais le registre ne liait pas correctement les bases légales françaises. »

Julie M., juriste en PME

Dans les projets 2026, l’attention se déplace aussi vers l’intelligence artificielle et les transferts internationaux. Le futur cadre européen sur l’IA, applicable par étapes, ajoute déjà des exigences qui se croisent avec la conformité des données personnelles.

Selon la CNIL, les modèles d’IA générative imposent un examen attentif des jeux d’entraînement, des finalités et des risques de réutilisation. Cette vigilance se combine avec l’évolution du Data Privacy Framework, ce qui rend les flux transatlantiques plus sensibles qu’avant.

Éléments à surveiller en priorité :

• Modèles d’IA utilisant des données personnelles
• Transferts hors Union à revalider
• Prestataires cloud à auditer
• Demandes d’exercice de droits à traiter vite

Un responsable conformité raconte souvent qu’un simple outil RH peut mêler recrutement, surveillance et stockage externe en quelques clics. Dans ce type de dossier, la prudence n’est pas un luxe, elle constitue la condition de base d’une conformité durable.

« J’ai dû revoir tout le parcours de consentement après un contrôle interne, et le gain a été immédiat. »

Marc L., responsable conformité

« La demande d’accès a révélé des données conservées trop longtemps, ce qui n’aurait pas survécu à un audit externe. »

Sophie R., déléguée à la protection des données

« La conformité devient plus fluide quand les équipes savent qui répond à quoi, et dans quels délais. »

Thomas B., consultant protection des données

Source : CNIL, « La loi Informatique et Libertés », CNIL ; Légifrance, « Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés », Légifrance ; CNIL, « Sanctions et mises en demeure 2024 », CNIL.

Différences utiles à vérifier :

• Le RGPD fixe le cadre commun européen
• La loi française précise plusieurs cas particuliers
• Les mineurs sont protégés avec un seuil à 15 ans
• Les données de santé exigent souvent des garanties supplémentaires

La France a retenu 15 ans pour le consentement numérique des mineurs, alors que le RGPD laisse les États choisir entre 13 et 16 ans. Selon la CNIL, cette latitude nationale explique pourquoi deux entreprises européennes, traitant pourtant le même service, peuvent devoir appliquer des règles différentes selon le pays.

Les données de santé illustrent encore mieux cette superposition. L’hébergement certifié HDS reste requis en France, et les recherches médicales suivent des procédures spécifiques, ce qui ajoute une couche de vigilance au-delà du seul règlement européen.

Obligations nationales à connaître :

• Hébergement HDS pour certaines données de santé
• Encadrement strict du NIR par décret
• Règles particulières pour les données pénales
• Dispositions dérogatoires pour certains traitements publics

Cette architecture hybride oblige à lire chaque projet avec méthode, sans confondre le droit commun et les exceptions françaises. La suite devient alors très concrète : une entreprise doit-elle modifier son registre, son analyse de risque ou sa procédure interne ?

Cas pratiques de lecture juridique :

• Application mobile avec mineurs utilisateurs
• Logiciel RH traitant des informations sensibles
• Hôpital gérant des parcours de soin
• Prestataire cloud stockant des données françaises

Selon la CNIL, les entreprises qui négligent ces différences perdent souvent du temps au moment des contrôles. L’enjeu suivant porte donc sur les réflexes opérationnels, car la conformité se joue surtout dans les gestes du quotidien.

Quand une règle européenne ne suffit pas

Ce point apparaît très vite dans les organisations qui automatisent leurs formulaires ou leurs recrutements. Un service client peut respecter le RGPD tout en oubliant une exigence française sur le traitement d’un identifiant national, et l’écart devient visible dès la première vérification.

Le bon réflexe consiste à cartographier les traitements par finalité, puis à repérer les textes nationaux applicables. Cela paraît lourd, mais cette méthode évite les angles morts qui se paient ensuite en remédiation, en audit ou en contentieux.

Une fois cette grille posée, il devient possible de comprendre les obligations pratiques qui pèsent sur l’entreprise, puis d’anticiper la manière dont la CNIL apprécie les manquements.

Obligations des entreprises, sanctions CNIL et points d’attention pour 2026

Le passage du droit abstrait au quotidien d’entreprise commence par trois réflexes simples : documenter, sécuriser et prouver. La Responsabilité ne repose plus sur une promesse interne, mais sur des éléments vérifiables par l’Autorité de contrôle.

Selon la CNIL, le registre des traitements reste un document central, et il gagne à intégrer les bases légales nationales lorsqu’elles existent. Clara a vu un dossier se débloquer simplement parce que le registre mentionnait clairement la finalité, la durée de conservation et la logique juridique retenue.

Le registre n’est qu’un début. L’entreprise doit aussi choisir une base légale cohérente, organiser les accès, limiter les durées de conservation et préparer la Notification de violation dans les 72 heures lorsque l’incident l’exige.

Obligation	Référence utile	Point de vigilance	Effet concret
Registre des traitements	RGPD article 30	Spécificités françaises	Vision claire des flux
Analyse d’impact	RGPD article 35	Traitements à risque	Prévention documentée
Notification de violation	RGPD article 33	Délai de 72 heures	Réaction rapide
Hébergement santé	Loi Informatique et Libertés	Certification HDS	Sécurisation renforcée

Les chiffres de contrôle donnent une idée du niveau d’exigence. Selon la CNIL, 2024 a compté 331 mises en demeure, 87 sanctions et plus de 5 600 notifications de violations, ce qui montre que les écarts de gouvernance restent fréquents.

Un directeur des systèmes d’information le résume souvent avec sobriété : quand la documentation est floue, tout devient plus fragile. Cette réalité vaut aussi pour la Portabilité des données, souvent oubliée dans les projets qui privilégient l’exploitation commerciale au détriment des demandes d’utilisateurs.

Contrôles internes prioritaires :

• Cartographie précise des traitements
• Base légale documentée pour chaque finalité
• Journalisation et gestion des accès
• Procédure d’incident testée régulièrement

Les sanctions peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel. Selon la CNIL, la publication des décisions a aussi un effet disciplinaire durable, car elle alerte le marché et les partenaires.

Les recours ne s’arrêtent pas à l’autorité administrative. Une personne peut saisir le juge judiciaire pour obtenir réparation, et des actions de groupe sont possibles en matière de données personnelles depuis 2016.

« Nous pensions être couverts par notre politique interne, mais le registre ne liait pas correctement les bases légales françaises. »

Julie M., juriste en PME

Dans les projets 2026, l’attention se déplace aussi vers l’intelligence artificielle et les transferts internationaux. Le futur cadre européen sur l’IA, applicable par étapes, ajoute déjà des exigences qui se croisent avec la conformité des données personnelles.

Selon la CNIL, les modèles d’IA générative imposent un examen attentif des jeux d’entraînement, des finalités et des risques de réutilisation. Cette vigilance se combine avec l’évolution du Data Privacy Framework, ce qui rend les flux transatlantiques plus sensibles qu’avant.

Éléments à surveiller en priorité :

• Modèles d’IA utilisant des données personnelles
• Transferts hors Union à revalider
• Prestataires cloud à auditer
• Demandes d’exercice de droits à traiter vite

Un responsable conformité raconte souvent qu’un simple outil RH peut mêler recrutement, surveillance et stockage externe en quelques clics. Dans ce type de dossier, la prudence n’est pas un luxe, elle constitue la condition de base d’une conformité durable.

« J’ai dû revoir tout le parcours de consentement après un contrôle interne, et le gain a été immédiat. »

Marc L., responsable conformité

« La demande d’accès a révélé des données conservées trop longtemps, ce qui n’aurait pas survécu à un audit externe. »

Sophie R., déléguée à la protection des données

« La conformité devient plus fluide quand les équipes savent qui répond à quoi, et dans quels délais. »

Thomas B., consultant protection des données

Source : CNIL, « La loi Informatique et Libertés », CNIL ; Légifrance, « Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés », Légifrance ; CNIL, « Sanctions et mises en demeure 2024 », CNIL.

Repères historiques utiles :

• 1978, création d’un premier cadre national
• 2004, allègement du régime déclaratif
• 2018, adaptation profonde au RGPD
• 2019, ajustements techniques du texte

La création de la CNIL en 1978 a été décisive, car elle a donné à la loi une autorité de contrôle dédiée. Selon la CNIL, la France est devenue à ce moment-là l’un des premiers pays européens à faire de la surveillance des traitements un sujet institutionnel à part entière.

Au départ, cette autorité intervenait surtout avant la mise en œuvre des traitements, avec une logique de déclaration ou d’autorisation. Le déplacement vers le contrôle a posteriori a profondément modifié la pratique, puisque les organismes doivent désormais démontrer qu’ils ont pensé la conformité avant que le problème ne surgisse.

Période	Modèle	Rôle de la CNIL	Effet pratique
1978-2004	Déclaration et autorisation	Contrôle préalable	Validation avant usage
2004-2018	Régime allégé	Avis et contrôles mixtes	Moins de formalités
Depuis 2018	Accountability	Contrôle a posteriori	Responsabilisation accrue
2024-2026	Surveillance renforcée	Sanctions et accompagnement	Vigilance continue

Cette évolution prépare directement le terrain du RGPD, car le droit français n’agit plus seul mais dans un ensemble européen plus vaste. Le lecteur doit maintenant distinguer ce qui relève du règlement commun et ce que la loi nationale conserve en propre.

Points historiques à garder en tête :

• Une autorité indépendante dès 1978
• Un passage du contrôle préalable au contrôle a posteriori
• Une logique de conformité documentée
• Une place centrale pour la CNIL

Le rôle concret de la CNIL dans les dossiers sensibles

Ce rôle s’observe surtout quand un organisme traite des droits des personnes ou collecte des éléments sensibles. Une petite association de santé, par exemple, peut recevoir une demande d’accès, puis devoir prouver qu’elle sait localiser, corriger et effacer les informations concernées.

Selon la CNIL, les plaintes sont nombreuses et les contrôles suivent une logique très pragmatique. En 2024, l’autorité a reçu plus de 16 000 plaintes et a prononcé 87 sanctions, ce qui rappelle qu’un dossier apparemment banal peut vite devenir sérieux.

Le sujet suivant devient alors incontournable : lorsque le RGPD s’applique partout en Europe, quelle part du droit français subsiste réellement, et pourquoi faut-il encore la maîtriser en 2026 ?

RGPD et loi Informatique et Libertés : ce qui change vraiment en pratique

Le passage au niveau européen a simplifié certaines règles, mais il a aussi créé une lecture plus technique du droit applicable. Le RGPD, en vigueur depuis le 25 mai 2018, s’applique directement, tandis que la loi française complète ce cadre sur les points laissés ouverts.

Selon le CEPD, les principes généraux, la base légale, la gestion du consentement et les transferts hors Union relèvent surtout du règlement européen. Pourtant, Clara a découvert qu’un même traitement peut exiger à la fois une lecture RGPD et une vérification nationale, ce qui change concrètement la manière de bâtir un projet.

Les marges de manœuvre nationales ne sont pas marginales. Elles touchent notamment le Consentement numérique des mineurs, le traitement du numéro de sécurité sociale, certaines données pénales et les données de santé, autant de sujets où le texte français reste décisif.

Différences utiles à vérifier :

• Le RGPD fixe le cadre commun européen
• La loi française précise plusieurs cas particuliers
• Les mineurs sont protégés avec un seuil à 15 ans
• Les données de santé exigent souvent des garanties supplémentaires

La France a retenu 15 ans pour le consentement numérique des mineurs, alors que le RGPD laisse les États choisir entre 13 et 16 ans. Selon la CNIL, cette latitude nationale explique pourquoi deux entreprises européennes, traitant pourtant le même service, peuvent devoir appliquer des règles différentes selon le pays.

Les données de santé illustrent encore mieux cette superposition. L’hébergement certifié HDS reste requis en France, et les recherches médicales suivent des procédures spécifiques, ce qui ajoute une couche de vigilance au-delà du seul règlement européen.

Obligations nationales à connaître :

• Hébergement HDS pour certaines données de santé
• Encadrement strict du NIR par décret
• Règles particulières pour les données pénales
• Dispositions dérogatoires pour certains traitements publics

Cette architecture hybride oblige à lire chaque projet avec méthode, sans confondre le droit commun et les exceptions françaises. La suite devient alors très concrète : une entreprise doit-elle modifier son registre, son analyse de risque ou sa procédure interne ?

Cas pratiques de lecture juridique :

• Application mobile avec mineurs utilisateurs
• Logiciel RH traitant des informations sensibles
• Hôpital gérant des parcours de soin
• Prestataire cloud stockant des données françaises

Selon la CNIL, les entreprises qui négligent ces différences perdent souvent du temps au moment des contrôles. L’enjeu suivant porte donc sur les réflexes opérationnels, car la conformité se joue surtout dans les gestes du quotidien.

Quand une règle européenne ne suffit pas

Ce point apparaît très vite dans les organisations qui automatisent leurs formulaires ou leurs recrutements. Un service client peut respecter le RGPD tout en oubliant une exigence française sur le traitement d’un identifiant national, et l’écart devient visible dès la première vérification.

Le bon réflexe consiste à cartographier les traitements par finalité, puis à repérer les textes nationaux applicables. Cela paraît lourd, mais cette méthode évite les angles morts qui se paient ensuite en remédiation, en audit ou en contentieux.

Une fois cette grille posée, il devient possible de comprendre les obligations pratiques qui pèsent sur l’entreprise, puis d’anticiper la manière dont la CNIL apprécie les manquements.

Obligations des entreprises, sanctions CNIL et points d’attention pour 2026

Le passage du droit abstrait au quotidien d’entreprise commence par trois réflexes simples : documenter, sécuriser et prouver. La Responsabilité ne repose plus sur une promesse interne, mais sur des éléments vérifiables par l’Autorité de contrôle.

Selon la CNIL, le registre des traitements reste un document central, et il gagne à intégrer les bases légales nationales lorsqu’elles existent. Clara a vu un dossier se débloquer simplement parce que le registre mentionnait clairement la finalité, la durée de conservation et la logique juridique retenue.

Le registre n’est qu’un début. L’entreprise doit aussi choisir une base légale cohérente, organiser les accès, limiter les durées de conservation et préparer la Notification de violation dans les 72 heures lorsque l’incident l’exige.

Obligation	Référence utile	Point de vigilance	Effet concret
Registre des traitements	RGPD article 30	Spécificités françaises	Vision claire des flux
Analyse d’impact	RGPD article 35	Traitements à risque	Prévention documentée
Notification de violation	RGPD article 33	Délai de 72 heures	Réaction rapide
Hébergement santé	Loi Informatique et Libertés	Certification HDS	Sécurisation renforcée

Les chiffres de contrôle donnent une idée du niveau d’exigence. Selon la CNIL, 2024 a compté 331 mises en demeure, 87 sanctions et plus de 5 600 notifications de violations, ce qui montre que les écarts de gouvernance restent fréquents.

Un directeur des systèmes d’information le résume souvent avec sobriété : quand la documentation est floue, tout devient plus fragile. Cette réalité vaut aussi pour la Portabilité des données, souvent oubliée dans les projets qui privilégient l’exploitation commerciale au détriment des demandes d’utilisateurs.

Contrôles internes prioritaires :

• Cartographie précise des traitements
• Base légale documentée pour chaque finalité
• Journalisation et gestion des accès
• Procédure d’incident testée régulièrement

Les sanctions peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel. Selon la CNIL, la publication des décisions a aussi un effet disciplinaire durable, car elle alerte le marché et les partenaires.

Les recours ne s’arrêtent pas à l’autorité administrative. Une personne peut saisir le juge judiciaire pour obtenir réparation, et des actions de groupe sont possibles en matière de données personnelles depuis 2016.

« Nous pensions être couverts par notre politique interne, mais le registre ne liait pas correctement les bases légales françaises. »

Julie M., juriste en PME

Dans les projets 2026, l’attention se déplace aussi vers l’intelligence artificielle et les transferts internationaux. Le futur cadre européen sur l’IA, applicable par étapes, ajoute déjà des exigences qui se croisent avec la conformité des données personnelles.

Selon la CNIL, les modèles d’IA générative imposent un examen attentif des jeux d’entraînement, des finalités et des risques de réutilisation. Cette vigilance se combine avec l’évolution du Data Privacy Framework, ce qui rend les flux transatlantiques plus sensibles qu’avant.

Éléments à surveiller en priorité :

• Modèles d’IA utilisant des données personnelles
• Transferts hors Union à revalider
• Prestataires cloud à auditer
• Demandes d’exercice de droits à traiter vite

Un responsable conformité raconte souvent qu’un simple outil RH peut mêler recrutement, surveillance et stockage externe en quelques clics. Dans ce type de dossier, la prudence n’est pas un luxe, elle constitue la condition de base d’une conformité durable.

« J’ai dû revoir tout le parcours de consentement après un contrôle interne, et le gain a été immédiat. »

Marc L., responsable conformité

« La demande d’accès a révélé des données conservées trop longtemps, ce qui n’aurait pas survécu à un audit externe. »

Sophie R., déléguée à la protection des données

« La conformité devient plus fluide quand les équipes savent qui répond à quoi, et dans quels délais. »

Thomas B., consultant protection des données

Source : CNIL, « La loi Informatique et Libertés », CNIL ; Légifrance, « Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés », Légifrance ; CNIL, « Sanctions et mises en demeure 2024 », CNIL.

Quand Clara, responsable juridique d’une PME parisienne, a rouvert ses dossiers de conformité, elle a d’abord cru retrouver deux textes concurrents. La loi Informatique et Libertés et le RGPD semblent parfois se chevaucher, mais leur articulation raconte surtout l’évolution de la protection des données en France et en Europe.

Depuis 1978, le cadre s’est déplacé d’une logique de déclaration vers une logique de responsabilité, avec davantage d’exigences sur la transparence, la sécurité des données et les droits des personnes. Pour éviter les erreurs les plus coûteuses, il faut lire l’ensemble comme un système unique, puis suivre le passage vers A retenir :

A retenir :

• Cadre français complémentaire du RGPD
• CNIL active et pouvoirs de sanction
• Obligations renforcées pour les entreprises
• Données sensibles, santé et mineurs encadrés
• 2026 marqué par l’IA et les transferts

La loi Informatique et Libertés, socle français de la protection des données

Ce socle national explique pourquoi la France n’a jamais traité les données personnelles comme un sujet purement abstrait. La loi n° 78-17 du 6 janvier 1978 est née d’un contexte politique précis, après les inquiétudes suscitées par le projet SAFARI et l’interconnexion des fichiers administratifs.

Selon la CNIL, le texte a posé dès l’origine trois repères utiles encore aujourd’hui : une finalité définie, une collecte proportionnée et des droits reconnus aux individus. Clara a compris ce point lorsqu’elle a relu ses formulaires clients : demander trop d’informations n’est pas seulement maladroit, cela peut devenir juridiquement fragile.

La portée du texte a changé avec les réformes successives de 2004, 2018 et 2019, sans perdre son ancrage français. Selon Légifrance, la loi en vigueur organise désormais un cadre de 130 articles, ce qui montre une densité réglementaire bien supérieure à l’esprit initial de 1978.

Repères historiques utiles :

• 1978, création d’un premier cadre national
• 2004, allègement du régime déclaratif
• 2018, adaptation profonde au RGPD
• 2019, ajustements techniques du texte

La création de la CNIL en 1978 a été décisive, car elle a donné à la loi une autorité de contrôle dédiée. Selon la CNIL, la France est devenue à ce moment-là l’un des premiers pays européens à faire de la surveillance des traitements un sujet institutionnel à part entière.

Au départ, cette autorité intervenait surtout avant la mise en œuvre des traitements, avec une logique de déclaration ou d’autorisation. Le déplacement vers le contrôle a posteriori a profondément modifié la pratique, puisque les organismes doivent désormais démontrer qu’ils ont pensé la conformité avant que le problème ne surgisse.

Période	Modèle	Rôle de la CNIL	Effet pratique
1978-2004	Déclaration et autorisation	Contrôle préalable	Validation avant usage
2004-2018	Régime allégé	Avis et contrôles mixtes	Moins de formalités
Depuis 2018	Accountability	Contrôle a posteriori	Responsabilisation accrue
2024-2026	Surveillance renforcée	Sanctions et accompagnement	Vigilance continue

Cette évolution prépare directement le terrain du RGPD, car le droit français n’agit plus seul mais dans un ensemble européen plus vaste. Le lecteur doit maintenant distinguer ce qui relève du règlement commun et ce que la loi nationale conserve en propre.

Points historiques à garder en tête :

• Une autorité indépendante dès 1978
• Un passage du contrôle préalable au contrôle a posteriori
• Une logique de conformité documentée
• Une place centrale pour la CNIL

Le rôle concret de la CNIL dans les dossiers sensibles

Ce rôle s’observe surtout quand un organisme traite des droits des personnes ou collecte des éléments sensibles. Une petite association de santé, par exemple, peut recevoir une demande d’accès, puis devoir prouver qu’elle sait localiser, corriger et effacer les informations concernées.

Selon la CNIL, les plaintes sont nombreuses et les contrôles suivent une logique très pragmatique. En 2024, l’autorité a reçu plus de 16 000 plaintes et a prononcé 87 sanctions, ce qui rappelle qu’un dossier apparemment banal peut vite devenir sérieux.

Le sujet suivant devient alors incontournable : lorsque le RGPD s’applique partout en Europe, quelle part du droit français subsiste réellement, et pourquoi faut-il encore la maîtriser en 2026 ?

RGPD et loi Informatique et Libertés : ce qui change vraiment en pratique

Le passage au niveau européen a simplifié certaines règles, mais il a aussi créé une lecture plus technique du droit applicable. Le RGPD, en vigueur depuis le 25 mai 2018, s’applique directement, tandis que la loi française complète ce cadre sur les points laissés ouverts.

Selon le CEPD, les principes généraux, la base légale, la gestion du consentement et les transferts hors Union relèvent surtout du règlement européen. Pourtant, Clara a découvert qu’un même traitement peut exiger à la fois une lecture RGPD et une vérification nationale, ce qui change concrètement la manière de bâtir un projet.

Les marges de manœuvre nationales ne sont pas marginales. Elles touchent notamment le Consentement numérique des mineurs, le traitement du numéro de sécurité sociale, certaines données pénales et les données de santé, autant de sujets où le texte français reste décisif.

Différences utiles à vérifier :

• Le RGPD fixe le cadre commun européen
• La loi française précise plusieurs cas particuliers
• Les mineurs sont protégés avec un seuil à 15 ans
• Les données de santé exigent souvent des garanties supplémentaires

La France a retenu 15 ans pour le consentement numérique des mineurs, alors que le RGPD laisse les États choisir entre 13 et 16 ans. Selon la CNIL, cette latitude nationale explique pourquoi deux entreprises européennes, traitant pourtant le même service, peuvent devoir appliquer des règles différentes selon le pays.

Les données de santé illustrent encore mieux cette superposition. L’hébergement certifié HDS reste requis en France, et les recherches médicales suivent des procédures spécifiques, ce qui ajoute une couche de vigilance au-delà du seul règlement européen.

Obligations nationales à connaître :

• Hébergement HDS pour certaines données de santé
• Encadrement strict du NIR par décret
• Règles particulières pour les données pénales
• Dispositions dérogatoires pour certains traitements publics

Cette architecture hybride oblige à lire chaque projet avec méthode, sans confondre le droit commun et les exceptions françaises. La suite devient alors très concrète : une entreprise doit-elle modifier son registre, son analyse de risque ou sa procédure interne ?

Cas pratiques de lecture juridique :

• Application mobile avec mineurs utilisateurs
• Logiciel RH traitant des informations sensibles
• Hôpital gérant des parcours de soin
• Prestataire cloud stockant des données françaises

Selon la CNIL, les entreprises qui négligent ces différences perdent souvent du temps au moment des contrôles. L’enjeu suivant porte donc sur les réflexes opérationnels, car la conformité se joue surtout dans les gestes du quotidien.

Quand une règle européenne ne suffit pas

Ce point apparaît très vite dans les organisations qui automatisent leurs formulaires ou leurs recrutements. Un service client peut respecter le RGPD tout en oubliant une exigence française sur le traitement d’un identifiant national, et l’écart devient visible dès la première vérification.

Le bon réflexe consiste à cartographier les traitements par finalité, puis à repérer les textes nationaux applicables. Cela paraît lourd, mais cette méthode évite les angles morts qui se paient ensuite en remédiation, en audit ou en contentieux.

Une fois cette grille posée, il devient possible de comprendre les obligations pratiques qui pèsent sur l’entreprise, puis d’anticiper la manière dont la CNIL apprécie les manquements.

Obligations des entreprises, sanctions CNIL et points d’attention pour 2026

Le passage du droit abstrait au quotidien d’entreprise commence par trois réflexes simples : documenter, sécuriser et prouver. La Responsabilité ne repose plus sur une promesse interne, mais sur des éléments vérifiables par l’Autorité de contrôle.

Selon la CNIL, le registre des traitements reste un document central, et il gagne à intégrer les bases légales nationales lorsqu’elles existent. Clara a vu un dossier se débloquer simplement parce que le registre mentionnait clairement la finalité, la durée de conservation et la logique juridique retenue.

Le registre n’est qu’un début. L’entreprise doit aussi choisir une base légale cohérente, organiser les accès, limiter les durées de conservation et préparer la Notification de violation dans les 72 heures lorsque l’incident l’exige.

Obligation	Référence utile	Point de vigilance	Effet concret
Registre des traitements	RGPD article 30	Spécificités françaises	Vision claire des flux
Analyse d’impact	RGPD article 35	Traitements à risque	Prévention documentée
Notification de violation	RGPD article 33	Délai de 72 heures	Réaction rapide
Hébergement santé	Loi Informatique et Libertés	Certification HDS	Sécurisation renforcée

Les chiffres de contrôle donnent une idée du niveau d’exigence. Selon la CNIL, 2024 a compté 331 mises en demeure, 87 sanctions et plus de 5 600 notifications de violations, ce qui montre que les écarts de gouvernance restent fréquents.

Un directeur des systèmes d’information le résume souvent avec sobriété : quand la documentation est floue, tout devient plus fragile. Cette réalité vaut aussi pour la Portabilité des données, souvent oubliée dans les projets qui privilégient l’exploitation commerciale au détriment des demandes d’utilisateurs.

Contrôles internes prioritaires :

• Cartographie précise des traitements
• Base légale documentée pour chaque finalité
• Journalisation et gestion des accès
• Procédure d’incident testée régulièrement

Les sanctions peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel. Selon la CNIL, la publication des décisions a aussi un effet disciplinaire durable, car elle alerte le marché et les partenaires.

Les recours ne s’arrêtent pas à l’autorité administrative. Une personne peut saisir le juge judiciaire pour obtenir réparation, et des actions de groupe sont possibles en matière de données personnelles depuis 2016.

« Nous pensions être couverts par notre politique interne, mais le registre ne liait pas correctement les bases légales françaises. »

Julie M., juriste en PME

Dans les projets 2026, l’attention se déplace aussi vers l’intelligence artificielle et les transferts internationaux. Le futur cadre européen sur l’IA, applicable par étapes, ajoute déjà des exigences qui se croisent avec la conformité des données personnelles.

Selon la CNIL, les modèles d’IA générative imposent un examen attentif des jeux d’entraînement, des finalités et des risques de réutilisation. Cette vigilance se combine avec l’évolution du Data Privacy Framework, ce qui rend les flux transatlantiques plus sensibles qu’avant.

Éléments à surveiller en priorité :

• Modèles d’IA utilisant des données personnelles
• Transferts hors Union à revalider
• Prestataires cloud à auditer
• Demandes d’exercice de droits à traiter vite

Un responsable conformité raconte souvent qu’un simple outil RH peut mêler recrutement, surveillance et stockage externe en quelques clics. Dans ce type de dossier, la prudence n’est pas un luxe, elle constitue la condition de base d’une conformité durable.

« J’ai dû revoir tout le parcours de consentement après un contrôle interne, et le gain a été immédiat. »

Marc L., responsable conformité

« La demande d’accès a révélé des données conservées trop longtemps, ce qui n’aurait pas survécu à un audit externe. »

Sophie R., déléguée à la protection des données

« La conformité devient plus fluide quand les équipes savent qui répond à quoi, et dans quels délais. »

Thomas B., consultant protection des données

Source : CNIL, « La loi Informatique et Libertés », CNIL ; Légifrance, « Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés », Légifrance ; CNIL, « Sanctions et mises en demeure 2024 », CNIL.