La moitié des contrôles de 2026
portera sur la sécurité.
Le rapport publié le 18 mai 2026 change la nature du sujet : ce n’est plus un constat sur l’année écoulée, c’est un calendrier de contrôles. Pour une petite entreprise, deux annonces comptent plus que tous les chiffres records.
Les deux annonces qui changent la donne
La première : la moitié des contrôles et des actions répressives de l’année 2026 sera consacrée à la sécurité des données. Ce n’est plus une thématique parmi d’autres, c’est la priorité dominante de la régulation.
La seconde, moins commentée mais plus lourde de conséquences pour une TPE : les prestataires de taille modeste sont désormais sanctionnés, pas uniquement les grands groupes. Le raisonnement de l’autorité est constant depuis deux ans : les violations impliquent souvent un sous-traitant.
Comment lire le montant des amendes
Le passage de 55,2 millions à près de 487 millions d’euros en un an est spectaculaire, et il est exact. Il mérite pourtant une précaution de lecture.
Ce total est porté par un petit nombre de décisions très lourdes visant de grandes organisations. Un montant global dominé par quelques sanctions ne renseigne pas sur le risque encouru par une entreprise de dix personnes.
Ce qui concerne une petite structure figure ailleurs dans le rapport : 323 contrôles menés, 259 décisions rendues, dont 143 mises en demeure. La mise en demeure, beaucoup plus fréquente que l’amende, est l’issue la plus probable d’un contrôle.
Deux ans de chronologie
Le premier record
5 629 violations notifiées, 55,2 millions d’euros d’amendes, et un doublement du nombre d’incidents touchant plus d’un million de personnes.
Les consignes sur les grandes bases
La CNIL publie ses recommandations de sécurité pour les organismes gérant de grandes bases : authentification multifacteur, journalisation des accès, sensibilisation, encadrement des prestataires.
Une année de tous les records
6 167 violations notifiées, 20 150 plaintes, 323 contrôles, 259 décisions dont 143 mises en demeure et 83 sanctions.
Publication du rapport annuel
Le total des amendes atteint près de 487 millions d’euros, contre 55,2 millions un an plus tôt. Une violation sur deux relève d’un piratage.
Les thématiques de contrôle annoncées
Le recrutement est visé en priorité, avec les systèmes de décision automatisée, l’information des candidats et les durées de conservation. Un référentiel sur les durées de conservation des données du personnel est publié dans la foulée.
La moitié des contrôles sur la sécurité
La CNIL annonce consacrer la moitié de ses contrôles et de ses actions répressives à la sécurité des données, avec vérification de la double authentification sur les grandes bases.
Les failles constamment exploitées
Elles n’ont pas changé d’une année sur l’autre, et c’est ce qui rend le sujet frustrant : les mêmes portes restent ouvertes.
La ligne sur les prestataires est celle qui a le plus évolué dans le discours de l’autorité. Elle rejoint directement le constat que nous faisions à propos des vols de données passant par des intégrations tierces.
Ce qui sera contrôlé en 2026
Les priorités sont explicites, ce qui permet de s’y préparer plutôt que de les subir.
- Les organismes ayant subi une violation de données sont ciblés en premier.
- Les secteurs traitant massivement des données, y compris sensibles.
- La présence effective de l’authentification multifacteur sur les grandes bases.
- Les collectivités territoriales, déjà fortement contrôlées l’année précédente.
- Le recrutement : décision automatisée, information des candidats, durées de conservation.
- L’encadrement contractuel des sous-traitants et la réalité des accès accordés.
L’autorité indique par ailleurs travailler en coordination avec l’agence nationale de sécurité et le parquet spécialisé pour les suites pénales des cas les plus graves. La conséquence d’une négligence ne se limite donc plus à une sanction administrative.
Ce qu’il faut avoir fait
Quatre chantiers, tous accessibles à une petite structure, et tous vérifiables lors d’un contrôle.
Activer la double authentification partout où un accès distant existe : messagerie, administration du site, outils de gestion, espace bancaire. C’est la mesure la plus efficace et la moins coûteuse de la liste.
Tenir à jour la liste des prestataires ayant accès aux données, avec le périmètre de chacun et le contrat qui l’encadre. C’est le premier document demandé lors d’un contrôle.
Vérifier que les sauvegardes existent, qu’elles sont rangées hors du serveur qu’elles protègent, et surtout qu’elles se restaurent : sujet développé dans notre page sur la sauvegarde et la sécurité.
Enfin, savoir où sont hébergées les données et sous quel droit, ce qui relève du choix d’infrastructure traité dans serveurs en France et dans l’hébergement web et la maintenance.
Ce qu’on nous demande le plus souvent.
Combien de violations de données ont été notifiées en 2025 ?
6 167, soit une hausse de 9,5 % sur un an et le record absolu depuis la création du registre. Le premier trimestre 2026 est déjà au-dessus du même trimestre de 2025, avec plus de 2 730 notifications. Une violation sur deux relève d’un piratage.
La double authentification est-elle obligatoire ?
Elle l’est devenue en pratique pour les organismes gérant de grandes bases de données. Après des recommandations publiées au printemps 2025 et un délai d’adaptation, la CNIL annonce des contrôles sur ce point tout au long de 2026. Toute base de plus d’un million de personnes est concernée.
Une petite entreprise est-elle vraiment contrôlée ?
Oui, et c’est le changement de 2026. La CNIL sanctionne désormais aussi des prestataires de taille modeste, pas seulement de grands groupes. Les organismes ayant subi une violation sont ciblés en priorité, quelle que soit leur taille.
Le montant record des amendes signifie-t-il un risque accru pour tous ?
Pas mécaniquement. Le total de 487 millions d’euros en 2025, contre 55,2 millions en 2024, est porté par un petit nombre de décisions très lourdes. Un total dominé par quelques sanctions ne dit rien du risque moyen encouru par une TPE : ce qui la concerne, ce sont les mises en demeure et les contrôles, bien plus nombreux.
Que faut-il faire en priorité ?
Activer la double authentification sur tous les accès distants, tenir la liste des prestataires ayant accès aux données, journaliser les accès aux bases sensibles, et vérifier que les sauvegardes se restaurent. Ce sont exactement les quatre points sur lesquels portent les recommandations.
Que faire en cas de fuite de données ?
La notification à la CNIL est obligatoire dans les 72 heures lorsque la violation présente un risque pour les personnes. Ce délai court à partir du moment où vous en prenez connaissance, pas de celui où l’incident s’est produit. Anticiper la procédure évite de la découvrir un vendredi soir.
- Rapport annuel de la Commission nationale de l’informatique et des libertés portant sur l’année 2025, publié le 18 mai 2026.
- Recommandations de sécurité applicables aux organismes gérant de grandes bases de données, publiées au printemps 2025.
- Thématiques de contrôle prioritaires annoncées le 3 avril 2026 et référentiel sur les durées de conservation des données du personnel, avril 2026.
- Analyses juridiques et sectorielles du rapport publiées entre mai et juillet 2026.
- Règlement général sur la protection des données, obligation de notification dans les 72 heures.
WY-Créations conçoit des sites internet et construit des stratégies de visibilité pour les artisans, les TPE, les PME et les professions libérales depuis 2018. Cet article rend compte d’un rapport public et ne constitue pas un conseil juridique. Pour aller plus loin : la sauvegarde et la sécurité, les serveurs en France ou notre politique de confidentialité.
La double authentification est-elle active partout ?
Messagerie, administration du site, outils de gestion : la mesure la plus contrôlée en 2026 est aussi la plus simple à mettre en place.