La semaine dernière, un pote qui gère une petite boîte de e-commerce m’appelle en panique parce qu’il vient de recevoir un courrier de la CNIL. Rien de dramatique au final (juste une demande d’explications sur son formulaire de contact), mais ça m’a rappelé un truc : huit ans après son entrée en vigueur, le RGPD reste un sujet que tout le monde croit maîtriser jusqu’au jour où il se prend un rappel à l’ordre. Et 2026, franchement, c’est l’année où ça se resserre pour de bon.

Depuis janvier, la CNIL a prononcé 23 nouvelles sanctions rien qu’au titre de la procédure simplifiée — celle qui permet de taper vite et discrètement sur les doigts sans passer par la formation restreinte. C’est énorme quand on y pense, parce que ce sont surtout des PME, des assos, des sites qui se croyaient sous le radar. Et le pire, c’est que la plupart de ces sanctions concernent des trucs basiques : cookies mal configurés, durées de conservation floues, mentions d’information copiées-collées d’un autre site (oui oui, ça arrive plus qu’on ne le croit, un peu comme quand on tombe sur des sites de jeu qui recyclent la même page de CGU en changeant juste le nom — les croupiers en direct de Dublinbet par exemple ont pris la peine de rédiger leurs propres politiques, et ça se voit tout de suite à la lecture).

Le truc c’est que la conformité RGPD, en 2026, ce n’est plus du tout la même bête qu’en 2018.

À l’époque, tout le monde s’agitait pour mettre à jour son registre des traitements et sa politique de confidentialité, et une fois que c’était fait, hop, on classait le dossier. Sauf que le règlement est vivant. La jurisprudence évolue, les lignes directrices du Comité européen se précisent, et surtout la CNIL affine sa doctrine sur des sujets qui n’existaient même pas il y a cinq ans. L’IA générative, pour ne citer qu’elle, a complètement redistribué les cartes.

D’ailleurs, sur l’IA justement, les recommandations récentes de la CNIL sont intéressantes mais posent un vrai souci de compatibilité avec certaines interprétations strictes du règlement. En gros, la CNIL essaie de faciliter la vie des acteurs qui entraînent des modèles (base légale de l’intérêt légitime, anonymisation partielle des jeux de données, etc.) mais certains juristes lèvent un sourcil parce que ça flirte avec les limites de ce que le texte autorise vraiment. Perso, je trouve que c’est un exercice d’équilibriste courageux — personne d’autre en Europe n’a osé se mouiller autant — mais oui, ça va se jouer devant les tribunaux dans les mois qui viennent. Faut pas se leurrer.

Un autre point qui est passé sous les radars et qui pourtant change des choses concrètes au quotidien : la précision apportée sur le contenu de l’information à communiquer en cas de violation de données. Avant, on pouvait s’en tirer avec un mail vague expliquant qu’un « incident » avait eu lieu. Maintenant c’est fini. La personne concernée doit recevoir une description claire de la nature de la violation, des catégories de données touchées, des conséquences probables et des mesures prises. En vrai c’est logique — si mes données bancaires fuitent, j’ai envie de savoir ce qui a fuité exactement, pas juste « des données ».

Et puis il y a des questions carrément philosophiques qui commencent à émerger. Genre : est-ce que le fœtus est une personne concernée au sens du RGPD ? Ça a l’air théorique dit comme ça, mais quand vous pensez aux données médicales prénatales, aux tests génétiques, aux applis de suivi de grossesse qui collectent une quantité folle d’informations sur un être humain en devenir, la question devient très très concrète. Un peu comme ces expériences numériques inattendues qui surgissent là où on ne les attendait pas, certains débats juridiques finissent par s’imposer dans des domaines qu’on croyait hors de portée du droit. Pour l’instant la réponse penche vers le non (le RGPD parle de « personne physique identifiée ou identifiable », ce qui suppose la naissance) mais je serais pas surpris qu’on voie ce débat revenir sur la table dans les prochaines années.

Bref, si vous gérez un site, une boutique en ligne, une asso, un cabinet, n’importe quoi qui touche à des données perso, mon conseil c’est de reprendre votre documentation dès maintenant. Pas dans trois mois. Maintenant. Vérifiez que vos bandeaux cookies sont conformes aux dernières lignes directrices (spoiler : « tout accepter » doit être aussi facile à cliquer que « tout refuser », et sinon vous êtes déjà dans l’illégalité). Regardez vos durées de conservation — est-ce que vous gardez vraiment vos prospects sept ans dans votre CRM « au cas où » ? Faites un vrai audit de vos sous-traitants, parce que la CNIL commence à taper sur les responsables de traitement qui ne vérifient pas leurs prestataires. Autant dire que dans un monde où même un nouveau format de compétition demande des heures de décryptage pour être compris, la conformité RGPD n’est clairement pas quelque chose que l’on improvise.

Et honnêtement, le plus dur dans tout ça, c’est pas la technique. C’est de sortir de l’idée que le RGPD est une case à cocher. C’est un processus continu. Les boîtes qui ont compris ça dorment tranquilles. Les autres attendent leur lettre recommandée.

Mon pote, lui, a fini par payer un DPO externalisé à mi-temps. Il râle sur le coût mais il dort mieux. C’est peut-être ça la vraie leçon de 2026.