Le 13 janvier 2026, la CNIL a infligé 42 millions d'euros à Free et Free Mobile pour une sécurité des données défaillante, la sanction la plus lourde de son histoire pour un manquement de ce type (CNIL, délibérations SAN-2026-001 et SAN-2026-002). Six semaines plus tôt, l'Indiana, le Kentucky et le Rhode Island faisaient entrer en vigueur trois nouvelles lois de protection des données (Koley Jessen, janvier 2026), et à Bruxelles, le règlement sur l'IA venait de voir la moitié de son calendrier réécrit par le Digital Omnibus (CSA Research, juillet 2026).
Si votre entreprise vend en France, dans l'UE, ou traite des données de clients américains ou britanniques, vous ne faites pas face à un seul texte qui évolue mais à trois calendriers réglementaires distincts qui bougent simultanément, sans coordination entre eux. Un programme de conformité construit uniquement autour du RGPD tel qu'il existait en 2024 rate déjà, à l'été 2026, une bonne partie de ce qui détermine réellement votre exposition.
Points clés à retenir
➤ La CNIL a prononcé 486,8 millions d'euros de sanctions en 2025, un record, et a ouvert 2026 par une amende de 42 millions d'euros contre Free et Free Mobile pour défaut de sécurité, avant de dépasser 47 millions d'euros de sanctions cumulées sur le seul premier trimestre (CNIL ; Legiscope, bilan T1 2026).
➤ Depuis le 19 mars 2026, 25 autorités de protection des données européennes, dont les autorités françaises, mènent une action coordonnée sur les obligations de transparence et d'information des articles 12 à 14 du RGPD, avec un rapport consolidé attendu fin 2026 (EDPB, mars 2026).
➤ Trois nouveaux États américains (Indiana, Kentucky, Rhode Island) ont fait entrer en vigueur leurs lois de protection des données au 1er janvier 2026, portant à une vingtaine le nombre d'États dotés d'une loi complète, chacune avec ses propres seuils et délais (IAPP, janvier 2026).
➤ Le Digital Omnibus a repoussé au 2 décembre 2027 l'échéance des obligations pour les systèmes d'IA à haut risque autonomes de l'annexe III, initialement fixée au 2 août 2026, mais n'a pas touché aux obligations de transparence de l'article 50, actives depuis cette même date (CSA Research).
Pourquoi 2026 n'est pas une année de réglage fin
Depuis 2018, la plupart des entreprises françaises ont géré leur conformité comme un chantier ponctuel : mettre en œuvre le RGPD, ajuster la politique de cookies, former les équipes, puis maintenir. 2026 rompt ce schéma sur trois fronts à la fois. Le premier est l'application : la CNIL est passée d'une posture pédagogique à des sanctions record, avec un doublement du montant moyen des amendes en deux ans. Le deuxième est la refonte réglementaire elle-même : le Digital Omnibus touche simultanément le RGPD, la directive ePrivacy et le règlement IA, ce qui n'était jamais arrivé depuis l'adoption du RGPD en 2016. Le troisième est la fragmentation géographique : chaque État américain qui adopte sa propre loi, le Royaume-Uni qui fait vivre son propre régime post-Brexit, l'Inde qui prépare sa mise en œuvre par phases, ajoutent chacun une variable distincte à surveiller, sans qu'aucune de ces évolutions ne s'aligne sur le calendrier des autres.
Pour une entreprise qui opère uniquement en France, la tentation est de se concentrer sur le RGPD et la CNIL et de traiter le reste comme un problème pour plus tard. C'est risqué dès qu'un site e-commerce vend au Royaume-Uni ou aux États-Unis, dès qu'un outil marketing partage des données avec des systèmes soumis au RGPD et à une loi étatique américaine en même temps, ou dès qu'un chatbot déployé en France tombe sous le coup de l'article 50 du règlement IA indépendamment de toute question de protection des données personnelles.
Ce qui change en France et dans l'Union européenne
La CNIL a changé de registre, pas seulement de montants
Sanction simplifiée : une procédure de sanction accélérée de la CNIL, plafonnée à 20 000 euros, utilisée pour les manquements les plus fréquents et les moins complexes à instruire.
L'année 2025 a marqué un tournant quantitatif avec 486,8 millions d'euros de sanctions cumulées, portées notamment par deux amendes prononcées le 1er septembre 2025 contre Google (325 millions d'euros) et Shein (150 millions d'euros) pour dépôt de cookies sans consentement valable (CNIL, communiqué du 4 septembre 2025). 2026 a commencé sur la même trajectoire : le 13 janvier, Free et Free Mobile ont été sanctionnés à hauteur respective de 15 et 27 millions d'euros pour rétention excessive de données de contrats résiliés, mesures de sécurité insuffisantes et information incomplète des personnes concernées, à la suite d'une intrusion ayant exposé les données de 24 millions de comptes (CNIL). Le 22 janvier, France Travail a été sanctionné à hauteur de 5 millions d'euros pour un manquement similaire à l'article 32 du RGPD, après une intrusion par ingénierie sociale survenue au premier trimestre 2024 (CNIL). Le bilan du premier trimestre 2026 dépassait déjà 47 millions d'euros de sanctions, la sécurité des données étant devenue, à elle seule, le premier motif de sanction devant la CNIL.
Depuis le début de l'année, la CNIL a également renforcé sa surveillance automatisée des bandeaux de cookies à l'aide d'un robot qui contrôle en continu leur conformité sur les sites français, ce qui explique la multiplication des sanctions simplifiées, souvent inférieures à 6 000 euros, mais désormais bien plus fréquentes qu'auparavant (Witik, 2026). Un bandeau de cookies qui respecte réellement la règle du refus aussi accessible que l'acceptation n'est plus seulement une bonne pratique : c'est la première ligne de défense contre un contrôle automatisé qui ne fait aucune distinction entre une PME et un grand compte.
Pour son programme de contrôle 2026, la CNIL a retenu trois thématiques prioritaires : le recrutement (vérification de la conformité des pratiques trois ans après son guide de janvier 2023, avec un accent sur les systèmes de décision automatisée et les durées de conservation), le répertoire électoral unique, et les fédérations sportives (August Debouzy, 2026). La cybersécurité représenterait, selon plusieurs cabinets d'avocats suivant le dossier, jusqu'à la moitié des contrôles menés cette année, une conséquence directe des 6 167 violations de données notifiées à la CNIL en 2025, en hausse de 9,5 % par rapport à 2024, dont une sur deux liée à une cyberattaque.
Une action coordonnée européenne cible directement vos mentions d'information
Coordinated Enforcement Framework (CEF) : un dispositif par lequel le Comité européen de la protection des données (CEDP, ou EDPB en anglais) choisit chaque année un thème que les autorités nationales intègrent volontairement, mais de façon coordonnée, à leurs contrôles habituels.
Le 19 mars 2026, l'EDPB a lancé son action CEF 2026 consacrée à la transparence et à l'information au titre des articles 12 à 14 du RGPD, avec la participation de 25 autorités de protection des données à travers l'Europe (EDPB). Concrètement, cela signifie que les autorités nationales, la CNIL comprise, envoient des questionnaires ciblés et mènent des vérifications spécifiques pour savoir si les mentions d'information affichées aux personnes concernées correspondent réellement aux traitements effectués, et non à une version générique jamais mise à jour depuis la mise en conformité initiale. Un rapport consolidé est attendu d'ici la fin de l'année.
La différence avec un contrôle classique est la probabilité : une thématique CEF ne change rien au texte de la loi, mais elle change nettement la probabilité qu'une autorité vous adresse effectivement une demande précise cette année plutôt qu'une autre. Une politique de confidentialité qui n'a pas été révisée depuis l'ajout d'un nouvel outil d'analytics, ou une notice qui ne mentionne pas un sous-traitant récemment intégré, est un point de contrôle concret pour 2026, pas un risque théorique.
Le Digital Omnibus rebat le RGPD lui-même, pas seulement le règlement IA
Digital Omnibus : un paquet de réformes de la Commission européenne visant à simplifier plusieurs textes numériques en même temps, dont le RGPD, la directive ePrivacy et le règlement sur l'intelligence artificielle.
Deux volets avancent à des vitesses différentes. Le volet IA a déjà été adopté et a reporté au 2 décembre 2027 l'échéance des obligations pour les systèmes à haut risque autonomes de l'annexe III (recrutement, scoring de crédit, notation des salariés), initialement fixée au 2 août 2026 (CSA Research). Le volet données, lui, reste en négociation devant le Parlement européen et le Conseil : il propose notamment de faire dépendre la qualification de donnée personnelle de la capacité réelle du responsable de traitement à identifier la personne concernée, plutôt que d'une appréciation abstraite, ce qui faciliterait l'usage de données pseudonymisées pour l'entraînement de modèles d'IA, et d'intégrer les règles applicables aux cookies et traceurs directement dans le RGPD via un nouvel article 88a, mettant fin à la dépendance actuelle envers la directive ePrivacy (Dipeeo, 2026). L'EDPB et le Contrôleur européen de la protection des données ont publié en février 2026 un avis conjoint soutenant l'objectif de simplification, tout en réclamant des clarifications sur plusieurs points touchant à la définition même de donnée personnelle et à la finalité du traitement.
Rien de tout cela n'est encore du droit applicable pour la partie données. Une entreprise qui anticipe déjà le registre simplifié des traitements ou la liste unique européenne des AIPD obligatoires, avant l'adoption formelle, applique une règle qui n'existe pas encore et reste exposée à l'obligation actuelle, plus stricte.
En France, personne n'a encore tranché qui contrôle l'IA
La composante numérique du projet de loi DDADUE, qui doit conférer formellement à la CNIL sa compétence de surveillance de marché sur le règlement IA, a été validée par le Sénat le 17 et 18 février 2026 et transmise à l'Assemblée nationale, où son examen restait en cours à l'été 2026. Le schéma proposé confierait à la CNIL le rôle d'autorité de référence, avec une quinzaine d'autorités sectorielles en appui, dont la DGCCRF pour la consommation, l'Arcom pour les contenus audiovisuels et les deepfakes, et l'ACPR ainsi que l'AMF pour la banque, l'assurance et les marchés financiers. Cette fragmentation, et ce qu'elle signifie concrètement pour un chatbot ou un outil de contenu généré, est traitée en détail dans notre analyse dédiée à l'article 50 du règlement IA sur la transparence des chatbots et des deepfakes en France, qui va plus loin que ce que cet article peut couvrir sur ce point précis. Pour la vue d'ensemble complète de la mise en conformité au règlement IA lui-même, classification des risques et report du Digital Omnibus compris, notre guide de conformité AI Act 2026 pour les entreprises en France reste la référence à consulter.
Ce que cet article retient de ce point précis : l'absence de désignation définitive ne suspend aucune obligation. Les entreprises françaises restent tenues de respecter les obligations de transparence de l'article 50 depuis le 2 août 2026, quelle que soit l'autorité qui, in fine, instruira un manquement.
Ce qui change aux États-Unis, et pourquoi cela concerne une entreprise française
Une entreprise établie en France qui vend en ligne à des clients américains, ou dont un outil marketing traite des données de prospects américains, est concernée par le droit américain de la protection des données au même titre qu'une entreprise basée à Austin ou à Chicago, dès que les seuils d'application de la loi de l'État concerné sont atteints.
Trois nouvelles lois étatiques sont entrées en vigueur le 1er janvier 2026 : l'Indiana Consumer Data Protection Act, le Kentucky Consumer Data Protection Act et le Rhode Island Data Transparency and Privacy Protection Act, portant à environ une vingtaine le nombre d'États dotés d'un texte complet (IAPP). Les trois textes imposent des notices de confidentialité claires, un consentement explicite pour les catégories de données sensibles, des analyses d'impact pour les traitements à haut risque, et des droits d'accès, de rectification, de suppression et de portabilité pour les consommateurs. Les pénalités restent modérées comparées au RGPD : jusqu'à 7 500 dollars par violation en Indiana et au Kentucky, 10 000 dollars par violation au Rhode Island, appliquées par le procureur général de chaque État (Koley Jessen).
Le vrai coût opérationnel n'est pas le montant unitaire de la sanction mais la divergence entre les définitions. Ce qui compte comme donnée sensible, le périmètre exact du droit d'opt-out sur le profilage, les délais de réponse à une demande d'accès, varient d'un État à l'autre sans logique commune, ce qui interdit à une entreprise française de traiter les États-Unis comme une seule juridiction. Une entreprise qui applique mécaniquement son modèle de conformité CCPA californien à un client du Kentucky risque de sous-couvrir certaines obligations spécifiques à ce texte, ou d'en sur-appliquer d'autres qui n'y figurent pas.
Ce qui change au Royaume-Uni
Le Data (Use and Access) Act 2025 (DUAA), entré en vigueur par étapes depuis l'obtention de la sanction royale en juin 2025, poursuit son déploiement sur toute l'année 2026. Une première vague de dispositions est entrée en application le 20 août 2025, notamment sur les données Smart Data et la notification des violations au titre du PECR. Une deuxième vague, couvrant l'essentiel des réformes de fond en matière de protection des données, est devenue opérationnelle en février 2026. La dernière étape, prévue en juin 2026, impose notamment aux organisations de disposer d'un processus de traitement des réclamations conforme (Kennedys Law, 2026).
Pour une entreprise française qui traite des données de résidents britanniques, la conséquence pratique est double. D'abord, le régime britannique post-Brexit continue de s'écarter progressivement du RGPD, notamment sur les bases légales admises pour certains traitements de recherche et sur les règles de transfert international, ce qui interdit désormais de traiter le Royaume-Uni comme un simple prolongement du cadre européen. Ensuite, l'ICO publie sa propre doctrine par vagues successives, avec de nouvelles orientations attendues à l'hiver 2025-2026, puis au printemps et à l'été 2026, ce qui signifie qu'une politique de conformité figée au moment de l'adoption du texte sera déjà dépassée d'ici la fin de l'année.
Comparatif 2026 : trois régimes, trois logiques différentes
| Dimension | France / Union européenne | États-Unis (mosaïque d'États) | Royaume-Uni |
|---|---|---|---|
| Base légale du traitement | Consentement, intérêt légitime ou autre base RGPD, documentée par traitement | Opt-out par défaut pour la plupart des usages, opt-in requis pour les données sensibles | Proche du RGPD, avec des bases légales élargies pour la recherche scientifique sous le DUAA |
| Délai de réponse à une demande d'accès | Un mois, renouvelable une fois en cas de complexité | Généralement 45 jours, avec variations selon l'État (ex. Rhode Island) | Un mois, régime globalement inchangé par le DUAA |
| Règles sur les cookies et traceurs | Consentement préalable obligatoire, bouton de refus aussi visible que l'acceptation, contrôle CNIL automatisé | Droit d'opt-out sur la vente et le partage de données, pas de consentement préalable généralisé | Régime ePrivacy britannique proche du régime européen, réforme en discussion séparée |
| Transferts internationaux de données | Mécanismes de transfert (clauses contractuelles types, décisions d'adéquation) obligatoires hors UE/EEE | Pas de régime fédéral unifié, obligations contractuelles au cas par cas | Cadre d'adéquation propre au Royaume-Uni, distinct de celui de l'UE |
| Sanction maximale | Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial (RGPD) ; jusqu'à 35 M€ ou 7 % pour les pratiques d'IA interdites | 7 500 à 10 000 dollars par violation selon l'État, appliqué par le procureur général | Jusqu'à 17,5 millions de livres ou 4 % du chiffre d'affaires mondial |
| Nouveauté marquante 2026 | Digital Omnibus (RGPD et règlement IA), action CEF sur la transparence, autorité IA française encore fragmentée | Trois nouveaux États au 1er janvier, seuils et définitions non harmonisés | Dernière vague du DUAA en juin, doctrine ICO publiée par étapes |
Ce que cela signifie concrètement pour préparer le reste de 2026
Une gouvernance du consentement qui tient sur plusieurs juridictions à la fois. Un bandeau de cookies pensé uniquement pour la France ne couvre ni les exigences d'opt-out américaines, ni les nuances introduites par le DUAA britannique. La bonne approche consiste à documenter, traitement par traitement, quelle base légale s'applique dans quelle juridiction, plutôt que d'appliquer une seule logique à l'ensemble des visiteurs.
Une revue systématique des mentions d'information, avant qu'une autorité ne la demande. L'action CEF 2026 sur la transparence rend cette revue urgente pour toute entreprise dont la politique de confidentialité n'a pas été mise à jour depuis l'intégration d'un nouvel outil, d'un nouveau sous-traitant ou d'un nouveau système d'IA.
Une cartographie des données qui rattache chaque traitement à sa juridiction et à sa base légale. Sans cette cartographie, il devient impossible de répondre rapidement à une demande de la CNIL, d'un procureur général américain ou de l'ICO, chacun avec ses propres délais et son propre formalisme. Les entreprises qui ont déjà investi dans une cartographie des données RGPD disposent d'une base directement réutilisable pour cet exercice multi-juridictionnel, à condition de l'étendre aux définitions spécifiques de chaque texte étranger.
Documenter cela à la main dans des feuilles de calcul distinctes par pays cesse de tenir la route dès que l'inventaire dépasse deux ou trois juridictions actives. Le module Data Map & ROPA de la Secure Privacy & AI Governance Platform centralise le registre des traitements, capture la base légale et la juridiction applicables pour chaque flux de données, et calcule automatiquement le niveau de risque, plutôt que de vous laisser reconstruire ce lien à chaque nouvelle demande.
Une checklist de mise en conformité pour la deuxième moitié de 2026
- Vérifier que chaque politique de confidentialité et chaque bandeau de cookies reflète les traitements réellement en place, en anticipant une éventuelle demande CEF 2026 de la CNIL.
- Identifier les juridictions américaines où votre entreprise dépasse les seuils d'application d'une loi étatique (Indiana, Kentucky, Rhode Island compris), et documenter les droits spécifiques qu'elles créent.
- Suivre l'avancement du volet données du Digital Omnibus sans anticiper ses effets : le registre simplifié et la liste unique européenne des AIPD ne sont pas encore en vigueur.
- Confirmer, si votre activité couvre le Royaume-Uni, que votre processus de traitement des réclamations sera opérationnel avant l'échéance de juin 2026 du DUAA.
- Recenser les systèmes d'IA exposant du contenu généré ou un chatbot au public, pour vérifier leur conformité à l'article 50 du règlement IA, indépendamment du report des obligations à haut risque.
- Documenter, pour chaque violation de données potentielle, le délai de notification applicable dans chaque juridiction concernée : 72 heures pour le RGPD, des délais distincts et parfois plus courts pour certaines lois étatiques américaines.
- Réévaluer les mécanismes de transfert international utilisés vers les États-Unis et le Royaume-Uni séparément, ces deux cadres d'adéquation n'évoluant plus en parallèle.
Piloter cette liste à la main, juridiction par juridiction, dans des documents disjoints, est précisément le type de charge que les équipes conformité laissent s'accumuler jusqu'à ce qu'un contrôle révèle l'écart. La Secure Privacy & AI Governance Platform réunit dans un même tableau de bord la cartographie des données, la gestion des DSAR par juridiction, le suivi des risques, l'évaluation des fournisseurs et un module dédié à la gouvernance de l'IA, pour plus de 60 réglementations et plusieurs entités à la fois.
FAQ
Une entreprise française uniquement active en France doit-elle suivre les lois américaines et britanniques ?
Seulement si elle traite des données de résidents de ces pays, par exemple via des ventes en ligne, un outil marketing ciblant ces marchés, ou une filiale locale. Une entreprise strictement franco-française qui ne collecte aucune donnée de résidents américains ou britanniques reste hors du champ de ces textes.
Le Digital Omnibus a-t-il déjà simplifié le RGPD en 2026 ?
Non pour la partie données personnelles : ce volet reste en négociation devant le Parlement européen et le Conseil. Seul le volet touchant au règlement IA a été adopté, avec un report des obligations pour les systèmes à haut risque autonomes au 2 décembre 2027.
Qui contrôle la conformité au règlement IA en France aujourd'hui ?
Aucune désignation définitive n'existe encore à ce jour. Le Sénat a validé en février 2026 le volet numérique du projet de loi DDADUE, qui doit confier ce rôle à la CNIL en appui d'une quinzaine d'autorités sectorielles, mais l'examen par l'Assemblée nationale n'était pas achevé à l'été 2026.
L'action CEF 2026 de l'EDPB peut-elle donner lieu à une sanction directe ?
Elle vise avant tout à évaluer et à faire progresser la conformité, mais si une autorité nationale identifie un manquement caractérisé aux articles 12 à 14 du RGPD durant ses vérifications, rien n'empêche cette autorité d'ouvrir une procédure de sanction classique en parallèle du rapport CEF.
Pourquoi les nouvelles lois américaines de 2026 ne prévoient-elles pas des amendes aussi élevées que le RGPD ?
La plupart des lois étatiques américaines fixent des pénalités par violation constatée, de l'ordre de 7 500 à 10 000 dollars, appliquées par le procureur général de l'État plutôt que par une autorité de protection des données dédiée. Le RGPD, à l'inverse, calcule ses sanctions maximales en pourcentage du chiffre d'affaires mondial, ce qui explique l'écart d'ordre de grandeur.
Les obligations de transparence de l'article 50 du règlement IA s'appliquent-elles même si mon entreprise ne traite aucune donnée personnelle ?
Oui. L'article 50 impose une transparence sur la nature du système lui-même, indépendamment de la présence de données personnelles dans son fonctionnement. Un chatbot qui ne collecte aucune donnée personnelle reste soumis à l'obligation d'informer l'utilisateur qu'il interagit avec une IA.
Faut-il traiter le Royaume-Uni comme faisant toujours partie du cadre RGPD en 2026 ?
Non. Le Data (Use and Access) Act 2025 introduit des écarts progressifs avec le régime européen, notamment sur certaines bases légales de recherche et sur les mécanismes de transfert international, et sa dernière vague d'entrée en vigueur est prévue en juin 2026. Un programme de conformité qui traite le Royaume-Uni comme un simple sous-ensemble du RGPD accumule un décalage croissant.
Trois calendriers réglementaires qui bougent en même temps, sans se synchroniser, rendent la question à se poser en 2026 différente de celle des années précédentes : ce n'est plus seulement « sommes-nous conformes au RGPD », mais « pouvons-nous démontrer, juridiction par juridiction, quelle base légale, quel délai de réponse et quel mécanisme de transfert s'appliquent à chaque traitement, aujourd'hui ». La Secure Privacy & AI Governance Platform centralise la cartographie des données, la gestion des DSAR, le risque, les fournisseurs et la gouvernance de l'IA pour plus de 60 réglementations et plusieurs entités à la fois. Réservez une démonstration de 45 minutes pour voir comment y rattacher vos propres échéances de 2026.
