RGPD en 2024 : Nouvelles sanctions et bonnes pratiques

RGPD : comprendre les sanctions pour améliorer ses pratiques en 2026

Les sanctions ne servent pas seulement à rappeler que le RGPD existe. Elles montrent où la protection des données échoue concrètement : des accès trop ouverts, des informations conservées sans justification, une procédure d’incident inutilisable ou des demandes de personnes laissées sans réponse.

En novembre 2026, la bonne question n’est donc pas de savoir quel montant pourrait faire la une. Il faut identifier les écarts qui exposent votre organisation, puis démontrer que les corrections fonctionnent. Voici comment transformer les enseignements des contrôles en décisions opérationnelles, sans réduire la conformité à une collection de documents.

Ce que les sanctions récentes nous apprennent

Sécurité : les mesures prévues doivent réellement fonctionner

Dans sa publication du 14 janvier 2026, la CNIL annonce des amendes de 27 millions d’euros contre FREE MOBILE et de 15 millions d’euros contre FREE. Elle relève notamment une authentification insuffisamment robuste pour les accès VPN et des dispositifs inefficaces de détection des comportements anormaux.

Ces montants ne constituent pas un barème pour les autres entreprises. La leçon opérationnelle est ailleurs : déployer une solution ne prouve pas que le risque est maîtrisé. Vérifiez sa configuration, son périmètre et la manière dont une alerte déclenche une intervention.

Pour un accès distant, demandez une preuve d’authentification renforcée, la liste des comptes autorisés et le résultat d’un test de désactivation. Pour la journalisation, vérifiez qui examine les événements et comment une anomalie est traitée.

Conservation et information : deux obligations distinctes

La même publication relève, pour FREE MOBILE, une conservation excessive de données d’anciens abonnés. Elle souligne aussi, pour les deux sociétés, une information des personnes concernées qui ne comportait pas tous les éléments nécessaires.

Deux enseignements s’en dégagent. Une durée inscrite dans une politique doit se traduire par un tri et une suppression effectifs. Et un message envoyé après une violation doit permettre aux personnes de comprendre ses conséquences et les moyens de se protéger. Une communication rassurante mais incomplète ne remplace pas cette information.

Reprendre les fondamentaux sans automatisme

Les obligations mentionnées ci-dessous figurent dans le texte officiel du RGPD sur EUR-Lex. Leur mise en œuvre dépend de vos traitements, de vos responsabilités et des risques pour les personnes.

Associer chaque usage à une finalité et une base légale

L’article 6 prévoit plusieurs bases légales : le consentement n’est pas la réponse universelle. Pour chaque traitement, précisez l’objectif réel et la justification retenue. Évitez de confondre l’exécution d’un contrat avec tous les usages commerciaux possibles des données.

Examinez un formulaire concret. Quels champs sont nécessaires ? Qui reçoit les informations ? Le texte d’information correspond-il aux usages observés ? Les données sensibles peuvent nécessiter des conditions supplémentaires : une base légale générale ne suffit pas à régler toutes les situations.

Faire appliquer les durées de conservation

Le principe de limitation de la conservation figure à l’article 5. Définissez des durées justifiées par les finalités et les obligations applicables, plutôt qu’une durée unique pour toutes les informations.

Distinguez la base active, l’archivage intermédiaire et les sauvegardes. Pour chaque ensemble, identifiez le responsable de la suppression, les restrictions d’accès et les exceptions documentées. Testez un échantillon : une fiche arrivée à échéance a-t-elle réellement disparu des outils concernés ?

Organiser les droits des personnes

Selon l’article 12, la réponse intervient sans retard injustifié et, en principe, dans un délai d’un mois. Une prolongation de deux mois est possible lorsque la complexité ou le nombre de demandes le justifie ; la personne doit en être informée dans le premier mois, avec les motifs.

Prévoyez un point d’entrée visible, un responsable et un suivi des échéances. Vérifiez l’identité de manière proportionnée. Documentez aussi les refus ou limitations justifiés : une demande d’effacement ne conduit pas nécessairement à supprimer des informations soumises à une obligation légale de conservation.

Gouvernance : attribuer les décisions et garder les preuves

Ne présentez pas la désignation d’un DPO comme une obligation universelle. L’article 37 fixe les cas où elle est requise. Dans les autres situations, attribuez clairement la coordination de la protection des données et évaluez l’intérêt d’une désignation volontaire.

Pour les analyses d’impact, l’article 35 vise les traitements susceptibles d’engendrer un risque élevé. Documentez votre examen plutôt que de produire une AIPD pour chaque outil, ou de n’en faire aucune.

Votre dossier de suivi peut réunir :

• les finalités, responsables et catégories de données ;
• les décisions sur les accès et la conservation ;
• les contrats et instructions aux sous-traitants ;
• les contrôles réalisés et les écarts constatés ;
• les actions correctives, avec responsable, échéance et preuve.

La conformité RGPD devient ainsi un processus vérifiable, pas une déclaration annuelle.

Préparer la violation avant qu’elle survienne

L’article 33 prévoit une notification à l’autorité compétente, si possible dans les 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés. Un retard doit être motivé. Le sous-traitant avertit le responsable du traitement sans retard injustifié.

L’article 34 prévoit aussi, sous réserve des exceptions applicables, une information des personnes sans retard injustifié lorsqu’un risque élevé est probable. Les deux évaluations sont distinctes. Documentez les faits, les conséquences, les mesures et les décisions, y compris lorsqu’une notification n’est pas nécessaire.

Un plan de remise à niveau en cinq étapes

1. Choisir un traitement prioritaire. Commencez par celui dont une fuite ou une indisponibilité affecterait le plus les personnes.
2. Comparer documents et réalité. Faites décrire le parcours des données par les équipes qui utilisent les outils.
3. Fermer les écarts critiques. Réduisez les accès, corrigez les configurations et traitez les conservations injustifiées.
4. Tester un scénario complet. Simulez une demande d’accès puis une violation, avec les interlocuteurs réellement disponibles.
5. Vérifier les corrections. Exigez une preuve de fonctionnement et programmez une nouvelle revue après tout changement important.

Relier conformité et travail quotidien

Domyno associe une plateforme SaaS à un expert humain dédié : les agents préparent le travail, l’humain le valide. Le module Contrôles & conformité permet de structurer les preuves et les plans d’action ; le module Tiers & fournisseurs aide à organiser le suivi des prestataires. Ces outils soutiennent votre démarche sans transférer votre responsabilité réglementaire.

Pour voir comment organiser vos contrôles et leur validation humaine, demandez une démonstration.