Le message de la CNIL sur les technologies de traçage se précise : qu’ils soient intégrés dans un courriel ou mobilisés au sein d’une application mobile, les dispositifs permettant de suivre l’activité des utilisateurs ne peuvent s’affranchir des règles relatives au consentement.
Après sa recommandation d’avril 2026 sur les pixels de suivi dans les courriels, l’autorité vient en effet illustrer une nouvelle fois sa vigilance en sanctionnant deux sociétés du groupe Fnac Darty à hauteur de 7 millions d’euros (6 millions d’euros à l’encontre de la société FNAC DARTY PARTICIPATIONS ET SERVICES et 1 million d’euros à l’encontre de la société FNAC DIRECT).
En cause : l’utilisation de traceurs sur l’application mobile sans recueil préalable du consentement des utilisateurs.
Nous vous informions dans notre bulletin de janvier 2026 de la sanction de 5 millions d’euros prononcée par la CNIL à l’encontre de France Travail, assortie d’une injonction de mise en conformité de ses dispositifs de sécurité. Les manquements constatés concernaient en effet principalement l’insuffisance des mesures techniques et organisationnelles destinées à garantir la sécurité des données personnelles, au regard de l’article 32 du RGPD.
Dix mois après cette décision, la CNIL a annoncé, le 8 octobre 2026, la clôture de l’injonction, après avoir constaté la mise en œuvre des mesures correctrices demandées.
Le 3 septembre dernier, la CNIL a prononcé une amende de 500 000 € à l’encontre de l’Hôpital privé de la Loire, à l’issue d’un contrôle portant notamment sur la sécurité des données traitées par l’établissement. Une intrusion dans le dossier d’un patient avait permis à un attaquant d’accéder à près de 525 000 dossiers patients.
Des mesures de sécurité jugées insuffisantes
La CNIL a notamment relevé l’absence de VPN et d’authentification multifacteur (MFA) pour l’accès au dossier patient informatisé, ainsi qu’une gestion des habilitations ne permettant pas de limiter suffisamment l’accès aux données couvertes par le secret médical.
Par délibération rendue le 21 juillet 2026, publiée le 9 septembre, la formation restreinte de la CNIL sanctionne la société EXTIA, société de conseil spécialisée dans les métiers de l’informatique et de l’ingénierie, d’une amende de 300 000 euros pour non-respect des droits des personnes, en particulier au regard de plusieurs manquements relatifs au droit à l’effacement (« droit à l’oubli ») et à l’obligation de transparence, tels que prévus par les articles 12 et 17 du RGPD.
Par cette sanction, la CNIL rappelle ainsi, une nouvelle fois, que le respect des droits des personnes ne se limite pas à la mise en place de procédures internes mais qu’il implique également leur traitement effectif, a fortiori dans le respect des délais prévus par le RGPD, ainsi que l’information des personnes sur les suites données à leurs demandes.
Le 22 juillet 2026, la CNIL publié une page de questions/réponses consacrée aux pixels de suivi (ou pixels espions) insérés dans les courriers électroniques. Ce document vient préciser et illustrer les principes déjà énoncés dans sa recommandation relative à ces dispositifs, adoptée en avril 2026 à l’issue d’une consultation publique, et dont notre bulletin de veille s’était déjà fait l’écho.
Par application concrète de cette recommandation, vous devez être nombreux à recevoir, depuis ces dernières semaines, sur vos adresses de messagerie électroniques, des communications provenant de sites commerciaux ou autres structures institutionnelles vous informant de la présence de ces traceurs et des modalités permettant de s’y opposer.
Pour mémoire, les pixels de suivi permettent aux émetteurs de courriels de constituer des statistiques relatives à leurs campagnes de communication, en exploitant notamment le taux d’ouverture et de suppression des messages, le temps de consultation, pour mesurer l’efficacité d’une campagne et anticiper le contenu de communications ultérieures.
Le 1er juillet 2026, le Comité européen de la protection des données (CEPD) et l’Autorité européenne de lutte contre le blanchiment de capitaux et le financement du terrorisme (AMLA) ont annoncé travailler ensemble pour clarifier une question d’importance croissante pour les acteurs économiques comme pour les autorités : la manière de partager des informations pour lutter contre la criminalité financière tout en protégeant les données à caractère personnel.
Contrairement à un simple objectif politique, cette initiative s’adosse à une base légale précise : l’article 75 du Règlement (UE) 2024/1624 du Parlement européen et du Conseil du 31 mai 2024 compris dans le paquet « AML6 » autorise en effet les entreprises et professionnels assujettis aux règles anti-blanchiment à partager des informations entre eux ainsi qu’avec les autorités publiques, dans des limites strictement définies.
Le 10 juin 2026, le Comité européen de la protection des données personnelles (CEPD) publie un template de notification des violations de données personnelles. Chaque autorité compétente nationale devra ainsi s’en inspirer et délivrer la possibilité aux entités victimes de violations de déclarer celles-ci selon ce modèle.
Dans son ensemble, le modèle comporte les informations essentielles présentes actuellement sur le formulaire de notification proposé par la CNIL. Quelques points intéressants pourraient cependant être implémentés.
La simplification tient notamment de la proposition du CEPD que certaines questions des formulaires de notification soient présentées sous forme de case à cocher dans une liste de propositions et de qualifications. A noter que les cases à cocher peuvent parfois limiter l’expression réelle d’une situation, mais cela permet aussi de faciliter la déclaration du côté des organismes procédant à la notification.
Le 4 mars 2026, le Conseil d’Etat confirme une décision rendue par la CNIL en 2023 concernant la société de ciblage publicitaire CRITEO.
La société avait été condamnée à 40 Millions d’euros d’amende pour différents manquements au RGPD dont notamment le traitement de données pseudonymisées traitées comme des données anonymisées.
Dans certaines circonstances, une donnée pseudonymisée peut être considérée comme anonyme seulement si :
