Deux choses sont vraies pour le RGPD en même temps en 2026. L'application n'a jamais été aussi lourde — les régulateurs prononcent des amendes plus vite, plus largement, et touchent des entreprises plus petites qu'à n'importe quel moment depuis l'entrée en vigueur de la loi en 2018. Et le texte lui-même est, pour la première fois, réellement en cours de révision, avec un paquet de réforme bruxellois qui pourrait réécrire le consentement aux cookies, la notification de violations et les analyses d'impact.
Aucune de ces deux choses n'est achevée. Cette combinaison — application record des règles telles qu'elles existent aujourd'hui, superposée à une réforme non finalisée — est exactement la situation qui prend au dépourvu les entreprises mal préparées. Voici ce qui a réellement changé cette année, et ce qui n'est encore qu'une proposition.
L'application est devenue une machine à haut volume
Les amendes RGPD ont franchi 7,1 Md€ cumulés depuis 2018, dont plus de 600 M€ rien que pour le premier semestre 2026. Ce n'est plus une histoire de quelques sanctions spectaculaires contre les géants de la tech — c'est un schéma d'application soutenu et à haut volume qui touche désormais en profondeur les PME.
Ce dernier chiffre mérite qu'on s'y arrête. Les notifications quotidiennes de violations dans l'UE ont grimpé à 443 par jour — une hausse de 22 % sur un an, et la première fois que ce chiffre dépasse 400 depuis l'entrée en vigueur du RGPD. Chacune de ces notifications est une entreprise qui vient de passer une mauvaise semaine, et une autorité de contrôle qui décide désormais si elle a aussi été négligente.
La géographie de l'application a également changé. La France a dépassé le Luxembourg en 2025 pour devenir le deuxième régulateur de l'UE en montant total d'amendes, derrière l'Irlande seule — les deux seuls pays à avoir franchi le milliard d'euros d'amendes RGPD cumulées. La CNIL espagnole (l'AEPD) est elle aussi passée de son ancien schéma de plaintes de consommateurs à fort volume et faible montant à des dossiers stratégiques délibérés et à fort enjeu.
Une affaire récente rappelle utilement à quel point le déclencheur d'une amende est devenu ordinaire : Yoti Ltd a été sanctionnée de 950 000 € en mars 2026 pour trois violations distinctes, dont le traitement de données biométriques sans base légale valable et une transparence insuffisante sur l'usage de ces données. Pas de fuite massive, pas de scandale de dark pattern — juste un traitement biométrique et une notice qui n'en disait pas assez. Exactement le type d'écart qu'un audit de routine repère.
La priorité du CEPD pour 2026 : votre notice de confidentialité, pas seulement votre réponse aux violations
Chaque année, le Comité européen de la protection des données (CEPD) choisit un thème commun pour son cadre coordonné d'application — un sujet que chaque autorité nationale examine en parallèle. Pour 2026, ce thème est la transparence et les obligations d'information au titre des articles 12 à 14 : est-ce que vos notices de confidentialité disent réellement aux gens, en langage clair, ce que vous faites de leurs données.
C'est une cible délibérément peu spectaculaire, et c'est bien le but. Les notices de transparence sont le document RGPD que la plupart des entreprises ont rédigé une fois en 2018, jamais revu, et qui ne correspond plus à ce que fait réellement leur site, leurs outils ou leurs fonctionnalités IA. Si votre notice de confidentialité n'a été mise à jour que pour les cookies et la newsletter et n'a pas suivi votre CRM, votre stack analytics, ou tout ce qui touche à l'IA, c'est l'année où un régulateur a plus de chances que d'habitude de le remarquer.
Le Digital Omnibus : la première vraie réécriture du RGPD depuis 2018
En novembre 2025, la Commission européenne a proposé le « Digital Omnibus » — un paquet qui modifierait à la fois le RGPD et la directive ePrivacy. Il n'est pas encore en vigueur. Mi-2026, les négociations au Conseil restent non résolues : la présidence chypriote a retiré son texte de compromis de l'approbation formelle en COREPER II fin juin, après avoir constaté qu'il ne réunissait pas la majorité qualifiée des États membres. Attendez-vous à ce que cela continue d'évoluer tout au long de 2026 plutôt que d'aboutir d'un coup.
Cinq domaines de conformité sont sur la table : le registre des activités de traitement, les AIPD, la notification de violations, le périmètre de l'obligation de désigner un DPD, et les droits des personnes concernées. Les propositions les plus avancées :
| Domaine | Aujourd'hui | Proposition du Digital Omnibus |
|---|---|---|
| Consentement aux cookies | Consentement requis pour la quasi-totalité des cookies non essentiels | Environ 60 % des cookies ne nécessiteraient plus de consentement ; un bouton « tout accepter/tout refuser » en un clic serait obligatoire partout où le consentement reste demandé |
| Données personnelles | Globalement, toute donnée susceptible d'identifier une personne, du point de vue de n'importe qui | Restreinte aux données pour lesquelles une entité donnée dispose de « moyens raisonnablement susceptibles d'être utilisés » pour identifier une personne — un critère relatif, non absolu |
| Notification de violation | Délai de 72 heures pour notifier l'autorité de contrôle pour pratiquement toute violation | Modifications possibles du délai de 72 heures, ainsi que de nouveaux seuils de gravité, de sorte que les violations mineures ne déclencheraient plus de notification formelle |
| Périmètre registre / AIPD / DPD | Seuils fixés en 2018, largement inchangés depuis | En cours de renégociation active — devrait modifier qui est tenu de tenir un registre formel, de réaliser des analyses d'impact ou de désigner un DPD |
Rien de tout cela n'est en vigueur. Refondre votre bannière de cookies ou votre processus de notification autour d'une proposition qui peut encore changer dans les négociations du Conseil est prématuré — mais ne pas la suivre du tout signifie qu'un vrai changement de règle pourrait tomber sur un programme de conformité encore bâti pour 2018.
Modèle de DPA éditable, kit de réponse aux demandes d'accès (DSR), et registre des activités de traitement (art. 30 RGPD) — les documents que les régulateurs demandent en premier. 39–59 € l'unité ou 99 € pour les trois, téléchargement immédiat.
Que faire concrètement maintenant
Les deux fils conducteurs — une application plus lourde des règles d'aujourd'hui, et une réforme encore en mouvement pour demain — mènent à la même réponse pratique.
- Auditez votre notice de confidentialité au regard des articles 12 à 14, spécifiquement cette année. C'est la priorité déclarée du CEPD pour 2026, et c'est aussi l'écart le plus facile à avoir sans le savoir — la notice semble généralement correcte, jusqu'à ce qu'on la compare à ce que fait réellement votre site aujourd'hui.
- Ne construisez pas en avance sur le Digital Omnibus. Si votre bannière de cookies, votre processus de notification ou vos seuils d'AIPD sont conformes aujourd'hui, laissez-les tels quels. Réagissez au texte final une fois que le Conseil et le Parlement se seront mis d'accord sur une version, pas à une proposition qui a déjà connu un échec de compromis.
- Vérifiez que tout traitement biométrique, par IA ou par décision automatisée dispose d'une base légale documentée et d'une explication en langage clair. L'affaire Yoti illustre le schéma à surveiller : pas une violation catastrophique, mais un traitement ordinaire sans la documentation qui devrait l'accompagner.
- Si vous ne menez pas déjà un auto-contrôle RGPD périodique, commencez maintenant plutôt qu'après réception d'une notification. Notre audit gratuit de 30 secondes vérifie les dix exigences les plus souvent manquées — les mêmes catégories qui reviennent dans les actions d'application de 2026.
En résumé
Les gros titres sur la réforme peuvent donner l'impression que le RGPD est une cible mouvante, mais les données d'application disent le contraire : les régulateurs deviennent plus rapides et plus cohérents dans l'application des règles exactement telles qu'elles sont écrites aujourd'hui. C'est la conformité au RGPD actuel — et non un pari sur ce que dira finalement le Digital Omnibus — qui vous protège en 2026. Traitez la réforme comme un sujet à surveiller, et les chiffres d'application de cette année comme un sujet sur lequel agir.
Réservez une consultation gratuite avec GDPRGard →
Sources
- CMS GDPR Enforcement Tracker
- Comité européen de la protection des données (CEPD) — News & Coordinated Enforcement Framework
- Kiteworks — GDPR Fines Hit €7.1 Billion: Enforcement Trends in 2026
- Uniconsent — GDPR Enforcement and Fines 2026
- Privacy Next — Digital Omnibus Negotiations (GDPR), July 2026 Update
À lire également :
- Le règlement IA s'applique aux systèmes à haut risque — vous avez maintenant deux régulateurs
- Les 5 erreurs de bannières de cookies les plus courantes — et comment les corriger
- Pourquoi tout éditeur SaaS a besoin d'une AIPD avant ses fonctions IA