Introduction.
2025 aura été l’année où la CNIL a arrêté de plaisanter. En neuf mois, elle a dépassé le milliard d’euros d’amendes : 325 millions pour Google (publicités et cookies dans Gmail), 150 millions pour Shein (cookies posés dès l’arrivée sur le site), 530 millions pour TikTok (transferts de données vers la Chine sans garanties suffisantes). Ces chiffres ne sont plus des anecdotes comptables mais le signal d’une mutation silencieuse : la fin de l’ère où le RGPD était perçu comme une « charge légale optionnelle ».
En parallèle, la Commission européenne pousse le Digital Omnibus, censé simplifier le RGPD en harmonisant cookies, cybersécurité et supervision entre RGPD, NIS2, DORA et ePrivacy, en particulier pour les PME. Sur le papier, c’est très séduisant : moins de bannières, plus de délai pour notifier, un peu d’oxygène réglementaire pour l’innovation. Sur le terrain, c’est une autre histoire : les sanctions tombent plus vite, plus fort, plus ciblées, et la simplification n’a jamais dispensé qui que ce soit de la conformité immédiate.
Pour les entreprises, 2025 est l’année où le RGPD a changé de nature : ce n’est plus une ligne de conformité budgétaire, c’est un risque opérationnel majeur chiffré en centaines de millions. Et personne n’est à l’abri : les géants (Google, Shein, TikTok), les acteurs mid‑market (Condé Nast, American Express), comme les structures plus modestes (Kaspr, La Samaritaine) se retrouvent noir sur blanc dans les bilans des autorités.
Dans ce contexte, le DPO sort définitivement du rôle de « tampon administratif » à qui l’on demande « C’est conforme ? » pour devenir architecte de confiance numérique, à la croisée du RGPD, de la cybersécurité, des transferts internationaux, de la protection des mineurs et de l’IA Act. C’est nouveau, exigeant, stratégique et surtout urgent.
Cet article parcourt sept ruptures qui ont redessiné 2025 et conditionnent 2026 : vague record de sanctions, jurisprudence CJUE, IA Act, fin de l’immunité des TPE/PME, montée en puissance du DPO augmenté, géopolitique des données et gouvernance. Pas un inventaire de textes, mais une cartographie opérationnelle : ce que les 325 millions de Google changent pour votre CMP, ce que les arrêts de la CJUE font à vos formulaires, et ce que l’IA Act impose maintenant aux équipes data, IT et métiers.
Parce que la donnée, c’est de l’or. Et 2025 l’a rappelé à tous ceux qui l’avaient oublié.
I. Digital Omnibus et la fin des bannières fatiguées.
A. Omnibus numérique : la promesse.
La proposition de Digital Omnibus vise à ajuster le RGPD et à coordonner plusieurs régimes (RGPD, NIS2, DORA, ePrivacy) pour alléger la charge des entreprises, en particulier les PME. Le message politique est clair : simplifier, harmoniser, soutenir l’innovation tout en conservant un haut niveau de protection.
Trois promesses dominent le discours : basculer la gestion des cookies vers les navigateurs et les paramètres des terminaux, allonger le délai de notification des violations de données (72 à 96 heures) avec un rôle accumulé des autorités cyber comme l’ANSSI, et prévoir des dérogations ciblées pour les petites structures et certains acteurs de l’IA. S’y ajoute une idée qui change profondément le jeu marketing : en cas de refus, le projet prévoit un « consentement capping », c’est‑à‑dire l’interdiction de réafficher un bandeau de consentement avant un certain délai, ce qui met fin aux stratégies de harcèlement du refus par pop‑ups répétitifs.
Sur l’affiche, c’est le rêve du directeur juridique : moins de frictions apparentes, plus de cohérence réglementaire, un peu de respiration pour les startups.
B. Le terrain raconte une autre histoire : les sanctions 2025.
Entre septembre et décembre 2025, la CNIL et d’autres autorités européennes ont envoyé un message très différent : la simplification n’est pas un moratoire, et encore moins une amnistie. Les sanctions deviennent des cas d’école qui redéfinissent la barre minimale de conformité, en particulier sur les cookies, le consentement et les transferts internationaux.
- Google - 325 millions d’euros (1er septembre 2025) : publicités insérées entre les emails dans Gmail sans consentement préalable, et parcours de consentement truffé de dark patterns lors de la création de compte. La CNIL qualifie ces interfaces de prospection électronique sans opt‑in valide et d’utilisation de designs trompeurs, combinant manquements ePrivacy et RGPD.
- Shein - 150 millions d’euros : dépôt de cookies publicitaires dès l’arrivée sur le site et poursuite du tracking malgré l’apparence d’un choix dans la bannière. L’autorité relève que l’urgence commerciale ne justifie pas de poser des traceurs avant tout consentement et que les mécanismes de refus purement cosmétiques constituent un manquement manifeste.
- TikTok - 530 millions d’euros : transferts de données vers la Chine sans démonstration d’un niveau de protection essentiellement équivalent, malgré l’usage de clauses contractuelles types et de mesures techniques affichées. L’autorité irlandaise insiste sur l’obligation de vérifier concrètement les effets du droit local et de suspendre les transferts en cas de non-conformité dans le délai imparti.
Ces décisions démontrent que le narratif « on simplifie, donc on attend » est une illusion dangereuse : les autorités utilisent justement cette période pour muscler la jurisprudence et faire tomber des sanctions exemplaires. Résultat : la tolérance aux bannières décoratives, au consentement forcé et aux transferts « aveugles » est proche de zéro.
C. Ce que cela change vraiment pour les DPO.
Avant de rêver aux cookies gérés par les navigateurs (probablement pas avant 2027), il y a quatre chantiers à lancer tout de suite.
- Audit technique de la CMP, pas cosmétique juridique. Il ne s’agit plus de vérifier si le texte du bandeau « sonne RGPD », mais si le refus bloque réellement les scripts publicitaires, si aucun cookie soumis au consentement n’est déposé avant le choix, et si le retrait du consentement arrête effectivement les traceurs. La CNIL a rappelé à plusieurs reprises qu’un mécanisme de refus plus complexe que l’acceptation ou l’inefficacité en pratique entraîne des mises en demeure et des sanctions.
- Matrice de consentement documentée. Chaque donnée collectée via le bandeau doit être tracée : qui collecte, pour quelle finalité, sur quelle base légale, avec quel destinataire et quelle durée de conservation. En cas de contrôle, l’autorité exige désormais cette granularité, en cohérence avec les plans d’action sur les traceurs lancés depuis 2019.
- Registre et AIPD : pas de « joker Omnibus ». Même si le projet Digital Omnibus prévoit un relèvement du seuil d’exemption de registre pour les structures de moins de 750 salariés, cela ne touche ni aux traitements à risque élevé ni aux obligations d’AIPD. Autrement dit : les traitements sensibles restent documentés, analysés et justifiables, quelle que soit la taille de l’entreprise.
- Sensibilisation musclée des équipes marketing. Le principe « refuser aussi simple qu’accepter » est désormais un mantra opérationnel, repris dans les lignes directrices et dans les décisions de sanction successives. Les équipes marketing doivent intégrer qu’un bouton « tout refuser » caché, gris sur gris ou moins accessible qu’« tout accepter » n’est pas un choix de design, c’est un facteur de risque de sanction.
II. La jurisprudence redessine les frontières.
Quatre arrêts de la CJUE en 2025 ont brisé les certitudes que les DPO traînaient depuis 2018. Ce qui paraissait « interprétable » devient du dur, et les marges de manœuvre se resserrent nettement pour les formulaires, les transferts et les plateformes.
A. Minimisation vs marketing de confort : SNCF Connect.
SNCF Connect impose la civilité (« Monsieur/Madame ») pour acheter un billet de train, au nom d’une meilleure relation client. La CJUE juge que cette donnée n’est pas indispensable à l’exécution du contrat : le train part à la même heure, quel que soit le genre indiqué, et la personnalisation marketing ne suffit pas à la rendre obligatoire.
Résultat : la base légale « exécution du contrat » est écartée, l’« intérêt légitime » aussi, faute de justification précise et mesurable. Le Conseil d’État valide cette lecture, ce qui verrouille la position en France. Concrètement, chaque champ de formulaire doit être passé au crible : ce qui n’est pas strictement nécessaire devient optionnel, sans pré‑cochage ni biais graphique, quitte à faire pleurer les équipes CRM.
B. Pseudonymisation : une notion relative.
La Cour était saisie d’une question simple en apparence : une donnée pseudonymisée reste‑t‑elle toujours une donnée personnelle ? Réponse : cela dépend de qui regarde. Si l’émetteur conserve la clé de décodage ou peut raisonnablement réidentifier, la donnée reste personnelle pour lui ; si le destinataire n’a ni clé, ni accès réaliste à une réidentification, elle peut être traitée comme anonyme pour ce destinataire.
Sur le terrain, cela impose de cartographier avec précision qui détient quelles clés, comment elles sont stockées, qui y accèdent et quelles récupérations sont possibles. Un transfert de données pseudonymisées vers un prestataire américain sans gouvernance solide des clés reste soumis au chapitre V, même avec chiffrement avancé et belles slides de sécurité. Doctrine émergente : la « donnée personnelle » n’est plus une propriété absolue, mais une fonction du pouvoir de réidentification de chaque acteur.
C. ePrivacy bouscule le RGPD : Inteligo Media.
Dans l’affaire Inteligo Media, la question était de savoir si une newsletter commerciale peut être envoyée à un client existant sans consentement RGPD spécifique. La CJUE confirme que oui, dans le cadre strict du « soft opt‑in » de la directive ePrivacy : relation commerciale préalable, produits analogues et possibilité de se désinscrire facilement.
Autrement dit, ePrivacy joue pleinement son rôle de lex specialis et peut neutraliser la nécessité d’une base de traitement distincte au titre de l’article 6 du RGPD pour ce canal précis. Pour les DPO, cela signifie que la prospection B2C n’est pas forcément morte sans consentement, mais qu’elle vit dans un couloir étroit où la traçabilité de la relation client et la qualité de l’opt‑out deviennent des points de contrôle clés.
D. Les plateformes ne sont plus neutres : Russmedia.
Dans Russmedia, une place de marché hébergeait une annonce contenant des photos et données sensibles d’une femme, publiées sans son consentement. L’opérateur invoquait le statut d’hébergeur technique, simple intermédiaire neutre bénéficiant du régime de la directive e-commerce.
La CJUE considère au contraire que la plateforme est responsable du traitement : elle définit la structure des annonces, les catégories, la durée de publication, les critères de classement et monétise les contenus. Elle doit donc, dès la conception, anticiper le risque de publication de données sensibles et mettre en place des mesures minimales : vérification d’identité, détection automatique de certains contenus, procédures de retrait rapide. Message clair : toute marketplace qui structure et monétise les contenus utilisateurs est dans le champ du RGPD comme responsable, avec DPO, AIPD et obligations de filtrage à la clé.
Ces quatre arrêts racontent la même histoire : le RGPD n’est plus un texte que l’on tord « pour permettre les échanges », c’est un cadre serré avec des exceptions très étroites. Les formulaires, les transferts, la prospection et les plateformes se récupèrent sur une ligne beaucoup plus stricte, où chaque traitement est rattrapé par une même idée centrale : si tu traites des données personnelles, tu assumes, et tu ne peux plus te cacher derrière le confort marketing, la technique ou le statut « neutre ».
III. IA Act : le calendrier qui va changer les opérations.
Si le RGPD a souvent été vécu comme un texte « principes + interprétations », l’IA Act, lui, est un calendrier avec des dates rouges et peu de marge pour l’impro. Les obligations tombent par vagues successives entre 2025 et 2027, et la plupart des DPO n’ont plus le luxe d’attendre « que ça se précise ».
A. Les dates clés à avoir en tête.
- 2 février 2025 - les interdits tombent.
Entrée en application des dispositions sur les pratiques d’IA à risque inacceptable et des obligations de « culture IA » de base. Sont visés notamment les systèmes de scoring discriminatoires, la surveillance de masse généralisée ou la manipulation comportementale de publics vulnérables.
- 2 août 2025 - les GPAI passent à la caisse.
Les obligations pour les modèles d’IA à usage général (GPAI) deviennent applicables : documentation technique, transparence, gestion des risques systémiques, respect du droit d’auteur, gouvernance dédiée. C’est aussi la date d’entrée en scène du triptyque AI Office / AI Board / panel scientifique, chargé de piloter l’application du texte au niveau européen.
- 2 août 2026 - le gros des règles s’applique.
La majorité des dispositions de fond de l’IA Act entrent en vigueur, y comprennent les obligations pour une grande partie des systèmes à haut risque listés à l’annexe III (santé, RH, critiques des infrastructures, justice, maintien de l’ordre, etc.). À partir de cette date, la mise en application nationale et européenne démarre réellement.
- 2 août 2027 - fin de la transition.
Les règles pour les systèmes à haut risque intégrés dans des produits réglementés et pour certains GPAI déjà sur le marché achevant leur période transitoire deviennent pleinement applicables. Les opérateurs qui n’auront pas anticipé se retrouveront en non‑conformité structurelle, avec des risques de sanctions pouvant aller jusqu’à plusieurs pourcents du chiffre d’affaires mondial.
B. Ce que les DPO doivent lancer dès maintenant.
- AIPD croisées RGPD / IA Act.
Plutôt que de multiplier les documents, l’enjeu est de fusionner AIPD RGPD et analyser de risque IA : base légale et minimisation des données, mais aussi gestion des biais, explicabilité minimale, traçabilité des ensembles de données et scénarios d’erreur. Cette approche intégrée évite les silos entre confidentialité et IA et prépare les contrôles qui porteront sur la chaîne complète de traitement.
- Registre des systèmes d’IA, pas seulement des traitements.
En complément du registre RGPD, les organisations doivent cartographier les systèmes d’IA utilisés : type de modèle (GPAI, haut risque ou non), fournisseur, finalité, jeux de données d’entraînement, limitations connues, impacts potentiels sur les droits fondamentaux (emploi, santé, justice, accès à un service). Ce registre IA devient rapidement une pièce demandée dans les due diligences, appels d’offres et audits clients.
- Convergence cyber–IA–RGPD.
L’IA Act renvoie largement aux exigences de sécurité et de gouvernance technique déjà présentes dans le RGPD et les textes cyber (NIS2, DORA pour la finance). Dès que l’IA touche des données sensibles ou critiques, les questions deviennent communes : où sont les données, qui a accès au modèle, quelles mesures d’authentification forte, chiffre quelment, quels journaux d’audit et quelle capacité de débrancher le système en cas de dérive.
C. Le chiffre qui doit réveiller les DPO.
Les baromètres publiés depuis 2024 indiquent qu’environ la moitié des organisations ont déjà commencé à structurer leur conformité IA Act, souvent en lien direct avec leurs DPO et RSSI. Autrement dit, rester en « mode attente » jusqu’en 2026, c’est accepter de démarrer avec un à deux ans de retard sur ses paires, alors que les premiers contrats intègrent déjà des clauses IA Act et des exigences de documentation de modèles.
Pour les DPO, l’IA Act n’est plus un sujet de veille, mais un sujet de backlog : AIPD croisées, registre IA, clauses contractuelles avec les fournisseurs de modèles et convergence avec les équipes cyber ne peuvent plus être repoussées à « après 2026 ». Ceux qui traitent ces chantiers dès 2025-2026 auront un avantage de crédibilité énorme lorsque les autorités et les clients commenceront à demander des preuves concrètes de conformité.
IV. TPE/PME : la fin de l’immunité.
Le temps où les sanctions CNIL ne concernaient « que les géants » est correctement terminé. Entre 2024 et 2025, le nombre de sanctions annuelles est passé de 42 à 87, soit +107%, avec au total 331 décisions répressives (sanctions, mises en demeure, rappels) pour un montant cumulé d’environ 55 millions d’euros. La courbe ne vise plus seulement les GAFAM, elle mord désormais sur le tissu TPE/PME.
A. Les chiffres qui piquent.
Sur les 87 sanctions, 69 ont été prononcées via la procédure, soit près de 8 dossiers sur 10. Cette procédure permet d’aller vite, avec des amendes jusqu’à 20 000 euros, assorties au cas échéant d’injonctions simplifiées et d’astreintes de 100 euros par jour de retard, sans publication du nom de l’organisme.
La cible est très clairement le bas et le milieu de marché : la majorité des sanctions simplifiées visant des structures de taille modeste, notamment dans le commerce de détail, les services, l’immobilier ou les petites plateformes. Le message est limpide : la probabilité de contrôle pour une PME n’est plus théorique ; une simple plainte bien argumentée suffit à déclencher un dossier.
B. Procédure simplifiée : l’arme de masse.
La procédure simplifiée est une version accélérée et écrite de la procédure de sanction classique : le président de la formation restreinte statue seul, sans séance publique, au vu d’un dossier instruit sur des manquements relativement simples à présenter. Elle permet à la CNIL de traiter en chaîne des cas récurrents (registre absent, information lacunaire, défaut de sécurité de base) tout en concentrant les audiences publiques sur quelques affaires emblématiques.
Le piège, pour les TPE/PME, est double : le risque financier reste limité mais réel, et surtout la sanction, même non publiée, reste inscrite au dossier de l’organisme, avec un poids aggravant en cas de récidive future. En clair : la première sanction « discrète » prépare une seconde sanction beaucoup plus douloureuse.
C. Les motifs récurrents.
Les mêmes manquements simplifiés reviennent dans la majorité des décisions : absence d’analyse d’impact pour des traitements manifestant à risque (vidéosurveillance étendue, géolocalisation, profilage RH), défaut d’information claire et complète des personnes, consentement invalide pour les cookies ou les opérations marketing, absence de base légale solide et registre des traitements inexistant ou obsolète.
On retrouve également des violations de minimisation proches de celles relevées par la CJUE (collecte de données non nécessaires, comme la civilité obligatoire pour un service qui n’en a pas besoin) et des manquements de sécurité élémentaire au titre de l’article 32 (absence de chiffrement ou de contrôle d’accès minimaux). Ces défauts ne sont plus analysés comme des « imperfections de conformité », mais comme des infractions à part entière.
D. Trois cas très parlants.
- La Samaritaine - 100 000 euros.
Caméras dissimulées dans les réserves, cachées dans de faux détecteurs de fumée, avec enregistrement du son, sans information des salariés ni analyse d’impact préalable. La CNIL insiste sur le caractère clandestin de la surveillance, la violation de la vie privée au travail et l’absence de justification proportionnée.
- Free Mobile - sécurité des données.
À la suite d’un incident ayant exposé des données de plusieurs millions de clients, la CNIL a mis en avant l’absence de mesures de sécurité adaptées, en particulier de chiffrement et de segmentation suffisante des bases. L’argument « contraintes techniques » est balayé : pour des données de masse, la sécurité « de base » est non négociable.
- Kaspr-scraping agressif des réseaux sociaux.
L’extension aspirant des données « publiques » sur LinkedIn sans information ni consentement a été sanctionnée dès 2024, avec une écho prolongée en 2025 dans les analyses de la CNIL et des praticiens. Le rappel est clair : « données accessibles » ne signifie pas « open bar » pour une réutilisation marketing ou commerciale.
E. Le message aux dirigeants de PME.
Pour un dirigeant de PME, les enseignements respectent en trois lignes : il n’existe plus de « petite infraction » RGPD, la plainte individuelle est devenue un déclencheur puissant, et la première procédure simplifiée prépare la suivante. La réponse raisonnable consiste à sécuriser trois briques : une AIPD rapide mais sérieuse pour chaque traitement à risque, un registre des traitements vivants, et un audit technique des cookies et de la sécurité de base (chiffrement, droits d’accès).
En résumé, la CNIL ne cherche plus seulement à faire des exemples avec les grands groupes ; elle industrialise la conformité forcée des petites structures. Les TPE/PME qui anticipent ce mouvement aujourd’hui éviteront demain de découvrir la procédure simplifiée dans un recommandé.
V. Les armes du DPO augmenté.
En 2025, le DPO n’est plus un frein réglementaire, il devient un acteur stratégique de la confiance numérique. Là où son rôle se limitait autrefois à vérifier les registres et à répondre aux demandes d’accès, il se retrouve désormais au croisement du droit, de la technologie et du business.
A. Du gardien à l’architecte.
Hier, le DPO était principalement le garant de la conformité RGPD : collecte, minimisation, sécurité, gestion des droits. Son rôle restait défensif, tourné vers le contrôle et la réduction du risque.
Aujourd’hui, le DPO devient architecte de confiance numérique, avec cinq chantiers majeurs à piloter.
- Sur l’IA Act, il coordonne des AIPD croisées RGPD/IA, tient le registre des systèmes et modèles d’IA, et s’assure que la minimisation des données reste le fil rouge des projets.
- Sur la cybersécurité, il travaille main dans la main avec le RSSI pour imposer une authentification multifacteur adaptée, le chiffrement des données sensibles et une vraie gestion des incidents, en cohérence avec l’article 32.
- Sur la gouvernance des données, il contribue aux catalogues de données, à la classification, à la traçabilité des flux et à la gestion des cycles de vie, pour que chaque donnée ait un propriétaire, une finalité et une durée.
- Sur le DSA, il aide les plateformes à encadrer les contenus des mineurs, à modérer les contenus illicites et à bannir les dark patterns, en articulation avec le RGPD.
- Sur les transferts internationaux, il utilise le guide AITD de la CNIL pour analyser les transferts vers les pays tiers, choisir les bons outils (types de clauses, BCR, DPF) et définir les mesures techniques complémentaires.
À cette liste s’ajoute une évolution émergente : l’apparition, dans certains grands groupes, d’un rôle d’ AI Officer ou responsable IA dédié, chargé des usages d’IA au-delà des seules données personnelles. Le DPO++ est soit ce point focal unique sur l’IA, soit son binôme naturel : ensemble, ils orchestrent la conformité IA Act, la gestion des risques éthiques et la gouvernance des modèles.
La convergence DPO–RSSI n’est plus une option : une violation de données est à la fois un incident cyber et un manquement RGPD, avec souvent une notification conjointe aux autorités (CNIL, voire ANSSI selon les secteurs). Le plan stratégique 2025‑2028 de la CNIL ajoute une pression supplémentaire en ciblant quatre priorités où le DPO doit monter en compétence : IA éthique, protection des mineurs, cybersécurité renforcée et usages numériques du quotidien (apps mobiles, identité numérique, géolocalisation).
B. Les outils qui émergent en 2025.
Plusieurs outils structurants donnent des leviers au DPO augmentés. La recommandation CNIL sur l’authentification multifacteur, adoptée en mars 2025, fournit un cadre détaillé pour choisir et déployer la MFA, en précisant les facteurs acceptés (SMS, application, clé matérielle, biométrie) et les conditions de conformité. Pour les responsables de traitements, ne pas renforcer l’authentification sur les comptes à enjeux devient progressivement difficile à défendre.
La CNIL pousse également des schémas de certification pour les sous‑traitants, permettant de démontrer plus facilement le respect de l’article 28 et de gagner en crédibilité vis‑à‑vis des clients et des autorités. Le guide pratique sur l’analyse d’impact des transferts (AITD), publié début 2025 puis finalisé dans l’année, propose une méthodologie en six étapes pour sécuriser les transferts vers les pays tiers, avec un partage clair des rôles entre responsables de traitement et sous‑traitants exportateurs.
Enfin, l’externalisation ou la mutualisation du DPO progresse : pour de nombreuses TPE/PME, un DPO externalisé permet d’accéder à un profil plus expérimenté, partagé entre plusieurs structures, avec un coût maîtrisé et moins d’isolement dans les arbitrages.
C. Les compétences critiques 2025‑2026.
Le DPO doit consolider quatre blocs de compétences.
- Sur le plan technique, il doit savoir auditer une CMP, comprendre le paramétrage d’outils comme GA4, lire une architecture de données, évaluer un chiffrement et piloter une AITD.
- Sur le plan juridique, il doit maîtriser les transferts internationaux (niveaux payants, DPF, pseudonymisation), le DSA pour les plateformes, l’IA Act pour les systèmes à haut risque et les subtilités RGPD/ePrivacy.
- Sur le plan projet, il doit conduire des AIPD, structurer une gouvernance des données, organiser des campagnes de sensibilisation et accompagner le changement métier.
- Sur le plan d’influence, il doit savoir parler à une direction générale, défendre des priorités, négocier des budgets et transformer la conformité en argument business plutôt qu’en simple contrainte.
D. Le « DPO++ » : la vision 2026.
Le DPO de 2026 n’est plus un « Délégué à la protection des données » isolé, mais un DPO++ qui cumule quatre casquettes : juridique, cyber, data et projet. Il comprend les enjeux techniques de MFA et de chiffrement, pilote les AIPD IA, conteste les choix de transferts et sait traduire les risques réglementaires en impacts financiers et opérationnels.
Pour l’entreprise, l’investissement est mesurable : un bon niveau de MFA réduit significativement le risque d’attaque réussie, une bonne gouvernance des données limite les fuites et les erreurs, et une conformité anticipée à l’IA Act sécurise les contrats avec les clients les plus exigeants. Chaque euro mis dans un DPO augmenté en 2025 prépare des économies bien réelles en 2026 : moins d’incidents, moins de sanctions, moins de projets bloqués au dernier moment.
VI. Gouvernance, données et transferts : les pièges de 2025.
En 2025, la question des transferts internationaux n’est plus un sujet purement technique, c’est de la géopolitique appliquée aux données. Les autorités ne concernent plus seulement les contrats et le chiffrement ; elles concernent également les lois du pays de destination et la capacité des gouvernements à aux données.
A. TikTok : quand la géopolitique coûte 530 millions.
Dans le dossier TikTok, l’autorité irlandaise a sanctionné le transfert de données vers la Chine en considérant que les lois locales de sécurité et de renseignement permettaient un accès étatique trop large, incompatible avec le niveau de protection attendu dans l’Union européenne. Le montant total atteint 530 millions d’euros, dont la plus grosse partie vise directement les transferts internationaux.
La leçon est brutale : un transfert n’est légal que si le niveau de protection global, droit local compris, reste « essentiellement équivalent » à celui de l’UE. Un accès gouvernemental quasi automatique devient un obstacle majeur, même en présence de clauses types et de chiffrement. Pour les entreprises, cela signifie que l’utilisation de SaaS soumise à des législations très intrusives (par exemple certains services chinois ou russes) expose à un risque structurel, même si la techno est irréprochable.
B. Pseudonymisation : les transferts restent soumis au chapitre V.
La jurisprudence 2025 rappelle qu’une donnée pseudonymisée ne sort pas magiquement du RGPD dès qu’on traverse l’Atlantique. Tant que le destinataire du transfert peut, directement ou indirectement, réidentifier les personnes – via une clé, des récupérations ou des moyens légaux accessibles – le chapitre V continue de s’appliquer pleinement.
Concrètement, envoyez des logs « anonymisés » vers un prestataire américain en gardant les clés de correspondance, ou en lui permettant de les obtenir facilement, reste un transfert de données personnelles. Il faut alors déployer l’arsenal complet : clauses contractuelles types, analyse d’impact des transferts, mesures techniques complémentaires (chiffrement solide, séparation des rôles, contrôle strict des accès) et, idéalement, audits ou garanties supplémentaires.
C. DPF : utile, mais pas magique.
La validation du Data Privacy Framework par le juge européen donne un peu d’air aux transferts vers les États‑Unis, mais ce n’est pas un passe‑droit général. Le mécanisme est jugé conforme à ce stade, sous réserve d’un contrôle futur, et suppose que les entreprises respectent aussi leurs propres obligations techniques et organisationnelles.
Côté pratique, cela implique par exemple de paramétrer correctement des outils comme GA4 : désactivation des fonctionnalités marketing avancées qui nécessitent un consentement spécifique, activation de la réduction d’adresse IP et limitation des données envoyées. Les évaluations d’impact sur les transferts ne peuvent plus être des documents de façade : elles doivent décrire précisément les flux, les mesures de sécurité, les bases légales et les engagements des fournisseurs.
D. Russmedia : la fin des plateformes « passives ».
L’arrêt Russmedia vient fermer une porte de sortie classique : celle de la plateforme qui se dit « simple hébergeur ». Dès lors qu’une place de marché structure la présentation des contenus, fixe les règles de diffusion, monétise les données ou les annonces, elle est considérée comme responsable de traitement à part entière.
Cela entraîne des obligations fortes « dès la conception » : limiter la publication de données sensibles, prévoir des systèmes de détection automatique (par exemple sur certaines images ou champs texte), organiser des circuits de signalisation et de retrait, documenter les risques via des analyses d’impact. Le filtrage n’est plus un nice to have marketing, c’est une exigence juridique. Autrement dit : si une plateforme gagne de l’argent grâce aux données et aux contenus, elle ne peut plus prétendre être neutre, ni sur le RGPD, ni sur la gouvernance des risques.
VII. Conclusion : le DPO++ en 2026.
2026 : quand le DPO devient créateur de valeur.
En 2026, le DPO sort définitivement de la case « centre de coût » pour devenir un véritable créateur de valeur. Son terrain de jeu, c’est la jonction entre sécurité, données, IA et business.
Plusieurs briques deviennent incontournables : l’authentification multifacteur se généralise sur les grandes bases de données, et son absence s’expose directement aux sanctions. NIS2 et DORA imposent une vision beaucoup plus intégrée de la résilience : continuité d’activité, gestion de crise, reporting d’incidents, tout est aligné autour d’une même exigence opérationnelle.
En parallèle, l’IA à haut risque entre dans sa phase de mise en œuvre, notamment dans la santé, les RH ou la justice, ce qui rend les AIPD IA lancées en 2025 non négociables. La préparation à la crypto post‑quantique reste encore prospective, mais les choix techniques faits en 2025-2026 conditionnent déjà la capacité de mise à niveau à l’horizon 2028.
Le positionnement gagnant du DPO.
Le DPO qui gagne en 2026 est celui qui change de narratif : il ne se présente plus comme un « frein légal », mais comme un producteur de confiance, capable de sécuriser les deals, les partenariats et les innovations. La convergence DPO/RSSI/CDO/métiers devient la norme : les sujets transferts, IA, sécurité et gouvernance des données se traitent autour de la même table, pas en silos.
La gouvernance des données devient une arme compétitive : les entreprises qui maîtrisent leurs flux, leurs bases légales, leur sécurité et leurs risques sont plus rapides pour déployer de nouveaux services, répondre aux audits clients et absorber les chocs cyber. Moins d’improvisation, plus de résilience, et une confiance client qui se voit dans les contrats.
Le dernier mot : DPO++.
L’année 2025 a tué le mythe du « RGPD = fardeau légal » : les sanctions record contre les géants, la montée en puissance sur les TPE/PME et les arrêts de la CJUE ont montré que la donnée mal gouvernée coûte très cher. Les DPO qui prennent le virage dès maintenant ne jouent pas la peur, mais la clarté : ils lancent les AIPD IA au lieu de les repousser, rapprochent cyber, data et juridique au lieu de les opposants.
« La donnée, c’est de l’or. Mais l’or se défend ». Le DPO++ est précisément celui qui sait protéger cet actif : juriste solide, à l’aise en cyber, à l’aise en data, capable d’embarquer les directions métiers. Ceux qui auront lu ce bilan en décembre 2025, et en tireront un plan d’action, auront mécaniquement six mois d’avance sur le reste du marché.
