À l’occasion de ses délibérations publiées les 8 et 9 octobre 2026, la Commission Nationale de l’Informatique et des Libertés (CNIL) a précisé les obligations impératives pesant sur les responsables de traitement et les sous-traitants en matière de sécurité technique (article 32 du RGPD) et d’outils de surveillance numérique.
Sécurité des données massives : la mise en conformité sous astreinte
La formation restreinte de la CNIL a rendu publique sa décision constatant la mise en conformité d’opérateurs publics majeurs (notamment France Travail) suite aux injonctions prononcées pour sécuriser les bases de données d’usagers :
- Chiffrement de bout en bout et contrôle d’accès : Les identifiants, données bancaires et coordonnées de millions de citoyens doivent faire l’objet d’un cloisonnement cryptographique strict, interdisant toute extraction non autorisée.
- Journalisation granulaire des requêtes : Chaque consultation, modification ou export de fichier doit être tracé individuellement avec horodatage certifié, afin de détecter instantanément les exfiltrations suspectes.
- Surveillance des comptes à privilèges : Les accès administrateurs et les clés d’API logicielles font l’objet d’une rotation automatique et d’une double authentification systématique.
Encadrement des outils de « session replay » et traçabilité des salariés
La séance plénière de la CNIL du 8 octobre 2026 a également examiné le cadre légal des technologies de rejeu de session (session replay) et de télémétrie comportementale :
- Interdiction de la surveillance clandestine : Les logiciels qui enregistrent en continu les frappes au clavier, les mouvements de curseur ou la navigation des internautes ou des employés ne peuvent être déployés sans consentement explicite et information préalable claire.
- Masquage obligatoire des champs sensibles : Tout outil d’enregistrement d’écran ou d’audit UX doit masquer automatiquement les champs de mots de passe, de données médicales ou financières avant même la transmission des paquets de données au serveur.
- Responsabilité solidaire des sous-traitants : En écho aux travaux européens sur la certification des prestataires de services informatiques, les entreprises doivent auditer rigoureusement les contrats de leurs éditeurs de logiciels pour garantir la souveraineté et la conformité RGPD de leurs traitements.