Chaque année, la CNIL publie ses thématiques prioritaires de contrôle et son programme de travail. Pour 2026, le signal est net : la cybersécurité concentre la moitié des contrôles et sanctions. Pour un cabinet d'avocats, dépositaire du secret professionnel, ce n'est pas une actualité parmi d'autres — c'est une priorité de mise à jour immédiate. Voici comment hiérarchiser vos actions.
Pourquoi la CNIL a-t-elle fait de la cybersécurité sa priorité absolue en 2026 ?
La CNIL a annoncé qu'elle consacrerait, en 2026, 50 % de ses contrôles et de ses actions répressives aux manquements en matière de sécurité des données, en application de l'article 32 du RGPD. Cette décision fait suite à deux années marquées par une forte hausse du nombre de violations de données notifiées à l'autorité.
Ce que l'article 32 du RGPD impose concrètement
Le responsable de traitement doit mettre en œuvre des mesures techniques et organisationnelles « appropriées au risque » : chiffrement, contrôle des accès, capacité à restaurer les données après un incident, et procédure de test régulier de ces mesures. Pour un cabinet d'avocats, ce risque est aggravé par la nature des données traitées — souvent couvertes par le secret professionnel.
⚠️ Ce que cela signifie en pratique : un cabinet qui n'a jamais formalisé sa politique de mots de passe, ne chiffre pas ses postes de travail ou ne dispose d'aucune procédure documentée en cas d'incident s'expose à un risque de contrôle sensiblement accru cette année, indépendamment de toute plainte préalable.
Nous détaillons les mesures concrètes à mettre en place dans notre article sur la politique de mots de passe en cabinet — chiffrement des postes et procédure d'incident compris — et dans notre guide violation de données personnelles : que faire.
Le recrutement de collaborateurs est-il concerné par les contrôles CNIL 2026 ?
Oui. Trois ans après la publication de son guide dédié au recrutement (2023), la CNIL a annoncé qu'elle vérifierait, en 2026, la mise en œuvre effective de ses recommandations par les recruteurs — entreprises comme cabinets. Les points de contrôle annoncés portent notamment sur :
Information des candidats
Base légale du traitement, durée de conservation des CV et candidatures, destinataires des données.
Décisions automatisées
Usage d'outils de tri ou de scoring automatisé des candidatures, et information des candidats sur ces traitements.
Pour un cabinet qui recrute régulièrement des collaborateurs ou des stagiaires, c'est l'occasion de vérifier que le processus de recrutement en amont respecte bien les durées de conservation des candidatures non retenues, avant même l'étape d'onboarding proprement dite.
Quelles obligations de transparence l'action européenne coordonnée va-t-elle vérifier ?
Au-delà de ses thématiques nationales, la CNIL coordonne en 2026, pour le Comité européen de la protection des données, la cinquième édition du cadre d'action coordonné (CEF). Cette action porte sur la transparence et l'exhaustivité de l'information fournie aux personnes concernées — un sujet transversal qui concerne toute organisation traitant des données personnelles, y compris un cabinet d'avocats vis-à-vis de ses clients.
💡 Le réflexe à avoir : relisez votre politique de confidentialité et vos mentions d'information au client à l'ouverture d'un dossier. Sont-elles à jour, compréhensibles, et couvrent-elles l'ensemble des traitements réellement effectués (facturation, GED, espace client, éventuels outils d'IA) ? C'est précisément ce que ce type de vérification coordonnée cible.
Notre article sur la politique de confidentialité d'un cabinet d'avocats détaille les points de vigilance pour une information client complète et à jour.
Que change — ou ne change pas encore — le projet « Digital Omnibus » pour votre cabinet ?
Beaucoup de cabinets entendent parler d'une future « simplification » du RGPD. Il s'agit du projet « Digital Omnibus », présenté par la Commission européenne le 19 novembre 2025, qui propose notamment de redéfinir la notion de donnée personnelle selon une approche plus subjective, de faciliter certains usages de l'IA, et d'intégrer les règles relatives aux cookies directement dans le RGPD.
⚠️ Point essentiel à ne pas manquer : ce texte n'est, à ce stade, qu'une proposition en cours de négociation entre le Parlement européen et le Conseil. Le Comité européen de la protection des données et le Contrôleur européen de la protection des données ont d'ailleurs demandé le rejet de plusieurs de ses mesures les plus controversées. Le RGPD actuel reste pleinement applicable : aucun cabinet ne doit adapter ses pratiques sur la base d'un texte non adopté.
Ce sujet illustre un principe de veille utile pour toute réforme réglementaire en cours de discussion : distinguer clairement, dans la communication interne du cabinet, ce qui est en vigueur de ce qui est seulement envisagé.
Quelle checklist de mise à jour pour votre cabinet en 2026 ?
1. Sécurité — article 32 du RGPD
Politique de mots de passe formalisée, authentification à deux facteurs, chiffrement des postes, procédure documentée en cas d'incident et test de restauration des sauvegardes.
2. Recrutement
Information des candidats sur la base légale et la durée de conservation des candidatures ; vérification de l'absence de décision automatisée non encadrée dans le tri des CV.
3. Information et transparence client
Politique de confidentialité à jour, mentions d'information à l'ouverture de dossier couvrant l'ensemble des traitements réels (facturation, GED, espace client, IA le cas échéant).
4. Registre des traitements
Vérification que le registre reflète bien les outils et prestataires actuellement utilisés par le cabinet, en particulier après tout changement de logiciel ou d'hébergeur.
5. Veille réglementaire
Suivi de l'avancement du « Digital Omnibus » sans anticipation de ses dispositions, et vérification des publications CNIL relatives à l'articulation entre RGPD et AI Act pour les outils utilisés en cabinet.
Un registre des traitements toujours à jour
Notre modèle de registre des traitements pour cabinet d'avocats et le diagnostic RGPD gratuit permettent de faire un point rapide sur ces cinq priorités. Hébergé en France, NetJuris centralise par ailleurs les accès et les journaux d'audit qui facilitent la démonstration de conformité en cas de contrôle — testable via un essai gratuit de 14 jours.
FAQ
Un petit cabinet risque-t-il vraiment un contrôle CNIL en 2026 ?
Les contrôles peuvent faire suite à une plainte, un signalement ou une violation de données notifiée, quelle que soit la taille de la structure. La priorité donnée à la cybersécurité augmente en particulier le risque pour les structures qui n'auraient jamais formalisé de politique de sécurité, indépendamment de leur taille.
Le répertoire électoral unique et les fédérations sportives concernent-ils les cabinets d'avocats ?
Ces deux thématiques ciblent des acteurs spécifiques (gestionnaires du répertoire électoral, fédérations sportives) et ne visent pas directement les cabinets d'avocats — sauf s'ils traitent eux-mêmes ce type de données pour un client relevant de ces secteurs.
Faut-il déjà adapter sa politique de confidentialité au projet Digital Omnibus ?
Non. Le texte n'est pas adopté et son calendrier d'application, s'il l'est, s'étalerait sur plusieurs années. Seul le RGPD actuellement en vigueur doit guider vos pratiques et vos documents d'information.
Quel lien entre ces priorités CNIL et l'AI Act ?
La CNIL indique se préparer à un futur rôle d'autorité de surveillance de marché pour certains systèmes d'IA à haut risque, et le contrôle 2026 sur le recrutement inclut déjà une vérification des décisions automatisées — un terrain d'anticipation directe de l'articulation entre RGPD et AI Act.
Publié le 2026-07-15. Contenu informatif destiné aux professionnels du droit ; il ne constitue pas une consultation juridique. Pour aller plus loin, consultez les contrôles prioritaires 2026 de la CNIL et le rapport annuel de la CNIL.