En octobre 2024, une PME française a écopé de 90 000 € d'amende. Motif : absence de registre de traitement et cookies non conformes. Pas une fuite de données massive. Pas un ransomware. Juste deux manquements administratifs que beaucoup de dirigeants considèrent encore comme des détails. La CNIL, elle, ne les considère plus comme tels.

Le MFA, nouvelle ligne rouge

Depuis début 2026, la CNIL a officiellement intégré l'authentification multifacteur dans sa politique de contrôle renforcée. La formulation sur son site est sans ambiguïté : "L'absence de cette mesure pourra justifier que soit initiée une procédure de sanction." Ce n'est plus une recommandation. C'est un critère d'évaluation.

La cible immédiate, ce sont les grandes bases de données — les organismes qui traitent des volumes importants de données personnelles. Mais l'histoire réglementaire française enseigne quelque chose d'assez prévisible : ce qui s'applique aux grands aujourd'hui s'applique aux moyens demain. Les PME qui gèrent des fichiers clients conséquents, des données de santé, ou des données RH sensibles feraient mal de se croire hors radar.

Ce qui change concrètement : un simple mot de passe ne suffit plus pour accéder à vos outils CRM, à votre messagerie professionnelle, à votre espace cloud. Si un contrôleur CNIL tombe sur une interface d'administration accessible sans second facteur, c'est désormais un motif de procédure. Le MFA n'est plus une bonne pratique réservée aux DSI des grands groupes. C'est une obligation qui descend dans la chaîne.

Ce que "conformité" veut dire en 2026

Le cadre RGPD n'a pas changé dans ses fondements depuis 2018. Ce qui change, c'est l'intensité des contrôles et la précision des exigences techniques. La CNIL a publié en 2026 des consignes détaillées sur la sécurité des bases de données — chiffrement, journalisation des accès, cloisonnement des environnements. Des termes qui sonnent techniques mais qui correspondent à des questions très concrètes : qui peut accéder à quoi dans votre entreprise ? Avec quelles traces ?

Pour une PME, le risque financier est réel. Les amendes peuvent légalement atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial. En pratique, la CNIL applique une proportionnalité — mais "proportionné" pour une PME de 50 personnes peut tout de même représenter plusieurs dizaines de milliers d'euros, comme l'illustre la sanction à 90 000 € citée plus haut.

Ce qui complique la vie des dirigeants, c'est la vitesse à laquelle la réglementation se précise. Entre les lignes directrices de l'EDPB (le comité européen de protection des données), les recommandations de l'ANSSI sur la cybersécurité, et les mises à jour de la CNIL, le volume de textes à surveiller est devenu ingérable sans outillage dédié. C'est précisément pour ça que des outils comme regwatch existent : surveiller automatiquement ces sources — CNIL, ANSSI, EDPB, Légifrance — et envoyer chaque lundi matin un digest priorisé avec le niveau d'impact et l'action attendue. Pour un dirigeant qui n'a pas de juriste en interne, c'est souvent la différence entre être informé à temps et découvrir une obligation six mois après sa publication.

L'angle mort technique que personne ne regarde

La conformité RGPD, c'est aussi — et c'est souvent oublié — une question de surface d'attaque. Un sous-domaine oublié qui expose une interface d'administration. Un certificat TLS expiré sur un formulaire de collecte. Une configuration SPF absente qui permet à n'importe qui d'usurper votre domaine email pour hameçonner vos clients. Ces failles ne sont pas seulement des risques de sécurité : elles constituent des manquements aux obligations de sécurité des traitements prévues à l'article 32 du RGPD.

Le problème, c'est que la plupart des PME n'ont aucune visibilité sur leur propre exposition externe. Elles savent ce qu'elles ont déployé intentionnellement. Elles ne savent pas ce qui est visible depuis l'extérieur — les reliquats d'anciens projets, les configurations par défaut jamais modifiées, les sous-domaines créés par un prestataire il y a trois ans et jamais supprimés.

Un audit de surface d'attaque externe — comme ce que propose le SmartSeek Scanner — répond exactement à cette question : qu'est-ce que quelqu'un voit de vous depuis l'extérieur, sans aucun accès interne ? Sous-domaines exposés, fuites d'emails, headers HTTP mal configurés, certificats périmés. Ce type d'audit, qui coûte 249 € en version ponctuelle, peut éviter une notification de violation de données à la CNIL — avec tout ce que ça implique en termes de procédure et de réputation.

La CNIL ne s'est pas transformée en machine à punir. Mais elle a clairement changé de régime. Les contrôles sont plus ciblés, les exigences techniques plus précises, et la tolérance pour les "on n'était pas au courant" s'érode. Pour un dirigeant de PME, la question n'est plus de savoir si la réglementation s'applique à lui — elle s'applique, c'est établi. La question, c'est de savoir s'il a les moyens de la suivre sans y consacrer deux jours par semaine. Et là, l'outillage fait toute la différence.

Sources