Une PME de trente personnes a ajouté une page « Carrières » à son site l'an dernier : un formulaire, un champ pour le CV, un bouton « Postuler ». Depuis, une centaine de candidatures dorment dans la boîte mail de la gérante et dans l'outil de recrutement d'un prestataire. Personne ne sait combien de temps elles y resteront, ni qui peut les ouvrir. À dix kilomètres de là, un club de handball gère quatre cents licenciés, dont la moitié de mineurs, avec un espace adhérent, des certificats médicaux et un album photo public. Ces deux sites sont exactement ceux que visent les thématiques de contrôle publiées par la CNIL pour 2026.
Avertissement : cet article est fourni à titre informatif et ne constitue pas un conseil juridique. Les textes cités sont ceux en vigueur à la date de rédaction ; pour une situation particulière, consultez un professionnel du droit.
Chaque année, la CNIL rend publics les thèmes sur lesquels une partie de ses contrôles se concentrera. La page publiée le 3 avril 2026 en retient trois : le recrutement, le répertoire électoral unique et les fédérations sportives. Elle donne aussi l'échelle : la CNIL conduit « plusieurs centaines de contrôles par an » à la suite de plaintes, de mesures correctrices antérieures, de signalements ou de l'actualité, et « environ 20 % » d'entre eux s'inscrivent dans les thématiques prioritaires. Le reste n'est pas thématique : une plainte suffit à déclencher un contrôle, quel que soit le sujet.
| Thème 2026 | Ce que la CNIL dit vouloir vérifier | Qui est concerné en pratique |
|---|---|---|
| Recrutement | Le respect du RGPD sur les grands thèmes de son guide du recrutement de janvier 2023 : décision automatisée, information des candidats, durées de conservation | « Prioritairement les grandes entreprises et les cabinets de recrutement ». Toute entreprise qui recrute en ligne applique pourtant les mêmes règles. |
| Répertoire électoral unique | Les utilisations de ce fichier « détenu par l'INSEE », qui regroupe les données de l'ensemble des électeurs, et d'éventuels détournements d'usage | Les organismes publics qui utilisent ce fichier. Un site d'entreprise ou de club n'est pas visé. |
| Fédérations sportives | « La pertinence des données collectées, leur durée de conservation ainsi que la sécurité mise en place », le secteur ayant été « particulièrement visé par les attaques informatiques récentes » | Les fédérations, et par ricochet les clubs qui alimentent leurs fichiers. La CNIL relève que le succès des Jeux de Paris 2024 a fait augmenter les inscriptions, avec des données de santé et « un nombre important de mineurs ». |
La même page annonce un quatrième chantier, européen : dans le cadre de la cinquième action coordonnée des autorités de protection des données (CEF), la CNIL et ses homologues vérifieront la transparence et le caractère complet de l'information donnée aux personnes concernées. Autrement dit, la qualité de votre politique de confidentialité, sujet de notre article sur les articles 13 et 14.
La page « Comment se passe un contrôle de la CNIL ? » décrit quatre formes : sur place (une délégation se rend dans les locaux), en ligne (les agents consultent depuis leurs bureaux des données librement accessibles, donc votre site public), sur audition (l'organisme est convoqué à la Commission) et sur pièces (un courrier accompagné d'un questionnaire). Le contrôle donne lieu à un procès-verbal, puis, selon les cas, à une clôture, une clôture avec observations, une mise en demeure ou une procédure de sanction.
Pour un site de PME ou de club, la forme la plus probable est le contrôle en ligne : ce que voit un agent est ce que voit un visiteur. Un formulaire de candidature sans mention d'information, un album photo de mineurs sans autorisation, une politique de confidentialité qui ne parle jamais de recrutement, tout cela se lit depuis un navigateur. La relecture proposée ci-dessous commence donc par les pages publiques.
Suivez le chemin d'un CV déposé sur votre page « Carrières ». À chaque étape correspond une règle du RGPD et, le plus souvent, une des dix-neuf fiches du guide du recrutement. La CNIL a aussi publié une version courte, « Recrutement et données personnelles dans les TPE/PME », dont les points ci-dessous sont tirés.
Un point de vocabulaire : « prioritairement » les grandes entreprises et les cabinets de recrutement décrit où iront les contrôles thématiques, pas où s'arrêtent les règles. Un contrôle déclenché par la plainte d'un candidat éconduit ne dépend d'aucune thématique.
Le thème 2026 vise les fédérations. Mais la page de la CNIL sur les licences sportives décrit une chaîne : quand un club remplit la demande de licence sur le site fédéral, la fédération est responsable de son formulaire, le club est responsable de son propre formulaire d'adhésion et agit comme sous-traitant de la fédération pour le modèle fédéral ; « un contrat de sous-traitance devra être passé entre la fédération et le club ». Une vérification des fédérations remonte donc vers les clubs. Les questions-réponses de la CNIL sur le sport amateur donnent le mode d'emploi côté club.
Le répertoire électoral unique est « un fichier détenu par l'INSEE » servant au contrôle et à la gestion des listes électorales, des procurations et de l'envoi de la propagande électorale. Les contrôles porteront sur les utilisations de ce fichier par ceux qui y ont accès. Une entreprise, un commerce ou une association n'a rien à revoir sur son site à ce titre.
| Élément du site | Question à se poser | Texte de référence |
|---|---|---|
| Formulaire de candidature | Une mention d'information est-elle visible avant l'envoi, avec la durée de conservation ? | RGPD, art. 13 ; guide CNIL, fiche 8 |
| Boîte mail et outil de recrutement | Les candidatures non retenues de plus de deux ans ont-elles été supprimées ? | RGPD, art. 5(1)(e) ; CNIL, TPE/PME |
| Plateforme de recrutement externe | Le contrat de sous-traitance existe-t-il et est-il classé ? | RGPD, art. 28 |
| Tri automatique des CV | Un humain relit-il avant tout refus ? Le candidat en est-il informé ? | RGPD, art. 22 ; guide CNIL, fiche 13 |
| Politique de confidentialité | Contient-elle une section candidats, et une section adhérents pour un club ? | RGPD, art. 12 à 14 |
| Album photo du club | Une autorisation préalable existe-t-elle pour chaque personne visible, signée par les parents pour les mineurs ? | CNIL, sport amateur |
| Espace adhérent | Les champs se limitent-ils à la liste de la licence ? Les anciens adhérents de plus de trois ans sont-ils purgés ? | CNIL, licences sportives ; RGPD, art. 5(1)(e) |
| Registre des traitements | Le recrutement et la gestion des adhérents y figurent-ils ? | RGPD, art. 30 |
La vérification gratuite Sitetals examine votre page d'accueil et signale, entre autres, l'absence d'une page de mentions légales ou de politique de confidentialité accessible, ainsi que les services tiers chargés par votre site. C'est un point de départ pour la relecture décrite ci-dessus, pas un substitut à celle-ci.
À lire également :
Sources : CNIL, « Les contrôles en 2026 : recrutement, répertoire électoral unique et fédérations sportives », 3 avril 2026 · CNIL, « Comment se passe un contrôle de la CNIL ? » · CNIL, « Le guide du recrutement », 30 janvier 2023 · CNIL, « Recrutement et données personnelles dans les TPE/PME » · CNIL, « Licences sportives : les principales règles », 18 juin 2024 · CNIL, « Sport amateur : questions-réponses », 4 août 2022 · Règlement (UE) 2016/679, articles 5, 12, 13, 22, 28, 30 et 32 · Méthodologie Sitetals.
Rédaction Sitetals