RGPD : quelles nouveautés en 2026 ?

Entré en application en mai 2018, le RGPD reste le socle de la protection des données personnelles en Europe. Mais autour de lui, le paysage réglementaire évolue vite : intelligence artificielle, plateformes en ligne, coopération entre autorités de contrôle et volonté de simplification de la part des institutions européennes.

Que change concrètement 2026 pour vous ? Voici un tour d’horizon des évolutions déjà actées et de celles qui sont encore en discussion, avec ce qu’elles impliquent pour vos droits.

Vos droits fondamentaux ne changent pas

Commençons par l’essentiel : les droits que vous tirez du RGPD restent pleinement applicables. Vous pouvez toujours demander à un organisme quelles données il détient sur vous, les faire corriger, les faire effacer ou vous opposer à leur utilisation.

• Le droit d’accès (article 15), pour savoir quelles données sont traitées et dans quel but.
• Le droit de rectification (article 16), pour corriger des informations inexactes.
• Le droit à l’effacement (article 17), souvent appelé droit à l’oubli.
• Le droit d’opposition (article 21), notamment contre la prospection commerciale.
• Le délai de réponse d’un mois, prolongeable de deux mois pour les demandes complexes.

L’AI Act franchit une étape majeure

Le règlement européen sur l’intelligence artificielle, entré en vigueur en août 2024, s’applique de manière progressive. Les pratiques jugées inacceptables, comme certaines formes de notation sociale, sont interdites depuis début 2025, et des obligations visent les modèles d’IA à usage général depuis août 2025. Le 2 août 2026 marque la date d’application générale du texte, avec notamment des règles de transparence : un contenu généré ou manipulé par une IA, comme un hypertrucage, devra en principe être signalé comme tel.

L’AI Act ne remplace pas le RGPD : dès qu’un système d’IA traite des données personnelles, les deux textes s’appliquent ensemble. Le calendrier de certaines obligations, en particulier pour les systèmes à haut risque, fait toutefois l’objet de propositions de report par la Commission européenne. Ce point est encore en discussion et reste à suivre.

Des plaintes transfrontalières mieux encadrées

Lorsqu’une plainte vise une entreprise établie dans un autre pays de l’Union, plusieurs autorités de protection des données doivent coopérer. Ces procédures ont longtemps été critiquées pour leur lenteur et leurs divergences d’un pays à l’autre. Un règlement européen adopté en 2025 harmonise désormais certaines règles de procédure : droits des plaignants à être entendus, accès au dossier, étapes de traitement plus encadrées. Son application sera progressive, mais l’objectif est clair : des dossiers transfrontaliers traités plus rapidement et de façon plus homogène.

Le DSA et la CNIL en première ligne

Le règlement sur les services numériques (DSA) est pleinement applicable depuis 2024. Il impose aux plateformes des mécanismes de signalement des contenus illicites, plus de transparence sur leurs systèmes de recommandation et l’interdiction de la publicité ciblée fondée sur des données sensibles ou visant les mineurs. Pour vous, cela signifie des outils de signalement plus accessibles et des recours mieux définis.

De son côté, la CNIL poursuit ses priorités : contrôles ciblés chaque année sur des thématiques précises, attention particulière portée à la cybersécurité et aux violations de données, encadrement du développement de l’IA, protection des mineurs en ligne. Ses sanctions et recommandations restent un bon indicateur des pratiques jugées problématiques.

La simplification du RGPD, un chantier à suivre

La Commission européenne a présenté des propositions visant à simplifier certaines règles numériques, y compris des ajustements du RGPD : allègement de certaines obligations pour les petites structures, clarifications sur la notion de donnée personnelle ou sur l’usage des données pour entraîner des modèles d’IA. Ces propositions suscitent des débats importants, et des associations de défense des libertés s’inquiètent d’un possible affaiblissement des protections. Rien n’est encore définitivement adopté : le contenu final dépendra des négociations entre le Parlement européen et les États membres.

Ce qu’il faut retenir

En 2026, le cadre se densifie plus qu’il ne se relâche : vos droits issus du RGPD restent intacts, l’AI Act et le DSA ajoutent des garanties, et les débats sur la simplification méritent d’être suivis de près. Le meilleur réflexe reste d’exercer concrètement vos droits, et l’analyse gratuite de WashMyName peut vous aider à identifier les sites auprès desquels le faire.