La séance plénière CNIL du jeudi 5 novembre 2026 a porté sur cinq sujets, du fichier des empreintes génétiques à l’IA agentique. La Commission nationale de l’informatique et des libertés (CNIL) a mis en ligne l’ordre du jour de la séance plénière du 5 novembre 2026 : quelques lignes, sans le contenu des décisions.
Ces quelques lignes suffisent pourtant à voir ce que la CNIL prépare. Pour chaque point, nous indiquons ce qui est publié au 8 novembre 2026, où chercher le document et, quand ce document vous revient, comment le construire. Une todolist datée clôt l’article.
L’ordre du jour de la séance plénière CNIL, point par point
| Point | Intitulé | Nature | Qui est concerné | Texte publié ? |
|---|---|---|---|---|
| Point 1 | Décisions individuelles entièrement automatisées (article 22 du RGPD) | Communication au collège | Tout organisme qui confie une décision à un algorithme | Non : aucune publication repérée |
| Point 2 | Projet de décret modifiant le code de procédure pénale (FNAEG et FAED) | Projet de délibération portant avis | L’État, pour deux fichiers de police judiciaire | Non : ni le décret ni l’avis repérés |
| Point 3 | Note CNIL et CIANum « IA agentique et données personnelles » | Présentation d’une note | Organismes qui utilisent des agents d’IA | Oui : note en ligne depuis le 20 juillet 2026 |
| Point 4 | Guide « IA en contexte de soins » | Audition de la HAS et présentation de la version finale | Établissements et professionnels de santé | Projet seulement, publié le 5 mars 2026 |
| Point 5 | Traitement « Analyse des dossiers de plainte déposés devant le Conseil supérieur de la magistrature » | Délibération portant avis, procédure de l’article 17 du règlement intérieur | Conseil supérieur de la magistrature | Non : avis non repéré |
Les décisions automatisées et l’IA agentique touchent tout DPO, en entreprise comme en collectivité. Le guide sur l’IA en soins vise les établissements et les professionnels de santé. Enfin, les deux avis restants portent sur des traitements de l’État. Ils intéressent surtout les DPO du secteur public et les personnes inscrites dans ces fichiers.
Décisions entièrement automatisées : repérez-les dans vos traitements
La CNIL a ouvert la séance par une communication sur les décisions individuelles entièrement automatisées de l’article 22 du RGPD. L’ordre du jour ne mentionne aucun projet de délibération sur ce point. Aucun texte n’y est donc annoncé à l’adoption.
L’article 22 donne à la personne le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, profilage compris. Il vise la décision qui produit des effets de droit à son égard ou l’affecte de façon comparable. Le texte admet toutefois la décision nécessaire à un contrat, celle autorisée par la loi avec des garanties, et celle fondée sur le consentement explicite. Dans le cas du contrat et du consentement, la personne garde au minimum le droit d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision.
La CNIL cite par exemple un refus de crédit décidé par un algorithme, sans intervention humaine. Chez vous, un tri automatique de candidatures, un score de priorité ou un blocage de compte pose la même question. Notre article sur la décision automatisée et la sanction d’Uber montre ce que coûte une réponse mal préparée.
Où trouver le document
Au 8 novembre 2026, nous n’avons trouvé sur cnil.fr aucune publication tirée de cette communication. Surveillez la rubrique Actualités du site. En attendant, le texte de l’article 22 figure sur la page CNIL du chapitre III du RGPD, et la fiche Profilage et décision entièrement automatisée l’illustre par des exemples.
Comment créer votre inventaire des décisions automatisées
Le document à produire est interne : une liste des traitements où un algorithme décide seul, rattachée au registre.
- Parcourez le registre et marquez chaque traitement qui produit un résultat sur une personne sans validation humaine : refus, score, tri ou blocage.
- Notez pour chacun l’effet sur la personne et l’exception de l’article 22 retenue : contrat, texte légal ou consentement explicite.
- Décrivez l’intervention humaine : qui reçoit la contestation, dans quel délai, avec quel pouvoir de réviser la décision.
- Complétez les mentions d’information. Les articles 13, 14 et 15 imposent d’annoncer la décision automatisée et de donner des informations utiles sur la logique sous-jacente.
- Lancez une AIPD quand la décision repose sur une évaluation systématique et approfondie de la personne, cas visé par l’article 35, paragraphe 3, point a.
Notre guide du registre des traitements détaille la fiche à compléter. La page analyse d’impact (AIPD) décrit ensuite la méthode d’analyse. Commencez par les traitements RH et les portails en ligne.
IA agentique : la note CNIL et CIANum est déjà publiée
La note « IA agentique et données personnelles », présentée au collège le 5 novembre, est en ligne depuis le 20 juillet 2026. La CNIL l’a coécrite avec le Conseil de l’IA et du numérique (CIANum). Elle décrit des agents capables d’agir à la place de l’utilisateur, reliés à de multiples services et dotés d’une mémoire persistante.
Selon la note, ces systèmes mettent en tension les principes du RGPD. En effet, les flux deviennent difficiles à suivre, les profils s’enrichissent au fil des échanges et la responsabilité se dilue entre les acteurs. Comme pistes, la note avance une validation humaine pour les décisions les plus critiques, le cloisonnement de la mémoire des agents, le déploiement dans des environnements isolés et un bouton d’arrêt d’urgence laissé à l’utilisateur.
La note ouvre une réflexion. Elle n’a ni la forme d’une recommandation ni celle d’un référentiel. Nous la lisons pourtant comme la grille que la CNIL appliquera à un assistant d’IA branché sur votre messagerie, votre agenda ou votre logiciel métier.
Où trouver le document
La page CNIL IA agentique et données personnelles donne accès au texte complet de la note en PDF, daté de juillet 2026. Notre article IA agentique : ce que le DPO doit désormais tracer en tire les conséquences pour la traçabilité.
Comment créer la fiche de traitement d’un agent d’IA
Le document attendu est interne : une fiche de registre propre à l’agent, adossée au contrat avec son fournisseur.
- Listez les services auxquels l’agent accède et les actions qu’il peut déclencher seul.
- Fixez la finalité, les catégories de données et la durée de conservation de sa mémoire.
- Attribuez un rôle à chaque acteur : votre organisme, l’éditeur du modèle, les services connectés.
- Contrôlez le contrat de sous-traitance et le lieu d’hébergement des données.
- Prévoyez la validation humaine des actions qui engagent une personne, ainsi que la procédure d’arrêt de l’agent.
Les clauses à contrôler figurent sur notre page consacrée aux sous-traitants RGPD. Ouvrez le contrat de votre fournisseur d’IA avant la fin du mois.
Guide IA en contexte de soins : préparez la cartographie dès maintenant
Le collège a auditionné les représentants de la Haute Autorité de santé (HAS), puis pris connaissance de la version finale du guide « IA en contexte de soins ». Au 8 novembre 2026, nous ne l’avons pas trouvée dans les actualités de cnil.fr.
Le projet soumis à consultation du 5 mars au 16 avril 2026 reste en ligne. Il vise les acteurs du secteur sanitaire qui utilisent un système d’IA ayant un impact direct sur la prise en charge d’un patient. Il compte dix fiches sur les étapes du déploiement, de l’acquisition à la désinstallation, et deux fiches sur la gouvernance et l’IA générative.
La version finale peut s’écarter du projet. Nous recommandons quand même de lancer la cartographie des systèmes d’IA sans attendre. Le projet en fait la première mission de toute gouvernance IA, avec une mise à jour au moins annuelle. De plus, le registre et l’AIPD exigent déjà de connaître ces outils.
Où trouver le document
Le projet de guide en PDF et l’annonce de la consultation figurent sur la page CNIL IA et santé : la HAS et la CNIL lancent une consultation publique sur un projet de guide. Pour la version finale, surveillez les actualités de cnil.fr et le site has-sante.fr. Notre analyse du projet se lit dans l’article IA en santé : ce que le guide HAS-CNIL impose aux établissements.
Comment créer la cartographie des systèmes d’IA
Le projet liste les informations à réunir pour chaque outil. Notez ainsi son nom et sa version, le fournisseur, les finalités et le statut de dispositif médical ou non. Ajoutez le niveau de risque au sens du règlement sur l’IA, le niveau de déploiement, les services utilisateurs et le référent local.
Complétez par la criticité pour les soins, les catégories de données et de personnes, puis les modalités de suivi. Reliez enfin chaque ligne à la fiche du registre et, si besoin, à l’AIPD, comme le projet le demande. Notre page RGPD santé et médico-social rassemble les autres obligations du secteur.
FNAEG, FAED et Conseil supérieur de la magistrature : deux avis à surveiller
Le collège a examiné un projet d’avis sur un projet de décret modifiant le code de procédure pénale. Ce décret concerne le fichier national automatisé des empreintes génétiques (FNAEG) et le fichier automatisé des empreintes digitales (FAED). L’ordre du jour n’en précise pas le contenu, et nous n’avons trouvé ni le décret ni l’avis.
En partie II, la CNIL a adopté selon la procédure de l’article 17 de son règlement intérieur un avis sur un projet de traitement. Son nom : « Analyse des dossiers de plainte déposés devant le Conseil supérieur de la magistrature ». Nous n’en connaissons que l’intitulé.
Où trouver les documents
Si le décret est pris, il paraîtra au Journal officiel, consultable sur Légifrance. Les délibérations de la CNIL se consultent aussi sur Légifrance, dans le fonds consacré à la CNIL : cherchez FNAEG ou Conseil supérieur de la magistrature.
Pour un organisme privé, ces deux points n’appellent aucune action. Une personne qui veut savoir ce que ces fichiers contiennent sur elle lira notre article sur le droit d’accès aux fichiers de police. Le DPO d’une administration y trouve en revanche un rappel : un traitement de gestion des plaintes figure au registre, comme les autres.
La todolist du DPO après la séance plénière CNIL
Aucun texte issu de cette séance ne fixe de délai. Les échéances proposées ci-dessous sont donc les nôtres, sauf quand elles dépendent d’une publication.
- Téléchargez la note CNIL et CIANum sur l’IA agentique et transmettez-la à la direction et à la DSI.
Échéance : cette semaine - Recensez les agents et assistants d’IA en service ou en test, avec les services qu’ils peuvent actionner.
Échéance : 31 décembre 2026 - Créez ou mettez à jour la fiche de registre de chaque agent, puis contrôlez le contrat de son fournisseur.
Échéance : 31 décembre 2026 - Inventoriez les décisions entièrement automatisées et notez l’exception de l’article 22 retenue pour chacune.
Échéance : 31 janvier 2027 - Contrôlez que vos mentions d’information annoncent ces décisions et la logique suivie.
Échéance : 31 janvier 2027 - Organisez la contestation humaine : destinataire, délai, pouvoir de réviser.
Échéance : 31 janvier 2027 - En établissement de santé, lancez la cartographie des systèmes d’IA à partir du projet de guide HAS-CNIL.
Échéance : dès maintenant, puis relecture à la publication du texte final - Guettez la version finale du guide « IA en contexte de soins » sur cnil.fr et has-sante.fr.
Échéance : à la publication du texte - Dans le secteur public, suivez sur Légifrance le décret FNAEG et FAED et les deux avis de la CNIL.
Échéance : à la publication du texte - Inscrivez ces actions au plan d’action présenté à la direction.
Échéance : prochaine réunion de direction
Suivre ces actions dans DPO Suite
DPO Suite, l’application de conformité éditée par DPO FRANCE, réunit le registre des traitements, les sous-traitants, les violations de données, les demandes d’exercice des droits, l’AIPD guidée par IA et les audits AI Act et NIS2.
Pour cette todolist, la fiche d’un agent d’IA prend place dans le registre et son fournisseur dans le module des sous-traitants. Ensuite, l’AIPD guidée par IA aide à structurer l’analyse d’un traitement qui décide seul. Les audits AI Act servent de base pour qualifier les systèmes d’IA recensés. Enfin, les demandes de droits, dont les contestations d’une décision automatisée, se suivent dans le même outil.
L’application ne tranche pas à votre place : elle garde la trace de ce que vous et votre DPO validez. Hébergée chez AWS en région Paris, elle coûte 180 euros HT par mois, avec un essai gratuit. Le détail des modules figure sur notre page DPO Suite, logiciel RGPD et sur le site dpo-suite.com.
Sources
L’ordre du jour provient de la page CNIL Ordre du jour de la séance plénière du 5 novembre 2026.
La note sur l’IA agentique est présentée sur la page CNIL IA agentique et données personnelles : la CNIL et le Conseil de l’IA et du Numérique publient une note exploratoire, qui renvoie au texte de la note.
Le projet de guide et ses dates de consultation figurent sur la page CNIL IA et santé : la HAS et la CNIL lancent une consultation publique sur un projet de guide, avec le document de travail HAS-CNIL daté du 16 février 2026.
Les articles 13, 14, 15 et 22 du RGPD sont cités d’après la page CNIL Chapitre III : droits de la personne concernée, et l’article 35 d’après la page Chapitre IV : responsable du traitement et sous-traitant.
L’exemple du refus de crédit vient de la fiche CNIL Profilage et décision entièrement automatisée.
Questions fréquentes
Qu’est-ce qu’une séance plénière de la CNIL ?
La séance plénière réunit le collège de la CNIL pour examiner les points inscrits à son ordre du jour. Le 5 novembre 2026, le collège a examiné deux projets d’avis, entendu une communication et les représentants de la HAS, puis pris connaissance d’une note et d’un guide. L’ordre du jour publié sur cnil.fr en donne la liste, sans le contenu des décisions.
Où trouver les délibérations de la CNIL ?
Les délibérations de la CNIL se consultent sur Légifrance, dans le fonds consacré à la CNIL. Les recommandations, guides et notes paraissent aussi sur cnil.fr, dans les actualités et les pages thématiques.
Le guide IA en contexte de soins est-il publié ?
Au 8 novembre 2026, seul le projet soumis à consultation en mars 2026 est en ligne sur cnil.fr. La version finale a été présentée au collège le 5 novembre 2026. Surveillez donc cnil.fr et has-sante.fr pour sa publication.
Une décision automatisée est-elle interdite par le RGPD ?
Une décision fondée exclusivement sur un traitement automatisé, qui produit des effets de droit ou affecte la personne de façon comparable, reste permise dans trois cas : nécessité pour un contrat, autorisation par la loi avec des garanties, ou consentement explicite. Pour le contrat et le consentement, la personne peut obtenir une intervention humaine, exprimer son point de vue et contester la décision.
Que doit faire un DPO face à l’IA agentique ?
Le DPO recense les agents d’IA utilisés, crée une fiche de registre pour chacun et vérifie le contrat avec le fournisseur. La note CNIL et CIANum de juillet 2026 avance aussi des pistes concrètes, comme la validation humaine des décisions les plus critiques et le cloisonnement de la mémoire des agents.
