Le rapport annuel 2025 de la CNIL dessine un paysage numérique français sous tension, marqué par une hausse continue des violations de données, une progression des plaintes et un durcissement de l’action de contrôle. Avec 6 167 violations notifiées en 2025, soit une augmentation de 9,5%, l’autorité met en lumière une exposition plus large des organisations et une intensification du risque pour les personnes concernées.
L’un des enseignements majeurs du rapport tient à la place prise par les attaques informatiques dans les incidents déclarés. La CNIL indique qu’un incident sur deux relève désormais d’un piratage, ce qui montre que la protection des données dépend de plus en plus directement du niveau réel de cybersécurité des systèmes d’information. Cette évolution ancre la sécurité comme sujet central de gouvernance, et non comme simple volet technique traité en marge de la conformité.
Le rapport met aussi en évidence une amplification de la portée des incidents. Les violations signalées touchent des volumes plus importants de personnes, concernent des données particulièrement sensibles et impliquent régulièrement des prestataires ou sous-traitants. Cette configuration étend la surface de risque, car la solidité d’une organisation dépend désormais autant de ses pratiques internes que de la maîtrise de son environnement contractuel et technique.
Une lecture plus exigeante des chiffres
Les 20 150 plaintes reçues par la CNIL en 2025 traduisent une sensibilité croissante du public à l’usage et à la sécurité des données personnelles. Le sujet n’appartient plus uniquement au champ réglementaire : il devient un marqueur de confiance, de crédibilité et de qualité de service pour les acteurs publics comme privés.
Le total des amendes, qui atteint 486 839 500 euros en 2025, impressionne par son niveau, mais il mérite une lecture détaillée. Une large part de ce montant provient de deux sanctions très élevées, 325 millions d’euros et 150 millions d’euros, prononcées sur des dossiers liés aux cookies et aux traceurs. Cette concentration rappelle qu’un total annuel spectaculaire ne dit pas tout de la réalité du contrôle, qui repose aussi sur un ensemble beaucoup plus diffus de sanctions, mises en demeure et rappels à la loi.
C’est précisément dans cette diffusion de l’action répressive que se joue l’évolution la plus importante. En 2025, la CNIL a réalisé 323 contrôles, pris 259 décisions, prononcé 83 sanctions et adressé 143 mises en demeure. Le régulateur montre ainsi sa capacité à agir à plusieurs niveaux, avec une pression qui ne se limite plus aux dossiers emblématiques ou aux grandes plateformes internationales.
Cependant, ces chiffres sont à nuancer :
Si vous enlevez Google (325M€) et Shein (150M€), deux multinationales, le véritable chiffre des sanctions imposées en France c’est : 11 839 500 € pour 81 sanctions. 146 167€ en moyenne. Comparé aux autres pays européens :
- Allemagne : 48,1M€ – 499 sanctions
- Espagne : 45,2M€ – 324 sanctions
- France (réel) : 11,8M€ – 81 sanctions
Nous sommes encore donc bien loin de nos homologues, et une réelle prise de conscience ne pourra s’opérer que par des sanctions moins spectaculaires, mais avec un réel accompagnement.
Ce que cela annonce pour 2026
L’annonce la plus structurante concerne l’année 2026 : la CNIL indique que 50% de ses contrôles porteront sur la cybersécurité. Ce choix prolonge une orientation déjà visible en 2025, où les questions de sécurité représentaient une part importante des contrôles et des sanctions. Il faut y voir une priorisation claire des défaillances techniques, organisationnelles et contractuelles qui exposent les données personnelles.
Pour les entreprises, cette évolution rehausse fortement le niveau d’exigence attendu. La conformité ne pourra plus reposer uniquement sur des politiques internes, des mentions d’information ou une documentation bien tenue ; elle devra s’appuyer sur des preuves de maîtrise opérationnelle, notamment sur les accès, l’authentification, la segmentation, la journalisation, la détection d’incident et la gestion des prestataires.
Le mouvement aura aussi des effets sur les arbitrages budgétaires. Les directions générales, juridiques, conformité et sécurité vont devoir parler le même langage, parce que la qualité de la protection des données sera de plus en plus appréciée à travers la robustesse des dispositifs techniques et la capacité de réaction en cas d’incident.
Le focus de la CNIL en 2026 :
Au-delà du durcissement annoncé sur la cybersécurité, la CNIL a déjà précisé plusieurs axes de contrôle pour 2026, ce qui permet de lire plus finement sa doctrine d’intervention. Trois thématiques prioritaires ont été formalisées : le recrutement, le répertoire électoral unique et les fédérations sportives, auxquelles s’ajoutent des orientations plus larges issues du plan stratégique 2025-2028 autour de l’IA, de la protection des mineurs, de la cybersécurité, des applications mobiles et de l’identité numérique. L’intérêt de cette combinaison est qu’elle donne une image très concrète de la manière dont la CNIL articule ses contrôles sectoriels, ses priorités technologiques et sa montée en puissance sur les environnements à fort volume de données personnelles. Ces choix traduisent une vision plus large du rôle du régulateur, qui ne se limite plus à sanctionner des manquements ponctuels, mais cherche à intervenir sur les environnements numériques où les données personnelles circulent en masse, souvent de manière peu visible pour les personnes concernées.
Le sujet du recrutement mérite une attention particulière, car il annonce une montée en vigilance sur les traitements RH à grande échelle. La CNIL indique qu’elle vérifiera notamment les systèmes de décision automatisée, l’information des candidats et les durées de conservation, avec un ciblage prioritaire des grandes entreprises et des cabinets de recrutement. En arrière-plan, cette priorité prépare aussi l’exercice futur de ses compétences comme autorité de surveillance du marché dans le champ “travail” au titre du règlement européen sur l’intelligence artificielle, ce qui laisse entrevoir une surveillance plus étroite des outils d’évaluation, de tri et de présélection algorithmique dans les processus RH.
Le contrôle du répertoire électoral unique révèle un autre mouvement : la CNIL renforce sa vigilance sur les grands fichiers publics et sur les usages qui peuvent en être faits. L’enjeu n’est pas seulement la sécurité d’un fichier centralisant les données des électeurs en France, mais aussi la conformité des accès, la légitimité des consultations et la détection d’éventuels détournements d’usage. Cette orientation confirme que les grands référentiels administratifs figurent désormais parmi les actifs informationnels les plus sensibles du point de vue de la protection des données.
Le cas des fédérations sportives est également très révélateur de la grille de lecture de la CNIL. Le régulateur relie explicitement l’augmentation des inscriptions après les Jeux olympiques et paralympiques de Paris 2024 à une hausse des volumes de données traitées, y compris des données de santé, des informations concernant des mineurs et, dans certains cas, des données liées à des infractions. La CNIL annonce qu’elle vérifiera la pertinence des données collectées, leur durée de conservation et la sécurité mise en place, ce qui montre que son contrôle portera autant sur la minimisation que sur la robustesse technique.
Cette évolution a plusieurs conséquences pratiques pour les organisations. Elle signifie d’abord que les contrôles ne se concentreront pas uniquement sur les incidents déclarés, mais aussi sur des chaînes de traitement complètes : collecte, information, paramétrage des outils, conservation, accès, sous-traitance et sécurité opérationnelle.
Elle signifie ensuite que la CNIL regarde de plus en plus des contextes dans lesquels la donnée personnelle est imbriquée avec d’autres enjeux structurants, comme l’automatisation des décisions, la protection des mineurs, la multiplication des applications mobiles ou le déploiement de systèmes d’identité numérique. Enfin, elle installe durablement une logique de preuve : les organisations doivent être en mesure de démontrer leurs choix, la proportionnalité des données traitées, l’encadrement de leurs outils et l’effectivité de leurs mesures de protection.
Les conséquences à anticiper
Une première conséquence concerne les sous-traitants. Puisque les violations impliquent fréquemment des prestataires, les relations fournisseurs vont devenir un point de vigilance renforcé, avec davantage d’audits, de clauses de sécurité, d’exigences de preuve et de contrôle de la réversibilité ou de la suppression des données.
Une deuxième conséquence touche à la responsabilité des secteurs exposés. Les organismes publics, la santé, la finance et les structures manipulant des données sensibles ou à grande échelle se trouvent placés sous une attention renforcée, avec un risque plus élevé de contrôle après incident ou signalement. Dans ces secteurs, la sécurité des données devient un critère direct d’évaluation de la maturité organisationnelle.
Une troisième conséquence est réputationnelle. À mesure que les incidents gagnent en ampleur, la fuite de données s’impose comme un moment de vérité pour les organisations, parce qu’elle met à l’épreuve leur préparation, leur transparence et leur capacité à protéger durablement leurs publics. Le rapport 2025 montre ainsi une convergence de plus en plus nette entre conformité, cybersécurité et confiance.
Comment Cyberstrat peut vous accompagner ?
Dans ce contexte, les entreprises ont besoin d’une démarche structurée, lisible et défendable face aux exigences croissantes de la CNIL, à la montée du risque cyber et à la complexité de leurs chaînes de sous-traitance. Cyberstrat accompagne les organisations sur toute cette trajectoire, avec des missions d’audit, de mise en conformité, de gouvernance externalisée et de formation, afin d’ancrer la protection des données dans les pratiques réelles de l’entreprise et dans ses choix opérationnels.
Cet accompagnement couvre la cartographie des traitements, la revue des bases légales, l’encadrement des sous-traitants, l’évaluation des mesures de sécurité, la préparation aux contrôles, la gestion des violations de données et la montée en compétence des équipes sur les attentes concrètes de la CNIL.
