Bilan 2025 de la CNIL : hausse des sanctions et nouvelles prérogatives en IA

La Commission nationale de l’informatique et des libertés (CNIL) a rendu public son rapport annuel pour l’exercice 2025, dressant un bilan contrasté de son action en matière de protection des données personnelles. Ce document met en exergue une progression significative des indicateurs clés, reflétant une intensification de son activité répressive et de ses missions de contrôle.

Une activité répressive en forte hausse

L’année 2025 a été marquée par une augmentation notable des sanctions prononcées par la CNIL. Au total, 83 décisions de sanction ont été adoptées, contre 87 en 2024 et 42 en 2023. Ces sanctions ont concerné des manquements variés, notamment en matière de sécurité des données (25 cas), de gestion des traceurs (21 cas) et de vidéosurveillance des salariés (17 cas).

Parmi les motifs les plus fréquents, on relève des manquements à la sécurité (14 sanctions), un défaut de réponse aux demandes de la CNIL (14 sanctions), une non-prise en compte des droits des personnes (14 sanctions) et des irrégularités dans les pratiques de prospection (10 sanctions). Une majorité de ces sanctions (67 sur 83) ont été prononcées dans le cadre d’une procédure simplifiée.

Un montant record des amendes

Le montant cumulé des amendes infligées par la CNIL en 2025 s’élève à 486 839 500 €, un niveau sans précédent comparé aux années précédentes (55 212 400 € en 2024 et 89 179 500 € en 2023). Cette hausse spectaculaire s’explique principalement par deux sanctions majeures : 325 millions d’euros à l’encontre de Google et 150 millions d’euros à l’encontre de Shein, toutes deux liées à des manquements aux règles relatives aux cookies.

Il est à noter que plus de 97 % du montant total des amendes ne concerne pas des manquements au RGPD, mais des infractions à l’article 82 de la loi « Informatique et Libertés ». Ces sanctions ont été prononcées à l’encontre d’entités non européennes, principalement américaines et chinoises.

Des thèmes prioritaires de contrôle renforcés

En 2025, la CNIL a axé ses contrôles sur quatre thèmes prioritaires, représentant 30 % de son activité totale :

• La collecte de données par les applications mobiles (10 contrôles) ;
• La cybersécurité des collectivités territoriales (17 contrôles) ;
• Les données traitées par l’administration pénitentiaire (8 contrôles) ;
• Le droit à l’effacement (9 contrôles).

La cybersécurité, un enjeu majeur

La sécurité des données reste un sujet central pour la CNIL. En 2025, l’autorité a enregistré 6 167 notifications de violations de données personnelles, soit une hausse de 9,5 % par rapport à 2024. Les manquements à la sécurité ont été identifiés dans 33 % des contrôles et 30 % des décisions de sanction.

Cependant, la proportion de notifications aboutissant à un contrôle ou une sanction reste faible : un contrôle « cybersécurité » est déclenché pour 60 notifications en moyenne, et une sanction « cybersécurité » est prononcée pour 222 notifications. Face à cette situation, la CNIL annonce que 50 % de ses contrôles en 2026 seront consacrés à la cybersécurité, qu’elle qualifie de « très préoccupante ».

De nouvelles prérogatives en matière d’intelligence artificielle

En 2025, la CNIL a été désignée comme autorité de protection des droits fondamentaux au titre de l’IA Act. Cette reconnaissance lui confère de nouvelles missions, notamment :

• Le contrôle des systèmes d’IA à haut risque ;
• La surveillance de l’absence d’usage de systèmes d’IA interdits ;
• L’exercice d’une fonction d’autorité de surveillance du marché pour les systèmes d’IA à haut risque, dans des domaines tels que la biométrie, l’emploi, la migration ou les usages répressifs.

Source : Derriennic