La Cnil publie son rapport annuel 2025 : une régulation élargie et renforcée du numérique

La Commission nationale de l’informatique et des libertés (Cnil) a publié son rapport annuel 2025, marquant une étape charnière dans l’évolution de ses missions. Si la protection des données personnelles reste au cœur de son action, l’autorité étend désormais son champ d’intervention bien au-delà du cadre strict du RGPD.

Une autorité en mutation : de la protection des données à la régulation du numérique

L’année 2025 a été qualifiée de « charnière » par la présidente de la Cnil, Marie-Laure Denis, en raison de l’acquisition de nouvelles compétences découlant du règlement européen sur l’intelligence artificielle (RIA). Désormais, l’autorité est chargée non seulement de veiller au respect du RGPD dans les traitements impliquant l’IA, mais aussi d’assurer la protection des droits fondamentaux et, pour certains systèmes à haut risque, de superviser le marché. Cette évolution s’inscrit dans un contexte d’élargissement des prérogatives de la Cnil, consécutif à plusieurs textes européens majeurs, tels que le règlement sur les services numériques (DSA), le règlement sur la gouvernance des données (DGA) ou encore le règlement relatif à la transparence de la publicité politique.

Cette diversification des missions conduit la Cnil à adopter une logique d’« interrégulation », en renforçant sa collaboration avec d’autres autorités nationales comme l’Arcom, l’Arcep ou la DGCCRF. Une approche coordonnée visant à encadrer de manière cohérente les enjeux numériques contemporains.

Une activité opérationnelle toujours soutenue : contrôle, sanctions et cybersécurité

Le rapport annuel 2025 de la Cnil illustre l’intensité de son activité opérationnelle. Au cours de l’année écoulée, l’autorité a traité 20 150 plaintes, mené 323 contrôles et prononcé 83 sanctions, pour un montant global d’amendes s’élevant à 486,8 millions d’euros. Par ailleurs, elle a enregistré 6 167 notifications de violations de données personnelles, un niveau qualifié d’« exceptionnel » par l’autorité. Cette hausse des incidents, souvent de grande ampleur et impliquant des prestataires externes, a conduit la Cnil à renforcer ses exigences en matière de cybersécurité.

Parmi les priorités annoncées pour 2026 figurent des contrôles ciblés sur la sécurisation des accès aux grandes bases de données, reflétant une volonté de prévenir les risques liés aux fuites de données et aux cyberattaques.

Un accompagnement renforcé des acteurs pour une conformité proactive

Le rapport souligne que la stratégie de la Cnil ne se limite pas au contrôle et à la sanction. En 2025, l’autorité a poursuivi la publication d’outils destinés à faciliter la mise en conformité des organismes, tels que des recommandations sur les enquêtes de diversité, des guides sur les analyses d’impact des transferts de données ou encore des outils d’auto-évaluation des cookies de mesure d’audience. Elle a également clarifié des notions clés, comme la qualification de responsable de traitement ou de sous-traitant, et publié une étude sur les bénéfices économiques des délégués à la protection des données (DPO).

Cette politique d’accompagnement s’est également traduite par l’organisation de consultations publiques, de webinaires et par la diffusion de recommandations spécifiques à l’intelligence artificielle. Une démarche visant à promouvoir une conformité « par la pédagogie », avant d’envisager le recours aux pouvoirs de sanction.

Vers une régulation globale du numérique : les enjeux pour les organismes

À travers son rapport annuel 2025, la Cnil confirme son rôle croissant en tant que régulateur transversal du numérique. Les nouvelles compétences issues des règlements européens, notamment le RIA, devraient encore amplifier son influence dans les années à venir. Pour les organismes publics comme privés, ce rapport rappelle que la conformité ne peut plus se limiter au respect du RGPD. Elle doit désormais intégrer les réglementations européennes relatives à l’intelligence artificielle, aux services numériques et à la gouvernance des données, dans une approche globale de gouvernance numérique.

Source : Lexing