Rapport annuel 2025 de la CNIL : derrière les amendes record, une évolution majeure

Le rapport annuel 2025 de la Commission nationale de l'informatique et des libertés (ci-après « Cnil »), publié en mai 2026, a principalement retenu l'attention en raison du montant exceptionnel des sanctions prononcées au cours de l'année : près de 487 millions d'euros d'amendes administratives. Ce chiffre, largement relayé, pourrait laisser penser que l'activité répressive de l'autorité demeure essentiellement tournée vers quelques grands acteurs du numérique. Une lecture attentive du rapport conduit pourtant à une conclusion bien différente. L'année 2025 confirme une évolution profonde de la politique de contrôle de la Cnil : les sanctions se multiplient, concernent des organismes de toutes tailles et portent, dans une grande majorité des cas, sur des manquements opérationnels relativement courants. Plus encore, l'autorité annonce que la cybersécurité constituera l'un de ses principaux axes de contrôle en 2026. Pour les entreprises, le véritable enseignement du rapport est donc ailleurs que dans le montant des amendes record.

Les sanctions les plus médiatisées ne reflètent qu'une partie de la réalité

Les 486 839 500 euros d'amendes prononcés en 2025 constituent un montant sans précédent. Toutefois, cette somme est très largement concentrée sur deux décisions : une sanction de 325 millions d'euros infligée à Google et une autre de 150 millions d'euros prononcée à l'encontre de Shein, toutes deux liées à des manquements en matière de cookies.

Une fois ces deux décisions retranchées, le montant cumulé des autres sanctions représente environ 11,8 millions d'euros répartis sur quatre-vingt-une décisions. Cette lecture permet de dépasser l'effet d'annonce. Si les sanctions record occupent naturellement l'espace médiatique, elles ne reflètent qu'imparfaitement l'activité quotidienne de la Cnil, dont les contrôles concernent désormais une grande diversité d'organisations.

La procédure simplifiée est devenue un outil central de la politique de contrôle

L'évolution la plus marquante réside probablement dans la généralisation de la procédure simplifiée.

Sur les quatre-vingt-trois sanctions prononcées en 2025, soixante-sept l'ont été selon cette procédure, soit plus de quatre décisions sur cinq. Créée par la loi du 24 janvier 2022 et codifiée à l'article 22-1 de la loi Informatique et Libertés, elle permet au président de la formation restreinte de statuer seul, sans audience publique, lorsque l'affaire ne présente pas de difficulté particulière.

Cette procédure est limitée à certaines mesures, notamment un rappel à l'ordre, une injonction pouvant être assortie d'une astreinte et une amende plafonnée à 20 000 euros. Son intérêt réside toutefois ailleurs : elle permet à la Cnil de traiter un nombre beaucoup plus important de dossiers et d'exercer un contrôle plus régulier sur le respect des obligations issues du RGPD.

Autrement dit, la question n'est plus seulement celle des sanctions exceptionnelles visant les grands groupes, mais celle d'un contrôle devenu plus fréquent et plus accessible à l'ensemble des organismes.

Les organismes sanctionnés ressemblent aux organisations du quotidien

Le rapport annuel confirme que les sanctions ne concernent plus exclusivement les grandes entreprises du numérique.

En 2025, la Cnil a sanctionné des sociétés commerciales, mais également des professions médicales et juridiques libérales, des associations, une commune, des universités, un supermarché ou encore des candidats à des élections. Les montants prononcés sont d'ailleurs loin d'être anecdotiques : 20 000 euros pour un supermarché, 20 000 euros pour une université, 15 000 euros pour une autre université, 10 000 euros pour une commune ou encore 3 000 euros pour un médecin généraliste. Ces exemples, issus des seules décisions rendues selon la procédure simplifiée, montrent que le risque de sanction ne concerne plus uniquement les grandes entreprises du numérique. Il touche désormais des organismes de toutes tailles, pour des manquements souvent très opérationnels.

Les principaux manquements constatés sont eux aussi révélateurs. Parmi les sanctions prononcées selon la procédure simplifiée, figurent notamment les insuffisances de sécurité, le non-respect des droits des personnes concernées ainsi que l'absence de réponse aux demandes adressées par la Cnil.

Ce dernier motif mérite une attention particulière. Il ne sanctionne ni une cyberattaque ni une difficulté juridique complexe, mais simplement le fait de ne pas répondre à l'autorité de contrôle. À lui seul, il représente une part importante des sanctions simplifiées prononcées en 2025 et rappelle que certaines mesures de conformité relèvent avant tout de l'organisation interne.

La conformité se joue désormais dans le fonctionnement quotidien des organisations

La lecture du rapport montre que les manquements les plus fréquemment sanctionnés ne résultent pas nécessairement d'une mauvaise compréhension du RGPD. Ils traduisent souvent des difficultés beaucoup plus concrètes : l'absence de procédure pour traiter les demandes d'exercice des droits, des mesures de sécurité insuffisantes, une mauvaise gestion des habilitations ou encore une organisation interne ne permettant pas de répondre efficacement aux sollicitations de la Cnil.

Cette évolution rappelle que la conformité ne se limite pas à la production de documents ou à la réalisation ponctuelle d'un audit. Elle suppose que les obligations prévues par le RGPD soient effectivement intégrées dans les pratiques quotidiennes de l'organisation.

Par ailleurs, le coût d'une sanction dépasse souvent le seul montant de l'amende. Les investigations de la Cnil, les mesures correctrices à mettre en œuvre, la mobilisation des équipes internes ainsi que l'accompagnement juridique ou technique représentent fréquemment une charge bien supérieure à celle qu'aurait représentée une démarche de conformité engagée en amont.

La cybersécurité devient l'une des principales priorités de la Cnil

Au-delà du bilan des sanctions, le rapport annuel présente également les orientations retenues par l'autorité pour les années à venir.

La Cnil annonce ainsi que la cybersécurité représentera près de 50 % de ses contrôles et de ses actions répressives en 2026. Cette orientation s'inscrit dans un contexte marqué par la multiplication des violations de données personnelles, l'augmentation des cyberattaques et le renforcement des exigences de sécurité pesant sur les responsables de traitement.

Cette annonce confirme une tendance déjà perceptible depuis plusieurs années : les obligations de sécurité prévues par l'article 32 du RGPD occupent désormais une place centrale dans les contrôles. Les entreprises devront être en mesure de démontrer non seulement qu'elles disposent de mesures techniques et organisationnelles adaptées, mais également que celles-ci sont effectivement mises en œuvre, régulièrement évaluées et adaptées à l'évolution des risques.

Ce qu'il faut retenir

Le rapport annuel 2025 révèle une évolution importante de la politique de contrôle de la Cnil. Derrière les sanctions record qui concentrent l'attention se dessine une réalité beaucoup plus proche du quotidien des entreprises : des contrôles plus nombreux, des procédures simplifiées devenues majoritaires et des manquements qui concernent souvent des obligations élémentaires de conformité.

Pour les organisations, le risque ne réside donc plus uniquement dans les grandes affaires médiatiques. Il tient désormais à leur capacité à démontrer, au quotidien, qu'elles savent protéger les données qu'elles traitent, répondre aux demandes des personnes concernées, coopérer avec l'autorité de contrôle et maintenir un niveau de sécurité adapté aux risques. Dans ce contexte, la conformité au RGPD apparaît plus que jamais comme une démarche continue, étroitement liée à la gouvernance et à la cybersécurité.

Par LOCK-T, avec la participation de Hébert-Marc GUSTAVE & Mohammad Omar.