En 2025, la CNIL a prononcé 83 sanctions pour un montant cumulé d’environ 486,8 millions d’euros. Ce chiffre marque une accélération nette de la répression en matière de protection des données personnelles. Face à des menaces qui évoluent plus vite que les dispositifs de défense, la question n’est plus de savoir si les organisations sont exposées, mais de mesurer l’écart entre les risques réels et les protections effectivement déployées.
Sanctions CNIL et failles de sécurité : ce que les chiffres révèlent
Le tableau ci-dessous synthétise les sanctions récentes les plus significatives, en mettant en regard le montant, la cause principale et le nombre de personnes affectées.
| Organisation | Montant de la sanction | Cause principale | Personnes affectées |
|---|---|---|---|
| 325 M€ | Dépôt de cookies sans consentement valable | Non précisé | |
| Shein | 150 M€ | Dépôt de cookies sans consentement valable | Non précisé |
| Free / Free Mobile | 15 M€ + 27 M€ | Rétention excessive, sécurité insuffisante | 24 millions de comptes |
Les deux amendes record contre Google et Shein portent sur le consentement aux cookies, un sujet ancien. En revanche, la sanction de Free en janvier 2026 révèle un motif différent : conservation trop longue de données de contrats résiliés, mesures de sécurité insuffisantes et information incomplète des utilisateurs.
Le contraste est parlant. D’un côté, des géants sanctionnés sur des bases juridiques connues. De l’autre, un opérateur français pénalisé pour des défauts de terrain, après une intrusion ayant exposé 24 millions de comptes clients.
Défauts de sécurité élémentaires : le vrai vecteur des nouvelles menaces
Plus d’un quart des amendes prononcées par la CNIL en 2025 visent des défauts de sécurité qualifiés d’élémentaires. Ce ne sont pas des attaques sophistiquées qui provoquent le plus de dégâts, mais des configurations basiques jamais corrigées.
Les failles les plus souvent pointées par la CNIL :
- Absence ou mauvaise configuration de l’authentification multifacteur (MFA), laissant les systèmes accessibles avec un simple mot de passe compromis
- Gestion défaillante des accès, avec des comptes d’anciens salariés toujours actifs ou des droits administrateurs distribués sans contrôle
- Conservation excessive des données personnelles, bien au-delà des durées prévues par le RGPD, ce qui élargit la surface d’attaque en cas d’intrusion
- Segmentation insuffisante des bases de données, permettant à un attaquant d’accéder à l’ensemble d’un système après avoir compromis un seul point d’entrée
Les autorités ciblent désormais les pratiques de terrain les plus basiques, pas seulement les traitements complexes ou les technologies avancées. Pour les entreprises, cela signifie que la conformité ne se joue plus dans la rédaction de politiques de confidentialité, mais dans la configuration quotidienne des systèmes informatiques.
Rançongiciels et exfiltration : le basculement vers le vol de données
Les groupes de rançongiciels ont modifié leur stratégie. Là où ils chiffraient les fichiers pour exiger une rançon, beaucoup se contentent aujourd’hui de voler les données et de menacer de les publier. Ce basculement change la nature du risque pour les organisations.
Un système de sauvegarde performant ne suffit plus. La menace principale est devenue l’exfiltration de données personnelles, pas leur indisponibilité. Le chantage porte sur la confidentialité, un domaine directement encadré par le RGPD et sanctionné par la CNIL.
Ce glissement explique en partie la hausse des notifications de violations adressées à la CNIL. Les entreprises ne découvrent plus un serveur chiffré, mais une publication de données sur le dark web, parfois des semaines après l’intrusion.
Secteurs les plus exposés
Le secteur de la santé fait l’objet d’une attention particulière. L’ENISA a publié en 2026 des lignes directrices spécifiques pour la cybersécurité des hôpitaux et fournisseurs de soins. Les données de santé, par leur sensibilité et leur valeur marchande, attirent des groupes spécialisés.
Les collectivités territoriales figurent aussi parmi les cibles prioritaires de la CNIL pour 2026. Souvent sous-équipées en matière de sécurité informatique, elles gèrent pourtant des volumes considérables de données personnelles (état civil, fiscalité, aide sociale).
IA Act et RGPD : la double contrainte réglementaire de 2026
L’entrée en application progressive de l’IA Act européen ajoute une couche de complexité. Les obligations de transparence sur les systèmes d’intelligence artificielle s’appliquent désormais en Europe, et elles croisent directement les exigences du RGPD.
Un système d’IA qui traite des données personnelles doit respecter simultanément deux cadres réglementaires. La CNIL a affirmé son autorité sur la définition des données personnelles dans le contexte de l’intelligence artificielle, ce qui signifie que les modèles entraînés sur des données de résidents européens tombent sous sa juridiction.
Pour les entreprises, la difficulté est double :
- Documenter la base légale du traitement des données utilisées pour entraîner ou alimenter un modèle d’IA
- Garantir les droits d’accès, de rectification et de suppression sur des données intégrées dans des systèmes d’apprentissage automatique
- Répondre aux exigences de transparence de l’IA Act tout en respectant la confidentialité imposée par le RGPD
Le règlement DORA (Digital Operational Resilience Act), qui concerne le secteur financier, impose en parallèle des exigences de résilience numérique incluant la gestion des risques liés aux prestataires tiers et à la cryptographie. Les organisations réglementées font face à un empilement normatif sans précédent.
Mesurer l’écart entre conformité déclarée et sécurité réelle
La donnée la plus révélatrice dans le bilan 2025 de la CNIL reste celle-ci : les sanctions les plus fréquentes ne portent pas sur des violations complexes, mais sur des mesures de sécurité que toute organisation devrait avoir déployées depuis des années. L’écart entre la conformité documentaire (registres de traitement, politiques internes) et la sécurité réelle des systèmes constitue le principal facteur de risque.
Les notifications de violations de données ont augmenté de manière continue depuis l’entrée en application du RGPD en 2018. La France est devenue l’un des pays européens les plus touchés par les fuites de données. Ce constat ne relève pas d’une fatalité technologique, mais d’un déficit persistant dans l’application de mesures techniques élémentaires, celles-là mêmes que la CNIL sanctionne désormais systématiquement.
