Sanctions CNIL 2025 : ce que retient le bilan annuel

Avec un peu de recul, le bilan des sanctions CNIL 2025 confirme une trajectoire désormais bien installée depuis l’entrée en application du Règlement général sur la protection des données (RGPD) en mai 2018. La Commission nationale de l’informatique et des libertés (CNIL) ne se contente plus de rappels à l’ordre discrets. Elle prononce, chaque année, des dizaines de décisions publiques, mêle amendes financières, injonctions sous astreinte et mises en demeure rendues publiques, et ajuste sa doctrine sur les sujets sensibles. Pour une organisation, lire ce bilan annuel, c’est se donner une carte des risques bien plus précieuse que n’importe quelle plaquette commerciale.

Une activité répressive qui se stabilise à un haut niveau

L’année 2025 s’inscrit dans la continuité de 2023 et 2024. La CNIL a continué de prononcer plusieurs dizaines de sanctions formelles, auxquelles s’ajoutent des mises en demeure, dont une part croissante est rendue publique. La procédure simplifiée, qui permet de sanctionner certaines affaires moins complexes avec des montants plafonnés à 20 000 euros, représente désormais une part significative du flux des sanctions CNIL et n’épargne plus les petites structures.

Le total cumulé des amendes CNIL prononcées en 2025 se situe dans une fourchette à plusieurs centaines de millions d’euros, dans la lignée des exercices précédents. Plusieurs décisions emblématiques visant des grandes plateformes numériques se chiffrent en dizaines, voire en centaines de millions d’euros. À l’autre bout de l’éventail, la procédure simplifiée frappe des sociétés de quelques dizaines de salariés pour des manquements parfois élémentaires. Cette dualité raconte mieux que les chiffres bruts l’état du contrôle français : le haut du spectre fait la une, le bas du spectre fait jurisprudence pour le tissu économique réel. Le bilan CNIL annuel agrège tous ces niveaux dans un même rapport, pour donner une lecture consolidée à l’écosystème.

Le programme thématique annuel reste un signal fort. La CNIL annonce chaque année trois à quatre sujets prioritaires, et les contrôles qui en découlent nourrissent une part significative du contentieux. En 2024 et 2025, les axes ont touché la sécurité des données de santé, l’usage des données par les administrations publiques, le ciblage publicitaire en ligne et l’usage de l’intelligence artificielle dans le recrutement. Les organisations qui suivent ce programme savent où la pression du contrôle va s’exercer dans les douze à dix-huit mois.

Les manquements les plus sanctionnés en 2025

Quatre familles dominent largement le contentieux. Les comprendre, c’est déjà connaître quatre-vingts pour cent des risques.

Cookies et traceurs

C’est probablement la zone la plus active. Depuis les lignes directrices de la CNIL de 2020 et leur recommandation de 2021, la régulation française des cookies est l’une des plus strictes d’Europe. En 2025, plusieurs sanctions CNIL de premier plan ont continué de cibler les défauts de consentement, les bandeaux trompeurs, les boutons « refuser » introuvables ou rendus moins visibles que le bouton « accepter », et la persistance de traceurs après refus. Les groupes Google, Amazon et plusieurs éditeurs de presse en ligne ont déjà fait les frais de cette doctrine au fil des dernières années, et la jurisprudence administrative l’a globalement validée. Le message pour les responsables de site est constant : un consentement valide doit être libre, spécifique, éclairé et univoque, et le refus doit être aussi simple que l’acceptation.

Sécurité des données et notification de violation

La sécurité des traitements, encadrée par l’article 32 du RGPD, est la deuxième grande famille. Les manquements relevés en 2025 portent sur des fondamentaux : mots de passe stockés en clair, absence de chiffrement sur des données de santé, journalisation insuffisante, comptes administrateurs partagés, défauts de mise à jour des logiciels exposés sur Internet. Plusieurs décisions sanctionnent aussi des notifications de violation tardives ou incomplètes vis-à-vis de la CNIL ou des personnes concernées, en application des articles 33 et 34. Pour une organisation, le coût de la sanction s’ajoute presque toujours au coût opérationnel de l’incident lui-même.

Durées de conservation et minimisation

Le troisième pilier du contentieux porte sur les durées de conservation, prévues à l’article 5 du RGPD. La CNIL relève régulièrement des bases prospects conservées sans limite, des CV stockés des années après le recrutement, des historiques de connexion gardés bien au-delà de toute justification. Les sanctions sur ce terrain sont moins spectaculaires que sur les cookies, mais elles touchent un éventail très large d’organisations, du e-commerce à la santé en passant par les ressources humaines. La logique de minimisation gagne du terrain dans les contrôles : conserver trop, c’est s’exposer.

Transferts internationaux

Le quatrième axe, plus technique, concerne les transferts hors Union européenne. Depuis l’arrêt Schrems II et la décision d’adéquation 2023 sur le cadre transatlantique, les organisations doivent documenter leurs transferts, vérifier la base juridique, et conduire des analyses d’impact spécifiques pour les sous-traitants américains. Les sanctions CNIL relevées en 2024 et 2025 incluent l’affaire Clearview, plusieurs procédures contre des éditeurs SaaS et des décisions sur l’usage d’outils analytiques américains. Là encore, les fourchettes d’amende CNIL vont de quelques dizaines de milliers d’euros à plusieurs dizaines de millions, selon l’ampleur du traitement et la coopération de l’organisation.

À ces quatre familles s’ajoutent des thèmes émergents : usage d’intelligence artificielle générative sans base légale claire, vidéosurveillance disproportionnée au travail, démarchage téléphonique non sollicité et vente de fichiers de prospection sans information correcte des personnes.

Montants, records et procédure simplifiée

Le paysage financier des sanctions CNIL s’organise en trois strates.

La première strate, celle des décisions les plus médiatisées, concerne les grandes plateformes numériques. Plusieurs décisions à plus de 100 millions d’euros ont été prononcées ces dernières années contre des acteurs comme Google, Amazon ou Meta, sur des manquements répétés et à très grande échelle. Sans citer de chiffre récent qui ne pourrait être vérifié, on peut dire que le seuil symbolique des 100 millions d’euros est désormais franchi régulièrement, ce qui marque un changement structurel par rapport aux premières années post-RGPD.

La deuxième strate, intermédiaire, regroupe les sanctions visant des entreprises connues mais non hyperscalers : éditeurs de logiciels, opérateurs télécom, grandes enseignes de distribution, sociétés de services. Les amendes CNIL se situent typiquement entre quelques centaines de milliers et quelques millions d’euros. Cette strate constitue le cœur du bilan CNIL annuel hors records.

La troisième strate, en croissance rapide, est celle de la procédure simplifiée. Plafonnée à 20 000 euros, elle vise des manquements ciblés sur des organisations qui n’ont pas la taille critique pour mobiliser une procédure complète. Le format est rapide, contradictoire allégé, et la décision peut être rendue publique. Pour une PME, l’effet réputationnel d’une sanction simplifiée peut être plus douloureux que le montant lui-même.

À toutes ces strates s’ajoutent les mises en demeure publiques. Elles ne sont pas des sanctions financières, mais elles obligent l’organisation à se mettre en conformité dans un délai contraint, sous peine d’aggravation. La publicité de la mise en demeure en fait un outil de régulation à part entière, et la CNIL en use de plus en plus volontiers.

TGV BigTech et PME : deux régimes de risque

Le bilan 2025 confirme une dualité que les DPO connaissent bien.

D’un côté, le contentieux à grande échelle vise les acteurs systémiques. Plateformes mondiales, éditeurs de réseaux sociaux, groupes de cloud, courtiers en données : ces organisations cumulent volumes massifs, coopération européenne via le mécanisme de guichet unique de l’EDPB (European Data Protection Board) et coordination avec les autres autorités. Les procédures durent des années, mobilisent des cabinets spécialisés et débouchent sur des montants record. Pour ces acteurs, la sanction est intégrée comme un coût stratégique.

De l’autre côté, le contentieux du tissu économique courant. Une PME de cinquante salariés qui n’a pas de DPO désigné, qui n’a pas de registre des activités de traitement à jour, qui collecte des CV par formulaire web sans politique de durée de conservation, est aujourd’hui dans le viseur de la CNIL via la procédure simplifiée et les contrôles thématiques. La sanction y est moins haute, mais elle peut menacer l’activité.

Les deux régimes ne s’opposent pas, ils se complètent. La CNIL utilise les sanctions BigTech pour faire évoluer la doctrine, et les sanctions sur les PME pour la diffuser dans le tissu économique. C’est ce double mouvement qui structure le bilan 2025.

Impact sur la jurisprudence et sur la doctrine

Plusieurs décisions de la CNIL en 2024 et 2025 ont été confirmées en appel par le Conseil d’État, qui rend désormais une jurisprudence dense en matière de protection des données. Les juges administratifs ont validé la sévérité de la CNIL sur les cookies, sa lecture stricte de la sécurité, et son interprétation des règles de transfert. À de rares exceptions près, les recours contentieux ont peu prospéré sur le fond, ce qui consolide la doctrine de l’autorité.

Les décisions servent aussi de référentiels concrets. Quand une sanction publique cible un manquement précis de bandeau cookies, des dizaines d’organisations alignent leur dispositif dans les semaines suivantes. La CNIL utilise ce levier de manière assumée : la publicité d’une décision n’a pas seulement vocation à punir, elle a vocation à diffuser une attente comportementale dans tout l’écosystème.

Leçons pour les organisations et rôle préventif du DPO

À la lecture de ce bilan, plusieurs leçons utiles se dégagent pour 2026 et les exercices suivants.

La première leçon est que la conformité de façade ne tient plus. Les contrôles examinent les preuves opérationnelles : un registre des activités de traitement à jour, des analyses d’impact relatives à la protection des données (AIPD) conduites pour les traitements à risque, des journaux d’accès, des contrats de sous-traitance signés et conformes. Sur ce point précis, piloter un registre des traitements à jour avec un modèle structuré reste le premier filet de sécurité d’une organisation.

La deuxième leçon est que les AIPD bien conduites sont une assurance documentaire précieuse. La CNIL examine systématiquement, lors d’un contrôle, si une analyse a été menée pour les traitements concernés et si elle est cohérente avec la réalité opérationnelle. Une AIPD sérieuse, pilotée selon une méthode reconnue, démontre la diligence du responsable de traitement et atténue significativement le risque de sanction. Pour comprendre la méthode et bâtir un dossier solide, il est utile de revoir comment cadrer une analyse d’impact AIPD pas à pas.

La troisième leçon est que la fonction DPO joue un rôle préventif central. Un DPO formé, indépendant, doté de moyens et écouté par la direction réduit massivement la probabilité d’une sanction. Quand la CNIL contrôle, elle observe d’abord la qualité du dispositif de gouvernance : présence du DPO, fréquence de ses comités, traçabilité de ses recommandations, prise en compte de ses alertes. Une fonction DPO crédible désamorce une grande partie des contrôles avant même qu’ils ne dérivent vers une procédure répressive. Pour comprendre les contours du métier et son évolution depuis le RGPD, on peut se reporter à notre panorama complet des missions et voies d’accès au métier de DPO.

La quatrième leçon est qu’il faut savoir réagir à un incident. Les sanctions liées aux violations de données pèsent souvent moins sur l’incident lui-même que sur la qualité de la réponse : notification dans les 72 heures, information des personnes concernées si le risque est élevé, mesures correctives documentées. Une organisation préparée transforme un incident grave en dossier maîtrisé.

La cinquième leçon, plus stratégique, est que la conformité devient un argument commercial. Les appels d’offres B2B intègrent désormais des clauses contraignantes, et un mauvais dossier auprès de la CNIL peut peser dans une négociation. Le bilan CNIL 2025 confirme cette tendance : les organisations sanctionnées subissent un coût indirect en image et en relation client souvent supérieur au montant de l’amende CNIL elle-même.

Lire le bilan annuel des sanctions CNIL 2025 ne devrait pas être un exercice anxiogène. C’est, au contraire, l’une des meilleures sources d’information opérationnelle pour décider où mettre l’effort dans les douze prochains mois. Les manquements les plus sanctionnés sont identifiés. Les zones de tolérance se rétractent. Les bons réflexes, registre tenu, AIPD à jour, DPO en position d’agir, font la différence avec une régularité presque ennuyeuse. C’est précisément cette régularité qui distingue une organisation préparée d’une organisation exposée.