La CNIL a publié le 18 mai son rapport annuel pour 2025. Le gendarme français des données personnelles y confirme une année record : 6 167 notifications de violations de données, en hausse de 9,5 % sur un an, et un montant d’amendes inédit. Elle annonce qu’en 2026, la moitié de ses contrôles et procédures porteront sur la sécurité des données.
Les chiffres clés de 2025
| Indicateur | 2025 |
|---|---|
| Violations de données notifiées | 6 167 (+9,5 %) |
| Plaintes reçues | 20 150 (+10 %), dont environ 1 900 liées à des violations |
| Contrôles | 323 |
| Sanctions | 83, pour près de 487 millions d’euros |
| Demandes de conseil de professionnels | 1 351 |
| Avis sur des projets de textes | 90 |
Environ une violation sur deux résulte d’un piratage, ce qui en fait la cause la plus fréquente. La CNIL précise que le montant record des sanctions s’explique surtout par deux décisions majeures. Les manquements à la sécurité représentent un tiers des contrôles et près de 30 % des sanctions.
Trois leçons tirées des violations de données
Présentant le rapport, la présidente de la CNIL, Marie-Laure Denis, résume ce que disent les notifications reçues en 2025 :
- aucune organisation n’est épargnée, quels que soient sa taille et son secteur ;
- les violations sont de plus en plus massives ;
- elles impliquent souvent des prestataires.
L’autorité juge la situation « très préoccupante » et justifie ainsi le durcissement de son action. L’actualité de la semaine lui donne raison : trois acteurs du tourisme, Pierre & Vacances-Center Parcs, Belambra et Gîtes de France, ont annoncé des fuites coup sur coup, la dernière via un prestataire informatique commun à plusieurs centrales de réservation.
2026 : la moitié des contrôles sur la sécurité
La CNIL annonce qu’elle consacrera 50 % de ses contrôles et actions répressives à la sécurité des données. Ses autres thèmes prioritaires de contrôle pour 2026 sont le recrutement, le répertoire électoral unique et les fédérations sportives.
Une notification à la CNIL est obligatoire sous 72 heures dès qu’une violation présente un risque pour les personnes concernées, et les personnes doivent être informées si le risque est élevé. Mieux vaut avoir une procédure prête et testée avant l’incident qu’improviser ce jour-là.
Ce que cela change pour les équipes tech
Le message est surtout opérationnel pour les développeurs, administrateurs et RSSI. Sans prétendre reproduire une liste officielle, voici les points que les incidents récents remettent en avant :
- Contrôle d’accès côté serveur : les failles de type IDOR, où il suffit de changer un identifiant dans une URL, reviennent dans plusieurs fuites françaises récentes.
- Comptes à privilèges et outils métier : une authentification forte sur tous les accès distants, y compris ceux des sous-traitants et des techniciens.
- Sous-traitants : des clauses de sécurité dans les contrats, mais aussi des audits et une visibilité sur leurs accès.
- Durées de conservation : une donnée qui n’est plus stockée ne peut pas fuiter ; purger les historiques de réservation ou de clients inactifs réduit mécaniquement l’impact d’une attaque.
- Détection : surveiller les extractions massives, souvent le seul signal avant la revendication publique.
Le rapport complet est disponible sur le site de la CNIL.