Technomedia

La CNIL publie un rapport d’activité 2025 marqué par une hausse record des plaintes, des violations de données et des sanctions financières. L’autorité de protection des données se prépare aussi à l’entrée en vigueur du règlement européen sur l’intelligence artificielle, tout en renforçant ses actions de sensibilisation et de contrôle dans un contexte de moyens contraints.

La CNIL (Commission nationale de l’informatique et des libertés) a connu en 2025 une année d’intense activité, reflet d’une numérisation toujours plus massive des usages et d’une montée des préoccupations autour des données personnelles. Dans son rapport annuel, l’autorité administrative indépendante chargée de veiller au respect du règlement général sur la protection des données (RGPD) fait état d’une augmentation continue des sollicitations, des contrôles et des sanctions, sur fond de multiplication des cyberattaques et d’essor de l’intelligence artificielle.

Nombre de plaintes en hausse de 10 % en un an

Premier indicateur de cette pression croissante : le nombre de plaintes reçues. La CNIL en a enregistré 20 150 en 2025, soit une hausse de 10 % en un an. Les griefs concernent principalement le non-respect de la vie privée dans les relations de travail, le commerce, l’immobilier ou encore les réseaux sociaux. Près de 1 900 plaintes portent directement sur des violations de données personnelles.

L’institution souligne également l’importance de la coopération européenne. Dans le cadre du mécanisme de guichet unique du RGPD, elle a transmis plus de 230 plaintes transfrontalières et répondu à environ 600 sollicitations de ses homologues européens.

323 contrôles et 83 sanctions pour 487 millions d’euros

L’activité de contrôle reste soutenue. En 2025, la CNIL a mené 323 contrôles auprès d’organismes publics et privés. Ces investigations ont donné lieu à 259 décisions, dont 83 sanctions, pour un montant total proche de 487 millions d’euros reversés au Trésor public. Si deux dossiers majeurs expliquent l’essentiel de cette somme record, l’autorité insiste aussi sur la montée en puissance de sa procédure simplifiée, instaurée en 2022, qui lui permet de traiter plus rapidement des manquements moins complexes impliquant des entreprises de toutes tailles.

La cybersécurité apparaît désormais comme l’un des principaux axes d’action de la CNIL. L’année 2025 a été marquée par 6 167 violations de données notifiées, en hausse de 9,5 % par rapport à 2024. Un incident déclaré sur deux résulte d’un piratage informatique. Les autres notifications concernent notamment des erreurs d’envoi ou des pertes de matériel contenant des données personnelles.

Aucune structure n’est épargnée, les violations

Pour Marie-Laure Denis, présidente de la CNIL, trois constats se dégagent : aucune structure n’est épargnée, les violations deviennent de plus en plus massives et elles impliquent fréquemment des prestataires techniques. Face à cette situation, l’autorité annonce un durcissement de sa stratégie : en 2026, 50 % des contrôles et des actions répressives porteront sur les questions de sécurité des données.

Les contrôles viseront notamment les organismes ayant subi une violation, faisant l’objet de plaintes ou manipulant d’importants volumes de données sensibles, comme les données bancaires, de santé ou de localisation. La CNIL rappelle que la sécurisation des données constitue une obligation prévue par l’article 32 du RGPD.

Préparer l’application du règlement européen sur l’intelligence artificielle

Parallèlement, l’autorité prépare activement l’application progressive du règlement européen sur l’intelligence artificielle (AI Act). Déjà désignée pour contrôler les usages interdits de l’IA, elle devrait aussi devenir autorité de surveillance du marché pour certains systèmes à haut risque, notamment dans les domaines de la biométrie, de l’emploi, de l’éducation ou des usages répressifs.

La CNIL poursuit également un travail d’accompagnement des professionnels. En 2025, elle a lancé sept consultations publiques portant notamment sur les véhicules connectés, les dossiers médicaux, l’octroi de crédit ou les traceurs publicitaires. Elle a traité 1 351 demandes de conseil, rendu 90 avis sur des projets de textes et instruit 539 demandes d’autorisation dans le secteur de la santé.

L’institution entend enfin renforcer ses actions de sensibilisation du grand public, en particulier auprès des jeunes. Elle a multiplié les partenariats avec Radio France, France Télévisions ou le magazine Geek Junior et organisé 266 actions sur le terrain ayant permis de sensibiliser plus de 20 000 personnes. L’année 2025 a aussi été marquée par le lancement de FantomApp, une application destinée aux adolescents afin de les aider à mieux protéger leurs données sur les réseaux sociaux.

Par Maitre Antoine Chéron, avocat spécialisé en propriété intellectuelle et NTIC, fondateur du cabinet ACBM

Google est bousculé par les autorités européennes et nationales depuis 2 ans concernant le référencement des personnes physiques au sein du moteur de recherches.

Tout a commencé avec l’affaire dite ‘’Google Spain’’ en 2014, au terme de laquelle la Cour de justice de l’Union Européenne a condamné le géant mondial de l’internet à retirer les résultats « inadéquats, pas ou plus pertinents ou excessifs » référençant le nom de personnes qui ne le souhaitaient pas ou plus et en ont formulé la demande.

Suite à cette décision, le moteur de recherche a reçu des dizaines de milliers de requêtes de la part de citoyens français. On dit qu’ils cherchent à exercer leur « droit à l’oubli », bien que celui-ci n’existe pas actuellement de manière explicite dans la législation ou jurisprudence européenne et française.

Les tentatives de Google pour échapper au droit à l’oubli

Suite à la décision de la Cour de Strasbourg, la société Google a accédé en demi-teinte aux demandes des internautes. Après avoir créée un formulaire à cet effet, elle a procédé au déréférencement de certains résultats mais seulement sur les extensions européennes du moteur de recherches comme google.fr ou google.uk. A contrario, elle refuse catégoriquement de faire jouer le droit à l’oubli des personnes sur le portail google.com. Or, tout le monde peut utiliser cette extension, ce qui revient à rendre illusoire le déférencement.
En mai 2015, face à ce manque de volonté, la présidente de la Commission nationale de l’informatique et des libertés (CNIL) a publiquement mis en demeure le moteur de recherche mondial n°1 d’accéder aux demandes de déréférencement sur tous les noms de domaine de la société. Un recours gracieux a été formé fin juillet 2015 par Google faisant valoir que l’injonction entraverait le droit à l’information de ses internautes tout en instaurant une forme de censure. Selon la société, il ne revient pas à une agence nationale de protection des données à caractère personnel de se revendiquer « une autorité à l'échelle mondiale pour contrôler les informations auxquelles ont accès les internautes à travers le monde ».

Après le rejet de ce recours gracieux, la CNIL a engagé une procédure de sanction à l’encontre de Google qui s’est soldée par sa condamnation à 100 000 euros d’amende pour ne pas avoir appliqué le droit à l’oubli sur l’ensemble de ses extensions géographiques.

Google interjette appel de sa condamnation par la CNIL

Ce jeudi 19 mai 2016, Google a fait appel de cette condamnation peu sévère au regard du chiffre d’affaire astronomique de cette société de droit américain, qui était de 66 milliard de dollars en 2014, soit 19% de plus qu’en 2013. On en déduit que Google en fait une affaire personnelle, une affaire de principe : La société ne veut pas se laisser dicter sa conduite par la Cour de justice de l’Union européenne et certainement pas par une autorité administrative française.

A l’image de David contre Goliath, le combat de la CNIL contre Google est extrêmement déséquilibré. Nous ne pouvons que saluer la persévérance de la CNIL dans sa confrontation avec Google pour faire respecter les droits des particuliers français partout dans le monde. Le projet de loi pour une République numérique conforte la position de la CNIL en consacrant un droit à l’oubli pour les mineurs. De plus, toute personne pourra dorénavant organiser les conditions de conservation et de communication des données à caractère personnel la concernant après son décès, ce qu’on peut rattacher au droit à l’oubli. Entre neutralité du net et droit à l’oubli, des choix vont devoir être pris et il faudra les imposer à Google, ce qui présage encore une longue vie à la saga judiciaire sur le déréférencement.

Elle avait été l'une des premières à dévoiler pour les dénoncer l'IP-tracking, ces pratiques des sites internet de voyagistes qui traquent les profils des internautes pour leur proposer des offres très - trop ? - ciblées. Après la remise des conclusions d'une enquête menée par la Commission nationale de l'informatique et des libertés (CNIL) et la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF, l'eurodéputée PS originaire du Gers Françoise Castex continue à réclamer une nouvelle législation européenne plus protectrice des données personnelles des internautes.


"L'enquête ne lève pas le doute sur les tarifs obscurs pratiqués par les grands opérateurs de transports sur la toile. Cces entreprises continuent d'utiliser des techniques de profilage qui génèrent une concurrence déloyale et qui constituent un détournement des données personnelles de millions d'internautes notamment via l'utilisation de leur historique de navigation", explique la parlementaire.

"C'est en ce sens, qu'à mon initiative, la Commission des Affaires juridiques du Parlement européen a d'ores et déjà demandé à la Commission européenne d'enquêter sur la fréquence de ce pratiques, et, le cas échéant, de proposer une révision de la directive 2005/29 pour protéger comme il se doit les consommateurs", poursuit-elle.

"Ces pratiques ne sont pas conformes à la nouvelle législation sur la protection des données personnelles, adoptée par le Parlement européen le 20 octobre dernier, et qui prévoit le consentement explicite du citoyen en cas d'utilisation de ses données."

L'enquête de la CNIL confirme des pratiques de profilage

L'enquête de la CNIL n'a pas démontré l'utilisation formelle de l'adresse IP des internautes, mais elle a mis en évidence d'autres techniques de profilage tout autant attentatoire aux données personnelles des internautes.

"Les contrôles ont ainsi permis de constater la mise en œuvre de pratiques conduisant à des variations, parfois importantes, de prix :
- des pratiques basées sur le nombre de places offertes ou restant dans l'avion ou le train concerné. Cette politique de tarification (parfois dénommée " Yield Management ") conduit, par exemple, à moduler le prix d'un billet selon la date de son achat ou le taux de remplissage ;
- une pratique conduisant à moduler les frais de dossier selon l'heure à laquelle l'internaute effectue sa réservation ; l'internaute bénéficie ainsi de frais plus avantageux lorsqu'il achète un billet lors des " heures creuses " déterminées par le commerçant", explique la CNIL.

"Une pratique conduisant à une modulation du prix proposé en fonction du site internet précédemment consulté par l'internaute a également été mise en évidence. Ainsi, un internaute provenant d'un comparateur de prix se verra parfois offrir un prix d'appel plus attractif, mais avec des frais plus élevés, le prix total n'étant pas impacté de manière significative. Cette opération est effectuée sans que la personne soit en mesure de connaître les mécanismes conduisant à moduler le tarif affiché. Cette pratique doit être examinée au regard de la loi " informatique et libertés " et des articles L. 120-1 et suivants du code de la consommation, qui condamnent les procédés " qui altèrent, ou sont susceptibles d'altérer de manière substantielle, le comportement du consommateur normalement informé et raisonnablement attentif et avisé, à l'égard d'un bien ou d'un service", détaille la CNIL.

Une fois n’est pas coutume le logo spécial animé (le Doodle) qui s’est affiché hier sur la page du moteur de recherche Google ne célébrait ni un savant, ni un événement historique mais une actualité de la société elle-même : son 15e anniversaire. Le moteur de recherche qui a bouleversé la vie de millions d’internautes dans le monde a vu le jour le 27 septembre 1998 dans la Silicon Valley, en Californie. Et comme Bill Gates pour Microsoft ou Steve Jobs pour Apple, c’est dans un garage, à Menlo Park, que Sergueï Brin, Larry Page et Craig Silverstein ont lancé Google Inc. avec la folle ambition «d’organiser l’information à l’échelle mondiale et de la rendre universellement accessible et utile.»

Des projets fous

Mission largement accomplie puisqu’après le moteur de recherche devenu leader, Google a lancé une myriade de services : Maps, Earth, News, Drive, Gmail, Agenda, Youtube, Shopping, Photos, Blogger, Music, etc. et le système Android qui anime 75 % de smartphones. Google est partout. Pour notre bien comme le proclame son slogan «Don’t be evil» (ne soyez pas malveillant) ?

Pas si sûr car la société qui est passée maîtresse dans la publicité en ligne et l’exploitation des données personnelles inquiète et fait planer l’ombre d’un Big Brother. C’est la raison pour laquelle la Cnil française a décidé hier d’engager une procédure de sanction contre Google qui a trois mois pour rendre conforme au droit français sa politique de confidentialité des données.

Une menace qui ne devrait pas effrayer le géant aux 50,2 milliards de $ de chiffres d’affaires. Pour son 15e anniversaire, Google a annoncé de nouvelles fonctionnalités comme répondre à des questions complexes grâce un nouvel algorithme de recherches.

Mais Google ne manque pas de projets entre ses lunettes connectées, sa voiture sans chauffeur ou son projet de ballons gonflables Loon pour offrir une connexion Internet aux deux tiers de la planète qui en sont privés. La firme va également explorer un nouveau domaine qui manquait à son arc : la santé et la génétique avec une folle ambition : accroître la longévité…

Pour revivre 15 ans d'évolution, regardez la timeline interactive de Google