L’autorité française chargée de la protection des données publie un premier bilan de son action en 2025 avec une baisse sensible du nombre de sanctions. Leur montant cumulé affiche une multiplication par 9 par rapport à l’année d’avant, gonflé par les amendes contre Google et Shein.

En septembre dernier, la CNIL prononçait deux amendes importantes contre Google et Shein pour non-respect des règles sur les cookies. En tout, l’autorité imposait aux deux multinationales 475 millions d’euros d’amendes.

Ce montant représente finalement le gros du total des 83 sanctions que l’autorité a prononcées au cours de l’année 2025. La CNIL explique dans un communiqué avoir prononcé des amendes pour un montant cumulé de 486,8 millions d’euros. Le reste, 12 millions d’euros donc, rassemble 76 autres amendes, trois décisions de liquidation d’astreinte et deux rappels à l’ordre.

Une concentration des amendes sur les traceurs gonflées par les sanctions contre Google et Shein

Parmi ces décisions, 19 autres concernent aussi des « manquements aux règles régissant les traceurs : dépôt sans le consentement de l’utilisateur, insuffisance des informations délivrées (ne permettant pas de recueillir un consentement éclairé), ou encore absence de prise en compte effective du refus de l’utilisateur ou du retrait de son consentement ». Ainsi on peut se rappeler aussi des 750 000 euros prononcés à l’encontre de la société française Les publications Condé Nast éditrice de Vanity Fair, Vogue, GQ et AD.

La CNIL met donc en avant ses décisions concernant le sujet particulier des cookies et autres traceurs. Mais les cas de Google et Shein font gonfler l’addition et le problème reste entier pour l’internaute qui rencontre encore au quotidien des dark patterns sur les bandeaux d’acceptation de cookies.

16 sanctions concernant la vidéosurveillance des salariés

L’autorité affiche aussi pour l’année écoulée 16 sanctions pour non-respect des règles applicables à la vidéosurveillance des salariés. « En l’absence de circonstances exceptionnelles liées par exemple à des enjeux particuliers de sécurité ou de lutte contre le vol, la surveillance vidéo permanente de salariés constitue une atteinte à la protection des données personnelles », réaffirme-t-elle.

On peut rappeler le cas qu’avait choisi de rendre public l’autorité : La Samaritaine. Ainsi l’enseigne a reçu en septembre une amende de 100 000 euros pour des caméras et micros dissimulés aux salariés suite aux révélations de Médiapart en 2023.

L’autorité en profite aussi pour faire un rappel sur les manquements aux obligations des sous-traitants. Par exemple, en décembre, la CNIL a rendu publique l’amende d’un million d’euros d’amende adressée à un sous traitant de Deezer, à propos de la fuite des données de 46 millions d’utilisateurs dans le monde dont 9 millions en France intervenue en 2022.

Elle rappelle que les sous-traitants doivent :

• « mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adéquat ;
• ne traiter les données que sur instruction du responsable de traitement ;
• et supprimer les données à l’issue de leur relation contractuelle avec le responsable de traitement ».

Trois rappels qui correspondent typiquement aux soucis rencontrés dans le cas de Mobius Solutions, le sous-traitant de Deezer.

Une procédure simplifiée en vitesse de croisière

Parmi les 83 sanctions prononcées par la CNIL, 67 l’ont été dans le cadre de la procédure simplifiée mise en place en 2022. C’est peu ou prou le même nombre qu’en 2024 (69 à l’époque). « La sécurisation insuffisante des données personnelles, l’absence de coopération avec la CNIL et le non respect des droits des personnes constituent les trois principaux motifs » des décisions prises dans ce cadre.

Sur le manquement relatif à la sécurité des données personnelles, l’autorité compte 14 organismes qui n’avaient pas mis en œuvre les mesures nécessaires. 80 % des violations de données auraient pu être évitées, déplorait encore récemment la présidente de l’autorité, Marie-Laure Denis.

• 80 % des violations de données auraient pu être évitées, déplore la présidente de la CNIL

La CNIL note que 14 sociétés ou professionnels libéraux ont été sanctionnés pour tout simplement ne pas lui avoir répondu. Et 14 autres décisions sanctionnent le fait que le responsable du traitement de données personnelles n’a pas pris en compte des demandes d’effacement, d’opposition ou d’accès à ces données. Enfin, 10 sanctions concernent la prospection (commerciale ou politique) dont cinq candidats aux élections européennes et législatives de 2024.

Enfin, l’autorité a émis 143 mises en demeure, notamment dans « le secteur de l’aide sociale à l’enfance pour les manquements suivants : l’absence de politique rigoureuse de conservation de données pour les dossiers des mineurs, l’information des personnes, la politique de gestion des habilitations et des mots de passe, la tenue d’un registre des traitements et la réalisation d’une analyse d’impact relative à la protection des données ».

Si le nombre de 83 sanctions peut paraitre faible, on peut se rassurer sur le fait qu’au moins, l’autorité française recouvre la plupart des amendes infligées, comme nous l’expliquions récemment, puisqu’entre 2019 et 2024, 95 % de ses sanctions ont été recouvrées par le Trésor Public, alors que son homologue irlandaise n’en recouvre que 0,5 %.

• Fuites et violations de données : les chiffres anxiogènes, et les autres