Le rapport annuel 2025 de la Cnil, publié en mai 2026, confirme l’évolution profonde des missions de l’autorité.
Si la protection des données personnelles demeure au cœur de son action, l’année 2025 marque également une étape importante avec la montée en puissance de la régulation de l’intelligence artificielle, le renforcement de la coopération entre régulateurs et une activité toujours soutenue en matière de contrôle et de sanction.
Une année « charnière » pour la Cnil
Le rapport annuel 2025 de la Cnil met en avant une transformation du rôle de l’autorité désormais appelée à intervenir bien au-delà du seul cadre du RGPD.
La présidente de l’autorité, Marie-Laure Denis, qualifie ainsi 2025 d’« année charnière », en raison des nouvelles compétences confiées à la Cnil dans le cadre du règlement européen sur l’intelligence artificielle (RIA). Celle-ci sera progressivement chargée non seulement de contrôler le respect du RGPD dans les traitements reposant sur l’IA, mais également d’exercer des missions de protection des droits fondamentaux et, pour certains systèmes d’IA à haut risque, de surveillance du marché.
Cette évolution s’inscrit dans un contexte plus large d’élargissement des compétences de la Cnil résultant de plusieurs textes européens, parmi lesquels le règlement sur les services numériques (DSA), le règlement sur la gouvernance des données (DGA) ou encore le règlement relatif à la transparence de la publicité politique. Le rapport souligne que cette multiplication des textes conduit l’autorité à développer une logique d’« interrégulation », en renforçant sa coopération avec d’autres autorités nationales telles que l’Arcom, l’Arcep ou la DGCCRF.
Rapport annuel 2025 de la Cnil : une activité de contrôle toujours soutenue
Comme les années précédentes, le rapport annuel 2025 de la Cnil illustre l’intensité de l’activité opérationnelle de l’autorité.
Au cours de l’année, la Cnil a reçu 20 150 plaintes, réalisé 323 contrôles et prononcé 83 sanctions, pour un montant total de 486,8 millions d’euros d’amendes. Elle a également enregistré 6 167 notifications de violations de données personnelles, soit un niveau qualifié d’« exceptionnel » par l’autorité.
Au-delà de ces chiffres, le rapport met en évidence une tendance de fond : la montée en puissance des violations de données, souvent massives et impliquant des prestataires, conduit la Cnil à renforcer ses exigences en matière de cybersécurité. L’autorité annonce ainsi des contrôles ciblés en 2026, notamment sur la sécurisation des accès aux grandes bases de données
L’accompagnement des acteurs demeure une priorité
Le rapport annuel 2025 de la Cnil confirme également que sa stratégie ne repose pas uniquement sur le contrôle.
En 2025, l’autorité a poursuivi la publication de nombreux outils destinés à faciliter la mise en conformité des organismes : recommandations relatives aux enquêtes de diversité, guide sur les analyses d’impact des transferts de données, outil d’auto-évaluation des cookies de mesure d’audience, précisions sur la qualification de responsable de traitement ou de sous-traitant, ou encore étude consacrée aux bénéfices économiques des délégués à la protection des données (DPO).
Cette politique d’accompagnement s’est également traduite par l’organisation de consultations publiques, de webinaires et par la publication de recommandations consacrées à l’intelligence artificielle, traduisant la volonté de la Cnil de favoriser une conformité « par la pédagogie » avant le recours aux pouvoirs de sanction.
Une régulation appelée à se renforcer
À travers son rapport annuel 2025, l’autorité confirme son évolution vers un régulateur transversal du numérique. Les nouvelles compétences issues des règlements européens, en particulier du règlement sur l’intelligence artificielle, devraient encore accroître son rôle dans les prochaines années.
Pour les organismes publics comme privés, ce rapport rappelle que la conformité ne peut plus être envisagée sous le seul angle du RGPD. Elle suppose désormais d’intégrer les nouvelles réglementations européennes relatives à l’intelligence artificielle, aux services numériques ou encore à la gouvernance des données, dans une approche globale de la gouvernance numérique.
Article coécrit avec Morgane Allouche, avocate, collaboratrice du département Contentieux du numérique du cabinet Lexing.
