Dans son rapport annuel 2025, la CNIL décrit une année de bascule, entre protection des adolescents, explosion des violations de données et sanctions record contre Google et Shein. L’autorité met en avant un manga destiné aux collégiens, de nouveaux outils pédagogiques et son futur rôle central dans le contrôle des systèmes d’intelligence artificielle. Mais cette extension rapide de ses missions se heurte à des moyens humains et budgétaires limités...
Le 19/05/2026 à 14:52 par Hocine Bouhadjera
249 Partages
Publié le :
19/05/2026 à 14:52
249
Partages
Publié en juin dernier, et présenté comme l’une de ses réalisations emblématiques pour sensibiliser les 11-15 ans à la vie privée en ligne, le premier tome du manga L’Agence Privacy suit deux enquêteurs chargés d’élucider une affaire mêlant cyberharcèlement, piratage et usurpation d’identité. Le scénario est signé Faouzi Boughida, avec des illustrations de Grelin.
La version papier du premier tome a été diffusée auprès de tous les collèges de France, de son réseau de partenaires institutionnels et de certaines bibliothèques municipales partenaires. L’ouvrage est aussi distribué lors d’actions de sensibilisation dans les établissements scolaires et lors d’événements auxquels participe la CNIL. Une version numérique est également proposée.
Ce projet s’inscrit dans une offensive plus large en direction des jeunes. L’autorité rappelle que les adolescents sont particulièrement exposés aux risques numériques : surexposition aux écrans, enfermement algorithmique, contenus toxiques, cyberharcèlement, vol de données ou chantage sexuel. Le rapport insiste aussi sur la nécessité d’impliquer les parents, les enseignants et les éducateurs, alors que 79 % des enfants ont accès à un téléphone portable avant 11 ans, d’après une enquête CSA de novembre 2023.
Autour du manga, la CNIL a construit un ensemble de ressources pédagogiques. Depuis mars 2025, elle propose Un océan de données, un dispositif destiné aux 11-15 ans, mais aussi aux adultes qui les accompagnent. Il comprend une carte XXL, des fiches, un livret et un podcast, avec des thèmes concrets comme le premier téléphone, la géolocalisation ou le cyberharcèlement. Un jeu de cartes, Données paires-sonnelles, reprend le principe du jeu de paires pour expliquer les données personnelles et sensibles dès 7 ans.
Autre outil : FantomApp, une application gratuite destinée aux 10-15 ans et à leurs parents. Lancée en décembre 2025, elle vise à aider les jeunes à protéger leurs données sur les réseaux sociaux, connaître leurs droits et trouver de l’aide en cas de problème. Conçue avec des collégiens, elle repose sur trois fonctions : des informations et contacts de confiance face au cyberharcèlement, au vol de données ou au chantage sexuel ; des outils pratiques comme le floutage de photos ou le test de robustesse des mots de passe ; et des tutoriels pour sécuriser ses comptes. L’application a été financée par l’Union européenne et ses contenus doivent être traduits dans plusieurs pays partenaires.
Marie-Laure Denis, la présidente de la CNIL, relève que les contrôles menés en 2024 et 2025 sur les données des mineurs en ligne ont montré que les acteurs du numérique n’adaptent pas toujours leurs mentions d’information à ce public. Une dizaine de mises en demeure a été adressée aux organismes concernés, non nommés.
Plus généralement, le rapport annuel dresse le portrait d’une autorité confrontée à une explosion des risques numériques, d’abord sur le terrain des fuites de données. La CNIL indique avoir été notifiée de 17.802 violations de données personnelles en 2025, contre 5630 en 2024. Ce chiffre exceptionnel est toutefois corrigé dans son bilan, car deux attaques contre des éditeurs de solutions - l’un utilisé par des professionnels du conseil patrimonial, l’autre par des professionnels de santé libéraux -, ont généré à elles seules 11.635 notifications. Après ajustement, la CNIL retient 6167 violations, soit +9,5 % par rapport à 2024.
Le piratage reste la première cause d’incident, avec 50 % des violations déclarées. La CNIL cite le vol de données via des comptes légitimes, les rançongiciels, l’hameçonnage ou le bourrage d’identifiants. Les violations susceptibles de concerner plus d’un million de personnes demeurent nombreuses : environ une quarantaine en 2025, contre une trentaine en 2024.
Face à ces incidents, l’autorité met l’accent sur les grandes bases de données. Elle rappelle que les attaques reposent souvent sur des identifiants usurpés, sur la faiblesse de sous-traitants ou sur une détection trop tardive des intrusions. Elle recommande notamment l’authentification multifacteur pour les accès externes, la journalisation et l’analyse des flux de données, la sensibilisation régulière des collaborateurs et un meilleur encadrement des sous-traitants. En cas de mesures de sécurité insuffisantes, l’amende peut atteindre 10 millions € ou 2 % du chiffre d’affaires annuel.
L’intelligence artificielle constitue l’autre grand chantier ouvert devant la CNIL. Le règlement européen sur l’IA, applicable progressivement depuis le 2 février 2025, encadre le développement, la mise sur le marché et l’utilisation de systèmes susceptibles de présenter des risques pour la santé, la sécurité ou les droits fondamentaux. En 2025, la CNIL a été désignée comme autorité de protection des droits fondamentaux, ce qui lui donne une fonction d’alerte et de contrôle sur les systèmes d’IA à haut risque.
Mais le rapport va plus loin : Marie-Laure Denis précise que l’exécutif, sous réserve de confirmation par le Parlement, entend confier à la CNIL quatre rôles distincts en matière d’IA. L’autorité conserverait d’abord sa mission historique de régulation des algorithmes utilisant des données personnelles. Elle contrôlerait aussi l’absence d’usage de systèmes d’IA interdits et jouerait un rôle d’alerte comme autorité de protection des droits fondamentaux. Enfin, elle deviendrait autorité de surveillance du marché pour une large partie des systèmes d’IA à haut risque, notamment dans la biométrie, l’emploi, la migration ou les usages répressifs.
À LIRE - IA : le Sénat change les règles du jeu pour défendre les œuvres culturelles
Ce basculement modifie profondément son rôle. La CNIL ne se contente plus d’appliquer le RGPD à des traitements de données : elle doit désormais se préparer à surveiller des marchés et des secteurs d’activité. Le rapport évoque des prérogatives étendues dans plusieurs domaines sensibles : champ régalien, éducation, travail et processus démocratiques.
Pour anticiper cette évolution, elle a mis en place en 2025 un groupe de travail interne nourri par l’expérience d’autorités de surveillance de marché déjà existantes, tout en travaillant avec les autres régulateurs pressentis. L’objectif affiché est de construire une doctrine lisible sur l’articulation entre RGPD et règlement IA, à destination des développeurs comme des déployeurs de systèmes d’IA.
Concrètement, ces nouvelles missions devraient conduire la CNIL à définir une doctrine de bon usage de l’IA dans ses domaines de compétence, accompagner les acteurs, certifier leur conformité dans certains cas, puis contrôler et sanctionner les mauvaises pratiques. Marie-Laure Denis souligne que cette surveillance de marché place l’institution dans un rôle différent de celui qu’elle exerçait jusqu’ici avec le RGPD. Les deux défis immédiats sont donc d’adapter ses méthodes de travail à ce nouveau métier et de s’approprier le règlement IA sous un angle opérationnel.
Sur le terrain de l’accompagnement, la CNIL a enrichi en 2025 son corpus de recommandations pour les concepteurs et développeurs de systèmes d’IA. Le rapport rappelle qu’un avis du Comité européen de la protection des données a confirmé, fin 2024, que le RGPD s’appliquait dans de nombreux cas aux modèles entraînés sur des données personnelles, en raison de leurs capacités de mémorisation.
La CNIL a publié plusieurs fiches pour sécuriser juridiquement les projets d’IA. Deux recommandations, parues en février, portent sur l’information des personnes et l’exercice de leurs droits lorsque leurs données servent à entraîner un modèle. Une autre, publiée en juin, précise le recours à l’intérêt légitime comme base légale : l’intérêt poursuivi doit être légitime, le traitement nécessaire, et l’atteinte aux droits des personnes ne doit pas être disproportionnée.
Au total, l’autorité revendique 13 fiches pratiques et une liste de vérifications couvrant les principales étapes du développement d’un système d’IA : régime juridique applicable, finalité, minimisation des données, sécurité, information, transparence, gouvernance et respect des droits. Ces textes ont été élaborés après consultations publiques, avec des contributions d’entreprises, chercheurs, universitaires, associations, conseils juridiques et techniques, syndicats et fédérations professionnelles.
L’éducation fait partie des secteurs visés. La CNIL reconnaît que l’IA peut aider les enseignants à produire des exercices, corriger certains travaux ou accompagner les devoirs des élèves. Mais elle alerte sur les risques liés aux mineurs : confiance excessive dans les réponses générées, recherche de solutions toutes faites, perte de confidentialité et standardisation de l’enseignement ou de l’évaluation. En juin 2025, elle a publié deux FAQ : l’une pour les enseignants, l’autre pour les responsables de traitement - chefs d’établissement, ministère et autorités académiques.
Le rapport cite aussi plusieurs chantiers plus techniques. Le projet PANAME, lancé en juin 2025 avec l’ANSSI, Inria et le PEReN, doit développer une bibliothèque logicielle capable d’évaluer si un modèle traite ou non des données personnelles. En décembre, la CNIL a également mis à disposition un outil expérimental sur la traçabilité des modèles d’IA publiés en source ouverte, pour explorer la manière dont les droits d’opposition, d’accès ou d’effacement pourraient être exercés lorsque des informations personnelles se retrouvent mémorisées dans un modèle.
Sur le volet répressif, 2025 marque un record financier. La CNIL a prononcé 83 sanctions, soit un niveau proche de 2024, mais le montant cumulé des amendes atteint 486.839.500 €, contre 55.212.400 € l’année précédente. Deux dossiers concentrent l’essentiel de ce montant : Google, sanctionné à hauteur de 325 millions €, et Shein, sanctionné à hauteur de 150 millions €, tous deux pour des manquements liés aux cookies et traceurs.
Dans le dossier Google, la CNIL reproche notamment l’affichage d’annonces publicitaires prenant la forme de courriels dans Gmail sans recueil du consentement, ainsi qu’un défaut d’information lors de la création d’un compte sur le dépôt de traceurs publicitaires. Pour Shein, elle a relevé le dépôt de traceurs sans consentement, le non-respect du choix des internautes et une information insuffisante.
Les plaintes poursuivent aussi leur hausse. Après un record en 2024 avec 17.772 plaintes, la CNIL en a reçu 20.150 en 2025, soit une progression de plus de 10 %. Les secteurs les plus visés sont les télécoms, internet et réseaux sociaux, le travail, puis le commerce et l’immobilier. L’autorité relie cette hausse aux violations de données de grande ampleur et à une meilleure connaissance du RGPD par les particuliers.
Cette extension des missions se heurte toutefois à une limite : les moyens. La CNIL affiche 303 agents en 2025 et un budget de 30,2 millions €. Elle souligne que la notification budgétaire a été inférieure à ses besoins opérationnels, avec 6 créations de postes obtenues en 2025, puis aucune création de poste en 2026 malgré les nouvelles compétences liées notamment à l’intelligence artificielle. Plus de 87 % du budget de fonctionnement de 4,2 millions € est consacré à des charges incompressibles, laissant environ 500.000 € pour financer des projets innovants.
La CNIL poursuit aussi son accompagnement des professionnels, avec des outils consacrés à la mesure de la diversité au travail, à la réutilisation de bases de données, aux cookies de mesure d’audience, aux transferts hors de l’Espace économique européen ou encore à la distinction entre responsable de traitement et sous-traitant. Sept webinaires thématiques ont également réuni 2400 participants, dont 60 % issus du secteur privé.
À LIRE - Piratage : le Conseil d’État impose un tour de vis à l’ARCOM
Le rapport souligne enfin la montée de l’« interrégulation ». Avec le règlement IA, le DSA, le DGA, le DMA ou les règles sur la publicité politique, la CNIL doit désormais coordonner son action avec l’Arcom, la DGCCRF, l’Arcep ou l’Autorité de la concurrence. À l’échelle européenne, la déclaration d’Helsinki du Comité européen de la protection des données vise, elle, à rendre le RGPD plus clair et plus simple à appliquer, notamment pour les petites et moyennes organisations.
Le rapport complet et détaillé est à retrouver ici.
Crédits photo : TheDigitalArtist, CC0
Par Hocine Bouhadjera
Contact : hb@actualitte.com
Commenter cet article