Le 9 février dernier, la CNIL a fait le bilan – calmement, se remémorant chaque instant de sa faste année 2025 – et nous a gratifié d’un compte-rendu très intéressant de son activité pendant l’année écoulée.
Quelques chiffres tout d’abord ! En 2025, la CNIL c’est 259 décisions dont :
- 83 sanctions
- 143 mises en demeure
- 31 rappels aux obligations légales
- 2 avertissements
- 839.500 euros d’amendes cumulées
En comparaison, en 2024, la CNIL avait rendu 331 décisions dont 87 sanctions, 180 mises en demeure, 64 rappels aux obligations légales pour un montant cumulé d’amende de « seulement » 55.212.400 euros.
Moins de décisions mais quasi tout autant de sanctions et un montant d’amendes cumulées qui s’envolent : la CNIL n’a pas chômé en 2025 et a frappé fort pour assurer le respect du droit des personnes.
La Commission est restée fidèle aux sujets qui lui sont chers et a notamment rendu bon nombre de sanctions dans les domaines suivants :
- Le respect des règles applicables en matière de cookies et autres traceurs: ce sujet ne représente pas moins de 21 des 83 sanctions et 475.000.000 d’euros d’amendes ! Les règles applicables étant connues depuis plusieurs années, la CNIL a tendance à se montrer de plus en plus intransigeante.
Pour mémoire, sur ce thème, nous commentions dans un précédent article de notre newsletter la décision de la CNIL sanctionnant la filiale française de la société American Express.
- Le respect du cadre applicable en matière de vidéosurveillance des salariés – cela fut notamment le cas en septembre 2025 lorsque la Samaritaine a été condamnée – par une décision que nous commentions à l’époque – à une amende de 100.000 euros
- Les obligations des sous-traitants rappelant ainsi une nouvelle fois – elle avait déjà rappelé en octobre 2023 l’importance des contrats conclus avec les fournisseurs – que ceux-ci doivent notamment (i) ne traiter les données que sur instruction du (ii) mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adéquat et (iii) supprimer les données à l’issue de leur relation contractuelle avec le responsable de traitement.
En 2025 la CNIL donc fait preuve de constance et de plus en plus de fermeté s’agissant des sanctions prononcées.
A n’en pas douter qu’elle poursuivra sur cette voie en 2026.